前言

引导型病毒指寄生在磁盘引导区或主引导区的计算机病毒。这种病毒利用系统引导时，不对主引导区的内容正确与否进行判别的缺点，在引导系统的过程中入侵系统，驻留内存，监视系统运行，伺机传染和破坏。按照引导型病毒在硬盘上的寄生位置又可细分为主引导记录病毒和分区引导记录病毒。我们未来的几次课，会专门从各个角度来分析这种病毒的特点，阐述病毒原理，提出应对方法。而本次课程的内容主要来讨论一下引导区的解析。

通过WinHex来手动解析引导区

WinHex是一个强大的十六进制编辑工具，也是一个强大的磁盘编辑工具。这里我们打开WinHex，选择菜单栏中的“工具”->“打开磁盘”，选择“物理磁盘”中的“HD0”。

当打开磁盘后，会看到很多十六进制数据，这些数据一眼看上去难以理解，但是当根据其各种不同的结构进行解析后就一目了然了。因此，重要的是学习其各种结构。这里不对硬盘中涉及的全部结构进行介绍（指的是文件格式），主要介绍一下组成引导区的各个结构体。

引导区，也叫做主引导记录（MasterBoot Record，简称MBR）。MBR位于整个硬盘的0柱面0磁头1扇区的位置。MBR在计算机引导过程中起着重要的作用。MBR可以分为五部分，分别是引导程序、Windows磁盘签名、保留位、分区表和结束标志。这五部分构成了一个完整的引导区，引导区的大小为512个字节。我们通过WinHex来具体看一下每一部分的内容，来了解一下这512个字节的作用。

首先看一下引导记录，如下图所示：

上图的红框中就是MBR的引导程序，也就是从偏移为0的位置，到偏移为0x1b7处。引导程序会判断MBR的有效性，判断磁盘分区的合法性，并且把控制权交给操作系统。引导程序占用了MBR的前440个字节（0x0——0x1b7）。

再来看一下Windows的磁盘签名，如下图所示：

上图中位于偏移0x1b8——0x1bb位置的内容就是Windows的磁盘签名，也就是紧接着引导程序的4个字节。Windows磁盘签名对于MBR来说不是必须的，但是对于Windows系统来说是必须的，它是Windows系统在初始化时写入的，Windows依靠磁盘签名来识别硬盘，如果该签名丢失，则Windows认为该磁盘没有被初始化。可以看到，上图中的磁盘签名为0xf63af73a。

紧接着在磁盘签名后面的两个字节是保留字节，也就是暂时没有被MBR使用的位置。在这里，保留字节全为0。

在保留字节后面的64个字节，则保存了分区表：

分区表在MBR中占据了64个字节的位置（0x1be——0x1fd），分区表被称为DPT（DiskPartition Table），它在MBR中是一个非常关键的数据结构。分区表是用来管理硬盘分区的，如果丢失或者被破坏的话，硬盘的分区就会丢失。分区表占用了64个字节，用每16个字节来描述一个分区项的数据结构。由于其字节数的限制，一个硬盘最多可以有4个主硬盘分区（注意：是主硬盘分区）。上图中的红框部分就是一个分区表项，可以看到，当前硬盘中只有一个分区表项。硬盘中的磁盘可以分为主磁盘分区和扩展分区，使用过DOS命令中的FDISK的话应该很清楚。通常情况下，主分区是C盘。在系统中除了C盘以外，还可能存在D盘、E盘、F盘等分区。这3个分区都是从扩展分区中分配出来的，而这些分区并不在MBR中保存。右键单击“我的电脑”，在菜单中选择“管理”命令将出现“计算机管理”，选择“磁盘管理”，就可以显示如下内容：

从上图中可以看到，在磁盘上，D盘、E盘的周围有一个绿色的框，这个框就表示扩展分区。

下面具体地介绍一下。单击WinHex的菜单项“视图”->“模版管理”，就会出现“模版管理器对话框”：

这里我们双击“主引导记录”，就会打开MBR的偏移解析器：

在上图中可以清晰地看到分区表项的内容，红框中的内容就是对我们有用的字段。其中第一个是在MBR中偏移为0x1be的位置，这个位置的值为0x80。这个值是一个引导标志，表示该分区是一个活动分区。在MBR中偏移为0x1c2的位置处保存的值为0x07，这个值表示的是分区的类型，0x07说明是NTFS的系统文件格式。在偏移0x1c6的位置处，保存的值是63，该值表示在本分区前使用了多少个扇区。那么63说明当前分区前使用了63个扇区。最后的0x1ca处保存的值为41913522，表示本分区的总的扇区数目。一个扇区有512个字节，那么41913522扇区是多大呢？我们可以计算一下，首先用41913522×512求出本扇区占多少个字节。通过计算获得本分区所占的字节数为21459723264字节，那么字节如何转化成GB呢？这是一个简单的公式，1024字节等于1KB，1024KB等于1MB，1024MB等于1GB，那么做一个简单的除法就可以了。用21459723264÷1024÷1024÷1024就得出了当前分区是多少个GB了，如下图所示：

由上图可见，当前分区占用了19个GB的大小。

在MBR中还有最后一个内容，就是紧跟着DPT后面的两个字节，也就是MBR最后的两个字节。这两个字节是MBR的结束标志，用“55 AA”来表示。引导程序会判断MBR扇区的最后两个字节是否为“55 AA”，如果不是则报错。

至此，关于利用WinHex解析MBR的部分就介绍完了，相信大家已经对MBR有了比较全面的认识。

MBR引导程序解析

我们刚才分析过了， MBR的大小为512个字节。其实这些字节在WinHex中观察，就是一大段的十六进制数据，但事实上，它是一段汇编程序的机器码，所以这里我们有必要把这段代码提取出来，利用反汇编工具进行分析。

首先在WinHex中选中这512个字节，然后单击鼠标右键，选择“编辑”->“复制选块”->“置入新文件”，给这个文件起一个名字，比如我这里将其保存为MBR，然后确定。

接下来我们使用IDA来打开这个文件，注意这里使用十六位的模式打开即可（如果大家想查看带有注释的代码，可以利用IDA打开MBR.idb这个文件）。

这段代码的主要功能是将位于0x7C1B位置的内容复制到0x61B的位置，并跳转过去执行。这段指令一共是0x1B字节，在执行完拷贝操作之后，这段代码就不需要了，所以复制的时候只是复制了0x1E5字节的内容，而不是0x200字节。接下来有：

上述代码的功能是通过循环语句来查找活动分区。接下来有：

这段代码是在当分区标志为0x80时执行的，用于继续检查余下的分区表的情况。接下来有：

上述代码会在分区表首字节出现错误的情况下执行，由最后的jmp可以知道，这是一个死循环，用于显示错误信息。接下来有：

这段代码中，如果出现错误，依旧会跳转到出错打印的代码，执行死循环。如果没有错误，则会执行sub_9B，也就是读取扇区的内容。最后有：

最后的这段代码用于检测结束标志位以及FAT32是否做过验证，然后跳转去执行DBR（DOS BOOT RECORD，DOS引导记录）。至此，也就完成了MBR的功能。

小结

我们这次的课程首先利用WinHex给大家手动解析了MBR的构造，之后分析了MBR的引导程序。这些知识都是MBR病毒分析的基础，也是重中之重，希望大家能够掌握，从而为接下来的学习打好基础。

病毒木马查杀实战第023篇：MBR病毒之引导区的解析相关推荐

1. 病毒木马查杀实战第018篇：病毒特征码查杀之基本原理

   前言 在本系列的导论中,我曾经在"病毒查杀方法"中简单讲解过特征码查杀这种方式.而我也在对于实际病毒的专杀工具编写中,使用过CRC32算法来对目标程序进行指纹匹配,从而进行病毒判定 ...

2. 病毒木马查杀实战第019篇：病毒特征码查杀之编程实现

   前言 上次我们已经简介过了病毒特征码提取的基本方法,那么这次我们就通过编程来实现对于病毒的特征码查杀. 定义特征码存储结构 为了简单起见.这次我们使用的是setup.exe以及unpacked.exe ...

3. 病毒木马查杀实战第026篇：“白加黑”恶意程序研究（上）

   前言 众所周知,传统的恶意程序都是由单一文件构成的.从而实现某一种或者几种恶意功能. 而这类的恶意程序为了避免被发现以及被查杀,往往会採用五花八门的自我隐藏技术以及免杀技术,病毒程序的作者非常多时候也 ...

4. 病毒木马查杀实战第001篇：基本查杀理论与实验环境配置

   前言 <病毒木马查杀>系列以真实的病毒木马(或统称为恶意程序)为研究对象,通过现有的技术手段对其分析,总结出它的恶意行为,进而制定出相应的应对方法(如编写专杀工具),对其彻底查杀.当然,本 ...

5. 病毒木马查杀实战第009篇：QQ盗号木马之手动查杀

   前言 之前在<病毒木马查杀第002篇:熊猫烧香之手动查杀>中,我在不借助任何工具的情况下,基本实现了对于"熊猫烧香"病毒的查杀.但是毕竟"熊猫烧香" ...

6. 病毒木马查杀实战第010篇：QQ盗号木马之十六进制代码分析

   前言 按照我的个人习惯,在运用诸如IDA Pro与OllyDBG对病毒进行逆向分析之前,我都会利用一些自动化的工具,通过静态或动态的分析方法(参见<病毒木马查杀第008篇:熊猫烧香之病毒查杀总结 ...

7. 病毒木马查杀实战第002篇：熊猫烧香之手动查杀

   前言 作为本系列研究的开始,我选择"熊猫烧香"这个病毒为研究对象.之所以选择这一款病毒,主要是因为它具有一定的代表性.一方面它当时造成了极大的影响,使得无论是不是计算机从业人员,都 ...

8. 病毒木马查杀实战第024篇：MBR病毒之编程解析引导区

   前言 通过之前的学习,相信大家已经对磁盘的引导区有了充分的认识.但是我们之前的学习都是利用现成的工具来对引导区进行解析的,而对于一名反病毒工程师而言,不单单需要有扎实的逆向分析功底,同时也需要有很强的 ...

9. 病毒木马查杀实战第004篇：熊猫烧香之专杀工具的编写

   前言 如果是非感染型的病毒,完成行为分析之后,就可以开始编写专杀工具了.当然对于我们这次研究的对象--"熊猫烧香"来说,其实通过之前的行为分析,我们并没有得出它的所有恶意行为,毕竟 ...

最新文章

1. vue样式 引入图片_详解Vue.js中引入图片路径的几种方式
2. linux系统调用挂钩方法总结
3. HDU 2001 计算两点间的距离
4. 【AI有识境】如何掌握好图像分割算法？值得你看的技术综述
5. IDEA的debug方法头坑
6. pcap java_java解析Pcap（io.pkts）
7. session原理总结
8. 基础数据类型转换过程中注意事项
9. gulp-livereload组件使用
10. Axure RP 8 注册码
11. window+mysql+免安装_mysql 5.7.18 免安装版window配置方法
12. 7-2 古风排版 C语言
13. 京东2018秋招编程题
14. PMP认证考试答题应试技巧
15. NLP笔记：常用激活函数考察整理
16. NOIP2008年普及组初赛题目答案及解析
17. 使用flask-avatars处理用户头像
18. 用水流的概念来玩硬件（一）----阻抗匹配
19. android 小米sdk版本,小米应用商店：检查更新SDK 集成指南
20. 充电管理芯片TP4056充电不转灯

热门文章

1. Git 出错error: Pulling is not possible because you have unmerged files
2. android 各个版本安全特性
3. 车载冰箱E-mark认证要多长时间？
4. JavaWeb项目中出现faceted project problem问题是什么原因
5. android 3d动画绘制,Iyan 3d app
6. 怀旧服为什么显示服务器不兼容,《魔兽世界怀旧服》加载出错怎么办 加载出错解决方案...
7. 工作日志之Sonar扫描错误处理-Sonar扫描结果入库 java.sql.BatchUpdateException: Incorrect string value: '\xF3\xA3\xAC\xB
8. Springboot期刊在线投稿系统74j50计算机毕业设计-课程设计-期末作业-毕设程序代做
9. [转]实现键值对存储（长文）
10. 论文解读《ResRep: Lossless CNN Pruning via Decoupling Remembering and Forgetting》