实验简介实验报告【参考】.doc

实验简介 实验所属系列：恶意代码原理 实验对象： 本科/专科信息安全专业 相关课程及专业：信息网络安全概论、汇编语言 实验时数（学分）：2学时 实验类别：实践实验类 实验目的 通过实验，了解引导区病毒的感染对象和感染特征，重点学习引导病毒的感染机制和恢复感染染毒文件的方法，提高汇编语言的使用能力。 预备知识 本实验要求实验者具备如下的相关知识。 1.主引导记录 ????? 主引导记录（Master Boot Record，缩写：MBR），又叫做主引导扇区，是计算机开机后访问硬盘时所必须要读取的首个扇区，它在硬盘上的三维地址为（柱面，磁头，扇区）＝（0，0，1），也就是硬盘的第一个物理扇区。 ????? 当我择从硬盘启动时，由 bois从该扇区读入引导代码。MBR关键数据可分为3部分： ????? （1） 引导代码 ????? （2） 分区表 ????? （3） 结束标志（55AA） ????? 硬盘的主引导程序代码是从偏移0000H开始到偏移01BDH结束的446字节；主引导程序代码包括一小段执行代码。启动PC 机时，系统首先对硬件设备进行测试，成功后进入自举程序INT 19H；然后读系统磁盘0柱面、0磁头、1扇区的主引导扇区MBR的内容到内存指定单元0：7C00 首地址开始的区域，并执行MBR程序段。 ????? 分区表用以管理整个磁盘空间的划分。它从MBR的0x1BE偏移开始，有4个表项，每项16个字节，因此最多只能可以建立4个主分区。微软为了克服这个数 量限制，设计了扩展分区的方式。所谓扩展分区就是分区表中指向的一个普通分区而已，只是在它自己分区内部又有特殊的结构，使得我们可以分出多个逻辑分区， 我们平时看到的d、e、f等驱动器实际上都是扩展分区内部划分的逻辑分区，当你用winhex查看你的分区表，会发现里面只有两项，一项代表C盘分区，另 外一项就是代表其他所有驱动器之和的扩展分区了，当然如果自己分了其他主分区的情况除外。 ????? 标准 MBR 结构如下表所示： ? \n\n\n 地址 描述 长度 （字节） Hex Dec 0000 0 代码区 440\n\t\n\t(最大 446) 01B8 440 选用磁盘标志 4 01BC 444 一般为空值; 0x0000 2 01BE 446 标准 MBR 分区表规划\n\t\n\t(四个16 byte的主分区表入口) 64 01FE 510 55h MBR 有效标志:\n\t\n\t0x55AA 2 01FF 511 AAh MBR, 总大小: 446 + 64 + 2 = 512 2.引导型病毒 ????? 引导型病毒是在安装操作系统之前进入内存，寄生对象相对固定，都在磁盘引导扇区中，病毒引导程序占用了原系统引导程序的位置，并把原系统引导程序搬移到一 个特定的地方。这样，系统启动时，病毒引导模块就会自动地装入内存并获得执行权，然后该引导程序负责将病毒程序的传染模块和干扰、破坏模块装入内存的适当 位置，并采取常驻内存技术以保证这两个模块不会被覆盖，接着对该两个模块设定某种激活方式，使之在适当的时候取得执行权。处理完这些工作后，病毒引导模块 将系统引导模块装入内存，使系统在带毒状态下运行。 3.病毒清除 ????? 如果主引导区被病毒感染，可以用fdisk /mbr命令修复MBR，或用备份的MBR覆盖主引导区来清除病毒，但是有造成分区信息丢失的风险，可能造成系统无法正常启动。 4.winhex ????? 是一款以通用的16进制编辑器为核心，专门用来对付计算机取证、数据恢复、低级数据处理、以及 IT 安全性、各种日常紧急情况的高级工具： 用来检查和修复各种文件、恢复删除文件、硬盘损坏、数码相机卡损坏造成的数据丢失等。 实验环境 一台安装了windows 2003操作系统的主机，在C:/virus/文件夹中有实验工具。 登录进入操作控制台，运行桌面上“Oracle VM Virtual box”程序，等程序启动后，选中“win2003内网”虚拟机并点击“运行”，如下图所示： 等virtual box虚拟机运行后，输入用户名：administartor，密码：123456进入另一windows虚拟机，本实验的操作在该虚拟机内进行，如下图红色框内为本实验操作台： 实验步骤一 用Winhex查看硬盘MBR信息 1、打开winhex 依次打开C盘“virus”文件夹，找到winhex文件夹，双击setup.exe进行安装，默认安装后双击图标运行winhex程序，出现如下窗口： ? 2、使用winhex打开硬盘，分析硬盘信息 ????? 依次点击：“工具”，“打开磁盘”，出现下图： ????? 打开物理硬盘C盘，可以查看与编辑硬盘信息。