计算机病毒的相关DOS基本系统知识---硬盘结构和数据组织.doc

计算机病毒的相关DOS基本系统知识---硬盘结构及数据组织 (1)硬盘的结构 硬盘和软盘一样,都是个人计算机常用的外存储器,但硬盘比软盘容量大,速度快。硬盘由多个盘片组成,PC的硬盘一般由2～14个盘片组成。以两个盘片为例,它有4个磁头,编号为0～3,4个磁头对应的4个面为0～3面。 硬盘的磁盘表面也以转轴中心为圆心,被均匀地划分为若干个半径不等的同心圆,叫做磁道。不同面上的相同直径的磁道,在垂直方向构成的圆筒,叫做柱面。显而易见,柱面数等于磁道数。10MB的硬盘共有306个柱面,编号由外向里为0柱面到305柱面;20MB的硬盘有614个柱面,编号为0～613。1个面上每个磁道有17个扇区,每个扇区(无论弧长的大小)都存储512个字节,所以,对于10MB硬盘,全部字节数为: 7512×17 有17个系统隐藏扇区,DOS分区从1面0柱l扇区开始。由此可见,硬盘的逻辑扇区与物理扇区的对应关系因DOS版本的不同而不同。 (2)硬盘的数据组织 硬盘系统可以划分为几个分区,用以支持DOS以外的操作系统。DOS3.2版本以下的系统,硬盘最多可分为4个分区。每个分区可以具有不同大小的存储空间,但每个分区分配的存储空间是连续的,因此在 (3)主引导扇区 主引导扇区位于硬盘0面0柱1扇区,它是硬盘上的第一物理扇区。它由主引导程序(位移量000～1BDH)和分区表(PartitionTable,位移量1BE～1FDH)两部分组成,最后两个字节(位移量1FE～1FFH)“55AA”为主引导区结束标志。主引导程序用于硬盘启动时将系统控制转给用户指定的并在分区中登记了的某个操作系统区;分区表用于指明硬盘划分情况,含4个可能的分区,每个分区的记录占用16个字节,由FDISK程序建立。主引导扇区中存放着硬盘的主引导记录。硬磁盘的主引导记录包括3个方面的内容: ①主引导程序代码 主引导程序用来找出系统当前的活动分区,负责把对应的一个操作系统的引导记录(当前活动分区的引导记录)装入内存,然后把控制权转给该分区的引导记录。 ②分区表 主引导扇区的分区表存放在主引导记录的后 第0个字节是自检标志,该值为80H时,表示该分区是当前活动分区,可引导;当值为00H,表示该分区不可引导。第4字节是DOS系统标志,其值为00H时表示不是DOS分区;值为01H时,表示该分区是DOS分区,使用12位文件分配表;值为04H或其他值(但不能是00H,若将此字节置为00H,可达到加密硬盘的效果)时表示是DOS分区,并采用16位或32位文件分配表。分区表的第1～3字节是该分区的起始地址,其中第1字节为起始磁头号(面号),第2字节的低6位为扇区号,第2字节的高2位是柱面号的高2位,第3字节指出柱面号的低8位,因此,柱面号是用10位二进制数表示的。分区表的第5～7字节表示该分区的终止地址,其意义与第1～3字节相同。第8～11字节表示该分区的起始逻辑扇区号,第12～15字节表示该分区的实际扇区数。 仅有一个DOS分区(0面0柱2扇区～3面98柱14 ③主引导记录结束标志 当主引导记录结束标志为AA55H时,表示该主引导记录是一个有效的记录,它可用来引导硬盘系统。 硬盘的主引导记录扇区,即0面0柱l扇区,是一个系统的隐含扇区。它排在逻辑0扇区之外,因此不能使用系统中断INT25H和INT26H对它进行读写操作,也不能使用工具软件DEBUG、PCTOOLS读写它,只有使用中断INT13H才能访问该隐含扇区。某些病毒程序(如Stone病毒),就是利用硬盘主引导扇区的隐含性来保护自己的。由于主引导扇区中包含有DOS分区表(从1BEH到1FFH),而该分区表是不能不存在的,所以,隐藏在主引导扇区中的病毒程序最长也不能超过1BEH,即不超过446B。如前所述,不同的DOS版本下,硬盘的隐含扇区数目是不同的:DOS3.0以下版本只有1个隐含扇区,而DOS3.0及以上版本有17个隐含扇区,DOS通 制造厂家标记和DOS版本号(8字节); 磁盘基本I/O参数块(BPB,19字节)和磁盘基数表(11字节);引导程序(482字节)。同样,硬盘的BPB表,记录了有关磁盘的重要信息,如每扇区字节数、每簇扇区数、文件表个数、磁盘介质说明等等。而磁盘基数表则将每道扇区数、每扇区字节数、扇区间隔字节数、磁头加载卸载时间等信息提供给磁盘驱动程序。有关参数表的含义和磁盘介质说明符请分别参看表2.1、表2.2。其中的隐含扇区数一般用于硬盘分区(所以在软盘中 该值为0),在硬盘分区中,它表示磁盘起始扇区到当前分区之前的总扇区数,如表2.6所示: 硬盘的每一个分区都是独立的“逻辑驱动器”,DOS将每个分区都视为