成都边锋 云端虚拟化工具 系统驱动层 原理初窥
云端软件，轻虚拟化工具，提供了注册表级别、文件级别的虚拟化功能。
原来：成都云端网络有限公司
现在：杭州边锋网络技术有限公司
域名：http://www.yunduan.cn/
我收藏有以下版本：http://pan.baidu.com/s/1sjQ3F0D
CloudSetup1.0beta4_0903.exe
CloudSetup2.0beta_0117.exe
CloudSetup3.4.0428.3710(含网盘).exe
CloudSetup3.4.0514.3734.exe
云端官网_更新日志120523.htm
自己又有许多软件是用它“绿化”的，所以依赖性很强。对于该软件被放弃更新了，很是遗憾。
对其技术原理感到好奇，之前官网虽然有过简单介绍，但是只是概念性的；
机缘巧合，EverEdit更新到最新版本后，加入了VMProtect软件保护技术后，和云端有冲突，会被检测到A debugger has been found running in your system.Please, unload it from memory and restart your program.在思考怎么通过不卸载云端也能和它共存时，通过一个软件（AntiSpy 一款手工杀毒辅助工具）得以窥探它的部分原理，突然有种，“啊哈，原来如此”的感觉。
猜测云端的关键原理有以下几点：
·通过SSDT系统钩子来实现“注册表”的虚拟。
·通过 File过滤驱动 来实现“文件”相关的虚拟。
·通过系统回调 来感知被捕获后的程序都启动了哪些进程、线程，然后在隐藏程序时以便知道要结束哪些进程。
钩子相关的参考资料：
·打造自己的HOOK引擎 之一 --- SSDT HOOK引擎
与EverEdit不完美共存解决方案：
·通过 AntiSpy 工具将SSDT钩子全部“恢复”后，即可正常打开EverEdit！
初步测试，云端激活某些软件后能正常启动，但是注册表丢失；隐藏软件时，也没有正常感知到要强制结束的进程。
