catalogue
. 电脑启动过程
. MBR分析(master boot record) - 位于整个硬盘的 扇区
. DBR(DOS boot record) - 位于柱面0，磁头1，扇区1，即逻辑扇区0(逻辑扇区的第一个扇区)
. MBR病毒
1. 电脑启动过程
. 按下开机电源,电源向主板和其他设备供电,此时电压不稳,主板控制芯片会向CPU发送并保持RESET(复位信号),让CPU初始化。当电源开始稳定后,芯片组撤去RESERT信号。如果按RESERT信号,当放开RESERT时,就撤去RESERT信号。CPU从FFFF0h处执行指令，此处为一条跳转指令，使CPU跳转到系统BIOS的启动代码处
. 系统BIOS的启动代码首先进行POST(加电自检)。POST主要对一些关键硬件进行检查。如显卡,内存,主板等。由于此处在显卡初始化之前,所以无法图像显示,只能通过声音了。即我们所知道的通过声音判断硬件问题
. 接着,系统BIOS查找显卡BIOS(通常地址C0000h处),找到后调用它的初始化代码,由显卡BIOS完成显卡的初始化,此处会在屏幕上显示显卡信息,厂商,显卡容量等
. 接着系统BIOS会查找其他设备的BIOS,并调用它们的初始化代码
. 接着系统BIOS检查CPU类型和工作频率,并显示检测结果。之后系统BIOS检测内存并显示信息
. 内存测试通过后,检测其他安装的硬件设备,包括:硬盘,CD-ROM,串行接口,并行接口等。
. 标准设备查完后,系统BIOS内部的支持即插即用的代码检测和配置系统中安装的即插即用设备,每检测到一个,系统BIOS在屏幕上显示该设备信息,同时为设备分配中断,DMA通道和I/O端口资源
. 到此,硬件设备检测完毕,系统BIOS会重新清屏并在屏幕上显示出一个系统配置表,其中概略列出系统中安装的各种标准硬件设备,及他们使用的资源和一些相关参数。
. 接下来系统BIOS更新ESCD(扩展系统配置数据)。ESCD是系统BIOS用来与操作系统交换硬件配置信息的数据,存放在CMOS中。通常ESCD数据只有系统硬件配置改变时才更新
10. ESCD更新完毕后,系统BIOS根据用户指定的启动顺序从指定设备启动(加载MBR到7c00h处,同时还会把设备的驱动号给dl)
0x1: BIOS
BIOS(Basic Input/Output System)基本输入输出系统，全称是ROM-BIOS，是只读存储器基本输输出系统的简写，它实际是一组被固化到电脑中，为电脑提供最低级最直接的硬件控制的程序。电脑启动后第一个运行的用户级汇编代码就是它(因为严谨来说CPU内部也有启动代码)，而BIOS的运行离不开CMOS(Complementary Metal Oxide Semiconductor)，CMOS本意是指互补金属氧化物半导体，一种大规模应用于集成电路芯片制造的原料，在计算机领域，CMOS常指保存计算机基本启动信息(如日期、时间、启动设置等)的芯片CMOS 的功耗很低，计算机主板上一个纽扣电池就可以给它长时间地提供电力，即使系统掉电，信息也不会丢失。而当主板电池供电不足时CMOS的信息会丢失
CMOS是主板上的一块可读写的RAM芯片，是用来保存BIOS的硬件配置和用户对某些参数的设定。而对CMOS中各项参数的设定要通过专门的程序，现在多数厂家将CMOS设置程序做到了BIOS芯片中，在开机时通过按下某个特定键就可进入CMOS设置程序而非常方便地对系统进行设置，因此这种CMOS设置又通常被叫做BIOS设置
Relevant Link:
http://blog.csdn.net/sunqinye/article/details/18793853
2. MBR分析(master boot record) - 位于整个硬盘的 0 扇区
磁盘的存储是已扇区为基本单位的，我们的资料，操作系统代码，包括系统启动引导代码(MBR)都是存储在这些扇区中，其中硬盘的0柱面、0磁头、1扇区称为主引导扇区，也叫主引导记录MBR，该记录占用512个字节，它用于硬盘启动时将系统控制权(BIOS启动后将控制权给MBR，MBR负责加载操作系统)转给用户指定的、在分区表中登记了某个操作系统分区
MBR的内容是在硬盘分区时由分区软件写入该扇区的，MBR不属于任何一个操作系统，不随操作系统的不同而不同，即使不同，MBR也不会夹带操作系统的性质，具有公共引导的特性。但安装某些多重引导功能的软件或LINUX的LILO时有可能改写它，它先于所有的操作系统被调入内存并发挥作用，然后才将控制权交给活动主分区内的操作系统
0x1: MBR功能
．扫描分区表查找活动分区
．寻找活动分区的起始扇区
．将活动分区的引导扇区读到内存
．执行引导扇区的运行代码(启动操作系统)
如果主引导代码未完成这些功能，系统显示下列错误信息
Invalid partition table
Error loading operating system
Missing operating system
0x2: MBR成员结构
. BootCode(主引导程序代码): [:]
. DiskSignature(磁盘签名): [: ]: 主引导程序代码之后的4字节
self.BootableFlag = struct.unpack("<c", data[:])[]
self.StartCHS0 = struct.unpack("<B", data[:])[]
self.StartCHS1 = struct.unpack("<B", data[:])[]
self.StartCHS2 = struct.unpack("<B", data[:])[]
. Unused: [:]
. PartitionTables(4个硬盘分区表DPT): [: ]，占64字节，每个分区表占16字节
self.Entry0 = PartitionEntry(data[:])
self.Entry1 = PartitionEntry(data[:])
self.Entry2 = PartitionEntry(data[:])
self.Entry3 = PartitionEntry(data[:])
. Signature(主引导扇区结束标志55AAH): [: ]
1. Bootcode(主引导程序代码)
0x00000000: 33c0 XOR AX, AX
0x00000002: 8ed0 MOV SS, AX
0x00000004: bc007c MOV SP, 0x7c00 ; 当前栈区在0x7c00
0x00000007: fb STI
0x00000008: PUSH AX
0x00000009: POP ES
0x0000000a: PUSH AX
0x0000000b: 1f POP DS
0x0000000c: fc CLD
0x0000000d: be1b7c MOV SI, 0x7c1b
0x00000010: bf1b06 MOV DI, 0x61b
0x00000013: PUSH AX
0x00000014: PUSH DI
0x00000015: b9e501 MOV CX, 0x1e5 ; 区块初始化
0x00000018: f3a4 REP MOVSB ; 复制引导扇区内容到DI所在位置
0x0000001a: cb RETF ; 远返回指令，相当于跳转到0:DI
0x0000001b: bdbe07 MOV BP, 0x7be ; 栈底 7be 即指向DPT表
0x0000001e: b104 MOV CL, 0x4
0x00000020: 386e00 CMP [BP+0x0], CH ; 对介质类型判断
0x00000023: 7c09 JL 0x2e
0x00000025: JNZ 0x3a
0x00000027: 83c510 ADD BP, 0x10 ; 继续判断下一个分区表
0x0000002a: e2f4 LOOP 0x20
0x0000002c: cd18 INT 0x18
0x0000002e: 8bf5 MOV SI, BP
0x00000030: 83c610 ADD SI, 0x10
0x00000033: DEC CX
0x00000034: JZ 0x4f
0x00000036: 382c CMP [SI], CH
0x00000038: 74f6 JZ 0x30
0x0000003a: a0b507 MOV AL, [0x7b5]
0x0000003d: b407 MOV AH, 0x7
0x0000003f: 8bf0 MOV SI, AX
0x00000041: ac LODSB
0x00000042: 3c00 CMP AL, 0x0
0x00000044: 74fc JZ 0x42
0x00000046: bb0700 MOV BX, 0x7
0x00000049: b40e MOV AH, 0xe
0x0000004b: cd10 INT 0x10
0x0000004d: ebf2 JMP 0x41
0x0000004f: 884e10 MOV [BP+0x10], CL
0x00000052: e84600 CALL 0x9b
0x00000055: 732a JAE 0x81
0x00000057: fe4610 INC BYTE [BP+0x10]
0x0000005a: 807e040b CMP BYTE [BP+0x4], 0xb
0x0000005e: 740b JZ 0x6b
0x00000060: 807e040c CMP BYTE [BP+0x4], 0xc
0x00000064: JZ 0x6b
0x00000066: a0b607 MOV AL, [0x7b6]
0x00000069: 75d2 JNZ 0x3d
0x0000006b: ADD BYTE [BP+0x2], 0x6
0x0000006f: ADD WORD [BP+0x8], 0x6
0x00000073: 83560a00 ADC WORD [BP+0xa], 0x0
0x00000077: e82100 CALL 0x9b
0x0000007a: JAE 0x81
0x0000007c: a0b607 MOV AL, [0x7b6]
0x0000007f: ebbc JMP 0x3d
0x00000081: 813efe7d55aa CMP WORD [0x7dfe], 0xaa55 ; 检测signature
0x00000087: 740b JZ 0x94
0x00000089: 807e1000 CMP BYTE [BP+0x10], 0x0
0x0000008d: 74c8 JZ 0x57 ; if(支持 API位图) {
0x0000008f: a0b707 MOV AL, [0x7b7]
0x00000092: eba9 JMP 0x3d
0x00000094: 8bfc MOV DI, SP
0x00000096: 1e PUSH DS
0x00000097: PUSH DI
0x00000098: 8bf5 MOV SI, BP
0x0000009a: cb RETF
0x0000009b: bf0500 MOV DI, 0x5
0x0000009e: 8a5600 MOV DL, [BP+0x0]
0x000000a1: b408 MOV AH, 0x8
0x000000a3: cd13 INT 0x13
0x000000a5: JB 0xca
0x000000a7: 8ac1 MOV AL, CL
0x000000a9: 243f AND AL, 0x3f
0x000000ab: CBW
0x000000ac: 8ade MOV BL, DH
0x000000ae: 8afc MOV BH, AH
0x000000b0: INC BX
0x000000b1: f7e3 MUL BX
0x000000b3: 8bd1 MOV DX, CX
0x000000b5: 86d6 XCHG DH, DL
0x000000b7: b106 MOV CL, 0x6
0x000000b9: d2ee SHR DH, CL
0x000000bb: INC DX
0x000000bc: f7e2 MUL DX
0x000000be: 39560a CMP [BP+0xa], DX
0x000000c1: JA 0xe6
0x000000c3: JB 0xca
0x000000c5: CMP [BP+0x8], AX
0x000000c8: 731c JAE 0xe6
0x000000ca: b80102 MOV AX, 0x201
0x000000cd: bb007c MOV BX, 0x7c00
0x000000d0: 8b4e02 MOV CX, [BP+0x2]
0x000000d3: 8b5600 MOV DX, [BP+0x0]
0x000000d6: cd13 INT 0x13
0x000000d8: JAE 0x12b
0x000000da: 4f DEC DI
0x000000db: 744e JZ 0x12b
0x000000dd: 32e4 XOR AH, AH
0x000000df: 8a5600 MOV DL, [BP+0x0]
0x000000e2: cd13 INT 0x13
0x000000e4: ebe4 JMP 0xca
0x000000e6: 8a5600 MOV DL, [BP+0x0]
0x000000e9: PUSHA
0x000000ea: bbaa55 MOV BX, 0x55aa
0x000000ed: b441 MOV AH, 0x41
0x000000ef: cd13 INT 0x13
0x000000f1: JB 0x129
0x000000f3: 81fb55aa CMP BX, 0xaa55
0x000000f7: JNZ 0x129
0x000000f9: f6c101 TEST CL, 0x1
0x000000fc: 742b JZ 0x129
0x000000fe: POPA
0x000000ff: PUSHA ; 寄存器保护
0x00000100: 6a00 PUSH 0x0 ; BlockNum_H4
0x00000102: 6a00 PUSH 0x0
0x00000104: ff760a PUSH WORD [BP+0xa]
0x00000107: ff7608 PUSH WORD [BP+0x8] ; BlockNum_L4
0x0000010a: 6a00 PUSH 0x0 ; BufferAddr_H2
0x0000010c: 68007c PUSH WORD 0x7c00 ; BufferAddr_L2
0x0000010f: 6a01 PUSH 0x1 ; BlockCount=
0x00000111: 6a10 PUSH 0x10 ; PacketSize= PReserved=
0x00000113: b442 MOV AH, 0x42 ; 磁盘地址数据包
0x00000115: 8bf4 MOV SI, SP
0x00000117: cd13 INT 0x13 ; 扩展读
0x00000119: POPA
0x0000011a: POPA
0x0000011b: 730e JAE 0x12b
0x0000011d: 4f DEC DI
0x0000011e: 740b JZ 0x12b
0x00000120: 32e4 XOR AH, AH
0x00000122: 8a5600 MOV DL, [BP+0x0]
0x00000125: cd13 INT 0x13
0x00000127: ebd6 JMP 0xff
0x00000129: POPA
0x0000012a: f9 STC
0x0000012b: c3 RET
2. PartitionEntry(分区表)
. 引导标志(BootableFlag)[:]: 指明该分区是否是活动分区
) 0x80: Bootable
) !0x80: Not Bootable
. 硬盘物理起始位置信息(Start_CHS)
) 磁头(Heads): [:]
) 扇区(Sector): [:]
) 柱面(Cylinder): [:]
. 分区的类型描述(PartitionType)[:]: 定义了分区的类型
0x00: "Empty",
0x01: "FAT12,CHS",
0x04: "FAT16 16-32MB,CHS",
0x05: "Microsoft Extended",
0x06: "FAT16 32MB,CHS",
0x07: "NTFS",
0x0b: "FAT32,CHS",
0x0c: "FAT32,LBA",
0x0e: "FAT16, 32MB-2GB,LBA",
0x0f: "Microsoft Extended, LBA",
0x11: "Hidden FAT12,CHS",
0x14: "Hidden FAT16,16-32MB,CHS",
0x16: "Hidden FAT16,32MB-2GB,CHS",
0x18: "AST SmartSleep Partition",
0x1b: "Hidden FAT32,CHS",
0x1c: "Hidden FAT32,LBA",
0x1e: "Hidden FAT16,32MB-2GB,LBA",
0x27: "PQservice",
0x39: "Plan 9 partition",
0x3c: "PartitionMagic recovery partition",
0x42: "Microsoft MBR,Dynamic Disk",
0x44: "GoBack partition",
0x51: "Novell",
0x52: "CP/M",
0x63: "Unix System V",
0x64: "PC-ARMOUR protected partition",
0x82: "Solaris x86 or Linux Swap",
0x83: "Linux",
0x84: "Hibernation",
0x85: "Linux Extended",
0x86: "NTFS Volume Set",
0x87: "NTFS Volume Set",
0x9f: "BSD/OS",
0xa0: "Hibernation",
0xa1: "Hibernation",
0xa5: "FreeBSD",
0xa6: "OpenBSD",
0xa8: "Mac OSX",
0xa9: "NetBSD",
0xab: "Mac OSX Boot",
0xaf: "MacOS X HFS",
0xb7: "BSDI",
0xb8: "BSDI Swap",
0xbb: "Boot Wizard hidden",
0xbe: "Solaris 8 boot partition",
0xd8: "CP/M-86",
0xde: "Dell PowerEdge Server utilities (FAT fs)",
0xdf: "DG/UX virtual disk manager partition",
0xeb: "BeOS BFS",
0xee: "EFI GPT Disk",
0xef: "EFI System Parition",
0xfb: "VMWare File System",
0xfc: "VMWare Swap",
. 硬盘物理结束位置信息(End_CHS)
) 磁头(Heads): [:]
) 扇区(Sector): [:]
) 柱面(Cylinder): [:]
. 本分区之前使用的扇区数(Starting Sector LBA)[:]: 指从该磁盘开始到该分区开始之间的偏移量，以扇区数为单位
在我自己电脑上这个值取到的是0x3f()，即MBR的第一个分区是从63扇区开始，通常情况下，磁盘的3-63扇区之间的内容是未使用的，因此MBR木马常常将shellcode放置在这块分区中 . 分区的总扇区数(Section in Partition)[:]: 该分区所包含扇区的总数
在我自己电脑上这个值取到的是0xee7bb0f()
我的电脑上第4个分区表的解析结果如下
===== Partition Table # =====
Boot flag: 0x80 (Bootable)
Partition type: 0x7 (NTFS)
Starting Sector (LBA): 0x3f ()
Starting CHS: Cylinder: Head: Sector:
Ending CHS: Cylinder: Head: Sector:
Size in sectors: 0xee7bb0f () ===== Partition Table # =====
Boot flag: 0x0
Partition type: 0x0 (Empty)
Starting Sector (LBA): 0x0 ()
Starting CHS: Cylinder: Head: Sector:
Ending CHS: Cylinder: Head: Sector:
Size in sectors: 0x0 ()
===== Partition Table # =====
Boot flag: 0x0 Partition type: 0x0 (Empty)
Starting Sector (LBA): 0x0 ()
Starting CHS: Cylinder: Head: Sector:
Ending CHS: Cylinder: Head: Sector:
Size in sectors: 0x0 () ===== Partition Table # =====
Boot flag: 0x0
Partition type: 0x0 (Empty)
Starting Sector (LBA): 0x0 ()
Starting CHS: Cylinder: Head: Sector:
Ending CHS: Cylinder: Head: Sector:
Size in sectors: 0x0 ()
由于MBR仅仅为分区表保留了64字节的存储空间，而每个分区则占用16字节的空间，也就是只能分4个分区，而4个分区在实际情况下往往是不够用的。因此就有了扩展分区，扩展分区中的每个逻辑分区的分区信息都存在一个类似MBR的扩展引导记录(简称EBR)中，扩展引导记录包括分区表和结束标志“55 AA”，没有引导代码部分
如上图：EBR中分区表的第一项描述第一个逻辑分区，第二项指向下一个逻辑分区的EBR。如果下一个逻辑分区不存在，第二项就不需要了
如果硬盘的MBR被破坏，可以复制其他硬盘的MBR到故障盘，然后修复分区表，也可以初始化故障盘然后修复分区表
Relevant Link:
https://raw.githubusercontent.com/gleeda/misc-scripts/master/misc_python/mbr_parser.py
https://raw.githubusercontent.com/gleeda/misc-scripts/master/misc_python/mbr_parser.py
https://github.com/hamptus/pyMBR/blob/master/mbr.py
http://baike.baidu.com/item/%E5%BC%95%E5%AF%BC%E6%89%87%E5%8C%BA
http://bbs.pediy.com/thread-178914.htm
http://blog.csdn.net/sunqinye/article/details/18793853
http://www.360doc.com/content/14/1201/12/11681374_429548792.shtml
http://www.bydavy.com/2012/01/lets-decrypt-a-master-boot-record/
http://dengqi.blog.51cto.com/5685776/1348951
3. DBR(DOS boot record) - 位于柱面0，磁头1，扇区1，即逻辑扇区0(逻辑扇区的第一个扇区)
分区引导扇区也称DBR，是由FORMAT高级格式化命令写到该扇区的内容，DBR是由硬盘的MBR装载的程序段。DBR装入内存后，即开始执行该引导程序段，其主要功能是完成操作系统的自举并将控制权交给操作系统。每个分区都有引导扇区，但只有被设为活动分区才会被MBR装的DBR入内存运行
Relevant Link:
http://baike.baidu.com/item/DBR/4998996
4. MBR病毒
http://bbs.pediy.com/thread-121861.htm
Copyright (c) 2017 LittleHann All rights reserved