可制作僵尸网络的Bootkit浅析

最近翻出自己以前存的黑防的杂志，又兴致勃勃的看起来，索性把自己的学得记下来，今天的话题是Bootkit,首先介绍下所谓的Bootkit这个技术，其实就是Rootkit的增强版，所以还是先介绍Rootkit吧，Rootkit就是入侵者为了隐藏自己的踪迹和保存root权限的工具(也可以说是一种技术)，同样这里Bootkit的目的也一样，这里就是不扩展讲rootkit的实现了，因为这里涉及windows内核提权等大量知识，如果对rootkit有兴趣的可以自己Google,这里回过头来讲Bootkit，说到这里不得不提下Bootkit技术制作的经典杰作-"鬼影"病毒,简单介绍下鬼影病毒，她是通过修改MBR(Main Boot Record，主引导记录)实现开机过程中还未加载windows的时候就执行恶意代码的能力，这里关键的问题是这种鬼影病毒一旦种植在您的电脑上就难以根除，原因有以下几点：1。他自己所在的位置不是普通硬盘簇里，而是在第0片盘片的引导扇区，而非文件系统中的文件。2.存在与MBR的代码在Windows加载之前就已经被加载执行了，所以他的权限极高，对杀软可以做到先发制人。

下面为了能进一步讲下去，先给大家科普下计算机的引导过程，首先当你按下电源使CPU加电之后，首先会执行在主板上固化的一段代码(一次性只读硬件烧录上的，一般修改不了，但是如果BIOS支撑刷写，那就可以做BIOS bootkit)，这段代码就是BIOS (Bisic Input Output System)程序，这里的做的一些固定的活就是对硬盘，CPU，内存等基本固件做健康检查，如果这的硬件检查通过，下一步