[理学]西南交通大学 第四章 DOS病毒分析.pdfVIP

第四章 DOS病毒分析 1）引导区病毒 2）文件型病毒 3）混合病毒 4.1 引导区病毒 1、引导区病毒的基本概念 1）定义：引导区病毒是指专门感染磁盘引 导扇区和硬盘主引导扇区的计算机病毒程序 4.1 引导区病毒 2 、引导区病毒的基本原理 加电自检 主引导扇区 分区引导扇区 主引导扇区 （病毒代码） 感染其他磁盘 原主引导扇区 4.1 引导区病毒 3 、引导区病毒的特点 ①引导区病毒总是先于操作系统进入内存的。因 此，它们普遍都要采取修改操作系统可用内存的方 式来保护自己。一般这类病毒都驻留在内存的高端 ②引导区病毒寄生的对象相对固定，一般就是主引 导扇区、分区引导扇区。 ③为了实现感染，引导区病毒一般都要修改INT 13H中断，将中断服务程序的入口指向病毒程序。 ④由于引导区病毒先于操作系统进入内存，有些病 毒甚至在重新分区、格式化硬盘后都无法消除。 4.1 引导区病毒 4 、引导区病毒的分类 MBR(主引导区)病毒 这类病毒主要寄生在硬盘的0面、0道、1扇区 。 如大麻(Stoned)、2708、INT60病毒。 BR(引导区)病毒 这类病毒主要感染操作系统的分区引导扇区，即逻 辑0扇区。 如Brain、小球病毒。 5 、引导区病毒的工作过程 1）软盘带毒的引导过程 DOS内存布局 引导区病毒 5 、引导区病毒的工作过程 2）硬盘带毒的引导过程 带毒硬盘引导 BIOS将硬盘主引导区 读到内存0:7C00处 控制权转到主引导程序 (病毒) 将0:413单元的值 减少1K(或nK) 计算可用内存高端地址， 将病毒移到高端继续执行 修改INT 13H地址，指向病毒传染段， 将原INT 13H地址保存在某一单元 病毒任务完成， 将原引导区调入0:7C00执行 系统正常引导 3 ）关于INT 13H INT 13H入口 病毒程序入口 0 16 32