【正文】 97 引出函數(shù)節(jié) 1 (00H) Charac teristics 4 一般為 0 2 (04H) T im eDateS tam p 4 文件生成時(shí)間 3 (08H) MajorV ersion 2 主版本號 4 (0AH ) MinorV ersion 2 次版本號 5 (0CH ) Nam e 4 指向 DL L 的名字 6 (10H) Base 4 開始的序列號 7 (14H) Nu m berOfF u n ctio n s 4 Addr essO fFu n ctio n s 數(shù)組的項(xiàng)數(shù) 8 (18H) Nu m berOfN ames 4 Addr essO f Nam es 數(shù)組的項(xiàng)數(shù) 9 (1CH ) Addr essO fFu n ctio n s 4 指向函數(shù)地址數(shù)組 10 (20H) Addr essO fN ames 4 函數(shù)名字的指針的地址 11 (24H) Addr essO fN ameO rdin als 4 指向輸入序列號數(shù)組 98 dir 99 address table 100 ordinal 101 Name pointer 102 Name 103 作業(yè) 1. 硬盤主引導(dǎo)區(qū)由哪幾個(gè)部分構(gòu)成 ？fdisk/mbr命令會重寫整個(gè)主引導(dǎo)扇區(qū)嗎 ？ 2. 在硬盤上刪除一個(gè)文件 ， 并將其手工恢復(fù) 。對于磁盤 Pe文件來說，他無法知道這些函數(shù)在內(nèi)存中的地址。 數(shù)據(jù)段， .bss、 .rdata、 .data .bss段表示應(yīng)用程序的未初始化數(shù)據(jù)，包括所有函數(shù)或源模塊中聲明為 static的變量。 0x40000000? 這個(gè)塊是可讀的。 0x02022000? 這個(gè)塊可以被丟棄，因?yàn)橐坏┧惠d入，其進(jìn)程就不需要它。 USHORT NumberOfLinenumbers。//在 EXE中，它保存的實(shí)際尺寸 ULONG VirtualSize。 Bit 12 (IMAGE_FILE_SYSTEM)：置 1表示文件是一個(gè)系統(tǒng)文件例如驅(qū)動程序 。 USHORT SizeOfOptionalHeader。 // OEM信息 USHORT e_res2[10]。 // 初始的 SP值 USHORT e_csum。 // 魔術(shù)數(shù)字 USHORT e_cblp。即每一個(gè)區(qū)塊的第一個(gè)字節(jié)對應(yīng)于某個(gè)頁的開始。文件偏移地址從 PE文件的第一個(gè)字節(jié)開始計(jì)數(shù)，起始值為 0。否則，它計(jì)算程序映像的大小加上 PSP的大小再加上 EXEHEADER結(jié)構(gòu)中的exMaxAlloc域說明的大小之和，如果第二個(gè)總和小于最大可用內(nèi)存塊的大小，則 MSDOS分配計(jì)算得到的內(nèi)存量。 而 RAM區(qū)又分為系統(tǒng)程序 、 數(shù)據(jù)區(qū)和用戶程序區(qū)兩部分 。 整個(gè)中斷向量表中可以存放 256個(gè)中斷向量地址 ，編號從 00到 255 。產(chǎn)生中止時(shí)，正執(zhí)行的程序不能被恢復(fù)執(zhí)行。軟中斷指令 “ INT n”和 “ INTO”也歸類于異常 。 對 80386而言，中斷是由異步的外部事件引起的，中斷用于指示 I/O設(shè)備的一次操作已完成。 33 34 簇號為 3的數(shù)據(jù) =目錄區(qū) 35 長文件名 每一項(xiàng)最多保存 13個(gè)字符內(nèi)碼： 首字節(jié)為長文件名的第幾項(xiàng)， 0B=0F,0C指名類型， 0D為校驗(yàn)碼， 1A1B為 0。 (8) 2021字節(jié) 起始簇號的高 16位。則最大簇空間： FAT12的最大空間為 =2**12=4K FAT16的最大空間為 =2**16=64K FAT32的最大空間為 =2**32=4G 30 FAT32 DBR+FAT1+FAT2+DATA 沒有采用固定的 FDT,根目錄起始扇區(qū)由BDR指定 。 // ==0 WORD BlockCount。 7. 在主分區(qū)表中搜索標(biāo)志為活動的分區(qū) 。 例 如 ， 硬 盤 物 理 柱 面 數(shù) 為 1460， 磁 頭 數(shù) 為 16， 進(jìn) 入 LARGE 模 式 則 變 為 柱 面 數(shù) 730， 磁 頭 數(shù) 32， 這 樣 在 一 些 軟 件 看 來 柱 面 數(shù) 小 于 了 1024。 傳播機(jī)制： 這部分主要負(fù)責(zé)病毒的感染和傳播 。 因 此 ， 該 模 式 可 管 理 的 最 大 硬 盤 容 量 為： 1024 255 63 512= 8024 MB 10 計(jì)算機(jī)磁盤的管理 LBA=[(cylinder * heads_per_cylinder + heads)* sectors_per_track] + (sector1) C=LBA DIV (PH*PS) H=(LBA DIV PS) mod PH S=LBA mod PS 11 計(jì)算機(jī)磁盤的管理 ATA1: C16bit,H8bit, S4bit(28bit) MAX=65536 255 16 512/1024 KB= GB Int 13: C10bit, H8bit, C6bit(24bit) EX Int 13: 64bit線性地址 BigDrives： CHS每個(gè)參數(shù)為 16bit=48bit 64T 支持大硬盤：芯片組 ,主板 BIOS,操作系統(tǒng)。 4. 檢查 (WORD） 0000:7dfe是否等于 0xaa55， 若不等于則轉(zhuǎn)去嘗試其它啟動介質(zhì) ， 如果沒有其它啟動介質(zhì)則顯示 “ No ROM BASIC”， 然后死機(jī) 。 24 擴(kuò)展 Int13H 1． 數(shù)據(jù)類型約定 BYTE 1 字節(jié)整型 (8位 ） WORD 2 字節(jié)整型 (16位 ） DWORD 4 字節(jié)整型 (32位 ） QWORD 8 字節(jié)整型 (64位 ） 25 擴(kuò)展 Int13H 磁盤地址數(shù)據(jù)包 Disk Address Packet (DAP） DAP是基于絕對扇區(qū)地址的 ， 因此利用 DAP，Int13H可以輕松地逾越 1024柱面的限制 ， 因?yàn)樗揪筒恍枰?CHS的概念 。 主引導(dǎo)記錄 （ Master Boot Record， MBR）、 磁盤分配表（ Partition Table， DPT）、 引導(dǎo)記錄（ Boot Record， DBR）、 文件分配表（ File Allocation Table， FAT） 根目錄（ Root Directory） 簇：若干扇區(qū)合并為一個(gè)簇，其數(shù)目必須是 2的冪方。 (5) 1315字節(jié) 24位二進(jìn)制的文件建立時(shí)間，其中的高 5位為小時(shí)，次 6位為分鐘。 32 FAT32 其中第 (4)至 (8)項(xiàng)為以后陸續(xù)定義的 。以從 C盤啟動為例，系統(tǒng) BIOS將讀取并執(zhí)行硬盤上的主引導(dǎo)記錄，主引導(dǎo)記錄接著從分區(qū)表中找到第一個(gè)活動分區(qū)，然后讀取并執(zhí)行這個(gè)活動分區(qū)的分區(qū)引導(dǎo)記錄，而分區(qū)引導(dǎo)記錄將負(fù)責(zé)讀取并執(zhí)行，這是 DOS和 Windows 9x最基本的系統(tǒng)文件。 異常是 80386在 執(zhí)行指令期間 檢測到不正常的或非法的條件所引起的。當(dāng)控制轉(zhuǎn)移到異常處理程序時(shí)，所保存的斷點(diǎn) CS及 EIP的值指向引起陷阱的指令的下一條要執(zhí)行的指令。 5. INTR（ 可屏蔽中斷 ） 。 49 DOS內(nèi)存管理 圖 D O S 內(nèi)存分配狀態(tài) RO M BI O S 設(shè)備 ( 顯示器、硬盤等 ) 保留區(qū) CO M M A N D .CO M 暫駐部分 應(yīng)用程序區(qū) CO M M A N D .CO M 常駐部分 DOS 核心模塊 M SD O S 的常駐部分 D O S BI O S 模塊 I O . SY S 的常駐模塊 DOS 通信區(qū) 用戶通信區(qū) BI O S 通信區(qū) 中斷向量表 FFFFFH F 000 : 0H A 000 : 0H 007 0: 0H 005 0: 0H 004 0: 0H 000 0: 0H 004 0: 0F 0H 1M B 640 K B DOS 內(nèi)核使用的數(shù)據(jù)結(jié)構(gòu)和可安裝設(shè)備驅(qū)動程序 50 DOS內(nèi)存管理 DOS在基本內(nèi)存 (640K)運(yùn)行時(shí)的內(nèi)存分配狀態(tài) 。 2） 堆管理適應(yīng)于程序要經(jīng)常分配小塊內(nèi)存的情況 3）內(nèi)存映射文件則為大文件的操作提供方面，并提供進(jìn)程間通訊的方法 55 虛擬內(nèi)存 1） 分配 /保留虛擬內(nèi)存 VirtualAlloc（ lpMem,Size,Type,Access） 2） 釋放虛擬內(nèi)存 VirtualFree（ lpMEM,Size,Type） 3） 改變頁保護(hù)屬性 VirtualProtect（ lpMem,size,Acess,lpOldAcess） 4） 內(nèi)存鎖定： VirtualLock（ lpMem,Size） 5） 內(nèi)存解鎖： VirtualUnlock（ lpMem,Size） 56 堆管理 1） 使用缺省堆 Win32進(jìn)程都有一個(gè)缺省堆。文件內(nèi)容被分割為不同的 區(qū)塊 （ section, 區(qū)段 /節(jié) ） ， 塊中包含代碼或數(shù)據(jù) ， 各個(gè)塊按頁的邊界對齊 ， 塊沒有大小限制 ，是一個(gè)連續(xù)結(jié)構(gòu) 。 65 PE的名詞 相對虛擬地址（ Relative Virtual Address， RVA） 是指內(nèi)存中相對于 pe文件裝入地址（基地址）的偏移量。 // 魔術(shù)數(shù)字 =MZ LONG e_lfanew。 // 所需的最小附加段 USHORT e_maxalloc。 // 覆蓋號 USHORT e_res[4]。 ULONG TimeDateStamp。 =1 Bit 9 (IMAGE_FILE_DEBUG_STRIPPED)：表示沒有調(diào)試信息 Bit 10 (IMAGE_FILE_REMOVABLE_RUN_FROM_SWAP)：置 1表示該程序不能運(yùn)行于可移動介質(zhì)中 （ 如軟驅(qū)或 CDROM） 。如 GUI子系統(tǒng) 24 (46H) DllCharacteristics 2 何時(shí) DllMain被調(diào)用，一般為 0 25 (48H) SizeOfStackReserve 4 初始化線程時(shí)保留的堆棧大小 26 (4CH) SizeOfStackCommit 4 初始化線程時(shí)提交的堆棧大小 27 (50H) SizeOfHeapReserve 4 進(jìn)程初始化時(shí)保留的堆大小 28 (54H) SizeOfHeapCommit 4 進(jìn)程初始化時(shí)提交的堆大小 29 (58H) LoaderFlags 4 此項(xiàng)與調(diào)試有關(guān) 30 (5CH) NumberRvaA