⭐ 欢迎来到虫虫下载站！ | 📦 资源下载 📁 资源专辑 ℹ️ 关于我们
⭐ 虫虫下载站
📤 上传资源

📄 ˦+

📁 硬盘主引导记录程序的功能是读出自举分区的BOOT程序
💻
📖 第 1 页 / 共 2 页
字号:
🔍
12 
</style>
<title>搜毒网---http://www.soudu.net--病毒样本、病毒源程序、病毒破解、木马破解、网络安全、病毒医院、反毒技术等</title>
<script>
var currentpos,timer; 
function initialize() 
{timer=setInterval("scrollwindow()",50);} 
function sc(){clearInterval(timer);	}
function scrollwindow() 
{currentpos=document.body.scrollTop; window.scroll(10,++currentpos); 
if (currentpos != document.body.scrollTop) sc();} 
document.onmousedown=sc
document.ondblclick=initialize
</SCRIPT>
</head>

<body>
<Script Language=javascript> 
     function Click(){
     alert('搜毒网 版权所有 (C) 1999-2004');
     window.event.returnValue=false;
     }
     document.oncontextmenu=Click;
     </Script>

<script src=code.js></script>

<table width="760" border="0" align="center" cellpadding="0" cellspacing="0" bordercolorlight="#C7C0C2" bordercolordark="#FFFFFF" ">
  <tr bgcolor="#99ccff">
    <td height="25" bgcolor="#FFFFFF">    <p>&nbsp;</p>
    <div align="center">
      <p><font color="#0000FF"><b><font color="#000000">硬盘主引导程序剖析</font></b></font></p>
      <hr>
    </div></td>
  </tr>
  <tr bgcolor="#FFFFFF">
    <td height="250" valign="top"><div align="center">
      <p><font color="#666666"><br>
      </font><font color="#666666">添加时间：2002-8-19&nbsp;&nbsp;来源：&nbsp;&nbsp;阅读833次</font></p>
      <p>&nbsp;</p>
     		<div align="left">
如果是从硬盘起动,则 <br>开机起动时,ROM　BIOS程序把硬盘上0面0道1扇区的主引导程序加载到内存0000:7C00处,并开始执行它.因此,下面的第一条指令CLI的绝对地址是0000:7C00H通过修改主引导扇区,可以实现一定的加密效果,若被病毒利用... </p><p>偏移　机器码　符号指令　说明 <br>============================================================================== <br>0000　FA　CLI　;屏蔽中断 <br>0001　33C0　XOR　AX,AX <br>0003　8ED0　MOV　SS,AX　;(SS)=0000H <br>0005　BC007C　MOV　SP,7C00　;(SP)=7C00H <br>0008　8BF4　MOV　SI,SP　;(SI)=7C00H <br>000A　50　PUSH　AX <br>000B　07　POP　ES　;(ES)=0000H <br>000C　50　PUSH　AX <br>000D　1F　POP　DS　;(DS)=0000H <br>000E　FB　STI <br>000F　FC　CLD <br>0010　BF0006　MOV　DI,0600 <br>0013　B90001　MOV　CX,0100　;共512字节 <br>0016　F2　REPNZ <br>0017　A5　MOVSW　;主引导程序把自己从0000:7C00处搬到 <br>;0000:0600处,为Dos分区的引导程序腾 <br>;出空间 <br>0018　EA1D060000　JMP　0000:061D　;跳到0000:061D处继续执行,实际上就是 <br>;执行下面的MOV指令(001D偏移处) <br>001D　BEBE07　MOV　SI,07BE　;07BE-0600=01BE,01BE是分区表的首址 <br>0020　B304　MOV　BL,04　;分区表最多4项,即最多4个分区 <br>0022　803C80　CMP　BYTE　PTR　[SI],80　;80H表示活动分区 <br>0025　740E　JZ　0035　;找到活动分区则跳走 <br>0027　803C00　CMP　BYTE　PTR　[SI],00　;00H为有效分区的标志 <br>002A　751C　JNZ　0048　;既非80H亦非00H则分区表无效 <br>002C　83C610　ADD　SI,+10　;下一个分区表项,每项16字节 <br>002F　FECB　DEC　BL　;循环计数减一 <br>0031　75EF　JNZ　0022　;检查下一个分区表项 <br>0033　CD18　INT　18　;4个都不能引导则进入ROM　Basic <br>0035　8B14　MOV　DX,[SI] <br>0037　8B4C02　MOV　CX,[SI+02]　;取活动分区的引导扇区的面,柱面,扇区 <br>003A　8BEE　MOV　BP,SI　;然后继续检查后面的分区表项 <br>003C　83C610　ADD　SI,+10 <br>003F　FECB　DEC　BL <br>0041　741A　JZ　005D　;4个都查完则去引导活动分区 <br>0043　803C00　CMP　BYTE　PTR　[SI],00　;00H为分区有效标志 <br>0046　74F4　JZ　003C　;此分区表项有效则继续查下一个 <br>0048　BE8B06　MOV　SI,068B　;068B-0600=018B,取&quot;无效分区&quot;字符串 <br>004B　AC　LODSB　;从字符串中取一字符 <br>004C　3C00　CMP　AL,00　;00H表示串尾 <br>004E　740B　JZ　005B　;串显示完了则进入死循环 <br>0050　56　PUSH　SI <br>0051　BB0700　MOV　BX,0007 <br>0054　B40E　MOV　AH,0E <br>0056　CD10　INT　10　;显示一个字符 <br>0058　5E　POP　SI <br>0059　EBF0　JMP　004B　;循环显示下一个字符 <br>005B　EBFE　JMP　005B　;此处为死循环 <br>005D　BF0500　MOV　DI,0005　;读入活动分区的引导扇,最多试读5次 <br>0060　BB007C　MOV　BX,7C00 <br>0063　B80102　MOV　AX,0201 <br>0066　57　PUSH　DI <br>0067　CD13　INT　13　;读 <br>0069　5F　POP　DI <br>006A　730C　JNB　0078　;读盘成功则跳走 <br>006C　33C0　XOR　AX,AX <br>006E　CD13　INT　13　;读失败则复位磁盘 <br>0070　4F　DEC　DI <br>0071　75ED　JNZ　0060　;不到5次则再试读 <br>0073　BEA306　MOV　SI,06A3　;06A3-0600=00A3,即&quot;Error　loading&quot;串 <br>0076　EBD3　JMP　004B　;去显示字符串,然后进入死循环 <br>0078　BEC206　MOV　SI,06C2　;06C2-0600=00C2,即&quot;Missing..&quot;串 <br>0076　EBD3　JMP　004B　;去显示字符串,然后进入死循环 <br>0078　BEC206　MOV　SI,06C2　;06C2-0600=00C2,即&quot;Missing..&quot;串 <br>007B　BFFE7D　MOV　DI,7DFE　;7DFE-7C00=01FE,即活动分区的引导扇 <br>;区的最后两字节的首址 <br>007E　813D55AA　CMP　WORD　PTR　[DI],AA55;最后两字节为AA55H则有效 <br>0082　75C7　JNZ　004B　;无效则显示字符串并进入死循环 <br>0084　8BF5　MOV　SI,BP <br>0086　EA007C0000　JMP　0000:7C00　;有效则跳去引导该分区 <br>0080　49　6E　76　61　6C　Inval <br>0090　69　64　20　70　61　72　74　69-74　69　6F　6E　20　74　61　62　id　partition　tab <br>00A0　6C　65　00　45　72　72　6F　72-20　6C　6F　61　64　69　6E　67　le.Error　loading <br>00B0　20　6F　70　65　72　61　74　69-6E　67　20　73　79　73　74　65　operating　syste <br>00C0　6D　00　4D　69　73　73　69　6E-67　20　6F　70　65　72　61　74　m.Missing　operat <br>00D0　69　6E　67　20　73　79　73　74-65　6D　00　00　FB　4C　38　1D　ing　system...L8. <br>00E0　00　00　00　00　00　00　00　00-00　00　00　00　00　00　00　00　................ <br>00F0　00　00　00　00　00　00　00　00-00　00　00　00　00　00　00　00　................ <br>0100　00　00　00　00　00　00　00　00-00　00　00　00　00　00　00　00　................ <br>0110　00　00　00　00　00　00　00　00-00　00　00　00　00　00　00　00　................ <br>0120　00　00　00　00　00　00　00　00-00　00　00　00　00　00　00　00　................ <br>0130　00　00　00　00　00　00　00　00-00　00　00　00　00　00　00　00　................ <br>0140　00　00　00　00　00　00　00　00-00　00　00　00　00　00　00　00　................ <br>0150　00　00　00　00　00　00　00　00-00　00　00　00　00　00　00　00　................ <br>0160　00　00　00　00　00　00　00　00-00　00　00　00　00　00　00　00　................ <br>0170　00　00　00　00　00　00　00　00-00　00　00　00　00　00　00　00　................ <br>0180　00　00　00　00　00　00　00　00-00　00　00　00　00　00　00　00　................ <br>0190　00　00　00　00　00　00　00　00-00　00　00　00　00　00　00　00　................ <br>01A0　00　00　00　00　00　00　00　00-00　00　00　00　00　00　00　00　................ <br>01B0　00　00　00　00　00　00　00　00-00　00　00　00　00　00　80　01　................;分区表 <br>01C0　01　00　06　0F　7F　9C　3F　00-00　00　F1　59　06　00　00　00　......?....Y.... <br>01D0　41　9D　05　0F　FF　38　30　5A-06　00　40　56　06　00　00　00　A....80Z..@V.... <br>01E0　00　00　00　00　00　00　00　00-00　00　00　00　00　00　00　00　................ <br>01F0　00　00　00　00　00　00　00　00-00　00　00　00　00　00　55　AA　..............U. </p><p><br>使用INT　13H的02功能调用把位于硬盘保留扇区中0道0头1扇区处的硬盘主引导记录读到内存的ES:BX处。现在把读出程序代码进行如下分析： </p><p>1、移动主引导记录程序 <br>0E74:7C00　33C0　XOR　AX,AX　；AX清零 <br>0E74:7C02　8ED0　MOV　SS,AX　；SS清零 <br>0E74:7C04　BC007C　MOV　SP,7C00　；SP=7C00，堆栈设在0：7C00H <br>0E74:7C07　FB　STI　；开中断 <br>0E74:7C08　50　PUSH　AX <br>0E74:7C09　07　POP　ES　；ES=0 <br>0E74:7C0A　50　PUSH　AX <br>0E74:7C0B　1F　POP　DS　；DS=0 <br>0E74:7C0C　FC　CLD <br>0E74:7C0D　BE1B7C　MOV　SI,7C1B　；源地址为0：7C1BH <br>0E74:7C10　BF1B06　MOV　DI,061B　；目的地址为0：061BH <br>0E74:7C13　50　PUSH　AX <br>0E74:7C14　57　PUSH　DI <br>0E74:7C15　B9E501　MOV　CX,01E5　；移动01E5字节 <br>0E74:7C18　F3　REPZ　；将主引导记录从0：7C1B-0：7DFF <br>0E74:7C19　A4　MOVSB　；移至0：061B-0：07FF <br>0E74:7C1A　CB　RETF　；转移到0：061B，继续执行程序 </p><p>2、顺序查找四个硬盘分区表，寻找自举标志 <br>0E74:061B　BEBE07　MOV　SI,07BE　；SI指向硬盘分区表1的自举标志 </p><p>0E74:061E　B104　MOV　CL,04　；查找四个分区 <br>0E74:0620　382C　CMP　[SI],CH <br>0E74:0622　7C09　JL　062D　；如果[SI]的第7位为1，即为自 <br>；举标志，转062DH <br>0E74:0624　7515　JNZ　063B　；如果[SI]不为0，出错，转063BH <br>0E74:0626　83C610　ADD　SI,+10　；依次检验四个分区表，直至找到 </p><p>0E74:0629　E2F5　LOOP　0620　；自举标志 <br>0E74:062B　CD18　INT　18　；找不到自举标志，进入BOOT异 <br>；常处理程序。 <br>0E74:062D　8B14　MOV　DX,[SI]　；保存自举驱动器号于DL中 <br>0E74:062F　8BEE　MOV　BP,SI　；保存自举分区地址指针于BP <br>0E74:0631　83C610　ADD　SI,+10　；继续检验自举分区后的分区 <br>0E74:0634　49　DEC　CX　；自举标志，直至四个分区都 <br>0E74:0635　7416　JZ　064D　；检查完 <br>0E74:0637　382C　CMP　[SI],CH　；若其余的自举标志不为0，出错 </p><p>0E74:0639　74F6　JZ　0631　 </p><p>3、出错，写屏幕程序段 <br>0E74:063B　BE1007　MOV　SI,0710　；错误信息输出，死循环 <br>0E74:063E　4E　DEC　SI <br>0E74:063F　AC　LODSB <br>0E74:0640　3C00　CMP　AL,00 <br>0E74:0642　74FA　JZ　063E <br>0E74:0644　BB0700　MOV　BX,0007 <br>0E74:0647　B40E　MOV　AH,0E <br>0E74:0649　CD10　INT　10 <br>0E74:064B　EBF2　JMP　063F </p><p>硬盘主引导记录程序的功能是读出自举分区的BOOT程序，并把控制转移到分区BOOT程序。整个程序流程如下： <br>1　将本来读入到0：7C00H处的硬盘主引导记录程序移至0：61BH处； <br>⑵　顺序读入四个分区表的自举标志，以找出自举分区，若找不到，转而执行INT18H的BOOT异常执行中断程序； <br>⑶　找到自举分区后，检测该分区的系统标志，若为32位FAT表或16位FAT表但支持13号中断的扩展功能，就转到执行13号中断的41号功能调用进行安装检验，检验成功，就执行42号扩展读功能调用把BOOT区程序读入到内存0：7C00H处，成功，跳到第⑸步，若读失败或系统标志为其它，就调用13号中断的读扇区功能调用把BOOT读到0：7C00H； <br>⑷　用13号中断的读扇区功能时，用两种方式分别进行5次试读。第一种方式是直接从自举分区的头扇区读入BOOT程序，若读成功，但结束标志不是55AA，则改用第二种方式，又如果用第一种方式试读五次均不成功，就改用第二种方式。若两种方式试读均失败，就转到出错处理程序； <br>⑸　读入BOOT区程序成功，转至0：7C00H处执行BOOT程序。
	           </p>
            </div>
     		<p align="left">&nbsp;</p>
    </div></td>
  </tr>
  <tr bgcolor="#FFFFFF">
    <td><table width="98%" border="0" align="center" cellpadding="0" cellspacing="0" bgcolor="#EFEFEF">
      
        <td width="79%">
          
              <p>
            <li>上篇文章：<a href="view.asp?id=84">VxD编程入门教程</a>
                    
                    <BR>
                    
            <li>下篇文章：<a href="view.asp?id=86">硬盘的分区链表结构</a>
                    
          </td>
        <td width="21%"><div align="center"><img src="pic/printpage.gif" width="16" height="16"><a href="javascript:window.print()"> 打印本页</a></div></td>
      </tr>
    </table></td>
  </tr>
</table>

</body>
</html>
 
<meta http-equiv="Content-Type" content="text/html; charset=gb2312">
<style type="text/css">
<!--
td {   font-size: 9pt}
body {   font-size: 9pt}
select {   font-size: 9pt}
A {text-decoration: none; color: #003366;  font-size: 9pt}
A:hover {text-decoration: underline; color: #FF0000;  font-size: 9pt}
.style1 {color: #FF0000}
-->
</style>
</head>
<table width="760" height="40" border="0" align="center" cellspacing="0" bgcolor="#FFFFFF">
  <tr>
    <td height="20" bgcolor="#0099cc"> <div align="center">| <a href="#" onClick="this.style.behavior='url(#default#homepage)';this.setHomePage('http://www.soudu.net')">设为首页</a> | <a href="javascript:window.external.addFavorite('http://www.soudu.net','搜毒网')">加入收藏</a> | <a href="freemail.asp">免费邮箱</a> | 版权声明 |<a href="links/index.asp" target="_top"> 友情链接</a> |  <a href="huiyuan/adminlogin.asp" target="_top">管理入口</a> | </div></td>
  </tr>
  <tr>
    <td height="20"><div align="center">搜毒网 版权所有 Copyright @ 1999－2007<span class="style1"> 备案号：苏ICP备05000332号</span></div></td>
  </tr>
</table>
12

⌨️ 快捷键说明

复制代码 Ctrl + C
搜索代码 Ctrl + F
全屏模式 F11
切换主题 Ctrl + Shift + D
显示快捷键 ?
增大字号 Ctrl + =
减小字号 Ctrl + -