SysRestoreDriver：基于写时重定向的NTFS卷过滤还原驱动 摘要：本文介绍了一个Windows内核态卷过滤驱动SysRestoreDriver，采用写时重定向机制实现类似还原卡的功能。其核心创新在于利用NTFS元数据文件$Bitmap的特性——通过重定向对$Bitmap的写入，使其始终保持保护开启时的快照状态，从而无需自行维护空闲扇区表。驱动通过卷过滤而非文件过滤拦截所有块级写入，在