引言：在系统出现故障，需要重新安装时，使用WIinPE优盘引导系统，在WinPE环境中利用一键还原工具，加载事先备份的GHO文件，就可以简单快捷地完成系统的安装操作。这样安装操作，在实际的系统维护中使用得极为普遍。不过，在这看似简单的背后，其实隐藏着一些不可告人的猫腻。实际上，当利用一键还原装完系统后，用户往往会发现系统已经被绑架了。

现在流行很多种优盘启动制作工具以及PE工具箱等，为了便于说明，这里就以常用的Windows 8.1为例进行说明。使用Windows 8.1安装光盘或者镜像ISO文件，执行全新的安装操作，当Windows 8.1安装完毕后，之后为其安装各种驱动操作。这样，就得到了一个纯净的系统，之后进入DOS系统，利用Norton Ghost程序对系统盘进行备份，得到干净的Ghost文件。从网上下载各种优盘制作工具，将优盘制作成WinPE启动盘。利用该盘引导系统，进入WinPE环 境，利用其内置的一键还原工具，对系统进行还原操作。经过对比安装测试，果然发现大多数WinPE工具在执行还原操作时，对系统悄悄做了手脚。

例如，强行安装某些软件，对IE主页进行劫持等。究其根源，这种通过这些未经用户许可的不法操作，是以获得很大的经济利益为目的。

对于某款WinPE工具来说，当其在完成系统恢复操作后，会在系统目录中生成某个可执行文件，并创建某个文件夹，里面隐藏要强制的软件，而且可以在启动项中非法添加脚本文件，利用运行该脚本文件，执行绑架IE主页，非法强制安装特定软件的功能。为了防止杀毒软件发现其行踪，这些流氓程序就有自删除功能，在完成非法操作后，可以将自身以及相关的文件全部删除，以逃避用户的检测。……