还原精灵修改了硬盘的引导扇区，硬盘的引导扇区又被称为MBR(主引导记录)，它位于硬盘的0磁头0柱面1扇区。
      还原精灵的工作原理涉及到中断概念：中断是指CPU暂停当前运行的程序,转而执行中断提交的程序。
      int 13是中断指令，其中int是指令助记符，13(十六进制数)是中断号。当用户对硬盘进行操作时，基本输入输出系统(BIOS)向CPU提出中断请求，CPU转而执行int 13提交的程序。
      int 13提交给CPU执行的MBR位于是0扇区。如果在BIOS中设置了硬盘启动的话，系统会首先载入这个扇区的MBR到内存，然后运行这个代码，还原精灵就是用自己的引导代码来代替标准的引导代码。这个方法与引导型病毒一样。不过，引导型病毒的目的是破坏系统，而还原精灵的目的是保护系统。
      还原精灵的代码接管了引导扇区后，每当我们向硬盘的文件分配表写入数据时，总是被导入硬盘数据区，没有真正修改硬盘中的文件分配表FAT。例如：我们在做硬盘的写操作。由于INT 13的服务程序被接管，当还原精灵发现是写硬盘操作，便将原先数据的目的地址指向它自己定义的一段连续的空磁盘空间，并将先前备份的FAT中相关数据指向这片空间。所以还原精灵需要被保护的磁盘上有较大的空闲空间,它需要利用这段空间。进一步地，用户不可能格式化真正的硬盘，因为所有对硬盘的操作都要通过还原精灵的处理。
      根据以上原理，有人提出了一个破解还原精灵的方法：
      从光盘引导系统后，在dos下将原先C盘的数据全部删除，然后往C盘里狂拷垃圾数据，直到C盘满为止，下次从硬盘启动时，因为保护区数据（即扇区中的数据）被替换为垃圾数据而系统瘫痪？此时还原精灵就失效了。 
       大家认为这种说法是否可行？？？
      大家是否意识到，还原精灵只是修改13号中断，如果我从光盘引导系统，（假设我在还原精灵里设置为自动还原C盘）然后把C盘的文件统统删除（注意，不是格式化），按照你的说法，
      1。如果是从硬盘引导，那么将会增加C盘非保护区的空间占用；
      2。如果是从光盘或其他介质引导，那么此次删除操作则是将真正在保护区内的文件删除咯？如果此时我再往C盘里狂复制数据，直到其满为止，那么保护区的数据也将被全部抹掉
      然后说一下还原精灵的蔽端吧
      1 密码太容易破解    早在几年前在网吧盛行还原精灵的时候，那时候的病毒和一些电脑高手不是太多的时候破解还原精灵就非常的普遍了。不信的话你可以随便到些软件下载站找一下破解还原精灵的工具和方法 随处一抓都是一大把~~哈哈~~这个就不多做介绍 了！