引導型病毒分析

1、2024年3月21日,第1頁,教學目標,系統(tǒng)引導過程 引導型病毒原理 中斷與中斷程序設計清除病毒方法,2024年3月21日,第2頁,教學重點,引導扇區(qū)分析 讀寫扇區(qū)方式 程序常駐內(nèi)存 引導程序設計 接管中斷程序設計,2024年3月21日,第3頁,教學過程,預備知識 引導型病毒 實驗1：引導程序設計 實驗2：接管中斷程序設計 清除病毒程序設計,2024年3月21日,第4頁,2.1 預備知識,● 磁盤數(shù)據(jù)結(jié)構(gòu) ● D

2、OS啟動過程 ● 讀寫扇區(qū)方式 ● 程序常駐內(nèi)存,2024年3月21日,第5頁,2.1.1 磁盤數(shù)據(jù)結(jié)構(gòu),,2024年3月21日,第6頁,引導扇區(qū),,2024年3月21日,第7頁,扇區(qū)分布,,FAT32表項意義,2024年3月21日,第8頁,讀寫扇區(qū)方式,Int 13h 用Debug的命令L和W可以讀寫分區(qū)的扇區(qū) ReadFile,2024年3月21日,第9頁,程序常駐內(nèi)存,,2024年3月21日,第10頁,2.2 引導型病毒,

3、引導型病毒原理 一個引導型病毒分析,2024年3月21日,第11頁,2.2.1 引導型病毒工作原理,引導型病毒是一種在ROM BIOS之后，系統(tǒng)引導時出現(xiàn)的病毒，它先于操作系統(tǒng)，依托的環(huán)境是BIOS中斷服務程序。引導型病毒是利用操作系統(tǒng)的引導模塊放在某個固定的位置，并且控制權(quán)的轉(zhuǎn)交方式是以物理位置為依據(jù)，而不是以操作系統(tǒng)引導區(qū)的內(nèi)容為依據(jù)，因而病毒占據(jù)該物理位置即可獲得控制權(quán)，而將真正的引導區(qū)內(nèi)容搬家轉(zhuǎn)移或替換，待病毒程序執(zhí)行后，將控

4、制權(quán)交給真正的引導區(qū)內(nèi)容，使得這個帶病毒的系統(tǒng)看似正常運轉(zhuǎn)，而病毒已隱藏在系統(tǒng)中并伺機傳染、發(fā)作。,2024年3月21日,第12頁,感染前后比較,● 軟盤中毒前的正常開機程序：開機→執(zhí)行BIOS→自我測試POST→填入中斷向量表→啟動扇區(qū)(Boot sector)→IO.SYS→MSDOS.SYS→COMMAND.COM。 ● 軟盤中毒之后的開機程序：開機→執(zhí)行BIOS→自我測試POST→填入中斷向量表→開機型病毒→啟動扇區(qū)(B

5、oot Sector)→IO.SYS→MSDOS.SYS→COMMAND.COM?！?硬盤中毒前的正常開機程序：開機→執(zhí)行BIOS→自我測試POST→填入中斷向量表→硬盤分區(qū)表(Partition Table)→啟動扇區(qū)(Boot Sector)→IO.SYS→MSDOS.SYS→COMMAND.COM。 ● 硬盤中毒之后的開機程序：開機→執(zhí)行BIOS→自我測試POST→填入中斷向量表→硬盤分割表(Partition Table)

6、→開機型病毒→啟動扇區(qū)(Boot Sector)→IO.SYS→MSDOS.SYS→COMMAND.COM。,2024年3月21日,第13頁,2.2.2 一個引導型病毒分析,,2024年3月21日,第14頁,2.3 實驗1：引導程序設計,編寫代碼 實現(xiàn)步驟,2024年3月21日,第15頁,實現(xiàn)步驟,(1) 準備系統(tǒng)盤 選擇一張軟盤，在DOS下執(zhí)行Format A:/S，表示格式化軟盤且向它復制DOS系統(tǒng)文件。 (2) 備份

7、主引導扇區(qū)數(shù)據(jù)到軟盤可以編寫一個程序?qū)崿F(xiàn)，也可以用Debug實現(xiàn)。這樣做的目的是，萬一系統(tǒng)崩潰了，還可以用軟盤啟動恢復。如果用Debug，步驟如下：① 建立一個文件，如ddd.txt，隨便敲入幾個字母，如“aaaaaaaaaaaaaa”。 ② 用命令Debug ddd.txt，將該文件裝載到內(nèi)存。用命令d可以看到文件在內(nèi)存中位置為126C:0100H~126C:010DH,2024年3月21日,第16頁,,2024年3月21日,

8、第17頁,讀主引導扇區(qū)數(shù)據(jù),,2024年3月21日,第18頁,保存內(nèi)存數(shù)據(jù)到文件,,2024年3月21日,第19頁,移動主引導扇區(qū)數(shù)據(jù),,2024年3月21日,第20頁,2.4 實驗2：接管中斷程序設計,代碼演示了在DOS啟動前，是如何接管int 13h，使自己的int 13h是如何常駐內(nèi)存。其中涉及到了0:413h處數(shù)據(jù)的修改，如何計算自己的int 13h的長度，如何將自己復制到內(nèi)存高端等。,2024年3月21日,第21頁,2.5 清