En la primera parte del artículo explicaré cómo funciona el controlador en modo núcleo de Restaurar Sistema: Sr.sys. Este controlador, presente en \WINDOWS\system32\drivers, se encarga básicamente de monitorizar los accesos de entrada y salida que se produzcan en el volumen. Lo hace interceptando llamadas de tipo IoCallDriver. El comportamiento del controlador Sr.sys viene determinado por el contenido de la clave de Registro HKEY_CLASSES_ROOT\SYSTEM\CurrentControlSet\Services\Sr\Parameters.
Inicialización del controlador
Al tratarse de un controlador de arranque, se inicializa en una etapa temprana de la carga de Windows. Nada más terminar de inicializarse, se "adhiere" a todos los volúmenes montados por el sistema operativo. Esta es la causa por la que, si dispone de un arranque dual con Windows Vista, observe que pierde todos los puntos de restauración si arranca Windows XP. Seguidamente, crea un directorio llamado "System Volume Information\_restore{GUID}" (si no existiera) en la raíz del disco. Lo crea de tipo oculto, de sistema y por defecto sólo le otorga permisos al usuario SYSTEM. En él se generan unos cuantos archivos, entre los que destacan:
- _driver.cfg: Contiene el número del punto de restauración actual, número de secuencia del LOG y otra información relacionada.
- _filelist.cfg: Este fichero es una copia del fichero Filelist.xml presente en el directorio %SystemRoot%\system32\restore\.
Básicamente monitoriza todo fichero "interesante". Por interesante se entiende lo siguiente:
- Que el archivo o carpeta no esté presente en la lista de exclusiones de _filelist.cfg.
- Que igualmente no esté incluido en una caché interna de Restaurar sistema.
Una vez que Sr.sys ha determinado que el fichero debe ser respaldado antes de proceder con la operación que se quiere realizar (por ejemplo, eliminarlo), crea una copia del mismo en el directorio System Volume Information\_restore{GUID}\RPX. La copia tiene la forma "AXXXXXXX.ext", donde "X" son números y "ext" es la extensión original del fichero. El subdirectorio Snapshot contiene copias del estado del Registro en el momento de la creación del punto de restauración. Los archivos guardados mantienen sus DACLs, atributos, streams, etc. y a la vez son comprimidos para evitar su fragmentación. Si por algún motivo los ACLs de algún fichero no cupieran en el correspondiente registro (que es de pocos KBs), se creará un fichero de la forma SXXXXXXX.acl y se incluirá una entrada en el LOG apuntando a dicho fichero.
El fichero Change.log
Este fichero es una parte extremadamente importante a la hora de restaurar el equipo de manera satisfactoria. Cuando se realiza una operación de entrada/salida "interesante", además de guardarse una copia del fichero en cuestión (como ya he comentado), se escribe en un fichero Change.log todos los detalles de la operación que se ha realizado. Nótese que, en el caso de que se hayan modificado directorios, no se realiza copia física de respaldo de los mismos, sólo se registra en Change.log la operación que se haya completado.
Para que este fichero sea manejable por el sistema operativo, el sistema lo divide en varios "trozos". Windows finaliza un trozo cuando ocurre alguno de estos eventos:
- Se ha apagado el equipo.
- Por algún motivo se ha deshabilitado el volumen en cuestión.
- Se ha desactivado Restaurar sistema en ese volumen.
- El archivo ocupa más de 1 MB de tamaño.
Esta es la funcionalidad básica del controlador de Restaurar sistema en modo núcleo, Sr.sys. En el siguiente artículo me detendré en la parte en modo usuario así como en lo que ocurre "por lo bajo" cuando el usuario pide restaurar su sistema a un punto anterior. Obviamente aclararé por qué ocurren las temidas "restauraciones incompletas", que impiden revertir de manera satisfactoria el estado del sistema.
4 comentarios:
Quiero restaurar mi sistema, pero tengo dudas sobre si perderé archivo y programas ya intalados.
¡Ah! lo quiero restaura a cuatro meses atrás.
buena idea, yo quiero restaurarlo 1 semana atrás, pero me es imposible. Cómo se hace????? Siempre me pone la hora y fecha actual y NO QUIERO!!:'(
Artmoz
Por favor ayuda quiero restaurar mi sistema al 09 de septiembre y no puedo
Hola, no se si atenderas mi llamada, ya que veo que esto lo publicaste hace bastante tiempo,pero ante mi duda leo verdaderas barbaridades por internet, que solo de pensarlo, creo que a mas de uno que se habra atrevido a llevarlo a cabo le habra destrozado el sistema.
bueno, pues ahi va: desde que compre mi ordenador con win7 no he podido hacer nunca una restauracion de sitema a un punto anterior. todo el proceso se inicia y parece ir todo de perlas, pero cuando se abre finalmente el sistema arroja una ventana con elmensaje de que " no se pudo extraer la copia original del directorio desde el punto de restauracion". esto ocurre desde que lo compre. pense que esto me sucedia a mi por alguna cosa estraña que hubiese ocurrido al configurar el sistema por primera vez, pero apenas hace unas semanas en casa entro otro nuevo ordenador con win8, hice un punto de restauracion precio a cualquier instalacion de software, y por precaucion hice un restaurar sistema con el fin de comprobar que todo estaba ok, y ¡¡sorpresa!!, ocurrio exactamente lo mismo, en un ordenador completamente virgen en cuanto a usuario se refiere.
en el primer ordenador intente entrar como usuario system, a traves de la utilizacion de net user administrador /active:yes, y realizando la restauracion desde ahi mismo, y nada, lo mismo, lo cual me da que pensar que quizas no es un tema de permisos sino alguna otra cosa mas de fondo. ¿que me sugieres?
muchas gracias y te ruego que si me contestas lo hagas de un modo no excesivamente tecnico, pues aunque tengo algunos conocimientos, no voy tan rodada como tu. gracias.
Publicar un comentario