在Windows PE中手动替换explorer.exe需五步：一、挂载目标系统分区并定位System32目录；二、获取同版本架构的合法文件；三、获取所有权并解除权限限制；四、替换后验证数字签名；五、修复Winlogon注册表Shell值及启动配置。
如果您在Windows PE环境中需要手动替换受损的系统文件（如explorer.exe），通常是因为原系统无法正常启动、Shell进程崩溃或遭受恶意程序篡改。以下是执行该操作的具体步骤：
一、挂载目标系统分区并定位Windows目录
PE环境下无法直接写入离线系统盘的系统目录，必须先识别并挂载目标Windows安装所在分区，再确认其Windows子目录路径是否正确，避免误操作到其他卷或文件夹。
1、打开PE中的磁盘管理工具（如DiskGenius或diskpart命令行）。
2、列出所有磁盘和分区，识别原系统所在分区（通常为NTFS格式且容量较大，卷标可能为“OS”或无标，可通过分区大小与已知系统盘匹配）。
3、使用命令提示符执行：mountvol X: /s（X:为选定盘符，如D:），将该分区以只读方式挂载为可访问驱动器。
4、进入X:\Windows\System32目录，确认explorer.exe是否存在且文件大小异常（正常约为2.5–3.5 MB），若存在但疑似被篡改，需备份后替换。
二、获取合法来源的explorer.exe文件
替换文件必须与目标系统架构（x64/x86）、版本（如Win10 21H2、Win11 22H2）及语言一致，否则将导致系统无法加载Shell或蓝屏。不可使用不同版本系统提取的同名文件。
1、从相同版本的Windows安装镜像（esd/wim）中导出：使用DISM命令挂载install.wim索引，再提取System32\explorer.exe。
2、从另一台同版本、未感染的同架构物理机上复制：%SystemRoot%\System32\explorer.exe，并校验SHA256哈希值是否与微软官方发布值一致。
3、从Windows RE环境（WinRE）的WinSxS缓存中提取：进入X:\Windows\WinSxS，按文件名和时间戳筛选含explorer.exe的组件包，使用expand命令解压对应.cab中的文件。
三、绕过文件占用与权限限制进行替换
explorer.exe在运行系统中被SYSTEM账户完全锁定，即使在PE中对离线系统盘操作，也可能因NTFS权限继承或只读属性导致复制失败，需临时解除保护机制。
1、在命令提示符中执行：takeown /f X:\Windows\System32\explorer.exe /a，获取文件所有权。
2、执行：icacls X:\Windows\System32\explorer.exe /grant Administrators:F /t，赋予管理员完全控制权限。
Windows 桌面自动化技能，支持鼠标控制（移动/点击/拖拽/滚轮/截图）、键盘输入（文字输入/按键/组合键）、窗口管理（查找/聚焦/最大化/最小化/关闭/移动）、截图并发送文件。提供两种截图方式：Python pyautogui 截图（集成在自动化流程中）和 PowerShell + .NET 零依赖截图（支持区域截图和多显示器）。当用户需要自动化 Windows 桌面操作、控制鼠标键盘、管理窗口、执行 GUI 自动化任务、截图发送文件时使用。
3、清除只读与系统属性：attrib -r -s X:\Windows\System32\explorer.exe。
4、重命名原文件作为备份：ren X:\Windows\System32\explorer.exe explorer.exe.bak。
四、执行安全替换并验证签名完整性
直接覆盖可能引发启动失败，需确保新文件具备有效数字签名且未被篡改，否则系统策略（如Secure Boot或Hypervisor-protected Code Integrity）将拒绝加载。
1、将已校验的explorer.exe复制至X:\Windows\System32\目录下。
2、在命令提示符中执行：signtool verify /pa X:\Windows\System32\explorer.exe，确认签名由Microsoft Windows Production PCA 2011颁发且状态有效。
3、检查文件属性中“数字签名”选项卡，确认签名时间早于当前系统版本发布时间，且无“此数字签名存在问题”提示。
4、重新设置系统属性：attrib +r +s X:\Windows\System32\explorer.exe。
五、修复关联注册表项与启动配置
explorer.exe路径可能被恶意修改指向非标准位置，或Shell值被篡改为其他可执行文件；同时需确保Winlogon注册表项未被劫持，否则即使文件正确也无法启动图形界面。
1、使用Regedit加载离线系统注册表：选择“文件→加载配置单元”，定位X:\Windows\System32\config\SOFTWARE，命名为“OFFLINE_SOFTWARE”。
2、导航至HKEY_LOCAL_MACHINE\OFFLINE_SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon，确认Shell键值为explorer.exe，而非其他路径或参数。
3、卸载该配置单元：右键“OFFLINE_SOFTWARE”→“卸载配置单元”。
4、使用bcdedit命令检查启动项：bcdedit /store X:\Boot\BCD /enum {default}，确认recoveryenabled和isolatedcontext值为Yes，确保后续可进入恢复环境。
