本本装了GRUB,MBR的引导代码就GRUB改了。只好在虚拟机里A一份出来拿来分析。
用UE打开MBR的备份文件,如下:
图中3个用红色矩形框框住的是3个字符串(Invalid partition table、Error loading operating system、Missing operating system)的地址相关的,分别是0x12C、0x144、0x163剩下的用蓝色矩形框框住的不知道什么用途,不影响分析,实际MBR的可执行代码到0x12B处结束。用ndisasm反汇编MBR后如下(包括分析):