【正文】 每個參數(shù)為 16bit=48bit 64T 支持大硬盤：芯片組 ,主板 BIOS,操作系統(tǒng)。 表現(xiàn)機制： 這個模塊也稱為破壞模塊 。 傳播機制： 這部分主要負責(zé)病毒的感染和傳播 。 支 持 的 最 大 磁 頭 數(shù) 為 255， 其 他 參 數(shù) 與 普 通 模 式 相 同 。 例 如 ， 硬 盤 物 理 柱 面 數(shù) 為 1460， 磁 頭 數(shù) 為 16， 進 入 LARGE 模 式 則 變 為 柱 面 數(shù) 730， 磁 頭 數(shù) 32， 這 樣 在 一 些 軟 件 看 來 柱 面 數(shù) 小 于 了 1024。 3. 將硬盤第一個扇區(qū) （ 0頭 0道 1扇區(qū) ， 也就是 Boot Sector） 讀入內(nèi)存地址 0000:7c00 處 。 7. 在主分區(qū)表中搜索標志為活動的分區(qū) 。 10. 跳轉(zhuǎn)到 0000:7c00處繼續(xù)執(zhí)行特定系統(tǒng)的啟動程序 。 // ==0 WORD BlockCount。 26 擴展 Int13H ds:di = 磁盤地址數(shù)據(jù)包 （ disk address packet） dl = 驅(qū)動器號 ah = 功能代碼 /返回碼 1. 檢查擴展 Int 13H是否存在 （ 41h） ， 2. 擴展讀 （ 42h） ， 3. 擴展寫 （ 43h） ， 4. 校驗扇區(qū) （ 44h） ， 5. 擴展定位 （ 47h） , 6. 取得驅(qū)動器參數(shù) （ 48h） 27 Windows文件系統(tǒng) 對文件的讀寫，屏蔽底層操作。則最大簇空間： FAT12的最大空間為 =2**12=4K FAT16的最大空間為 =2**16=64K FAT32的最大空間為 =2**32=4G 30 FAT32 DBR+FAT1+FAT2+DATA 沒有采用固定的 FDT,根目錄起始扇區(qū)由BDR指定 。 (4) 1113字節(jié) 僅長文件名目錄項用，用來存儲其對應(yīng)的短文件名目錄項的文件名字節(jié)校驗和等。 (8) 2021字節(jié) 起始簇號的高 16位。 (12)2831字節(jié) 32位的文件字節(jié)長度。 33 34 簇號為 3的數(shù)據(jù) =目錄區(qū) 35 長文件名 每一項最多保存 13個字符內(nèi)碼： 首字節(jié)為長文件名的第幾項， 0B=0F,0C指名類型， 0D為校驗碼， 1A1B為 0。 ESCD是系統(tǒng) BIOS用來與操作系統(tǒng)交換硬件配置信息的數(shù)據(jù) 39 計算機的引導(dǎo)過程 BIOS的啟動代碼將進行它的最后一項工作，即根據(jù)用戶指定的啟動順序從軟盤、硬盤或光驅(qū)啟動。 對 80386而言，中斷是由異步的外部事件引起的，中斷用于指示 I/O設(shè)備的一次操作已完成。 在 80386中，不可屏蔽中斷所對應(yīng)的中斷向量號固定為 2。軟中斷指令 “ INT n”和 “ INTO”也歸類于異常 。 陷阱是在引起異常的指令之后，把異常情況通知給系統(tǒng)的一種異常。產(chǎn)生中止時，正執(zhí)行的程序不能被恢復(fù)執(zhí)行。 4. NMI（ 不可屏蔽中斷 ） 。 整個中斷向量表中可以存放 256個中斷向量地址 ，編號從 00到 255 。 進入中斷服務(wù)程序之后，一般要保護現(xiàn)場 (寄存器壓棧 )，然后進行中斷服務(wù)，在中斷返回前要恢復(fù)現(xiàn)場 (寄存器彈棧 )，最后用 STI開中斷，并用 IRET恢復(fù)斷點處的標志寄存器、 CS和 IP的值。 而 RAM區(qū)又分為系統(tǒng)程序 、 數(shù)據(jù)區(qū)和用戶程序區(qū)兩部分 。 1） 虛擬內(nèi)存管理則較適應(yīng)于程序要使用大塊內(nèi)存的情況 。否則，它計算程序映像的大小加上 PSP的大小再加上 EXEHEADER結(jié)構(gòu)中的exMaxAlloc域說明的大小之和，如果第二個總和小于最大可用內(nèi)存塊的大小，則 MSDOS分配計算得到的內(nèi)存量。 62 PE格式 PE文件格式被組織為一個線性的數(shù)據(jù)流 ，使用平面地址空間 ， 所有代碼和數(shù)據(jù)都合并在一起 ， 組成一個很大的結(jié)構(gòu) 。文件偏移地址從 PE文件的第一個字節(jié)開始計數(shù)，起始值為 0。用鏈接程序的/BASE選項改變該值。即每一個區(qū)塊的第一個字節(jié)對應(yīng)于某個頁的開始。 66 文件偏移地址與虛擬地址 67 68 MSDOS MZ header MSDOS頭部占據(jù)了 PE文件的頭 64個字節(jié) .4*16=64. USHORT e_magic。 // 魔術(shù)數(shù)字 USHORT e_cblp。 // 頭部尺寸，以段落為單位 USHORT e_minalloc。 // 初始的 SP值 USHORT e_csum。 // 重分配表文件地址 USHORT e_ovno。 // OEM信息 USHORT e_res2[10]。 USHORT NumberOfSections。 USHORT SizeOfOptionalHeader。 Bit 1 (IMAGE_FILE_EXECUTABLE_IMAGE)：置 1表示該文件是可執(zhí)行文件 Bit 2 (IMAGE_FILE_LINE_NUMS_STRIPPED)：置 1表示沒有行數(shù)信息； Bit 3 (IMAGE_FILE_LOCAL_SYMS_STRIPPED)：置 1表示沒有局部符號信息； Bit 4 (IMAGE_FILE_AGGRESIVE_WS_TRIM)： Bit 7 (IMAGE_FILE_BYTES_REVERSED_LO) Bit 15 (IMAGE_FILE_BYTES_REVERSED_HI)： Bit 8 (IMAGE_FILE_32BIT_MACHINE)：表示希望機器為 32位機 。 Bit 12 (IMAGE_FILE_SYSTEM)：置 1表示文件是一個系統(tǒng)文件例如驅(qū)動程序 。 75 可選映像頭 順序 偏移 名字 大?。ㄗ止?jié)） 描述 1 (00H) Magic 2 幻數(shù)，一般是 010BH 2 (02H) MajorLinkerVersion 1 連接程序的主版本號 3 (03H) MinorLinkerVersion 1 連接程序的次版本號 4 (04H) SizeOfCode 4 代碼段的總尺寸 5 (08H) SizeOfInitializedData 4 已初始化的數(shù)據(jù)總尺寸 6 (0CH) SizeOfUninitalizedData 4 未初始化的數(shù)據(jù)總尺寸 7 (10H) AddressOfEntryPoint 4 開始執(zhí)行位置 8 (14H) BaseOfCode 4 代碼節(jié)開始的位置 9 (18H) BaseOfData 4 數(shù)據(jù)節(jié)開始的位置 10 (1CH) ImageBase 4 可執(zhí)行文件的默認裝入的內(nèi)存地址 11 (20H) SectionAlignment 4 可執(zhí)行文件裝入內(nèi)存時節(jié)的對齊數(shù)字 12 (24H) FileAlignment 4 文件中節(jié)的對齊數(shù)字，一般是一個扇區(qū)長（ 512字節(jié)） 13 (28H) MajorOperationSystemVersion 2 要求最低操作系統(tǒng)版本好的主版本號 14 (2aH) MinorOperationSystemVersion 2 要求最低操作系統(tǒng)版本好的次版本號 15 (2CH) MajorImageVersion 2 可執(zhí)行文件主版本號 16 (2EH) MajorImageVersion 2 可執(zhí)行文件次版本號 76 20 (38H) SizeOfImage 4 裝入內(nèi)存后映像的總尺寸 21 (3CH) SizeOfHeaders 4 NT映像頭 +節(jié)表的大小 22 (40H) CheckSum 4 檢驗和 23 (44H) Subsystem 2 可執(zhí)行文件的子系統(tǒng)。//在 EXE中，它保存的實際尺寸 ULONG VirtualSize。 //本節(jié)的經(jīng)過文件對齊后的尺寸 ULONG PointerToRawData。 USHORT NumberOfLinenumbers。置位 0x00000040? 這個塊包含已初始化的數(shù)據(jù)。 0x02022000? 這個塊可以被丟棄，因為一旦它被載入，其進程就不需要它。在連接時用 SHARE屬性。 0x40000000? 這個塊是可讀的。 有此屬性的典型的塊是 .data 和 .bss ,.idata 塊也有這個屬性。 數(shù)據(jù)段， .bss、 .rdata、 .data .bss段表示應(yīng)用程序的未初始化數(shù)據(jù)，包括所有函數(shù)或源模塊中聲明為 static的變量。它起始于一個資源目錄結(jié)構(gòu)，這個結(jié)構(gòu)就像其它大多數(shù)結(jié)構(gòu)一樣，但是它的數(shù)據(jù)被更進一步地組織在了一棵資源樹之中。對于磁盤 Pe文件來說，他無法知道這些函數(shù)在內(nèi)存中的地址。 t his table contains a name or ordinal f or each import. ( The name “ Char acter istics ” is used in WINN but is no longer desc r ipt ive of this f ield.) 4 4 Time/Date S tamp Set t o zer o unt il bound。 97 引出函數(shù)節(jié) 1 (00H) Charac teristics 4 一般為 0 2 (04H) T im eDateS tam p 4 文件生成時間 3 (08H) MajorV ersion 2 主版本號 4 (0AH ) MinorV ersion 2 次版本號 5 (0CH ) Nam e 4 指向 DL L 的名字 6 (10H) Base 4 開始的序列號 7 (14H) Nu m berOfF u n ctio n s 4 Addr essO fFu n ctio n s 數(shù)組的項數(shù) 8 (18H) Nu m berOfN ames 4 Addr essO f Nam es 數(shù)組的項數(shù) 9 (1CH ) Addr essO fFu n ctio n s 4 指向函數(shù)地址數(shù)組 10 (20H) Addr essO fN ames 4 函數(shù)名字的指針的地址 11 (24H) Addr essO fN ameO rdin als 4 指向輸入序列號數(shù)組 98 dir 99 address table 100 ordinal 101 Name pointer 102 Name 103 作業(yè) 1. 硬盤主引導(dǎo)區(qū)由哪幾個部分構(gòu)成 ？fdisk/mbr命令會重寫整個主引導(dǎo)扇區(qū)嗎 ？ 2. 在硬盤上刪除一個文件 ， 并將其手