引導型病毒分析

1、2024年3月21日,第1頁,教學目標,系統引導過程 引導型病毒原理 中斷與中斷程序設計清除病毒方法,2024年3月21日,第2頁,教學重點,引導扇區(qū)分析 讀寫扇區(qū)方式 程序常駐內存 引導程序設計 接管中斷程序設計,2024年3月21日,第3頁,教學過程,預備知識 引導型病毒 實驗1：引導程序設計 實驗2：接管中斷程序設計 清除病毒程序設計,2024年3月21日,第4頁,2.1 預備知識,● 磁盤數據結構 ● D

2、OS啟動過程 ● 讀寫扇區(qū)方式 ● 程序常駐內存,2024年3月21日,第5頁,2.1.1 磁盤數據結構,,2024年3月21日,第6頁,引導扇區(qū),,2024年3月21日,第7頁,扇區(qū)分布,,FAT32表項意義,2024年3月21日,第8頁,讀寫扇區(qū)方式,Int 13h 用Debug的命令L和W可以讀寫分區(qū)的扇區(qū) ReadFile,2024年3月21日,第9頁,程序常駐內存,,2024年3月21日,第10頁,2.2 引導型病毒,

3、引導型病毒原理 一個引導型病毒分析,2024年3月21日,第11頁,2.2.1 引導型病毒工作原理,引導型病毒是一種在ROM BIOS之后，系統引導時出現的病毒，它先于操作系統，依托的環(huán)境是BIOS中斷服務程序。引導型病毒是利用操作系統的引導模塊放在某個固定的位置，并且控制權的轉交方式是以物理位置為依據，而不是以操作系統引導區(qū)的內容為依據，因而病毒占據該物理位置即可獲得控制權，而將真正的引導區(qū)內容搬家轉移或替換，待病毒程序執(zhí)行后，將控

4、制權交給真正的引導區(qū)內容，使得這個帶病毒的系統看似正常運轉，而病毒已隱藏在系統中并伺機傳染、發(fā)作。,2024年3月21日,第12頁,感染前后比較,● 軟盤中毒前的正常開機程序：開機→執(zhí)行BIOS→自我測試POST→填入中斷向量表→啟動扇區(qū)(Boot sector)→IO.SYS→MSDOS.SYS→COMMAND.COM。 ● 軟盤中毒之后的開機程序：開機→執(zhí)行BIOS→自我測試POST→填入中斷向量表→開機型病毒→啟動扇區(qū)(B

5、oot Sector)→IO.SYS→MSDOS.SYS→COMMAND.COM?！?硬盤中毒前的正常開機程序：開機→執(zhí)行BIOS→自我測試POST→填入中斷向量表→硬盤分區(qū)表(Partition Table)→啟動扇區(qū)(Boot Sector)→IO.SYS→MSDOS.SYS→COMMAND.COM。 ● 硬盤中毒之后的開機程序：開機→執(zhí)行BIOS→自我測試POST→填入中斷向量表→硬盤分割表(Partition Table)

6、→開機型病毒→啟動扇區(qū)(Boot Sector)→IO.SYS→MSDOS.SYS→COMMAND.COM。,2024年3月21日,第13頁,2.2.2 一個引導型病毒分析,,2024年3月21日,第14頁,2.3 實驗1：引導程序設計,編寫代碼 實現步驟,2024年3月21日,第15頁,實現步驟,(1) 準備系統盤 選擇一張軟盤，在DOS下執(zhí)行Format A:/S，表示格式化軟盤且向它復制DOS系統文件。 (2) 備份

7、主引導扇區(qū)數據到軟盤可以編寫一個程序實現，也可以用Debug實現。這樣做的目的是，萬一系統崩潰了，還可以用軟盤啟動恢復。如果用Debug，步驟如下：① 建立一個文件，如ddd.txt，隨便敲入幾個字母，如“aaaaaaaaaaaaaa”。 ② 用命令Debug ddd.txt，將該文件裝載到內存。用命令d可以看到文件在內存中位置為126C:0100H~126C:010DH,2024年3月21日,第16頁,,2024年3月21日,

8、第17頁,讀主引導扇區(qū)數據,,2024年3月21日,第18頁,保存內存數據到文件,,2024年3月21日,第19頁,移動主引導扇區(qū)數據,,2024年3月21日,第20頁,2.4 實驗2：接管中斷程序設計,代碼演示了在DOS啟動前，是如何接管int 13h，使自己的int 13h是如何常駐內存。其中涉及到了0:413h處數據的修改，如何計算自己的int 13h的長度，如何將自己復制到內存高端等。,2024年3月21日,第21頁,2.5 清