Windows启动过程(MBR引导过程分析)

最新推荐文章于 2024-02-06 10:58:01 发布

轻箬笠

最新推荐文章于 2024-02-06 10:58:01 发布

阅读量1.2w

点赞数 6

分类专栏： windows

windows 专栏收录该内容

4 篇文章 0 订阅

订阅专栏

原文地址：https://www.cnblogs.com/LittleHann/p/6974928.html

catalogue

1. 电脑启动过程
2. MBR分析(master boot record) - 位于整个硬盘的 0 扇区
3. DBR(DOS boot record) - 位于柱面0，磁头1，扇区1，即逻辑扇区0(逻辑扇区的第一个扇区)
4. MBR病毒

1. 电脑启动过程

1. 按下开机电源,电源向主板和其他设备供电,此时电压不稳,主板控制芯片会向CPU发送并保持RESET(复位信号),让CPU初始化。当电源开始稳定后,芯片组撤去RESERT信号。如果按RESERT信号,当放开RESERT时,就撤去RESERT信号。CPU从FFFF0h处执行指令，此处为一条跳转指令，使CPU跳转到系统BIOS的启动代码处 
2. 系统BIOS的启动代码首先进行POST(加电自检)。POST主要对一些关键硬件进行检查。如显卡,内存,主板等。由于此处在显卡初始化之前,所以无法图像显示,只能通过声音了。即我们所知道的通过声音判断硬件问题 
3. 接着,系统BIOS查找显卡BIOS(通常地址C0000h处),找到后调用它的初始化代码,由显卡BIOS完成显卡的初始化,此处会在屏幕上显示显卡信息,厂商,显卡容量等 
4. 接着系统BIOS会查找其他设备的BIOS,并调用它们的初始化代码
5. 接着系统BIOS检查CPU类型和工作频率,并显示检测结果。之后系统BIOS检测内存并显示信息
6. 内存测试通过后,检测其他安装的硬件设备,包括:硬盘,CD-ROM,串行接口,并行接口等。
7. 标准设备查完后,系统BIOS内部的支持即插即用的代码检测和配置系统中安装的即插即用设备,每检测到一个,系统BIOS在屏幕上显示该设备信息,同时为设备分配中断,DMA通道和I/O端口资源
8. 到此,硬件设备检测完毕,系统BIOS会重新清屏并在屏幕上显示出一个系统配置表,其中概略列出系统中安装的各种标准硬件设备,及他们使用的资源和一些相关参数。
9. 接下来系统BIOS更新ESCD(扩展系统配置数据)。ESCD是系统BIOS用来与操作系统交换硬件配置信息的数据,存放在CMOS中。通常ESCD数据只有系统硬件配置改变时才更新
10. ESCD更新完毕后,系统BIOS根据用户指定的启动顺序从指定设备启动(加载MBR到7c00h处,同时还会把设备的驱动号给dl)

0x1: BIOS

BIOS(Basic Input/Output System)基本输入输出系统，全称是ROM-BIOS，是只读存储器基本输输出系统的简写，它实际是一组被固化到电脑中，为电脑提供最低级最直接的硬件控制的程序。电脑启动后第一个运行的用户级汇编代码就是它(因为严谨来说CPU内部也有启动代码)，而BIOS的运行离不开CMOS(Complementary Metal Oxide Semiconductor)，CMOS本意是指互补金属氧化物半导体，一种大规模应用于集成电路芯片制造的原料，在计算机领域，CMOS常指保存计算机基本启动信息(如日期、时间、启动设置等)的芯片CMOS 的功耗很低，计算机主板上一个纽扣电池就可以给它长时间地提供电力，即使系统掉电，信息也不会丢失。而当主板电池供电不足时CMOS的信息会丢失
CMOS是主板上的一块可读写的RAM芯片，是用来保存BIOS的硬件配置和用户对某些参数的设定。而对CMOS中各项参数的设定要通过专门的程序，现在多数厂家将CMOS设置程序做到了BIOS芯片中，在开机时通过按下某个特定键就可进入CMOS设置程序而非常方便地对系统进行设置，因此这种CMOS设置又通常被叫做BIOS设置

Relevant Link:

http://blog.csdn.net/sunqinye/article/details/18793853

2. MBR分析(master boot record) - 位于整个硬盘的 0 扇区

磁盘的存储是已扇区为基本单位的，我们的资料，操作系统代码，包括系统启动引导代码(MBR)都是存储在这些扇区中，其中硬盘的0柱面、0磁头、1扇区称为主引导扇区，也叫主引导记录MBR，该记录占用512个字节，它用于硬盘启动时将系统控制权(BIOS启动后将控制权给MBR，MBR负责加载操作系统)转给用户指定的、在分区表中登记了某个操作系统分区
MBR的内容是在硬盘分区时由分区软件写入该扇区的，MBR不属于任何一个操作系统，不随操作系统的不同而不同，即使不同，MBR也不会夹带操作系统的性质，具有公共引导的特性。但安装某些多重引导功能的软件或LINUX的LILO时有可能改写它，它先于所有的操作系统被调入内存并发挥作用，然后才将控制权交给活动主分区内的操作系统

0x1: MBR功能

1．扫描分区表查找活动分区
2．寻找活动分区的起始扇区
3．将活动分区的引导扇区读到内存
4．执行引导扇区的运行代码(启动操作系统)

如果主引导代码未完成这些功能，系统显示下列错误信息

Invalid partition table
Error loading operating system
Missing operating system

0x2: MBR成员结构

1. BootCode(主引导程序代码): [0:440]
2. DiskSignature(磁盘签名): [440: 444]: 主引导程序代码之后的4字节
    self.BootableFlag = struct.unpack("<c", data[:1])[0]
        self.StartCHS0 = struct.unpack("<B", data[1:2])[0]
        self.StartCHS1 = struct.unpack("<B", data[2:3])[0]
        self.StartCHS2 = struct.unpack("<B", data[3:4])[0]
3. Unused: [444:445] 
4. PartitionTables(4个硬盘分区表DPT): [445: 509]，占64字节，每个分区表占16字节 
    self.Entry0 = PartitionEntry(data[6:22])
        self.Entry1 = PartitionEntry(data[22:38])
        self.Entry2 = PartitionEntry(data[38:54])
        self.Entry3 = PartitionEntry(data[54:70])
5. Signature(主引导扇区结束标志55AAH): [509: 511]

1. Bootcode(主引导程序代码)

0x00000000: 33c0                             XOR AX, AX
0x00000002: 8ed0                             MOV SS, AX
0x00000004: bc007c                           MOV SP, 0x7c00    ; 当前栈区在0x7c00
0x00000007: fb                               STI
0x00000008: 50                               PUSH AX
0x00000009: 07                               POP ES
0x0000000a: 50                               PUSH AX
0x0000000b: 1f                               POP DS
0x0000000c: fc                               CLD
0x0000000d: be1b7c                           MOV SI, 0x7c1b
0x00000010: bf1b06                           MOV DI, 0x61b
0x00000013: 50                               PUSH AX
0x00000014: 57                               PUSH DI
0x00000015: b9e501                           MOV CX, 0x1e5    ; 区块初始化
0x00000018: f3a4                             REP MOVSB        ; 复制引导扇区内容到DI所在位置
0x0000001a: cb                               RETF        ; 远返回指令，相当于跳转到0:DI
0x0000001b: bdbe07                           MOV BP, 0x7be    ; 栈底 7be 即指向DPT表
0x0000001e: b104                             MOV CL, 0x4
0x00000020: 386e00                           CMP [BP+0x0], CH    ; 对介质类型判断
0x00000023: 7c09                             JL 0x2e
0x00000025: 7513                             JNZ 0x3a
0x00000027: 83c510                           ADD BP, 0x10    ; 继续判断下一个分区表
0x0000002a: e2f4                             LOOP 0x20
0x0000002c: cd18                             INT 0x18
0x0000002e: 8bf5                             MOV SI, BP
0x00000030: 83c610                           ADD SI, 0x10
0x00000033: 49                               DEC CX
0x00000034: 7419                             JZ 0x4f
0x00000036: 382c                             CMP [SI], CH
0x00000038: 74f6                             JZ 0x30
0x0000003a: a0b507                           MOV AL, [0x7b5]
0x0000003d: b407                             MOV AH, 0x7
0x0000003f: 8bf0                             MOV SI, AX
0x00000041: ac                               LODSB
0x00000042: 3c00                             CMP AL, 0x0
0x00000044: 74fc                             JZ 0x42
0x00000046: bb0700                           MOV BX, 0x7
0x00000049: b40e                             MOV AH, 0xe
0x0000004b: cd10                             INT 0x10
0x0000004d: ebf2                             JMP 0x41
0x0000004f: 884e10                           MOV [BP+0x10], CL
0x00000052: e84600                           CALL 0x9b
0x00000055: 732a                             JAE 0x81
0x00000057: fe4610                           INC BYTE [BP+0x10]
0x0000005a: 807e040b                         CMP BYTE [BP+0x4], 0xb
0x0000005e: 740b                             JZ 0x6b
0x00000060: 807e040c                         CMP BYTE [BP+0x4], 0xc
0x00000064: 7405                             JZ 0x6b
0x00000066: a0b607                           MOV AL, [0x7b6]
0x00000069: 75d2                             JNZ 0x3d
0x0000006b: 80460206                         ADD BYTE [BP+0x2], 0x6
0x0000006f: 83460806                         ADD WORD [BP+0x8], 0x6
0x00000073: 83560a00                         ADC WORD [BP+0xa], 0x0
0x00000077: e82100                           CALL 0x9b
0x0000007a: 7305                             JAE 0x81
0x0000007c: a0b607                           MOV AL, [0x7b6]
0x0000007f: ebbc                             JMP 0x3d
0x00000081: 813efe7d55aa                     CMP WORD [0x7dfe], 0xaa55    ; 检测signature
0x00000087: 740b                             JZ 0x94
0x00000089: 807e1000                         CMP BYTE [BP+0x10], 0x0    
0x0000008d: 74c8                             JZ 0x57            ; if(支持 API位图) {
0x0000008f: a0b707                           MOV AL, [0x7b7]    
0x00000092: eba9                             JMP 0x3d
0x00000094: 8bfc                             MOV DI, SP
0x00000096: 1e                               PUSH DS
0x00000097: 57                               PUSH DI
0x00000098: 8bf5                             MOV SI, BP
0x0000009a: cb                               RETF
0x0000009b: bf0500                           MOV DI, 0x5
0x0000009e: 8a5600                           MOV DL, [BP+0x0]
0x000000a1: b408                             MOV AH, 0x8
0x000000a3: cd13                             INT 0x13
0x000000a5: 7223                             JB 0xca
0x000000a7: 8ac1                             MOV AL, CL
0x000000a9: 243f                             AND AL, 0x3f
0x000000ab: 98                               CBW
0x000000ac: 8ade                             MOV BL, DH
0x000000ae: 8afc                             MOV BH, AH
0x000000b0: 43                               INC BX
0x000000b1: f7e3                             MUL BX
0x000000b3: 8bd1                             MOV DX, CX
0x000000b5: 86d6                             XCHG DH, DL
0x000000b7: b106                             MOV CL, 0x6
0x000000b9: d2ee                             SHR DH, CL
0x000000bb: 42                               INC DX
0x000000bc: f7e2                             MUL DX
0x000000be: 39560a                           CMP [BP+0xa], DX
0x000000c1: 7723                             JA 0xe6
0x000000c3: 7205                             JB 0xca
0x000000c5: 394608                           CMP [BP+0x8], AX
0x000000c8: 731c                             JAE 0xe6
0x000000ca: b80102                           MOV AX, 0x201
0x000000cd: bb007c                           MOV BX, 0x7c00
0x000000d0: 8b4e02                           MOV CX, [BP+0x2]
0x000000d3: 8b5600                           MOV DX, [BP+0x0]
0x000000d6: cd13                             INT 0x13
0x000000d8: 7351                             JAE 0x12b
0x000000da: 4f                               DEC DI
0x000000db: 744e                             JZ 0x12b
0x000000dd: 32e4                             XOR AH, AH
0x000000df: 8a5600                           MOV DL, [BP+0x0]
0x000000e2: cd13                             INT 0x13
0x000000e4: ebe4                             JMP 0xca
0x000000e6: 8a5600                           MOV DL, [BP+0x0]
0x000000e9: 60                               PUSHA
0x000000ea: bbaa55                           MOV BX, 0x55aa
0x000000ed: b441                             MOV AH, 0x41
0x000000ef: cd13                             INT 0x13         
0x000000f1: 7236                             JB 0x129
0x000000f3: 81fb55aa                         CMP BX, 0xaa55    
0x000000f7: 7530                             JNZ 0x129
0x000000f9: f6c101                           TEST CL, 0x1    
0x000000fc: 742b                             JZ 0x129
0x000000fe: 61                               POPA
0x000000ff: 60                               PUSHA        ; 寄存器保护
0x00000100: 6a00                             PUSH 0x0        ; BlockNum_H4
0x00000102: 6a00                             PUSH 0x0
0x00000104: ff760a                           PUSH WORD [BP+0xa]
0x00000107: ff7608                           PUSH WORD [BP+0x8]    ; BlockNum_L4
0x0000010a: 6a00                             PUSH 0x0        ; BufferAddr_H2
0x0000010c: 68007c                           PUSH WORD 0x7c00    ; BufferAddr_L2
0x0000010f: 6a01                             PUSH 0x1        ; BlockCount=1
0x00000111: 6a10                             PUSH 0x10        ; PacketSize=16 PReserved=0
0x00000113: b442                             MOV AH, 0x42    ; 磁盘地址数据包
0x00000115: 8bf4                             MOV SI, SP
0x00000117: cd13                             INT 0x13        ; 扩展读
0x00000119: 61                               POPA
0x0000011a: 61                               POPA
0x0000011b: 730e                             JAE 0x12b
0x0000011d: 4f                               DEC DI
0x0000011e: 740b                             JZ 0x12b
0x00000120: 32e4                             XOR AH, AH
0x00000122: 8a5600                           MOV DL, [BP+0x0]
0x00000125: cd13                             INT 0x13
0x00000127: ebd6                             JMP 0xff
0x00000129: 61                               POPA
0x0000012a: f9                               STC
0x0000012b: c3                               RET

2. PartitionEntry(分区表)

1. 引导标志(BootableFlag)[0:1]: 指明该分区是否是活动分区
    1) 0x80: Bootable
    2) !0x80: Not Bootable
2. 硬盘物理起始位置信息(Start_CHS)
    1) 磁头(Heads): [1:2]
    2) 扇区(Sector): [2:3]
    3) 柱面(Cylinder): [3:4]
3. 分区的类型描述(PartitionType)[4:5]: 定义了分区的类型
    0x00: "Empty",
    0x01: "FAT12,CHS",
    0x04: "FAT16 16-32MB,CHS",
    0x05: "Microsoft Extended",
    0x06: "FAT16 32MB,CHS",
    0x07: "NTFS",
    0x0b: "FAT32,CHS",
    0x0c: "FAT32,LBA",
    0x0e: "FAT16, 32MB-2GB,LBA",
    0x0f: "Microsoft Extended, LBA",
    0x11: "Hidden FAT12,CHS",
    0x14: "Hidden FAT16,16-32MB,CHS",
    0x16: "Hidden FAT16,32MB-2GB,CHS",
    0x18: "AST SmartSleep Partition",
    0x1b: "Hidden FAT32,CHS",
    0x1c: "Hidden FAT32,LBA",
    0x1e: "Hidden FAT16,32MB-2GB,LBA",
    0x27: "PQservice",
    0x39: "Plan 9 partition",
    0x3c: "PartitionMagic recovery partition",
    0x42: "Microsoft MBR,Dynamic Disk",
    0x44: "GoBack partition",
    0x51: "Novell",
    0x52: "CP/M",
    0x63: "Unix System V",
    0x64: "PC-ARMOUR protected partition",
    0x82: "Solaris x86 or Linux Swap",
    0x83: "Linux",
    0x84: "Hibernation",
    0x85: "Linux Extended",
    0x86: "NTFS Volume Set",
    0x87: "NTFS Volume Set",
    0x9f: "BSD/OS",
    0xa0: "Hibernation",
    0xa1: "Hibernation",
    0xa5: "FreeBSD",
    0xa6: "OpenBSD",
    0xa8: "Mac OSX",
    0xa9: "NetBSD",
    0xab: "Mac OSX Boot",
    0xaf: "MacOS X HFS",
    0xb7: "BSDI",
    0xb8: "BSDI Swap",
    0xbb: "Boot Wizard hidden",
    0xbe: "Solaris 8 boot partition",
    0xd8: "CP/M-86",
    0xde: "Dell PowerEdge Server utilities (FAT fs)",
    0xdf: "DG/UX virtual disk manager partition",
    0xeb: "BeOS BFS",
    0xee: "EFI GPT Disk",
    0xef: "EFI System Parition",
    0xfb: "VMWare File System",
    0xfc: "VMWare Swap",
4. 硬盘物理结束位置信息(End_CHS)
    1) 磁头(Heads): [5:6]
    2) 扇区(Sector): [6:7]
    3) 柱面(Cylinder): [7:8]
5. 本分区之前使用的扇区数(Starting Sector LBA)[8:12]: 指从该磁盘开始到该分区开始之间的偏移量，以扇区数为单位
在我自己电脑上这个值取到的是0x3f(63)，即MBR的第一个分区是从63扇区开始，通常情况下，磁盘的3-63扇区之间的内容是未使用的，因此MBR木马常常将shellcode放置在这块分区中

6. 分区的总扇区数(Section in Partition)[12:16]: 该分区所包含扇区的总数
在我自己电脑上这个值取到的是0xee7bb0f(250067727)

我的电脑上第4个分区表的解析结果如下

===== Partition Table #1 =====
Boot flag: 0x80 (Bootable)
Partition type: 0x7 (NTFS)
Starting Sector (LBA): 0x3f (63)
Starting CHS: Cylinder: 0 Head: 1 Sector: 1
Ending CHS: Cylinder: 1023 Head: 254 Sector: 63
Size in sectors: 0xee7bb0f (250067727)
 
===== Partition Table #2 =====
Boot flag: 0x0 
Partition type: 0x0 (Empty)
Starting Sector (LBA): 0x0 (0)
Starting CHS: Cylinder: 0 Head: 0 Sector: 0
Ending CHS: Cylinder: 0 Head: 0 Sector: 0
Size in sectors: 0x0 (0) 
===== Partition Table #3 =====
Boot flag: 0x0 

Partition type: 0x0 (Empty)
Starting Sector (LBA): 0x0 (0)
Starting CHS: Cylinder: 0 Head: 0 Sector: 0
Ending CHS: Cylinder: 0 Head: 0 Sector: 0
Size in sectors: 0x0 (0) 

===== Partition Table #4 =====
Boot flag: 0x0 
Partition type: 0x0 (Empty)
Starting Sector (LBA): 0x0 (0)
Starting CHS: Cylinder: 0 Head: 0 Sector: 0
Ending CHS: Cylinder: 0 Head: 0 Sector: 0
Size in sectors: 0x0 (0)

由于MBR仅仅为分区表保留了64字节的存储空间，而每个分区则占用16字节的空间，也就是只能分4个分区，而4个分区在实际情况下往往是不够用的。因此就有了扩展分区，扩展分区中的每个逻辑分区的分区信息都存在一个类似MBR的扩展引导记录(简称EBR)中，扩展引导记录包括分区表和结束标志“55 AA”，没有引导代码部分

如上图：EBR中分区表的第一项描述第一个逻辑分区，第二项指向下一个逻辑分区的EBR。如果下一个逻辑分区不存在，第二项就不需要了
如果硬盘的MBR被破坏，可以复制其他硬盘的MBR到故障盘，然后修复分区表，也可以初始化故障盘然后修复分区表

Relevant Link:

https://raw.githubusercontent.com/gleeda/misc-scripts/master/misc_python/mbr_parser.py
https://raw.githubusercontent.com/gleeda/misc-scripts/master/misc_python/mbr_parser.py
https://github.com/hamptus/pyMBR/blob/master/mbr.py 
http://baike.baidu.com/item/%E5%BC%95%E5%AF%BC%E6%89%87%E5%8C%BA
http://bbs.pediy.com/thread-178914.htm
http://blog.csdn.net/sunqinye/article/details/18793853
http://www.360doc.com/content/14/1201/12/11681374_429548792.shtml
http://www.bydavy.com/2012/01/lets-decrypt-a-master-boot-record/
http://dengqi.blog.51cto.com/5685776/1348951

3. DBR(DOS boot record) - 位于柱面0，磁头1，扇区1，即逻辑扇区0(逻辑扇区的第一个扇区)

分区引导扇区也称DBR，是由FORMAT高级格式化命令写到该扇区的内容，DBR是由硬盘的MBR装载的程序段。DBR装入内存后，即开始执行该引导程序段，其主要功能是完成操作系统的自举并将控制权交给操作系统。每个分区都有引导扇区，但只有被设为活动分区才会被MBR装的DBR入内存运行

Relevant Link:

http://baike.baidu.com/item/DBR/4998996

4. MBR病毒

http://bbs.pediy.com/thread-121861.htm

轻箬笠

关注

6
点赞
踩
26

收藏

觉得还不错? 一键收藏
0
评论
Windows启动过程(MBR引导过程分析)

原文地址：https://www.cnblogs.com/LittleHann/p/6974928.htmlcatalogue1. 电脑启动过程2. MBR分析(master boot record) - 位于整个硬盘的 0 扇区3. DBR(DOS boot record) - 位于柱面0，磁头1，扇区1，即逻辑扇区0(逻辑扇区的第一个扇区)4. MBR病毒1. 电脑启动过程...
复制链接

扫一扫