WinPE启动盘维修指南：系统崩溃后的全场景急救方案

你有没有遇到过这种早上：电脑开机后Windows一直在转圈，然后蓝屏，反复重启也进不去；或者桌面突然多了一堆看不懂的txt文件，所有文档都被改了后缀；又或者接手一台旧机器，原主人拍拍屁股走人，密码死活没人知道。这种时候最烦躁的不是故障本身，而是你手上没有任何工具，只能干瞪眼或者花钱请人上门。

我这么多年处理这类问题的经验可以浓缩成一句话：一张WinPE启动盘，能覆盖掉大部分日常电脑运维的硬需求。删除那些正常系统里怎么都删不掉的风险文件、检查修复文件系统、离线重置Windows密码、用Disk2vhd把物理机导出成VHD、以及离线杀毒，全部可以在PE里自助完成。这篇文章就是把我实际维护机器时最常用的一套PE操作流程完整过一遍，不绕弯子，讲原理也讲命令，适合平时喜欢自己动手维护电脑的玩家，也适合给单位、店里处理故障机器的运维朋友做参考。

1. 为什么系统崩溃后的第一反应，是掏出一张PE盘

1.1 WinPE到底是个什么东西

WinPE全称Windows Preinstallation Environment，微软官方名字是Windows预安装环境。它最早是给OEM厂商预装系统用的，后来慢慢变成运维圈的标配工具。很多人叫它"精简Windows系统"，这个说法不算错，但容易误导人。它本质上是一个独立的微型Windows环境，启动后整个系统跑在内存里，不会把自己安装到硬盘上。你可以把它理解成一张"系统急救手术台"：正常系统是躺在手术台上动不了的病人，PE就是旁边那个随时可以亮刀操作的手术台。

PE不依赖硬盘里那个Windows能不能启动。只要U盘里的PE引导没问题，哪怕硬盘里的系统已经烂得连安全模式都进不去，PE照样能正常起来，然后让你访问硬盘上的所有文件。它自带的基本组件包括文件资源管理器、命令提示符、注册表编辑器、记事本，还有一堆用于部署和修复系统的工具。这些组件单独看都很朴素，但组合在一起，覆盖日常运维绰绰有余。

1.2 "离线"这两个字，才是PE运维的核心价值

正常系统里你删一个文件，系统经常提示"文件正在被另一程序使用"，权限也经常提示"你需要来自SYSTEM的权限才能修改"，甚至一些顽固风险文件删除后马上又冒出来。这些问题的根源，都是因为目标操作系统本身还在运行。进程占用、文件句柄锁定、ACL权限限制、系统文件保护机制、第三方安全软件的主动防御，全都在拦你。

PE里情况完全不同。硬盘上那个Windows处于脱机状态，没有任何进程在跑，文件锁自然不存在，ACL限制也可以通过命令直接绕过。这就好比你没法在一个人醒着的时候给他做手术，但你把他麻醉之后，操作空间就完全打开了。PE运维的精髓就是让你的目标系统"先睡着"，再从外部接管它整个磁盘的内容。

1.3 PE的边界：哪些问题它管不了

PE不是万能的，这些场景它也无能为力：

• 纯硬件损坏：内存条坏了、主板电容鼓包、硬盘电机不转，这些PE进都没办法进。
• 严重物理坏道：虽然chkdsk和坏道检测工具能尝试处理，但如果硬盘已经有大量物理坏道，PE操作会变得异常缓慢甚至直接卡死。数据备份永远是第一优先级。
• BitLocker加密卷：如果目标系统开了BitLocker整盘加密，PE里看到的是锁定的卷，没有恢复密钥什么都读不到。严格来说这是安全设计，不是PE的问题。

搞清楚PE能做什么、不能做什么，后面动手就能少踩很多坑。

2. 制作和维护你的PE启动盘：两个路线与三个坑

2.1 官方ADK路线和第三方PE路线怎么选

网上PE五花八门，总结下来就两条路线。

第一条是用微软官方ADK里的WinPE组件自建PE，生成一个完全干净的ISO。优点是没有捆绑、没有后门担忧、干净可控；缺点是界面朴素到极致，很多工具需要自己往里加。

第二条是用第三方PE，比如微PE、优启通、IT天空之类的维护盘。优点是开箱即用，集成了解压工具、磁盘工具、密码工具、全盘备份等，适合不想折腾的人。缺点也明显：国内这类PE鱼龙混杂，有些会夹带私货，装完给你塞篡改主页的脚本或者推广软件。下载渠道如果不正规，甚至可能拿到带毒ISO。

我个人的维护U盘是这么搭的：官方ADK做一个基础PE，然后把Disk2vhd、NTPWEdit、DiskGenius、Dism++这些工具扔进U盘的一个Tools文件夹里，PE启动后直接从U盘调用。第三方PE不是不能用，但用之前务必校验文件哈希、确认来源可信，这就跟下载软件不看下载站直接乱点一个道理，翻车概率极大。

2.2 用Rufus制作启动U盘的完整步骤

材料清单：

• 一个8GB以上的U盘（16GB更稳，FAT32格式兼容性最好）
• 一个PE的ISO镜像文件
• Rufus工具（开源免费，官网就能下）

步骤很简单：

1. 插入U盘，打开Rufus，设备一栏确认选中你的U盘，千万别选成移动硬盘。
2. 引导类型选择"镜像文件"，浏览选中下载好的ISO。
3. 分区类型这里要动脑筋：新电脑基本都是UEFI启动，选GPT；2015年以前的老电脑，选MBR。拿不准就选MBR，兼容性更好一些。
4. 文件系统按Rufus默认来，一般处理UEFI会自动选FAT32，老机器MBR配NTFS。
5. 点"开始"，等进度条跑完。

Rufus相比老牌UltraISO的优势在于写入方式对UEFI支持更好，还会自动处理U盘分区结构，省了很多手动干预。制作完成后，把Tools文件夹拷到U盘里，维护盘就成型了。

2.3 启动U盘最容易卡住的三个位置

做好U盘插上电脑，开机时狂按启动快捷键，但有时候就是进不去PE。最常见的是这三个原因：

**Secure Boot没关。**新电脑默认开启Secure Boot，第三方PE如果没有正确签名，就会被拦在引导阶段。进BIOS把Secure Boot关掉，或者改成"其他操作系统"模式，一般就能解决。第三方PE里，通常只需要关闭Secure Boot即可，不用动UEFI/Legacy设置。

**启动快捷键不对。**不同品牌的快捷键不一样：华硕和微星一般是F8或F11，技嘉是F12，联想台式机和ThinkPad是F12，戴尔是F12，惠普是F9。拿不准就直接进BIOS引导菜单里选U盘。快捷键按不出来，十有八九是开机时没按住或者系统UEFI快速启动直接跳过了。

**U盘出现两个启动项。**有些主板在启动菜单里同时显示"UEFI: U盘"和"USB Hard Drive"两个选项。前者走UEFI引导，后者走Legacy兼容。我的建议是：PE如果支持UEFI就选带UEFI的，如果选了这个还是进不去，再试另一个。

2.4 进PE后先确认盘符对应关系

这一点必须强调，因为我见过太多人在PE里把盘符认错，然后对着一块数据盘格式化了大半天，回头发现系统盘还在另一块盘上。PE启动后盘符分配和正常系统不一样——PE自己的引导文件通常占了C盘，你原来那个系统盘很可能是D盘、E盘，甚至更靠后。

判断方法很简单：

• 看卷标。系统盘通常有卷标，比如"Windows"或"系统"。
• 看容量。一个120G的固态硬盘，不太可能是你那个2T的机械数据盘。
• 看目录结构。打开盘符，里面如果有Windows、Program Files、Users、ProgramData这四个文件夹，那它就是系统盘。这个方法最稳。

定准盘符再操作，这是所有PE维护的地基。

3. 删除难缠风险文件，重点从来不在"删除"而在"解锁权限"

3.1 正常系统里删不掉的三类典型原因

我实际处理过的"难缠"文件，来源基本是三类：

**第一类是文件被进程占用。**最常见。临时文件、正在运行的软件缓存、被某异常进程反复打开的dll或exe，你一删就提示"操作无法完成，因为文件已在另一程序中打开"。进程管理器里找半天也找不到是哪个进程占用的。

**第二类是权限不够。**有些文件或文件夹的ACL只授权给SYSTEM账户，普通管理员即使开了UAC也没权限删除。右键属性进去看，安全选项卡都是灰的，常规用户连查看所有权都费劲。

**第三类是自我保护。**恶意程序为了活得更久，往往用双进程守护：一个进程挂了另一个马上拉起来，你删掉它的exe，它自己会在几秒内重新生成；有些更狠的还会通过驱动程序挂到系统底层，正常系统里删它的文件直接被拦截。系统文件保护机制也会自动还原被修改的系统文件，你删完它自己又出来了。

3.2 PE下删除文件的两条路径

PE下这些保护机制统统不生效，因为目标系统的进程、驱动、服务都没运行。直接进PE，打开U盘里的PE系统，找到目标盘里那个风险文件，右键删除就行。但PE环境里如果文件属性是系统、隐藏、只读的，资源管理器默认可能看不到，记得在文件夹选项里开启"显示隐藏文件和受保护的操作系统文件"，或者干脆用命令行。

命令行更稳妥，示例：

:: 先获取所有权 takeown /f "D:\path\to\file" /r /d y :: 再给自己完全控制权限 icacls "D:\path\to\file" /grant everyone:F /t /c :: 删目录 rd /s /q "D:\path\to\folder" :: 删文件 del /f /q "D:\path\to\file"

如果文件所在的路径本身有特殊字符，用双引号包起来就行。PE下操作时务必再次确认盘符，比如上面例子里的D盘，如果实际系统盘是E盘，就把D换成E。

删除前还是要冷静判断一下：这个文件到底是不是风险文件？万一误删了系统必需文件，比如开机引导需要的某个文件，那系统启动问题只会更严重。我的习惯是先把可疑文件复制一份到U盘备份区，再动手删，删错了还能还原。

3.3 删除后清场：注册表、服务、计划任务一个都不能漏

删完风险文件不代表事情结束。很多恶意程序靠开机启动项、服务、计划任务实现"春风吹又生"。你把exe删了，但启动项和服务还在，重启后系统找不到文件虽然不会执行，但会报错，而且如果病毒是同时在好几个位置都留了备份，重启后某个服务拉起来一个备份，之前全白干。

PE里要做的清场操作是修改离线注册表：

1. 打开PE里的注册表编辑器。
2. 选中HKEY_LOCAL_MACHINE或HKEY_USERS节点，菜单栏点"文件 → 加载配置单元"。
3. 定位到系统盘下的Windows\System32\config\SYSTEM文件，加载，随便起个名字比如PE_SYSTEM。
4. 再去加载Windows\System32\config\SOFTWARE，挂载为PE_SOFTWARE。

加载之后，重点关注这几个位置：

• PE_SOFTWARE\Microsoft\Windows\CurrentVersion\Run
• PE_SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
• PE_SYSTEM\CurrentControlSet\Services（逐个检查可疑服务）
• PE_SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree（计划任务）

把可疑启动项和服务键删掉。修改完后选中挂载的键，点"文件 → 卸载配置单元"，把修改写回硬盘。不卸载的话修改不会保存。挂载前强烈建议先复制一份原始SAM、SYSTEM、SOFTWARE这些hive文件到U盘，改坏了还能还原。

4. 文件系统校验，用chkdsk时建议直接进PE跑

4.1 什么时候需要跑chkdsk

官方说法里chkdsk是检查磁盘卷文件系统状态的工具，实际运维中碰到下面这些情况，第一反应就应该是跑chkdsk：

• 开机蓝屏代码是0x00000024，这个就是NTFS文件系统相关的错误。
• 系统启动时自动弹磁盘检查，但每次检查完还是照样崩溃或者重复进入检查循环。
• 复制文件时Windows提示"数据错误（循环冗余检查）"。
• 磁盘在磁盘管理里变成了RAW格式，这种情况十有八九是文件系统元数据损坏，但先别急着格式化，chkdsk还有机会救回来一部分。

如果怀疑物理硬盘有坏道，chkdsk也会扫，但会很慢。思路应该是：先在PE里把重要数据能拷就拷出来，再做修复操作。

4.2 chkdsk参数怎么选，怎么读输出

进入PE，打开命令提示符，基本命令：

chkdsk X: /f /r /x

把X:换成你要检查的盘符。三个参数的含义：

参数	作用
/f	修复磁盘上的文件系统错误
/r	查找坏扇区并恢复可读信息，隐含了/f
/x	必要时强制卸载卷后再扫描，PE下系统盘本来就没挂载，这个参数一般用不上，但加上无妨

在正常系统里想对C盘跑chkdsk，Windows会要求计划重启，因为系统盘没法在运行状态下卸载。在PE里就没这个限制，锁盘检查一步到位。

跑的时候屏幕上会按阶段显示进度：阶段1检查文件，阶段2检查索引，阶段3检查安全描述符，阶段4和阶段5查用户数据与坏扇区。如果一切正常，最后会显示"Windows已扫描文件系统并确定没有问题"之类的话。如果发现了错误，不要中途断电，让它跑完。chkdsk能做的是把文件系统逻辑层的损坏修复掉，把可读的碎片数据重新组织起来，但物理坏道产生的数据丢失它没法凭空还给你。

4.3 锁定卷处理、DISM修复和系统文件检查

跑chkdsk偶尔会遇到"无法锁定当前驱动器"的情况，原因是还有别的程序在访问这个盘。PE下常见的干扰源是资源管理器打开的文件夹窗口，或者后台杀毒工具还在扫这个盘。把所有窗口关掉，或者用chkdsk X: /f /r不开/x那个参数再试一次。

跑完chkdsk之后，如果有系统文件损坏的怀疑，建议接着在PE下做系统映像修复：

dism /image:X:\ /cleanup-image /restorehealth

这里X:\是系统盘所在位置。注意PE下用dism必须指定离线镜像路径，不能直接用/online。之后还可以用：

sfc /scannow /offbootdir=X:\ /offwindir=X:\Windows

这两个命令和chkdsk配合，基本能把"系统进不去但硬件没坏"这一类问题覆盖掉大半。你可以在PE里先把chkdsk跑完，再跑dism和sfc，顺序不用太纠结，但先修文件系统永远是对的，不然接下来访问磁盘都可能报错。

5. 重置Windows登录密码，PE下修改SAM文件的完整流程

5.1 先搞清楚密码放在哪

Windows本地账户的密码哈希存储在系统盘的Windows\System32\config\SAM文件里。系统正常运行时，这个文件被LSASS进程锁定，普通操作根本无法编辑。但在PE里，目标操作系统处于脱机状态，SAM文件就是普通文件，我们可以离线修改它。

这里再次提醒：这套操作只适用于你自己管理的电脑，或者你已经获得明确授权维护的设备。忘记自己电脑密码、处理离职员工机器、维护单位测试机，都属于合理场景。不要拿这套技术去动不属于你的设备，那样性质完全不同。

5.2 用NTPWEdit清空或重置密码的完整步骤

NTPWEdit是一个开源工具，很多PE维护盘里都自带，没有的话自己放一个到U盘就行。操作流程：

1. 启动PE后，先把系统盘上的SAM、SYSTEM、SECURITY三个文件复制备份到U盘。出问题还能靠备份还原。
2. 打开NTPWEdit，点击"浏览"，找到系统盘里的Windows\System32\config\SAM文件，选中打开。
3. 工具会列出这个SAM文件里的所有本地账户。选中你要处理的账户。
4. 有两个选择：点"清除密码"，把密码置空，下次登录直接回车进系统；或者点"修改密码"，输入一个新密码。
5. 点"保存更改"，确认退出，然后重启电脑。

清空密码适合你不打算长期用密码的情况，设置新密码适合你想继续用密码登录的场景。我一般建议直接设置新密码，别用清空，因为有些软件和服务对空密码策略处理得不太好，反而引发别的问题。

5.3 两个容易翻车的特殊场景

**第一是BitLocker。**如果系统盘或整个磁盘启用了BitLocker加密，PE里读到的SAM文件是加密后的密文，NTPWEdit打不开。必须先拿到BitLocker恢复密钥，在PE里解锁对应卷，才能继续后面的操作。很多人折腾半天改不了密码，其实是卡在加密这一层。

**第二是微软账户登录。**现在Win10、Win11很多用户用的是微软账户在线登录。这种情况下SAM里存的是缓存验证信息，你把本地账户密码清了之后，开机可能依然要求输入微软账户的PIN或者密码。稳妥的办法是进PE后先把账户切换成本地账户，或者直接在NTPWEdit里给内置Administrator账户设置新密码，然后用Administrator账户登录系统，再处理账户关系。

6. 用Disk2vhd导出VHD/VHDX，给物理系统做一次虚拟化快照

6.1 Disk2vhd解决的实际问题

Disk2vhd是微软Sysinternals套件里的一款工具，作用是把物理磁盘上的卷转换成VHD或VHDX虚拟磁盘文件。这个操作在业内叫P2V（物理到虚拟），用途很实际：

• 系统起不来了，但你想先留一份完整的"案发现场"再动手修。
• 单位有台旧服务器或者旧电脑，配置已经跑不动Windows了，想把它迁移到虚拟机里继续用。
• 中毒之后，把可疑的系统盘导出成VHD，放到虚拟机里慢慢研究，不用拿真机一遍遍开机试。

它和Ghost那种整盘克隆不一样。Ghost出来的是一坨镜像，要恢复必须还原到物理磁盘；VHD则可以直接被Windows资源管理器挂载，也可以直接被Hyper-V等虚拟机软件启动，灵活性高得多。而且VHD文件是单文件，拷到哪都能用。

6.2 PE下导出VHD的实操步骤

Disk2vhd不用安装，把exe文件拷到U盘的Tools文件夹里，PE启动后双击运行。关键配置如下：

1. 确认以管理员身份运行，PE下默认账户通常就是管理员。
2. 左侧是磁盘和分区列表，把需要导出的卷勾上。系统卷必须勾，引导分区也必须勾（就是那个100MB或几百MB的EFI/系统保留分区），D盘等数据盘看需求勾选。不需要的恢复分区、小工具分区别勾，白占空间和导出时间。
3. 右侧"Use Vhdx"选项建议勾上。VHDX是VHD的升级格式，容量上限更高，断电损坏时恢复能力更好，64TB上限，而且Hyper-V和Win10/11原生都支持。除非你的后续工具只认VHD，不然选VHDX。
4. 输出路径别选目标磁盘本身。导出到另一块移动硬盘、U盘，或者网络共享目录都行。注意存放目录的文件系统得是NTFS或exFAT，FAT32写不了超过4GB的单文件，VHD动辄几十GB，FAT32直接报错。
5. 点击Create开始转换。速度快慢取决于源盘类型和输出介质：NVMe固态拷到USB3.0移动硬盘，大概能跑100MB/s以上；机械盘到USB2.0那就慢慢等了。导出期间绝对不能断电和拔U盘。

小经验：如果只是想保留系统现场供后续分析，建议只勾系统卷和引导分区，把用户数据盘排除掉，导出时间和文件体积都会小很多。数据盘里的文件另外复制一份出来就是。

6.3 导出后的三种常见用法

导出完成后，这个VHDX文件怎么用，取决于你的目的：

**第一种：挂载读取数据。**在正常Windows系统里，右键VHDX文件，选择"装载"，磁盘管理里就会多出一个虚拟磁盘，资源管理器可以直接访问里面的文件。想导出某个配置文件、复制用户资料，这就是最快的方式。

**第二种：虚拟化启动。**在Hyper-V里新建虚拟机，磁盘类型选择"使用现有虚拟硬盘"，指向这个VHDX，然后启动。如果是用Disk2vhd完整导出的系统，引导信息和系统卷都在，通常可以正常进系统。VirtualBox也支持VHD格式，但VHDX需要先转换一下，可以用StarWind V2V Converter之类的工具把VHDX转成VHD或者VMDK，导入VMware、KVM等平台。

**第三种：归档备份。**系统处于干净状态时定期做一次VHD导出，存到NAS或移动硬盘里，以后出问题可以直接用这个VHD恢复运行，比重新装系统快得多。

7. 离线杀毒，怎么在PE里把驻留的威胁清干净

7.1 为什么杀毒要"离线"

正常的Windows环境里杀毒软件能扫掉大部分威胁，但如果你遇到的是深度驻留型恶意程序，情况就完全不同了。病毒可能已经通过驱动挂钩、内核回调、映像劫持等手段，把系统底层关键位置都控制住了。这种情况下，杀毒软件本身运行在被病毒渗透的环境里，它看到的、操作的东西都可能被隐藏或篡改——你杀毒软件说没毒，不代表真没毒，很可能只是它看到的"动态景象"被病毒加工过。

PE里杀毒相当于把手术搬到无影灯下的无菌操作间。目标系统的驱动、服务、钩子全部躺着不动，病毒没有自我保护的能力，杀毒工具可以直接对静态文件做特征扫描。这就是"离线杀毒"的思路。

7.2 在PE里跑杀毒工具的上手流程

PE下能用哪些工具？比较常见的是这几类：

• 微软官方的Windows Defender Offline，微软把离线杀毒做进了Windows安全中心，可以生成一个离线扫描介质，本质上是Windows RE环境，不完全是WinPE，但定位类似。
• 卡巴斯基应急磁盘、大蜘蛛LiveDisk、ESET SysRescue Live，这些都是国外安全厂商提供的官方应急ISO，可以做成启动盘或者单独在PE里调用。
• 国内第三方PE里集成的系统急救箱类工具，用的时候注意来源，确认工具本身没被捆绑。

实际操作流程：

1. 把可信的杀毒工具放到U盘，PE启动后运行。
2. 断开多余的USB设备，避免扫描范围扩大或者干扰。
3. 杀掉所有无关进程，PE里没有太多常驻进程，但如果有文件资源管理器窗口开着，关掉。
4. 选择目标盘符，开始扫描。扫描到威胁后，优先选择"隔离"，不要直接删。隔离区里还能查看这个文件是干嘛的，确认确实是病毒再彻底删除，避免误杀正常软件。
5. 扫描和处理完，用bootrec /fixmbr、bootrec /fixboot、bootrec /rebuildbcd修复一下Windows引导记录。很多病毒会改写MBR或者引导扇区，杀毒工具隔离删除了病毒文件，但引导区可能已经坏了。
6. 重启进正常系统，再用完整版杀毒软件做一次全盘二扫，确认没有残留。

7.3 离线杀毒的边界和后续清理思路

说实话，离线杀毒不是万能的，它有几个先天局限：

• 病毒库不是实时更新的。工具自带病毒库如果过期，新出的威胁它就认不出来。所以维护盘里的杀毒工具要定期更新，我的习惯是一个月下载一次最新版本。
• 引导型病毒、UEFI固件木马，普通杀毒工具不一定处理得了，这类小众病毒真要遇到了，基本得靠主板厂商工具或者专业实验室。
• 杀毒只是清掉病毒文件，系统被破坏的注册表、服务、系统文件是杀不回来的。所以离线杀毒之后，往往还要配合前面的chkdsk和dism修复，甚至直接考虑重装系统。

这也是我一直想强调的：离线杀毒做的是"止损"，不是"修复"。如果一台机器重要数据都已经备份走，系统重装永远比慢慢杀毒更干净彻底。留着离线杀毒的价值，更多在于"临时救急"和"保留证据分析"。

我自己实际处理机器时，一般顺序是：先PE启动，把数据顺手拷一份到移动硬盘，再跑一次Disk2vhd保留现场，然后用PE里的杀毒工具快速扫一遍确认没有明显恶意文件，接着跑chkdsk和dism修复系统，实在不行才考虑重装。这套流程看起来很固定，但它救过我不少次。做运维这行，最值钱的不是某个单独命令，而是动手之前先想清楚"我现在对这台机器做了什么、万一失败怎么回退"。备份永远大于修复，稳定永远大于炫技。