绕过Symantec的经典“检测到须要从新启动的挂起系统更改。请从新启动系统并从新运行安装”

今天遇到symantec的经典安装提示“检测到须要从新启动的挂起系统更改。请从新启动系统并从新运行安装”，好吧，有官方文档指导,我不怕。

使用 regedit.exe 打开 Windows 注册表。
在如下位置搜索注册表项 PendingFileRenameOperations：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Session Manager
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Session Manager
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\BackupRestore\KeysNotToRestore
若是找到该注册表项，请先备份每一个注册表项，而后删除每一个注册表项中的项。
搜索 RebootRequired 注册表项：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\RebootRequired
若是找到该注册表项，请先进行备份，而后将其删除。
从新启动 SEP 安装，安装应完成且没有错误。
对于新安装，可能还须要删除如下注册表项：

32 位操做系统：HKEY_LOCAL_MACHINE\SOFTWARE\Symantec_Installer
64 位操做系统：HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Symantec_Installer

坑来了

按照操做执行了三遍，重启，仍然这个提示，好在官方文档里提到了日志文件的内容，我看到这句有问题没有检测过去。这句检测太多了，估计不仅是官方说的注册表的检测。

<font color='red' >(NOT ((LOADEDDRIVERSFOUND=11) OR PENDINGMODULEREMOVAL OR TEEFERPENDINGREBOOT)) OR MIGRATE OR NORTONFOUND OR NORTONAV OR NORTONAVPRO</font>

能不能跳过去呢？

开始绕过

• Sep64.msi 这类的安装文件包含了一些表结构，能够修改这些设置从而改变安装包的逻辑或者参数。所以我尝试使用能够修改MSI的软件来完成绕过检查。微软的SDK工具包里面提供了这个orca的工具。

• 在msi包上，右键选择Open with orca ,而后左侧找到Lauchcondition 表。找到两行检测须要从新启动的挂起系统更改 的项目，选择删除，固然也能够把条件改为能经过的

• 保存，后关闭ORCA

• 不要使用setup.exe来执行安装，这个会进行软件的完整性检查，直接执行sep64.msi 进行安装便可。

最后总结

1. symantec以前的12版本不知道什么缘由直接没有了，怀疑是版本升级时，删除旧的时可能出错了，但新的装不上（检查条件里还会检查是否有sep存在）。