CrowdStrike引起的一次失败又成功的故障恢复

本地域成员物理服务器因为CS事件挂了，但是没有本地账户，无法网络账号登录去处理删除那个导致故障的文件。

安全模式带网络的启动模式也不行，因为安全模式网络起不来。这是因为服务器上做了网卡聚合，所以安全模式网络有些问题，起不来，网络不通

有人登录成功，但是再次登录失败，应该是缓存过期了。

最后只好尝试制作winpe启动盘，注入该物理服务器的驱动，并生成iso文件远程kvm启动该iso后得以识别硬盘并删除文件

重启后正常启动并可以恢复登录。

制作定制winpe启动盘步骤

1.下载ADK   并安装

2.下载winpe可选项并安装

2.2 下载物理服务器相关存储驱动

3.管理员权限运行部署环境。

4.建立工作文件 ： 

copype amd64 C:\WinPE_amd64
5.将驱动解压到一个目录c:\iso\storage
6.挂载adk自带的boot.wim(可将windows server安装盘的boot.wim覆盖这个），注入驱动（扫描整个驱动目录，注意剔除一些不必要的驱动，只保留同一个操纵系统版本的驱动），
7.检查驱动。
8.提交保存
9.生成iso
Dism /Mount-Image /ImageFile:C:\WinPE_amd64\media\sources\boot.wim /index:1 /MountDir:C:\C:\WinPE_amd64\mount

Dism /Image:C:\WinPE_amd64\mount /Add-Driver /Driver:C:\iso\Storage /Recurse

Dism /Image:C:\WinPE_amd64\mount /Get-Drivers

Dism /Unmount-Image /MountDir:C:\WinPE_amd64\mount /Commit

MakeWinPEMedia /ISO C:\WinPE_amd64 C:\WinPE_amd64\WinPE_amd64.iso

10.用iso启动后进入wpeinit后进入cmd命令行，输入notepad,打开文件，可以看到文件管理器中的磁盘。然后去操作删除，也可以在cmd中删除CS升级的错误文件

11.删除后重启即可正常启动，网络也恢复了，可以正常用域账号登录

 

前面几步骤的英文：

1. Make sure your PC has the ADK and ADK Windows PE add-on installed.

2. Start the Deployment and Imaging Tools Environment as an administrator.

3. Run copype to create a working copy of the Windows PE files. For more information about copype, see Copype command line options.

   Windows Command PromptCopy

    

   copype amd64 C:\WinPE_amd64