1. 为什么我建议每个折腾电脑的人都备一个WinPE维护盘先说个场景你手头这台电脑是家里人的主力机某天开机直接蓝屏进安全模式都费劲。硬盘里存着一堆没备份的照片和文档C盘还有某个杀毒软件都删不掉的流氓文件在作怪。这时候你手上有一张U盘里面装了一个WinPE系统那你就能在不进Windows的情况下把文件拷出来、把损坏的系统修复一下、甚至把整个系统盘打包成一个VHD镜像带走。这就是WinPE最核心的价值它是 Windows 的“最小化应急操作系统”能让你在系统无法正常启动时用一套独立的工具环境完成基础运维。我最早接触WinPE是因为帮朋友处理一台中了“开机弹广告”的电脑那个恶意程序注册了驱动在正常系统里怎么删都会复活。后来我干脆用U盘启动WinPE在PE环境下把那个驱动文件直接物理删除问题一次性解决。从那时起我的工具U盘里就永远保留了一个WinPE分区。这篇内容适合谁适合喜欢自己动手维护电脑的普通用户、IT运维新手以及那些电脑出了故障不想立刻花几百块找维修店的朋友。下面我会按实际使用频率把WinPE里最常用到的几类操作完整拆开讲一遍包括删除顽固文件、校验文件系统、重置Windows登录密码、用disk2vhd把物理机转成VHD以及离线杀毒。2. 动手之前先搞清楚WinPE的定位和局限2.1 WinPE到底是什么能干什么WinPE全称是 Windows Preinstallation Environment翻译过来叫 Windows 预安装环境。它本质上是一个精简版Windows微软最初用它来部署操作系统、收集磁盘信息、修复引导等。它被设计成可以放在光盘、U盘或者PXE网络启动环境中运行不需要完整的系统文件也不需要硬盘上的Windows能正常启动。它的好处显而易见运行在内存里不会占用硬盘系统因此可以放心去修改硬盘上的文件、注册表、驱动等。在WinPE里你通常能看到一个类似Windows桌面的界面但实际上它只支持有限的组件比如命令行、PowerShell、注册表编辑器、磁盘管理、网络访问等。不同的PE版本集成度不同有些第三方PE会集成大量的图形化工具例如分区助手、DISM、密码重置工具等这让操作门槛降低了很多。不过要明确一个原则WinPE只是“急救箱”不是“日常系统”。它不适合用来长期办公也不适合当主力系统它的任务就是在系统出问题时给你一个能操作硬盘的窗口。2.2 为什么有时必须在PE里操作很多人在正常系统里会问我明明用管理员权限打开了cmd为什么删除某个文件还是提示“访问被拒绝”这是因为Windows正常启动后系统会锁定大量正在使用的文件特别是注册表配置单元、页面文件、休眠文件、系统驱动等。即使你权限再高也没办法删除一个正在被内核占用的文件。在WinPE环境下硬盘上的Windows处于“离线”状态系统不会加载它上面的驱动、服务和注册表。这时候你面对的就是一堆“死文件”可以更自由地进行修改。同理重置密码、清理驱动、修改系统配置时在PE里操作可以避开很多正在运行中的保护机制。这也是我经常强调的一句话能离线做的事尽量不要在线做榨干PE的利用价值。3. 制作一个靠谱的WinPE启动盘3.1 用微软官方工具做原汁原味的PE如果你只需要一个干净、无推广、无捆绑的PE环境最简单的方式是用微软官方的 Windows ADK评估和部署工具包里的“Windows PE”组件来生成。安装ADK时勾选“Windows预安装环境Windows PE”即可。生成PE的步骤大致如下在开始菜单里找到“部署和映像工具命令提示符”以管理员身份运行。执行copype amd64 C:\WinPE_amd64生成PE工作目录。先插入U盘执行diskpart把U盘格式化并设为活动分区。回到部署命令提示符用MakeWinPEMedia /ISO C:\WinPE_amd64 C:\WinPE.iso先生成ISO再通过Rufus等工具写入U盘。不过官方PE有个特点极度精简没有图形化的第三方工具进入后就是命令行界面。对大多数人来说直接用它会比较吃力所以更多人会选择第三方PE。3.2 第三方PE的选择与排雷第三方PE最大的优势是开箱即用集成了大量图形化工具比如磁盘精灵、DISM、引导修复、密码破解等。但这里我要多说一句下载第三方PE一定要去官方网站很多钓鱼站会在PE里捆绑恶意软件、主页劫持、甚至挖矿程序。我个人挑选第三方PE的建议是优先选长期维护、社区口碑好的项目比如微PE、优启通等尽量从官网下载。下载完ISO后可以先在虚拟机里跑一下观察有无异常行为。制作启动盘时尽量不要用“一键制作”里附带的额外“装机工具”那些往往是推广渠道。U盘建议使用USB 3.0以上、容量8G到32G即可。U盘会被格式化制作前记得备份数据。3.3 U盘多分区方案一个盘装PE和日常存储很多人以为做启动盘就会把U盘全部占用其实不然。现在主流制作工具都支持在U盘上只划分一个几百MB的小分区用来放PE剩余空间仍然可以作为普通U盘使用。比如用优启通的“UD三分区”模式可以在不破坏可见数据分区的条件下安装PE引导。如果你有多个ISO镜像如Ubuntu、微PE、Windows安装镜像还可以用Ventoy这款工具它把U盘变成一个引导管理器启动时在菜单里选择要启动的镜像即可。Ventoy的好处是不需要反复重刷U盘直接拷贝ISO进去就行。我现在的工具U盘就是用Ventoy做的里面放了三四个不同的PE镜像和系统安装镜像日常还剩余大量空间存放驱动和工具。4. 在WinPE里删除难缠的风险文件4.1 为什么有些文件在正常系统里“删不掉”所谓难缠的风险文件通常包括这几类正在运行的恶意程序主程序、被内核锁定的驱动文件、被占用的DLL、带特殊属性或ACL权限的系统文件。在正常系统里这些文件的句柄被系统进程持有杀毒软件尝试删除时也会因为权限不足或占用的原因失败。有次我遇到一个强制删除工具都搞不定的文件文件名里全是特殊字符资源管理器里怎么都删不掉。后来我用WinPE启动在CMD里用dir /x查看短文件名再用短文件名去删除一下就解决了。在PE环境下没有了运行中的系统进程干扰文件的锁定状态大大减少。4.2 删除前必须做的两件事在PE里乱删系统文件比在正常系统里更危险因为PE里没有Windows的“文件保护机制”兜底。我的操作习惯是第一先备份。如果待删除的文件在系统盘上不确定是否是系统必需文件建议先复制到U盘或移动硬盘里确认系统运行无碍后再彻底删除。第二用杀毒或分析工具确认文件确实有问题不要凭文件名猜。很多病毒文件名伪装成系统文件名但也有很多正常的系统文件名看起来像病毒。建议用在线病毒扫描平台比如VirusTotal上传小文件查一下如果PE里有网络。4.3 具体删除步骤启动进入WinPE后打开“此电脑”确认盘符。这里要特别注意PE下的盘符顺序可能与正常系统不同C盘不一定是原来的系统盘。建议通过卷标、容量大小来确认比如在命令行里用wmic logicaldisk get caption,volumename,size查看。确认盘符后按以下步骤删除在PE桌面打开“命令提示符”或PowerShell。输入cd /d C:\路径进入目标文件所在目录。先执行attrib 文件名 -R -S -H去掉只读、系统、隐藏属性。再执行del /f /a 文件名强制删除。如果文件是文件夹且内部有大量文件用rd /s /q 文件夹路径。如果删除时提示“找不到文件”或“路径不存在”可能是因为文件名里包含特殊字符或者存在短文件名冲突。此时用dir /x查看短文件名再用短文件名尝试删除。4.4 怎么处理用常规删除命令也搞不定的文件偶尔会遇到一种极端情况文件删除时提示“另一个程序正在使用此文件”。虽然在PE里已经很少见但某些第三方PE工具自带的进程比如文件管理器也可能占用文件。我遇到这种情况会直接打开任务管理器结束掉Explorer或相关工具进程再次删除。还有更极端的情况文件内容损坏导致文件系统元数据异常删除时直接报I/O错误。这时候不要死磕先执行后面的磁盘检查修复再回来删除。提示无论删除什么文件务必确认自己知道后果。删掉一个看似“垃圾”的系统文件有可能导致Windows无法启动。如果只是想清理垃圾不要动C:\Windows目录下的文件优先处理临时文件夹、恶意程序目录等明确目标。5. 校验文件系统让硬盘错误不再悄悄积累5.1 文件系统错误是怎么产生的异常断电、强制关机、蓝屏、硬盘老化都可能导致NTFS或FAT32文件系统出现逻辑错误。这些错误不一定立刻让系统崩溃可能表现为文件突然打不开、磁盘空间计算错误、复制文件时卡死甚至系统更新失败。如果长期不修复小错误可能发展成目录结构损坏最终导致分区无法访问。Windows正常系统里也有chkdsk工具但有时会因为磁盘正在被使用只能排队到下次重启时执行。在PE里则不存在这个问题所有分区都可以被完全脱机检查修复成功率更高。5.2 chkdsk 常用参数解析chkdsk的基础用法是chkdsk 盘符: /f /r /x。/f修复找到的错误不加这个参数时只报告错误不修复。/r查找坏扇区并恢复可读信息隐含了/f的功能耗时较长。/x检查前强制卸载卷在PE环境下通常没必要因为卷本来就是未挂载状态。我先解释一下原理chkdsk会扫描NTFS主文件表MFT、目录索引、文件属性等元数据检查它们的一致性。比如一个文件在目录里有记录但在MFT里可能已经标记为“已删除”这类不一致就会被修复。如果遇到坏扇区/r会尝试读取数据如果读取失败会把该扇区标记为坏簇并尝试用备用簇替换。5.3 实际执行顺序建议进PE后打开命令行依次执行chkdsk C: /f先做快速修复处理文件系统逻辑错误。chkdsk C: /r再做全面扫面。这一步可能持续数小时取决于磁盘容量和健康状况。如果是C盘等系统分区建议在PE里直接对盘符执行。有人问为什么不在正常系统里用“计划磁盘检查”因为系统盘在正常启动后始终被占用chkdsk只能排队到重启前执行而重启过程中如果系统已经损坏可能连检查界面都进不去。PE里执行最稳妥。执行完成后如果提示“Windows 已更正文件系统”说明有错误被修复。如果每次检查都报同样的错误可能需要怀疑磁盘本身有硬件问题可以用CrystalDiskInfo或HD Tune等工具查看SMART信息。5.4 配合SSD要注意的事项对于机械硬盘chkdsk /r是常规操作。但如果是SSD情况略有不同。SSD有磨损均衡机制出现坏块时主控会自动重映射操作系统层面往往看不到太多坏扇区。不过SSD的FTL映射表如果出错也会导致文件系统异常。对于SSDchkdsk同样有效但更推荐先更新固件并检查是否开启了TRIM。在PE里执行过chkdsk后建议回到正常系统里跑一次优化驱动器即TRIM命令保持性能。6. 重置Windows登录密码不再被迫重装系统6.1 密码遗忘的场景和误区忘记Windows登录密码这件事发生频率可能比想象中高。尤其是那种为了安全设置了复杂密码但半年没开机、密码本也找不到了的情况。很多人第一反应是重装系统这其实非常可惜因为重装会导致个人文件、软件配置全部丢失。实际上本地账户密码在PE里重置并不复杂。先说明一个概念的区别如果登录的是微软账户密码其实存储在微软服务器上PE里不可能直接“修改”服务器上的密码。但你可以绕过登录或者创建一个新的本地管理员账户。如果你只想找回密码本身那是不可能的但你可以获得系统的访问权把文件拷出来然后重置密码或创建新管理员账户。6.2 使用NTPWEdit图形化重置NTPWEdit是一个非常经典的开源工具专门用于离线修改Windows SAM注册表文件中的密码哈希。好在很多第三方PE里都内置了它。操作步骤启动WinPE打开NTPWEdit。在“文件”菜单里选择系统盘的\Windows\System32\config\SAM文件。工具会读取SAM数据库列出所有本地用户。选择需要重置的用户点击“更改密码”输入新密码。保存修改关闭工具重启系统。这个操作的本质是Windows的SAM文件里保存着本地账户的密码哈希NTPWEdit直接把这个文件改掉相当于绕过了所有权限检查。但如果系统开启了BitLocker加密SAM文件可能无法直接读取这会在后面提到。6.3 用命令行创建一个新管理员账户用NTPWEdit重置密码后如果原账户有配置文件损坏之类的问题可能还是无法登录。我建议换一种思路直接启用内置管理员账户或者新建一个管理员账户。在PE的命令行里可以用以下方式实现。注意不同PE里可能没有net user命令这时可以使用lusrmgr或直接用注册表离线修改工具。如果PE里有net命令可以这样操作确定系统盘符比如是C:。打开注册表编辑器regedit选中HKEY_LOCAL_MACHINE。点击“文件” - “加载配置单元”选择C:\Windows\System32\config\SAM加载名字随意比如PE_SAM。在加载的SAM中找到Domains\Account\Users\000001F4这是内置管理员账户的键值把对应项F数值里的第0x38字节改为 00这里不展开讲因为稍有不慎会损坏SAM。如果你不是特别熟悉注册表操作我建议优先用下面这招在PE的“命令提示符”里执行reg load HKLM\PE_SAM C:\Windows\System32\config\SAM然后配合reg add命令修改管理员账户的默认密码实际上这不太方便因为SAM里不存明文密码。我更推荐靠谱的方法用dism或第三方工具把SAM里的管理员账号的UserFSPassword设置为空不对其实最稳妥的还是NTPWEdit。如果你只有命令行环境可以试试chntpwLinux下工具或者Windows下用esentutl这里容易把人绕晕。我的经验是如果PE里没有图形化工具不妨直接用“系统安装镜像命令提示符”方式启动修复。也就是在Windows安装界面的“修复计算机”入口里打开命令提示符用copy命令替换Utilman.exe为cmd.exe。这个技巧很老但对一些PE工具不齐全的情况非常有效。步骤用Windows安装U盘启动进入安装界面点击“修复计算机”。进入疑难解答打开命令提示符。执行move C:\Windows\System32\Utilman.exe C:\Windows\System32\Utilman.exe.bak。执行copy C:\Windows\System32\cmd.exe C:\Windows\System32\Utilman.exe。重启进系统在登录界面点击“轻松使用”按钮就会弹出命令行。在命令行里执行net user 用户名 新密码重置密码。这个方法在Win10、Win11的某些版本中可能因为系统文件保护而受限但在一些旧版本系统上仍然管用。如果你是在PE里操作直接用NTPWEdit最简单没必要折腾注册表。6.4 遇到BitLocker时的处理策略现在很多品牌机默认开启BitLocker如果系统盘被加密PE里读不到里面的文件NTPWEdit也会失败。面对这种情况我的建议是如果知道BitLocker恢复密钥一般是48位数字在PE里用“管理工具”里的BitLocker解锁功能解锁驱动器。如果不知道恢复密钥那很遗憾微软的加密设计初衷就是防止离线攻击。此时只能在BIOS里关闭安全启动看看能否从其他启动项进入系统或者直接将硬盘拿到别的电脑上但同样需要密钥才能读取数据。所以备份BitLocker恢复密钥这件事真的不能偷懒应该打印出来或者存储在密码管理器里。7. 用disk2vhd把物理机转换成VHD镜像7.1 什么时候需要转VHDdisk2vhd 是Sysinternals工具集里的一员它能在系统运行时把物理磁盘转换成一个VHD或VHDX虚拟硬盘文件不需要重启也不要求目标机器是虚拟机。Windows的Hyper-V和VirtualBox等虚拟机软件都能直接使用VHD文件。用到disk2vhd的场景很多我举几个典型例子把一台稳定的物理服务器或旧电脑系统做成虚拟机方便后续在虚拟化平台上运行。对系统盘做完整备份生成一个VHD文件放进移动硬盘后续可以直接挂载读取文件。把生产环境的系统“原封不动”迁移到另一台电脑或云主机。在WinPE里运行disk2vhd有一个额外的好处系统处于离线状态转换过程中能最大程度保证数据一致性不会因为正在写入的文件导致快照不一致。你可以理解为系统运行时用disk2vhd转换相当于“边开车边录像”可能会有动态变化而在PE里转换相当于“把车停稳再录像”结果更干净。7.2 disk2vhd的参数与界面操作disk2vhd有图形界面和命令行两种模式。图形界面操作很直观在PE里双击运行disk2vhd.exe。勾选要转换的磁盘卷一般选系统盘比如C:。在“VHD file name”里填写输出路径注意要选一个空闲磁盘或者U盘不要和源盘在同一分区上。选择“VHD”或“VHDX”格式建议选VHDX支持更大容量且更抗损坏。勾选“Use Vhdx”如果是VHDX然后点击“Create”。命令行模式适合批量操作或PE里没有图形界面的情况基本用法是disk2vhd.exe 输出路径.vhd 盘符:比如disk2vhd.exe E:\backup\system.vhd C:。这里有一个小坑输入路径不能放在正在转换的磁盘上否则会产生循环读写导致转换失败或文件不完整。我在实际操作中会把VHD输出到一个独立的移动硬盘容量至少要是源分区已用空间的1.2倍。7.3 转换完成后怎么验证和挂载转换完成后最好不要直接信任这个文件。我习惯在PE里再用diskpart挂载一下VHD看看分区结构是否完整。在命令行里依次执行diskpart select vdisk fileE:\backup\system.vhdx attach vdisk list volume如果能看到系统分区和EFI分区说明镜像基本可用。如果PE不支持挂载VHDX可以先把VHDX放到一台正常的Windows电脑上用“磁盘管理”里的“附加VHD”功能加载检查分区和文件是否完整。7.4 从VHD启动的注意事项若想把VHD作为另一个启动项直接启动需要在正常系统里用bcdedit添加VHD启动项。但这里涉及引导文件、驱动等问题比较复杂不建议新手直接尝试。我更推荐把VHD交给虚拟机软件来启动。例如在Hyper-V里新建虚拟机时选择“使用现有虚拟硬盘”指定这个VHDX文件然后启动就能得到一个和原来物理机差不多的系统。如果转换后的VHD启动蓝屏大概率是磁盘控制器驱动问题。物理机的驱动和虚拟机的驱动不同需要在虚拟机里进入安全模式把磁盘控制器驱动改回标准驱动再卸载原来的芯片组驱动。这个过程比较繁琐但值得记录下来。8. 离线杀毒在系统未启动前清理恶意软件8.1 为什么有的病毒必须在PE里杀很多病毒为了实现持久化会注册为系统服务、计划任务或驱动程序在Windows启动时自动加载。杀毒软件在系统里运行时病毒也在运行两者相互对抗可能会出现杀软反复检测到威胁但总是清理不干净的情况。更恶心的是病毒会结束杀毒软件进程、篡改hosts文件甚至破坏杀毒软件本身。离线杀毒的核心思路是引导到一个干净的环境WinPE让病毒文件处于静止状态然后用杀毒引擎扫描硬盘。此时病毒没有运行无法对抗扫描也没法自我修复清理成功率极高。8.2 在PE里怎么处理病毒库PE里集成杀毒软件最大的问题是病毒库时效性。如果PE镜像里的杀毒工具病毒库是一年前的面对新病毒基本形同虚设。所以我的操作建议是在正常电脑上提前下载好“绿色版”杀毒工具比如卡巴斯基的KVRTKaspersky Virus Removal Tool、Dr.Web CureIt、ESET的应急扫描器这些工具无需安装双击即可扫描。把这些工具和病毒库一起放到U盘的可见分区里。进入PE后运行U盘里的扫描工具指定扫描系统盘。需要注意工具会要求联网更新病毒库。如果PE里没有集成网卡驱动可能连不上网络。所以制作PE时最好选一个带常用网卡驱动的版本或者提前把病毒库下载好。KVRT和CureIt都支持命令行模式可以在PE里无界面运行但更多时候图形界面反而更方便。8.3 清理后的善后工作用PE离线杀完毒回到正常系统后别急着“庆祝”。恶意软件往往会留下后门账户、计划任务、注册表启动项等痕迹。我通常会在正常系统里再用Autoruns查看开机启动项确认没有可疑项目还要检查一下本地用户组看有没有被添加的陌生管理员账户。还有一件事经常被忽略病毒可能修改了系统DNS或代理设置。清理完病毒后如果发现网络异常检查一下“Internet选项”里的连接设置确保没有恶意代理。9. 常见问题与实操笔记9.1 WinPE里看不到硬盘怎么办这是PE运维里最常遇到的问题。不管是用官方PE还是第三方PE在某些新电脑尤其是Intel 11代以后或AMD新平台上可能会因为缺少VMDVolume Management Device或NVMe驱动而看不到硬盘。解决办法有几个方向在BIOS里把SATA模式从RAID/VMD改成AHCI这招对很多笔记本有效。改完如果原系统无法启动需要先进安全模式更新驱动但这是在PE下看不到硬盘时最直接的方案。换个更新版本的PE最好是用Windows 11 22H2以上版本ADK制作的PE自带较新的NVMe驱动。有些PE提供“注入驱动”功能可以把原系统的磁盘驱动打包进PE。操作比较复杂对纯新手来说不如前两种方案省事。9.2 忘记盘符C盘变成了D盘PE里盘符常会和正常系统不一致。如果你把ISO写到U盘时U盘被识别为C:那原系统盘可能变成了D:或E:。在命令行里执行wmic logicaldisk get name,volumename,size根据卷标和容量能快速确认。千万不要凭感觉删文件或格式化一旦搞错盘符数据恢复就是灾难。9.3 如何在PE里备份文件到移动硬盘这个问题看起来简单但实际操作中有很多细节。首先要确保PE能识别移动硬盘。有的移动硬盘需要外接供电PE环境USB驱动不全会导致识别失败此时换个USB口或者用带供电的Hub。另外文件复制最好用命令行比如robocopy C:\Users\用户名\Desktop E:\备份\Desktop /E /COPY:DAT比资源管理器复制更稳定而且支持断点续传实际上robocopy没有断点续传但对海量小文件的复制速度比explorer快很多。9.4 PE里无法联网如何处理在线杀毒和远程协助都依赖网络。如果在PE里无法联网先检查PE是否集成了网卡驱动有些精简PE为了体积会砍掉大量驱动。如果确认有网卡驱动但仍然无法上网可能是PE没有自动获取IP。在命令行里执行ipconfig /renew或者手动设置IP、网关和DNS。如果仍然不行查看网卡是否被禁用netsh interface set interface 以太网 adminenable。10. 扩展思路把PE运维能力变成自己的工具箱工具会越用越熟WinPE的玩法也不止上面这几类。我自己在长期的PE维护工作中慢慢把操作流程固化成了几个固定套路每次处理电脑问题都按这个顺序来效率高很多。第一常规故障先备份。不管问题是蓝屏还是进不去系统先启动PE把用户目录、桌面、浏览器收藏夹、重要文档复制到外部存储。就算最后只能重装系统数据也不亏。第二能修复就不重装。引导坏了用引导修复工具文件系统错了跑chkdsk系统文件损坏用DISM修复。第三修复不了再考虑镜像备份与恢复。如果系统已经千疮百孔与其花时间逐个问题排查不如用disk2vhd做一次完整备份然后在虚拟机里慢慢处理不影响物理电脑的日常使用。最后分享一个小小的经验PE里的任何操作都要留好后路。比如你准备用NTPWEdit重置密码之前最好先确认系统有没有开启BitLocker准备用disk2vhd转换磁盘前先确认输出磁盘空间足够准备删除某个可疑文件前先复制一份到U盘当作样本留存。做运维这件事翻车不可怕可怕的是没有退路。这台工具U盘跟着我跑了这么多年救回来过误删分区表的老电脑也帮朋友在PE里抢救过无法启动的毕业论文。熟练使用WinPE之后你会发现自己对Windows系统的掌控感完全不一样了很多以前觉得只能“重装系统”解决的问题现在都可以冷静地分析、备份、修复。这套流程虽然入门时看起来步骤不少但真正用过一次、两次之后你就会和我一样觉得这就是每个折腾电脑的人必会的看家本领。