安全操作系统.pptVIP

安全操作系统 中国科学技术大学计算机系 陈香兰（0512 xlanchen@ 助教：裴建国 Autumn 2008 实验讲解 口令破解，Password cracking 文件恢复，file recovery 缓冲区溢出 系统安全 安全审计 文件事件审计 主机安全审计 文件恢复，file recovery 实验中用到的工具 磁盘相关 磁盘物理组织和结构 磁盘逻辑组织和结构 FAT32文件恢复 Ext2文件恢复 工具 Winhex 下载evaluation版：/ FinalData 下载Demo版，有限时间；有限使用/ 文件粉碎机 下载，很多网站 例如filekiller Debugfs，Linux自带 文件恢复，file recovery 实验中用到的工具 磁盘相关 磁盘物理组织和结构 磁盘逻辑组织和结构 FAT32文件恢复 Ext2文件恢复 文件恢复，file recovery 磁盘相关 磁盘物理组织和结构 磁盘逻辑组织和结构 FAT32文件恢复 Ext2文件恢复 MBR IA32 IBM PC系统采用MBR分区表方案 系统启动时，首先执行ROM BIOS中的固件 该固件将会装载（ 0x7C00 ）并执行MBR中的boot loader 运行在实模式 MBR中的boot loader将查找分区表，找到活动分区，加载该分区启动扇区并执行 与FS类型以及OS类型有关 通常用来加载OS相关的secondary bootstrap loader，例如io.sys, ntldr 分区表, partition table 4项，MBR 446字节开始的64个字节，偏移分别 Partition 1 0x01BE (446) Partition 2 0x01CE (462)? Partition 3 0x01DE (478)? Partition 4 0x01EE (494)? 每项16个字节 分区表项（细） FAT Partition Boot Sector NTFS Partition Boot Sector 关于Windows 2000的启动，参见Ntldr Vista和server 2008：winload.exe和Windows Boot Manager 演示？ 打开整个磁盘，看分区，MBR Partition recovery 误删一个分区？ TestDisk gpart 有些磁盘管理工具，在删除分区时，会写覆盖分区前部的几个扇区 Windows 2000/XP，第一个扇区 需要有备份的启动扇区配合恢复 病毒？ 分区时突然掉电/死机？ 安装或删除多OS之一？ 文件恢复，file recovery 实验中用到的工具 磁盘相关 磁盘物理组织和结构 磁盘逻辑组织和结构 FAT32文件恢复 Ext2文件恢复 FAT基本概念 扇区 簇 链式存储（显式） File Allocation Table 目录项 FAT的备份 FAT＃1和FAT＃2，大小相等 FAT的格式 最早，FAT12，用12bit对簇寻址 4096－（000h，001h，FF0h～FFFh）＝4078个可用 软盘 Initial FAT16，用16bit对簇寻址，65517 受限于16位扇区号，分区最大32MB Final FAT16，1987 磁盘技术：可以使用32位的扇区号 sectors-per-cluster=64 标准扇区大小512字节，簇最大32KB，分区最大2G FAT32，32位，其中28位用来寻簇 若32KB的簇，则8TB，理论上 受限于bootsector，32位扇区号，实际上最大2TB FAT表的大小 簇数×（12/16/32） 以扇区为单位向上取整 FAT表项的作用（根据表项的编号和表项的值） 标明磁盘类型 链接一个文件的各个簇 标明坏簇和可用簇 FAT表项的值 FAT的第0项 首字节标明磁盘类型，参见这里 FAT的第1项 不用 FAT 分区布局 FAT32 boot sector BPB 25个字节 Extended BPB，for FAT12/16 Extended BPB，for FAT32 File system information sector File system information sector 空闲簇的个数；最近分配出去的簇号 FAT各部分的偏移计算 Bootsector：分区的第一个扇区（start sector） FAT表1： Start + # of Reserved Sectors FAT表2： Start + # of Reserved Sectors＋FAT表大小 Data area： Start + # of Reserved + (# of Sectors Per FAT