【正文】 1 計算機病毒 Computer Virus 傅建明 武漢大學計算機學院 2 第二章 預備知識 主要內(nèi)容：病毒的基本結(jié)構(gòu)，磁盤結(jié)構(gòu)，文件系統(tǒng)，文件格式 講授：原理介紹與工具演示結(jié)合 基礎(chǔ)和重點 3 第二章 預備知識 計算機病毒的結(jié)構(gòu) 計算機磁盤的管理 Windows文件系統(tǒng) 計算機的引導過程 中斷與異常 內(nèi)存管理 EXE文件格式 4 計算機病毒的結(jié)構(gòu) 1. ECHO OFF 2. IF %DRIVE%==A:\ GOTO END123 3. IF %DRIVE%==C:\ GOTO END123 4. IF %COMSPEC%= =C:\WINDOWS\ SET DRIVE=A:\ 5. IF %COMSPEC%= =A:\ SET DRIVE=C:\ 6. IF NOT EXIST %DRIVE% GOTO END123 7. COPY %DRIVE%NUL 8. ECHO CALL VIRUS 9. COPY %DRIVE%+ %DRIVE% NUL 10. DEL NUL 11. Echo BAT Virus Test! I will format your Disk! 12. : END123 13. ECHO ON 5 計算機病毒的結(jié)構(gòu) 觸發(fā)機制： 這部分主要用來控制病毒的傳播和發(fā)作 。 傳播機制： 這部分主要負責病毒的感染和傳播 。 表現(xiàn)機制： 這個模塊也稱為破壞模塊 。 6 1 磁盤結(jié)構(gòu) 磁頭 硬盤基本結(jié)構(gòu) 盤面基本結(jié)構(gòu) 7 計算機磁盤的管理 硬盤的三個基本參數(shù) CHS ： 磁 頭 數(shù)（ Heads） 、 柱面數(shù) （ Cylinders） 、 扇區(qū)數(shù) （ Sectors） 、 以及相應的尋址方式 。 磁頭數(shù) （ Heads） ： 8bit； 0255 柱面數(shù) （ Cylinders） ： 10bit， 01023 扇區(qū)數(shù) (Sectors） ： 6bit， 063 一個硬盤實際最大容量為： 255 * 1023 * 63 * 512/1048576 = 8024 MB 8 計算機磁盤的管理 NORMAL, 普 通 模 式 : 這 是 原 來 的IDE 硬 盤 工 作 模 式 ， 支 持 的 最 大 柱 面 數(shù) 為 1024， 最 大 磁 頭 數(shù) 為 16， 每 磁 道 最 大 扇 區(qū) 數(shù) 為 63， 該 模 式 可 管 理 的 最 大 硬 盤 容 量 為： 1024 16 63 512 =504MB 9 計算機磁盤的管理 LBA（ Logical Block Addressing） , 邏 輯 塊 地 址 模 式 : 在 該 模 式 下 設(shè) 置 的 柱 面 數(shù) 、 磁 頭 數(shù) 和 每 磁 道 扇 區(qū) 數(shù) 并 不 是 實 際 的 物 理 參 數(shù) ， 在 訪 問 硬 盤 時 ， 由 EIDE 控 制 器 把 由 柱 面 數(shù) 、 磁 頭 數(shù) 和 每 磁 道 扇 區(qū) 數(shù) 等 參 數(shù) 確 定 的 邏 輯 地 址 轉(zhuǎn) 換 為 實 際 的 物 理 地 址 。 支 持 的 最 大 磁 頭 數(shù) 為 255， 其 他 參 數(shù) 與 普 通 模 式 相 同 。 因 此 ， 該 模 式 可 管 理 的 最 大 硬 盤 容 量 為： 1024 255 63 512= 8024 MB 10 計算機磁盤的管理 LBA=[(cylinder * heads_per_cylinder + heads)* sectors_per_track] + (sector1) C=LBA DIV (PH*PS) H=(LBA DIV PS) mod PH S=LBA mod PS 11 計算機磁盤的管理 ATA1: C16bit,H8bit, S4bit(28bit) MAX=65536 255 16 512/1024 KB= GB Int 13: C10bit, H8bit, C6bit(24bit) EX Int 13: 64bit線性地址 BigDrives： CHS每個參數(shù)為 16bit=48bit 64T 支持大硬盤：芯片組 ,主板 BIOS,操作系統(tǒng)。 12 計算機磁盤的管理 ⑶ LARGE, 大 模 式 : 當 硬 盤 的 柱 面 數(shù) 超 過1024 而 又 不 為 LBA 所 支 持 時 ， 可 采 用 該 模 式 。 LARGE 模 式 參 數(shù) 設(shè) 置 方 法 是 把 柱 面 數(shù) 除 以 2， 把 磁 頭 數(shù) 乘 以 2， 使 柱 面 減 少 容 量 不 變 。 例 如 ， 硬 盤 物 理 柱 面 數(shù) 為 1460， 磁 頭 數(shù) 為 16， 進 入 LARGE 模 式 則 變 為 柱 面 數(shù) 730， 磁 頭 數(shù) 32， 這 樣 在 一 些 軟 件 看 來 柱 面 數(shù) 小 于 了 1024。 該 模 式 可 管 理 的 硬 盤 最 大 容 量 為： 1024 32 63 512=1GB 13 計算機磁盤的管理 主引導扇區(qū) （ Boot Sector） 也就是硬盤的第一個扇區(qū) （ 0面 0磁道 1扇區(qū) ） ， 它由主引導記錄 （ Main Boot Record， MBR） ，硬盤主分區(qū)表 （ Disk Partition Table，DPT） 和引導扇區(qū)標記 （ Boot Record ID）三部分組成 。 該扇區(qū)在硬盤進行分區(qū)時產(chǎn)生 ， 用 FDISK/MBR可重建標準的主引導記錄程序 。 14 計算機磁盤的管理 000H — 08AH ：主引導程序 ， 用于尋找活動分區(qū) 08BH — 0D9H ：啟動字符串 0DAH — 1BCH ：保留 1BEH — 1FDH ：硬盤主分區(qū)表 1FEH — 1FFH ：結(jié)束標記 (55AA) 15 生物病毒 圖 主引導扇區(qū) 的 結(jié)構(gòu) 0000 01 BD 01 BE 01 CD 01 CE 01 DD 01 DE 01 ED 01 EE 01 F D 01 F E 01 F F 55 AA M as t er Boot Reco r d 主引導記錄（ 446 字節(jié)） 分區(qū)信息 1 （ 16 字節(jié)） 分區(qū)信息 2 （ 16 字節(jié)） 分區(qū)信息 3 （ 16 字節(jié)） 分區(qū)信息 4 （ 16 字節(jié)） 16 計算機磁盤的管理 33 C0 8E D0 BC 00 7C FB 50 07 50 1F FC BE 1B 7C BF 1B 06 50 57 B9 E5 01 F3 A4 CB BD BE 07 B1 04 38 6E 00 7C 09 75 13 83 C5 10 E2 F4 CD 18 8B F5 83 C6 10 49 74 19 38 2C 74 F6 A0 B5 07 B4 07 8B F0 AC 3C 00 74 FC BB 07 00 B4 0E CD 10 EB F2 88 4E 10 E8 46 00 7 3 2A FE 46 10 80 7E 04 0B 74 0B 80 7E 04 0C 74 05 A0 B6 07 75 D2 80 46 02 06 83 46 08 06 83 56 0A 00 E8 21 00 73 05 A0 B6 07 EB BC 81 3E FE 7D 55 AA 74 0B 80 7E 10 00 74 C8 A0 B7 07 EB A9 8B FC 1E 57 8B F5 CB BF 05 00 8A 56 00 B4 08 CD 13 72 23 8A C1 24 3F 98 8A DE 8A FC 43 F7 E3 8B D1 86 D6 B1 06 D2 EE 42 F7 E2 39 56 0A 77 23 72 05 39 46 08 73 1C B8 01 02 BB 00 7C 8B 4E 02 8B 56 00 CD 13 73 51 4F 74 4E 32 E4 8A 56 00 CD 13 EB E4 8A 56 00 60 BB AA 55 B4 41 CD 13 72 36 81 FB 55 AA 75 30 F6 C1 01 74 2B 61 60 17 6A 00 6A 00 FF 76 0A FF 76 08 6A 00 68 00 7C 6A 01 6A 10 B4 42 8B F4 CD 13 61 61 73 0E 4F 74 0B 32 E4 8A 56 00 CD 13 EB D6 61 F9 C3 49 6E 76 61 6C 69 64 20 70 61 72 74 69 74 69 6F 6E 20 74 61 62 6C 65 00 45 72 72 6F 72 20 6C 6F 61 64 69 6E 67 20 6F 70 65 7 2 61 74 69 6E 67 20 73 79 73 74 65 6D 00 4D 69 73 73 69 6E 67 20 6F 70 65 72 61 74 69 6E 67 20 73 79 73 74 65 6D 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 2C 44 63 AD 1A AE 1A 00 00 80 01 01 00 0B FE FF FB 3F 00 00 00 BD 08 FA 00 00 00 C1 FC 0F FE FF FE FC 08 FA 00 C5 DB 56 08 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 0