今天也是倒霉，某网友说360卫士拦截冰点还原，刚好我电脑上装了360，就想试试什么情况。
- 懒得开虚拟机测试，就实机安装了。
- 安装过程360提示拦截驱动，点允许，能正常安装。
- 结果安装完，自动重启，开机就蓝屏了。。。蓝屏了。。。
- 再重启居然能进了，吓得我赶紧卸载。
结果卸载列表找不到冰点还原，打开软件目录也找不到反安装程序，点托盘冰点还原图标没反应。
还是网友提醒重新运行安装包能卸载。打开安装包提示卸载要先解冻？什么鬼？我上哪解冻去？
事后诸葛亮的说一句，解冻方法是：
按ctrl+alt+shift+f6，根据窗口提示操作。
当时我也是脑抽了，没上网搜索，直接就动手开干冰点还原。
- 下载微PE工具箱，安装到系统上。注意不要点百度的广告推广站。
- 重启选择微PE工具箱进入。
- 打开C:\Windows\System32\drivers目录。
- 右击空白处，查看，详情
- 右击空白处，排序，更多，勾选公司
- 点公司，按公司名排列，删除Faronics公司的5个驱动（建议先备份）
- 删除C:\Program Files (x86)\Faronics（建议只改名）
重启，正常进入桌面！呵呵，很简单不是吗？
嗯？我的鼠标怎么动不了了？键盘也是？ctrl+alt+delete也没反应。360的开机时间提示还会自己弹出消失，说明没有死机。
当时第一反应是驱动坏了，想着要不要搞个万能驱动，写个静默安装参数扔启动文件夹里。或者搞个远程工具，扔进去，开机后用另一台电脑远程控制更新驱动。
但是我重启进安全模式后，发现也是这样。另一个系统看了事件日志，考虑没删除干净，于是继续进入PE开干。
- 先运行cmd，输入下面命令（建议先备份config目录的system文件）：
reg load HKLM\SYSTEM1 C:\Windows\System32\config\SYSTEM- 再运行regedit，打开注册表，展开以下项：
HKEY_LOCAL_MACHINE\SYSTEM1\ControlSet001- 分别搜索下面这几个驱动服务，搜索到services路径时换下一个驱动服务，删除相关项。
- DeepFrz
- DfDiskLo
- DFFilter
- DFServ
- FarDisk
- FarSpace
注意，以下路径时，不能删除项，只能从数值中删除相关数值：
HKEY_LOCAL_MACHINE\SYSTEM1\ControlSet001`\Control\Class
都删除一遍后，系统恢复正常。
删除少了，可能出现开机鼠标键盘动不了,甚至0x0000007B蓝屏.
之所以想到搜索删除这些，也是从事件查看器里看到了相关日志。别的电脑或系统打开以下目录的system.evtx：
C:\Windows\System32\winevt\Logs
至于别的残留项删除，可以用total uninstall分析软件的安装过程（简称tu）。
打开tu，点已监视程序，文件，安装新程序，然后tu会创建系统快照，选择要安装的软件开始运行即可。
冰点还原安装后会自动重启，到时候可能要打开两次tu，就可以看到添加的文件和注册表项。有些不相关的文件和注册表项，需要自己手动移除。
可以导出注册表安装或卸载reg。
有兴趣的自己测试。
PS:发完帖，才发现已有相关文章。
