Windows-herstel met kant-en-klare cd

Als je geen recovery-medium of andere tool voor Windows-herstel bij de hand hebt, kun je altijd nog het minibesturingssysteem Windows PE erbij pakken. Dat is wel iets minder fijn in gebruik, maar kan best veel en is vrijwel overal tevoorschijn te toveren. Vaak heb je een geschikte cd al bij de hand.

Er zijn handige tools beschikbaar om Windows-problemen op te lossen, denk bijvoorbeeld aan de recovery-omgeving Windows RE die standaard in desktopedities van Windows 10 wordt meegeleverd. Hiermee repareer je je bootloader, reset je je wachtwoord van Windows, repareer je systeembestanden, red je bestanden van de eeuwige digitale jachtvelden en nog veel meer. Maar Murphy’s Law komt ook hier wel eens bovendrijven, en soms heb je op het moment dat je het nodig hebt nou net niet een reddingstool tot je beschikking. Maar geen nood: er is ook nog Windows PE. Met deze tool kun je de belangrijkste handelingen voor elkaar krijgen, al gaat dat iets minder makkelijk. Maar je kunt er wel gebruik van maken als de rest compleet in de soep gelopen is. Je vindt het namelijk terug op verrassend veel bootable media.

Windows PE kun je oproepen via een installatieschijf van Windows. Handig als je geen speciale tools bij de hand hebt voor Windows-herstel.

Window PE is op zich een soort van mini-Windows die niet geïnstalleerd hoeft te zijn. Het is door Microsoft vooral ontwikkeld en bedoeld als basisbesturingssysteem waarin de installatie van Windows wordt gedraaid. Daaraan dankt het ook zijn naam, PE staat voor Preinstallation Environment. Om te voorkomen dat het continue draait, start PE elke 72 uur opnieuw op. Het ontbreekt verder aan de typische onderdelen van Windows zoals de Verkenner, het Bureaublad, de Taakbalk en het Startmenu. Ook PowerShell en het .NET-framework zijn niet aanwezig. Je hebt alleen een Opdrachtprompt beschikbaar, en zelfs die zit meestal verstopt. Maar zodra je de Opdrachtprompt gevonden hebt, is er weinig dat je niet via die weg gerepareerd krijgt.

Om aan een bootmedium te komen waarmee je Windows PE kunt draaien, hoef je niet veel moeite te doen. Vaak heb je niet eens een nieuw medium nodig, omdat er op de plek waar een pc gered moet worden al eentje aanwezig is. Dat is zelfs bij een spontane reddingsactie op een drukke familiebijeenkomst vaak het geval.

Als er een recovery-stick beschikbaar is, heb je niet alleen PE beschikbaar, maar zelfs Windows RE om aan het repareren te slaan. Als je behalve de defecte pc nog een werkende pc beschikbaar hebt, kun je snel een recovery-stick (herstelstation) aanmaken via de wizard ‘Een herstelstation maken’.

Mocht dat niet lukken, bijvoorbeeld omdat de pc-bouwer iets niet goed heeft geconfigureerd, dan is er nog niet direct reden voor paniek. Windows PE staat namelijk op alle Windows-installatiemedia, of dat nu een usb-stick of cd/dvd is. De truc is om de Opdrachtprompt boven water te krijgen. Het enige wat je hoeft te doen, is booten vanaf zo’n medium. Zodra het eerste venster verschijnt, waarin je onder andere om de gewenste installatietaal wordt gevraagd, druk je op Shift+F10 en verschijnt de Opdrachtprompt in beeld. Deze toetsencombinatie is handig om te onthouden, want hij werkt onder vrijwel alle versies van PE.

Een recoverymedium in welke vorm dan ook, of dat nu van de pc-fabrikant afkomt of je hem zelf aangemaakt hebt, is een poging waard om van te booten. Vaak start ook daarvan Windows PE op en zo kom je via Shift+F10 weer bij de Opdrachtprompt.

Kom je een recoverymedium tegen van een virusscanner of een back-upprogramma? Ook daar vind je vaak Windows PE op terug. Na het booten start er dan vaak wel een speciaal programma van de fabrikant, maar meestal is er met wat zoekwerk in de menu’s wel een manier te vinden om bij de Opdrachtprompt te komen. Bij het recoverymedium van Acronis True Image 2018 draait op de achtergrond al een Opdrachtprompt, maar deze is door het draaien van het Acronis-programma geblokkeerd. Zolang True Image draait, blijft de truc van Shift+F10 onbruikbaar. Om er wel bij te kunnen, beëindig je het Acronis-programma, daarna kun je weer via de toetscombinatie de Opdrachtprompt starten.

En er is nog een manier om bij Windows PE te belanden: als je een werkende pc met Windows beschikbaar hebt, kun je alles gratis downloaden om een bootable herstelmedium te maken. We hebben het hier over de gratis Media Creation Tool. De MCT downloadt de Windows-set-upbestanden en kopieert ze naar keuze naar een usb-stick of brandt ze op dvd. Het programma biedt aan om zowel 32- als 64- bit installatiebestanden binnen te halen. Dit is zeker aan te raden, aangezien er op het uiteindelijke bootmedium dan twee versies van Window PE staan waarmee je bootproblemen kunt vermijden (verderop meer daarover). Voor alleen maar repareren zijn de installatiebestanden niet nodig, maar je kunt ze niet deselecteren.

Wordt het script c’t-WIMage gebruikt en wordt daarbij (zoals aangeraden) een usb-schijf gebruikt? Ook op die manier boot je Windows PE en werkt de toetscombinatie Shift+F10 voor het schakelen naar de Opdrachtprompt.

Mocht je hem toevallig hebben liggen: Windows PE zit ook in de Assessment and Development Kit( ADK). Dat is Microsofts toolkit voor het maken en geautomatiseerd uitrollen van aangepaste Windowsinstallatiepakketten. De ADK is de opvolger van de Windows Automated Installation Kit (WAIK). Al met al heb je dus genoeg keuze als het gaat om herstelmedia waarvan je Windows PE kunt laten opstarten.

Als je meerdere media met PE hebt liggen, is het verstandig de nieuwste te gebruiken. PE is namelijk beschikbaar in verschillende versies (bijvoorbeeld versie 5 via Windows 8.1) en tegenwoordig heeft hij hetzelfde versienummer als Windows zelf (10, of eigenlijk 10.0). Daarbij is het van belang het buildnummer in de gaten te houden. Sinds de Fall Creators Update (1709) heeft PE als buildnummer 10.0.16299. Microsoft zorgt er wel voor dat de versies ook backwards compatibel zijn.

Om te achterhalen welke versie van PE je voor je hebt, hoef je alleen maar de Opdrachtprompt erbij te pakken. Zodra je die opent, verschijnt meteen de tekst ‘Microsoft Windows [Version 10.0.16299.xxx]’, waarbij de xxx staat voor een getal dat bij het patchlevel hoort. Je hoeft niet op alle cijfers te letten, want ze veranderen toch weer bij het draaien van updates. Gebruik de PE-versie met het hoogste versienummer.

Via de Opdrachtprompt kun je controleren welke Windows PE-versie er op dit moment draait.

Om van een installatiemedium te kunnen booten, moet je na het aanzetten van je pc een specifieke toets of toetscombinatie indrukken. Deze verschilt per moederbord(fabrikant), maar meestal gaat het om Esc, F2, F8, F12 of Delete. Let op meldingen die in beeld verschijnen zodra je je pc aanzet, die geven vaak aan welke toetsencombinatie je kunt gebruiken voor het bootmenu of voor de BIOS-/UEFI-instellingen.

Booten van dvd verloopt meestal probleemloos, mits er een interne drive ingebouwd zit. Bij usb-drives kan het spaak lopen. Probeer dan een andere usb-poort of gebruik een andere usb-drive. Steek de drive als het even kan direct in je pc en niet via een hub. Als je een usb-harddrive gebruikt, kan het wisselen van kabel of behuizing helpen. Het is af en toe wat experimenteren, aangezien zelfs identieke apparaten door andere chips of firmwareversies net iets anders zijn.

Vooral bij UEFI is het opletten geblazen. PE boot op zichzelf prima als de firmware van het moederbord de pc in UEFI-modus start, maar hier heb je te maken met een afhankelijkheid van de architectuur. Niet alleen Windows PE is in een 32- en 64-bit versie beschikbaar, dat geldt ook voor de UEFI-firmware. Deze boot alleen de PE-versie die bij de UEFI-architectuur past. Meestal is het de 64-bit versie. De andere PE-versie stopt bij het opstarten met een vermelding naar Winload.efi of cryptische foutcodes als ‘0xc0000359’. Dit geeft aan dat je een PE voor een andere architectuur erbij moet pakken. Je kunt ook in je BIOS de Compatibility Support Module (CSM) inschakelen, zodat je pc in de BIOS-modus start. Daarbij speelt de architectuur van Windows PE geen rol: beide varianten werken.

Bij een UEFI-BIOS is belangrijk of je een bijpassende 32-bit of 64-bit Windows PE start, anders krijg je een foutmelding.

Wees ervan bewust dat Windows PE tijdens het draaien alleen data op de RAM-disk opslaat. Na een herstart zijn alle wijzigingen weer verdwenen. De schijf wordt standaard niet aangeraakt door Windows PE. Alleen als je zelf data op je schijf bewerkt onder PE, zijn die wijzigingen permanent. Zolang je dit niet doet, kun je PE zonder zorgen uitproberen. Dat is ook handig: zo kun je in alle rust bekijken hoe alles werkt en ben je toch voorbereid voor als je het echt direct nodig hebt.

Na het opstarten en het openen van de Opdrachtprompt met Shift+F10 krijg je een retrogevoel. Je ziet alleen een knipperende cursor voor je neus en that’s it. Via de Opdrachtprompt krijg je met de juiste commando’s een overzicht van je schijven te zien, maar het is makkelijker om Notepad te starten door notepad in te typen. Gebruik nu Control+O om het Openen-venster erbij te pakken. Klik dan op ‘Deze pc’ om alle drives waar een schijfletter aan hangt te bekijken.

Het Openen-venster van Notepad is te gebruiken als vervanging voor de Verkenner. Op deze manier kun je navigeren naar de mappen met handige tools of een overzicht krijgen van alle schijfstations.

Je ziet er wat meer dan je normaliter zou zien. Er staat namelijk het PE-medium tussen, plus een schijf met de naam ‘Boot’ met als schijfletter x. Dit is de RAM-disk die door Windows PE wordt gebruikt. Als Windows op een schijf is geïnstalleerd met een MBR-partitietabel, verschijn ook nog de bootpartitie die te herkennen is aan een kleine grootte (een paar honderd MB) en een naam als ‘System Reserved’. Op schijven die GPT-gepartitioneerd zijn zie je geen boot- of recoverypartitie. Bij pc’s waarop door de fabrikant Windows is geïnstalleerd kunnen nog meer partities vermeld worden.

Aan de hand van de mappenstructuur op schijf x: kun je ook herkennen of er een 32- of 64-bit versie van PE draait. Als er een map met de naam ‘Program Files (x86)’ tussen staat gaat het om een 64-bit versie, anders gaat het om een 32-bit variant.

Mocht je niet alles goed in beeld krijgen: dubbelklik op de vensterbalk om het venster te maximaliseren.

Het Openen-venster van Notepad is ook handig om bestanden en mappen heen en weer te kopiëren, bijvoorbeeld om ze veilig te stellen op een andere schijf. Standaard zie je alleen mappen en schijven plus tekstbestanden. Om de weergave om te bouwen moet je onderin het scherm bij bestandstype via het pull-downmenu kiezen voor ‘Alle bestanden (*.*)’. Dit omschakelen moet je elke keer herhalen, omdat de instelling niet behouden blijft (niet wordt opgeslagen).

Het kopiëren en plakken gebeurt via de bijbehorende (bekende) commando’s in het snelmenu. De toetscombinaties Control+C en Control+V werken ook. Let wel op twee dingen: je ziet de geplakte bestanden en mappen pas na het verversen met F5. Dit geldt ook voor acties als hernoemen of nieuw aanmaken. En het Openen-venster laat je slechts één bestand of map selecteren, meerdere gaat niet.

Om meerdere mappen veilig te stellen, moet je ze dan één voor één kopiëren. Maar er is een manier die wat makkelijker werkt. Als je PE vanaf een usb-disk opstart, verschijnt deze standaard in het snelmenu als doellocatie, wat het heen- en weer schakelen tussen de bron- en doelmappen overbodig kan maken.

Een ander handigheidje is om onder Windows PE te wisselen tussen vensters via Alt+Tab of met Windows+pijltoets de vensters te ordenen. Verklein eerst het Notepad-venster zodanig dat het kleiner is dan de linker helft van je scherm. Zet de muiscursor op de hoek rechtsonder totdat je cursor een dubbele pijl wordt. Daarna schuif je het venster van Notepad helemaal naar links en druk je op de knoppen Control+O. Het Openen-venster is met Windows+pijltje-links naar het linkerdeel van je scherm te verplaatsen. Wissel met Alt+Tab terug naar de Opdrachtprompt en start dan via het opnieuw intypen van notepad een tweede instantie van het programma.

Met Alt+Tab wissel je in Windows PE tussen de verschillende actieve programma’s.

Je kunt je dit beetje typwerk nog besparen door op de pijltoets omhoog te drukken om het laatste commando te herhalen. Dit venster verklein je ook weer en schuif je helemaal naar rechts. Nu pak je het Openen-venster er weer bij via Control+O en zet je het rechts neer via Windows+rechts. Met Alt+Tab haal je nu het Openen-venster van de eerste instantie van Notepad erbij, en dan heb je een weliwaar wat geïmproviseerde dualpane-filemanager tot je beschikking met wat beperkingen.

Bij het omgaan met bestanden is het belangrijk ook echt het Openen-venster te gebruiken en niet het in principe identiek werkende Opslaan-venster. Als je je in het Openen-venster vergist bij het typen, wordt slechts één bestand ingelezen en dat kan geen kwaad. Als je in een Opslaan-venster iets verkeerd doet en dan in de hectiek bevestigt dat je het bestand echt wilt vervangen, loop je de kans belangrijke bestanden kwijt te raken.

Voor alle duidelijkheid: het Openen-venster is datgene waar het om gaat, niet Notepad. Je kunt ook het Openen-venster van elk ander programma gebruiken, zelfs het ‘Registerbestand importeren’-venster van Regedit. Bij recoverymedia van back-upsoftware is het venster om de back-up te kiezen die je terug wilt zetten een optie, als je hier tenminste de optie ‘Alle bestanden’ kunt selecteren.

Voor complexere kopieeracties heb je nog toegang tot de bekende commandlinetools als copy, xcopy en robocopy. Als je nog niet zo bekend bent met deze tools, is het waarschijnlijk sneller om gewoon met je muis te kopiëren.

Onder Windows PE kun je behalve de meegeleverde programma’s ook andere starten, maar niet zomaar alles. De 32-bit Windows PE kan alleen 32-bit programma’s uitvoeren en 64-bit Windows PE alleen 64-bit programma’s. Portable tools werken probleemloos, deze kun je zonder installatie direct starten vanaf bijvoorbeeld een usb-stick. Daar horen ook tools bij als Autoruns, om te configureren wat Windows bij het opstarten meteen opstart, en NTpwedit om het wachtwoord te veranderen waarmee je aanmeldt in Windows.

Om zo’n programma te gebruiken, kopieer je de juiste versie naar een usbstick. Dat mag ook de stick zijn waar vanaf je zonet Windows PE hebt opgestart: loshalen, programma via een andere pc erop zetten en dan weer in de eerste pc stoppen. Wel is het belangrijk dat je tussen het loshalen en terugstoppen van de stick niks met de draaiende Windows PE doet. Een smartphone kan onder Windows PE overigens niet als vervanger voor een usb-stick worden gebruikt. De daarvoor benodigde drivers ontbreken.

Via het snelmenu van het Openen-venster is het zelfs mogelijk om bestanden te kopiëren, programma’s te starten en meer. Om de bestanden in beeld te krijgen moet je wel de weergave aanpassen naar ‘Alle bestanden’.

Het starten van het programma kan via de Opdrachtprompt, maar het Openen-venster is wat fijner. Stel de weergave weer in op ‘Alle Bestanden’ en klik naar de locatie waar het programma staat. Let op: je moet er niet uit gewoonte op dubbelklikken. Hiermee zou je het programma openen als tekstbestand in Notepad. Via een rechtermuisklik op het programma kies je voor het openen en start je het programma op.

Je hoeft het programma niet met admin rechten uit te voeren (al is deze menu-optie is wel beschikbaar). Bij Windows PE heb je namelijk niet alleen adminrechten, maar ook systeemrechten die daar nog eens boven liggen. Dit controleer je via Taakbeheer, door taskmgr in de Opdrachtprompt te typen. Op het tabblad ‘Process’ zie je vervolgens welke processen als ‘System’ draaien.

Windows PE heeft standaard al een aantal programma’s. Die staan bij elkaar in de map x:\Windows\System32. Navigeer hier naartoe via de Notepad/Openen-truc en sorteer de weergave door het aanklikken van de type-kolom. Dan zie je de commandline-tools overzichtelijk terug, bijvoorbeeld de partitietool Diskpart, bcedit voor het bewerken van de BCD-store van de bootmanager, bcdboot voor het aanmaken van een nieuwe bootloader, takeown en icacls voor het instellen van NFTS-rechten. Via het Openen-venster kun je door het kiezen van de extra kolom ‘Bestandsbeschrijving’ wat meer informatie laten weergeven.

Bevat de interne schijf een Windows-installatie, dan kun je proberen om van daaruit programma’s te starten. Als osk.exe aanwezig is, kun je zelfs op touch apparaten een onscreen toetsenbord laten weergeven. Hou er wel rekening mee dat veel programma’s zonder enige melding niet starten of na het starten niets nuttigs doen. De datacleaner cleanmgr.exe start bijvoorbeeld wel op, maar kan alleen de prullenbak van de interne schijf leegmaken. Let ook op bij Microsofts Malicious Software Removal Tool MRT.exe. Deze start wel op en een volledige scan van alle schijven is mogelijk, maar als je vermoedt dat er iets niet in de haak is, zijn de op de schijf aanwezige scanners juist diegene die je niet meer moet vertrouwen. Veel malware gaat daar namelijk als eerste op af.

Windows PE kan nog meer. Zo kun je ook een netwerkverbinding maken of netwerkschijven benaderen. Ook toegang krijgen tot schijven die met Bitlocker zijn versleuteld en allerlei andere acties zijn mogelijk. Maar het grootste voordeel van Windows PE is toch wel dat je het vaak kant-en-klaar bij de hand hebt. Zo kun je direct aan de slag met Windows-herstel op het moment dat dit nodig is.

(Axel Vahldiek, c’t magazine)