【正文】 每個(gè)參數(shù)為 16bit=48bit 64T 支持大硬盤(pán)：芯片組 ,主板 BIOS,操作系統(tǒng)。 表現(xiàn)機(jī)制： 這個(gè)模塊也稱為破壞模塊 。 傳播機(jī)制： 這部分主要負(fù)責(zé)病毒的感染和傳播 。 支 持 的 最 大 磁 頭 數(shù) 為 255， 其 他 參 數(shù) 與 普 通 模 式 相 同 。 例 如 ， 硬 盤(pán) 物 理 柱 面 數(shù) 為 1460， 磁 頭 數(shù) 為 16， 進(jìn) 入 LARGE 模 式 則 變 為 柱 面 數(shù) 730， 磁 頭 數(shù) 32， 這 樣 在 一 些 軟 件 看 來(lái) 柱 面 數(shù) 小 于 了 1024。 3. 將硬盤(pán)第一個(gè)扇區(qū) （ 0頭 0道 1扇區(qū) ， 也就是 Boot Sector） 讀入內(nèi)存地址 0000:7c00 處 。 7. 在主分區(qū)表中搜索標(biāo)志為活動(dòng)的分區(qū) 。 10. 跳轉(zhuǎn)到 0000:7c00處繼續(xù)執(zhí)行特定系統(tǒng)的啟動(dòng)程序 。 // ==0 WORD BlockCount。 26 擴(kuò)展 Int13H ds:di = 磁盤(pán)地址數(shù)據(jù)包 （ disk address packet） dl = 驅(qū)動(dòng)器號(hào) ah = 功能代碼 /返回碼 1. 檢查擴(kuò)展 Int 13H是否存在 （ 41h） ， 2. 擴(kuò)展讀 （ 42h） ， 3. 擴(kuò)展寫(xiě) （ 43h） ， 4. 校驗(yàn)扇區(qū) （ 44h） ， 5. 擴(kuò)展定位 （ 47h） , 6. 取得驅(qū)動(dòng)器參數(shù) （ 48h） 27 Windows文件系統(tǒng) 對(duì)文件的讀寫(xiě)，屏蔽底層操作。則最大簇空間： FAT12的最大空間為 =2**12=4K FAT16的最大空間為 =2**16=64K FAT32的最大空間為 =2**32=4G 30 FAT32 DBR+FAT1+FAT2+DATA 沒(méi)有采用固定的 FDT,根目錄起始扇區(qū)由BDR指定 。 (4) 1113字節(jié) 僅長(zhǎng)文件名目錄項(xiàng)用，用來(lái)存儲(chǔ)其對(duì)應(yīng)的短文件名目錄項(xiàng)的文件名字節(jié)校驗(yàn)和等。 (8) 2021字節(jié) 起始簇號(hào)的高 16位。 (12)2831字節(jié) 32位的文件字節(jié)長(zhǎng)度。 33 34 簇號(hào)為 3的數(shù)據(jù) =目錄區(qū) 35 長(zhǎng)文件名 每一項(xiàng)最多保存 13個(gè)字符內(nèi)碼： 首字節(jié)為長(zhǎng)文件名的第幾項(xiàng)， 0B=0F,0C指名類型， 0D為校驗(yàn)碼， 1A1B為 0。 ESCD是系統(tǒng) BIOS用來(lái)與操作系統(tǒng)交換硬件配置信息的數(shù)據(jù) 39 計(jì)算機(jī)的引導(dǎo)過(guò)程 BIOS的啟動(dòng)代碼將進(jìn)行它的最后一項(xiàng)工作，即根據(jù)用戶指定的啟動(dòng)順序從軟盤(pán)、硬盤(pán)或光驅(qū)啟動(dòng)。 對(duì) 80386而言，中斷是由異步的外部事件引起的，中斷用于指示 I/O設(shè)備的一次操作已完成。 在 80386中，不可屏蔽中斷所對(duì)應(yīng)的中斷向量號(hào)固定為 2。軟中斷指令 “ INT n”和 “ INTO”也歸類于異常 。 陷阱是在引起異常的指令之后，把異常情況通知給系統(tǒng)的一種異常。產(chǎn)生中止時(shí)，正執(zhí)行的程序不能被恢復(fù)執(zhí)行。 4. NMI（ 不可屏蔽中斷 ） 。 整個(gè)中斷向量表中可以存放 256個(gè)中斷向量地址 ，編號(hào)從 00到 255 。 進(jìn)入中斷服務(wù)程序之后，一般要保護(hù)現(xiàn)場(chǎng) (寄存器壓棧 )，然后進(jìn)行中斷服務(wù)，在中斷返回前要恢復(fù)現(xiàn)場(chǎng) (寄存器彈棧 )，最后用 STI開(kāi)中斷，并用 IRET恢復(fù)斷點(diǎn)處的標(biāo)志寄存器、 CS和 IP的值。 而 RAM區(qū)又分為系統(tǒng)程序 、 數(shù)據(jù)區(qū)和用戶程序區(qū)兩部分 。 1） 虛擬內(nèi)存管理則較適應(yīng)于程序要使用大塊內(nèi)存的情況 。否則，它計(jì)算程序映像的大小加上 PSP的大小再加上 EXEHEADER結(jié)構(gòu)中的exMaxAlloc域說(shuō)明的大小之和，如果第二個(gè)總和小于最大可用內(nèi)存塊的大小，則 MSDOS分配計(jì)算得到的內(nèi)存量。 62 PE格式 PE文件格式被組織為一個(gè)線性的數(shù)據(jù)流 ，使用平面地址空間 ， 所有代碼和數(shù)據(jù)都合并在一起 ， 組成一個(gè)很大的結(jié)構(gòu) 。文件偏移地址從 PE文件的第一個(gè)字節(jié)開(kāi)始計(jì)數(shù)，起始值為 0。用鏈接程序的/BASE選項(xiàng)改變?cè)撝?。即每一個(gè)區(qū)塊的第一個(gè)字節(jié)對(duì)應(yīng)于某個(gè)頁(yè)的開(kāi)始。 66 文件偏移地址與虛擬地址 67 68 MSDOS MZ header MSDOS頭部占據(jù)了 PE文件的頭 64個(gè)字節(jié) .4*16=64. USHORT e_magic。 // 魔術(shù)數(shù)字 USHORT e_cblp。 // 頭部尺寸，以段落為單位 USHORT e_minalloc。 // 初始的 SP值 USHORT e_csum。 // 重分配表文件地址 USHORT e_ovno。 // OEM信息 USHORT e_res2[10]。 USHORT NumberOfSections。 USHORT SizeOfOptionalHeader。 Bit 1 (IMAGE_FILE_EXECUTABLE_IMAGE)：置 1表示該文件是可執(zhí)行文件 Bit 2 (IMAGE_FILE_LINE_NUMS_STRIPPED)：置 1表示沒(méi)有行數(shù)信息； Bit 3 (IMAGE_FILE_LOCAL_SYMS_STRIPPED)：置 1表示沒(méi)有局部符號(hào)信息； Bit 4 (IMAGE_FILE_AGGRESIVE_WS_TRIM)： Bit 7 (IMAGE_FILE_BYTES_REVERSED_LO) Bit 15 (IMAGE_FILE_BYTES_REVERSED_HI)： Bit 8 (IMAGE_FILE_32BIT_MACHINE)：表示希望機(jī)器為 32位機(jī) 。 Bit 12 (IMAGE_FILE_SYSTEM)：置 1表示文件是一個(gè)系統(tǒng)文件例如驅(qū)動(dòng)程序 。 75 可選映像頭 順序 偏移 名字 大?。ㄗ止?jié)） 描述 1 (00H) Magic 2 幻數(shù)，一般是 010BH 2 (02H) MajorLinkerVersion 1 連接程序的主版本號(hào) 3 (03H) MinorLinkerVersion 1 連接程序的次版本號(hào) 4 (04H) SizeOfCode 4 代碼段的總尺寸 5 (08H) SizeOfInitializedData 4 已初始化的數(shù)據(jù)總尺寸 6 (0CH) SizeOfUninitalizedData 4 未初始化的數(shù)據(jù)總尺寸 7 (10H) AddressOfEntryPoint 4 開(kāi)始執(zhí)行位置 8 (14H) BaseOfCode 4 代碼節(jié)開(kāi)始的位置 9 (18H) BaseOfData 4 數(shù)據(jù)節(jié)開(kāi)始的位置 10 (1CH) ImageBase 4 可執(zhí)行文件的默認(rèn)裝入的內(nèi)存地址 11 (20H) SectionAlignment 4 可執(zhí)行文件裝入內(nèi)存時(shí)節(jié)的對(duì)齊數(shù)字 12 (24H) FileAlignment 4 文件中節(jié)的對(duì)齊數(shù)字，一般是一個(gè)扇區(qū)長(zhǎng)（ 512字節(jié)） 13 (28H) MajorOperationSystemVersion 2 要求最低操作系統(tǒng)版本好的主版本號(hào) 14 (2aH) MinorOperationSystemVersion 2 要求最低操作系統(tǒng)版本好的次版本號(hào) 15 (2CH) MajorImageVersion 2 可執(zhí)行文件主版本號(hào) 16 (2EH) MajorImageVersion 2 可執(zhí)行文件次版本號(hào) 76 20 (38H) SizeOfImage 4 裝入內(nèi)存后映像的總尺寸 21 (3CH) SizeOfHeaders 4 NT映像頭 +節(jié)表的大小 22 (40H) CheckSum 4 檢驗(yàn)和 23 (44H) Subsystem 2 可執(zhí)行文件的子系統(tǒng)。//在 EXE中，它保存的實(shí)際尺寸 ULONG VirtualSize。 //本節(jié)的經(jīng)過(guò)文件對(duì)齊后的尺寸 ULONG PointerToRawData。 USHORT NumberOfLinenumbers。置位 0x00000040? 這個(gè)塊包含已初始化的數(shù)據(jù)。 0x02022000? 這個(gè)塊可以被丟棄，因?yàn)橐坏┧惠d入，其進(jìn)程就不需要它。在連接時(shí)用 SHARE屬性。 0x40000000? 這個(gè)塊是可讀的。 有此屬性的典型的塊是 .data 和 .bss ,.idata 塊也有這個(gè)屬性。 數(shù)據(jù)段， .bss、 .rdata、 .data .bss段表示應(yīng)用程序的未初始化數(shù)據(jù)，包括所有函數(shù)或源模塊中聲明為 static的變量。它起始于一個(gè)資源目錄結(jié)構(gòu)，這個(gè)結(jié)構(gòu)就像其它大多數(shù)結(jié)構(gòu)一樣，但是它的數(shù)據(jù)被更進(jìn)一步地組織在了一棵資源樹(shù)之中。對(duì)于磁盤(pán) Pe文件來(lái)說(shuō)，他無(wú)法知道這些函數(shù)在內(nèi)存中的地址。 t his table contains a name or ordinal f or each import. ( The name “ Char acter istics ” is used in WINN but is no longer desc r ipt ive of this f ield.) 4 4 Time/Date S tamp Set t o zer o unt il bound。 97 引出函數(shù)節(jié) 1 (00H) Charac teristics 4 一般為 0 2 (04H) T im eDateS tam p 4 文件生成時(shí)間 3 (08H) MajorV ersion 2 主版本號(hào) 4 (0AH ) MinorV ersion 2 次版本號(hào) 5 (0CH ) Nam e 4 指向 DL L 的名字 6 (10H) Base 4 開(kāi)始的序列號(hào) 7 (14H) Nu m berOfF u n ctio n s 4 Addr essO fFu n ctio n s 數(shù)組的項(xiàng)數(shù) 8 (18H) Nu m berOfN ames 4 Addr essO f Nam es 數(shù)組的項(xiàng)數(shù) 9 (1CH ) Addr essO fFu n ctio n s 4 指向函數(shù)地址數(shù)組 10 (20H) Addr essO fN ames 4 函數(shù)名字的指針的地址 11 (24H) Addr essO fN ameO rdin als 4 指向輸入序列號(hào)數(shù)組 98 dir 99 address table 100 ordinal 101 Name pointer 102 Name 103 作業(yè) 1. 硬盤(pán)主引導(dǎo)區(qū)由哪幾個(gè)部分構(gòu)成 ？fdisk/mbr命令會(huì)重寫(xiě)整個(gè)主引導(dǎo)扇區(qū)嗎 ？ 2. 在硬盤(pán)上刪除一個(gè)文件 ， 并將其手