使用Bochs模拟器和IDA调试MBR

最新推荐文章于 2020-03-05 10:35:18 发布

FFE4

最新推荐文章于 2020-03-05 10:35:18 发布

阅读量2.3k

点赞数 4

分类专栏：心情杂货铺文章标签： Bochs MBR Bootkit 调试暗云

本文链接：https://blog.csdn.net/cssxn/article/details/90738498

版权

心情杂货铺专栏收录该内容

47 篇文章 4 订阅

订阅专栏

需要环境

python2.7
IDA 7.0
Bochs2.6.9
nasm.exe（可选）

调试步骤

第一步，创建Img文件

首先需要安装Bochs模拟器，打开安装目录，运行bximage.exe，选择1，然后一路回车，直到出现Press any key to continue
安装目录下会出现一个c.img硬盘镜像文件
在这里插入图片描述
第二步，将MBR文件，写入IMG文件

我这里先使用nasm.exe把一个用汇编写的mbr程序编译成bin文件，如果是有样本的情况下，直接取出感染的mbr部分保存成文件即可
在这里插入图片描述

使用python脚本，把编译好的mbr，写入img文件中

def UpdateImage(imgfile, mbrfile):
  """
  Write the MBR code into the disk image
  """
  
  # open image file
  f = open(imgfile, "r+b")
  if not f:
    print "Could not open image file!"
    return False
  # open MBR file
  f2 = open(mbrfile, "rb")
  if not f2:
    print "Could not open mbr file!"
    return False

  # read whole MBR file
  mbr = f2.read()
  f2.close()

  # update image file
  f.write(mbr)
  f.close()

  return True

下图提示，已经写入成功
在这里插入图片描述

第三步，编写bochsrc配置文件

在bochs安装目录，创建一个模拟器的配置文件bochsrc

romimage: file=$BXSHARE/BIOS-bochs-latest 
vgaromimage: file=$BXSHARE/VGABIOS-lgpl-latest
megs: 16
ata0: enabled=1, ioaddr1=0x1f0, ioaddr2=0x3f0, irq=14
ata0-master: type=disk, path="c.img", mode=flat, cylinders=20, heads=16, spt=63
boot: disk

然后测试能否正常加载刚刚写进c.img的mbr

启动模拟器命令：