计算机病毒-mooc彭国军-学习笔记

计算机引导与磁盘管理

1. 系统引导与控制权

1.1 计算机系统引导过程

• BIOS:Basic Input and Output System，基本输入输出系统
  存储在主板BIOS Flash(或ROM)芯片
  为计算机提供最底层、最直接的硬件设置和控制
• BIOS引导模式
  传统BIOS模式：开发效率低、性能差、扩展性差等
  UEFI-Unified Extensible Firmware Interface(统一可扩展固件接口)：支持GPT分区，取消了POST自检，速度快
• 两种模式下的启动流程
  ①传统BIOS引导：
  开机->BIOS初始化->POST自检->硬盘主引导程序MBR->活动分区引导程序DBR->操作系统引导如Windows Vista及以后的bootmgr(或Windows XP系统的NTLDR)->读取BCD(或boot.ini)->启动对应的系统
  ②UEFI BIOS引导：
  开机->BIOS初始化->启动管理器(EFI分区bootxxx.efi)->读取BCD->启动对应的系统
• 硬盘主引导程序MBR-Master Boot Record：所在位置是硬盘第一个扇区
  主要功能：①通过主分区表中定位活动分区②装载活动分区的引导程序，并移交控制权
• 活动分区引导程序DBR-DOS Boot Record，是分区的第一个扇区。
  功能：加载操作系统引导程序

1.2 系统引导与恶意软件的关联

恶意软件在植入系统之后，如何再次获得控制权?
①在计算机系统引导阶段获得控制权：
BIOS木马、MBR木马等，可长期驻留在系统；早期的DOS引导区病毒；CIH病毒
②在操作系统启动阶段获得控制权：
最常见的恶意软件启动方法，多见于独立的恶意软件程序
③在应用程序执行阶段获得控制权
最常见的是文件感染型病毒启动方法

2.磁盘的物理与逻辑结构

2.1 硬盘与控制权

硬盘是控制代码（系统引导代码、各类程序与数据等）的静态存储仓库

2.2 逻辑结构

2.2.1 寻址方式

①CHS参数寻址-Cylinders柱面、Headers磁头、Sector扇区
参数取值范围：
磁头数Heads:0-255（8位）
柱面数Cylinders:0-1023(10位)
扇区数Sectors:1-63（6位）；通常每扇区512个字节
CHS参数可以寻址的磁盘最大容量：
256×1024×63×512/1048576=8046MB(1M = 1048576Bytes)

老式硬盘：每个磁道的扇区数相等
②LBA线性逻辑块寻址-Logical Block Address
当前硬盘：等密度结构
寻址方式：LBA，即以扇区为单位进行线性寻址

2.2.2 总体结构

• 硬盘的结构：主引导扇区、基本分区、扩展扇区
• Window常见分区类型：FAT32、NTFS等

2.2.3 主引导扇区

• 位于整个硬盘的0柱面0磁头1扇区（硬盘的第一个扇区）
• ①MBR引导程序：前446个字节（偏移0H~1BDH）
  ②DPT硬盘分区表：随后的64个字节
  ③结束标志：最后的两个字节55AA(偏移1FEH~1FFH)

2.2.4 GPT分区结构

1、可以超过四个主分区
2、单分区容量可以大于2TB