引導(dǎo)型病毒分析

1、2024年3月21日,第1頁(yè),教學(xué)目標(biāo),系統(tǒng)引導(dǎo)過(guò)程 引導(dǎo)型病毒原理 中斷與中斷程序設(shè)計(jì)清除病毒方法,2024年3月21日,第2頁(yè),教學(xué)重點(diǎn),引導(dǎo)扇區(qū)分析 讀寫(xiě)扇區(qū)方式 程序常駐內(nèi)存 引導(dǎo)程序設(shè)計(jì) 接管中斷程序設(shè)計(jì),2024年3月21日,第3頁(yè),教學(xué)過(guò)程,預(yù)備知識(shí) 引導(dǎo)型病毒 實(shí)驗(yàn)1：引導(dǎo)程序設(shè)計(jì) 實(shí)驗(yàn)2：接管中斷程序設(shè)計(jì) 清除病毒程序設(shè)計(jì),2024年3月21日,第4頁(yè),2.1 預(yù)備知識(shí),● 磁盤(pán)數(shù)據(jù)結(jié)構(gòu) ● D

2、OS啟動(dòng)過(guò)程 ● 讀寫(xiě)扇區(qū)方式 ● 程序常駐內(nèi)存,2024年3月21日,第5頁(yè),2.1.1 磁盤(pán)數(shù)據(jù)結(jié)構(gòu),,2024年3月21日,第6頁(yè),引導(dǎo)扇區(qū),,2024年3月21日,第7頁(yè),扇區(qū)分布,,FAT32表項(xiàng)意義,2024年3月21日,第8頁(yè),讀寫(xiě)扇區(qū)方式,Int 13h 用Debug的命令L和W可以讀寫(xiě)分區(qū)的扇區(qū) ReadFile,2024年3月21日,第9頁(yè),程序常駐內(nèi)存,,2024年3月21日,第10頁(yè),2.2 引導(dǎo)型病毒,

3、引導(dǎo)型病毒原理 一個(gè)引導(dǎo)型病毒分析,2024年3月21日,第11頁(yè),2.2.1 引導(dǎo)型病毒工作原理,引導(dǎo)型病毒是一種在ROM BIOS之后，系統(tǒng)引導(dǎo)時(shí)出現(xiàn)的病毒，它先于操作系統(tǒng)，依托的環(huán)境是BIOS中斷服務(wù)程序。引導(dǎo)型病毒是利用操作系統(tǒng)的引導(dǎo)模塊放在某個(gè)固定的位置，并且控制權(quán)的轉(zhuǎn)交方式是以物理位置為依據(jù)，而不是以操作系統(tǒng)引導(dǎo)區(qū)的內(nèi)容為依據(jù)，因而病毒占據(jù)該物理位置即可獲得控制權(quán)，而將真正的引導(dǎo)區(qū)內(nèi)容搬家轉(zhuǎn)移或替換，待病毒程序執(zhí)行后，將控

4、制權(quán)交給真正的引導(dǎo)區(qū)內(nèi)容，使得這個(gè)帶病毒的系統(tǒng)看似正常運(yùn)轉(zhuǎn)，而病毒已隱藏在系統(tǒng)中并伺機(jī)傳染、發(fā)作。,2024年3月21日,第12頁(yè),感染前后比較,● 軟盤(pán)中毒前的正常開(kāi)機(jī)程序：開(kāi)機(jī)→執(zhí)行BIOS→自我測(cè)試POST→填入中斷向量表→啟動(dòng)扇區(qū)(Boot sector)→IO.SYS→MSDOS.SYS→COMMAND.COM。 ● 軟盤(pán)中毒之后的開(kāi)機(jī)程序：開(kāi)機(jī)→執(zhí)行BIOS→自我測(cè)試POST→填入中斷向量表→開(kāi)機(jī)型病毒→啟動(dòng)扇區(qū)(B

5、oot Sector)→IO.SYS→MSDOS.SYS→COMMAND.COM?！?硬盤(pán)中毒前的正常開(kāi)機(jī)程序：開(kāi)機(jī)→執(zhí)行BIOS→自我測(cè)試POST→填入中斷向量表→硬盤(pán)分區(qū)表(Partition Table)→啟動(dòng)扇區(qū)(Boot Sector)→IO.SYS→MSDOS.SYS→COMMAND.COM。 ● 硬盤(pán)中毒之后的開(kāi)機(jī)程序：開(kāi)機(jī)→執(zhí)行BIOS→自我測(cè)試POST→填入中斷向量表→硬盤(pán)分割表(Partition Table)

6、→開(kāi)機(jī)型病毒→啟動(dòng)扇區(qū)(Boot Sector)→IO.SYS→MSDOS.SYS→COMMAND.COM。,2024年3月21日,第13頁(yè),2.2.2 一個(gè)引導(dǎo)型病毒分析,,2024年3月21日,第14頁(yè),2.3 實(shí)驗(yàn)1：引導(dǎo)程序設(shè)計(jì),編寫(xiě)代碼 實(shí)現(xiàn)步驟,2024年3月21日,第15頁(yè),實(shí)現(xiàn)步驟,(1) 準(zhǔn)備系統(tǒng)盤(pán) 選擇一張軟盤(pán)，在DOS下執(zhí)行Format A:/S，表示格式化軟盤(pán)且向它復(fù)制DOS系統(tǒng)文件。 (2) 備份

7、主引導(dǎo)扇區(qū)數(shù)據(jù)到軟盤(pán)可以編寫(xiě)一個(gè)程序?qū)崿F(xiàn)，也可以用Debug實(shí)現(xiàn)。這樣做的目的是，萬(wàn)一系統(tǒng)崩潰了，還可以用軟盤(pán)啟動(dòng)恢復(fù)。如果用Debug，步驟如下：① 建立一個(gè)文件，如ddd.txt，隨便敲入幾個(gè)字母，如“aaaaaaaaaaaaaa”。 ② 用命令Debug ddd.txt，將該文件裝載到內(nèi)存。用命令d可以看到文件在內(nèi)存中位置為126C:0100H~126C:010DH,2024年3月21日,第16頁(yè),,2024年3月21日,

8、第17頁(yè),讀主引導(dǎo)扇區(qū)數(shù)據(jù),,2024年3月21日,第18頁(yè),保存內(nèi)存數(shù)據(jù)到文件,,2024年3月21日,第19頁(yè),移動(dòng)主引導(dǎo)扇區(qū)數(shù)據(jù),,2024年3月21日,第20頁(yè),2.4 實(shí)驗(yàn)2：接管中斷程序設(shè)計(jì),代碼演示了在DOS啟動(dòng)前，是如何接管int 13h，使自己的int 13h是如何常駐內(nèi)存。其中涉及到了0:413h處數(shù)據(jù)的修改，如何計(jì)算自己的int 13h的長(zhǎng)度，如何將自己復(fù)制到內(nèi)存高端等。,2024年3月21日,第21頁(yè),2.5 清