Windows启动过程(MBR引导过程分析)
catalogue
1. 电脑启动过程 2. MBR分析(master boot record) - 位于整个硬盘的 0 扇区 3. DBR(DOS boot record) - 位于柱面0，磁头1，扇区1，即逻辑扇区0(逻辑扇区的第一个扇区) 4. MBR病毒
1. 电脑启动过程
1. 按下开机电源,电源向主板和其他设备供电,此时电压不稳,主板控制芯片会向CPU发送并保持RESET(复位信号),让CPU初始化。当电源开始稳定后,芯片组撤去RESERT信号。如果按RESERT信号,当放开RESERT时,就撤去RESERT信号。CPU从FFFF0h处执行指令，此处为一条跳转指令，使CPU跳转到系统BIOS的启动代码处 2. 系统BIOS的启动代码首先进行POST(加电自检)。POST主要对一些关键硬件进行检查。如显卡,内存,主板等。由于此处在显卡初始化之前,所以无法图像显示,只能通过声音了。即我们所知道的通过声音判断硬件问题 3. 接着,系统BIOS查找显卡BIOS(通常地址C0000h处),找到后调用它的初始化代码,由显卡BIOS完成显卡的初始化,此处会在屏幕上显示显卡信息,厂商,显卡容量等 4. 接着系统BIOS会查找其他设备的BIOS,并调用它们的初始化代码 5. 接着系统BIOS检查CPU类型和工作频率,并显示检测结果。之后系统BIOS检测内存并显示信息 6. 内存测试通过后,检测其他安装的硬件设备,包括:硬盘,CD-ROM,串行接口,并行接口等。 7. 标准设备查完后,系统BIOS内部的支持即插即用的代码检测和配置系统中安装的即插即用设备,每检测到一个,系统BIOS在屏幕上显示该设备信息,同时为设备分配中断,DMA通道和I/O端口资源 8. 到此,硬件设备检测完毕,系统BIOS会重新清屏并在屏幕上显示出一个系统配置表,其中概略列出系统中安装的各种标准硬件设备,及他们使用的资源和一些相关参数。 9. 接下来系统BIOS更新ESCD(扩展系统配置数据)。ESCD是系统BIOS用来与操作系统交换硬件配置信息的数据,存放在CMOS中。通常ESCD数据只有系统硬件配置改变时才更新
10. ESCD更新完毕后,系统BIOS根据用户指定的启动顺序从指定设备启动(加载MBR到7c00h处,同时还会把设备的驱动号给dl)
0x1: BIOS
BIOS(Basic Input/Output System)基本输入输出系统，全称是ROM-BIOS，是只读存储器基本输输出系统的简写，它实际是一组被固化到电脑中，为电脑提供最低级最直接的硬件控制的程序。电脑启动后第一个运行的用户级汇编代码就是它(因为严谨来说CPU内部也有启动代码)，而BIOS的运行离不开CMOS(Complementary Metal Oxide Semiconductor)，CMOS本意是指互补金属氧化物半导体，一种大规模应用于集成电路芯片制造的原料，在计算机领域，CMOS常指保存计算机基本启动信息(如日期、时间、启动设置等)的芯片CMOS 的功耗很低，计算机主板上一个纽扣电池就可以给它长时间地提供电力，即使系统掉电，信息也不会丢失。而当主板电池供电不足时CMOS的信息会丢失
CMOS是主板上的一块可读写的RAM芯片，是用来保存BIOS的硬件配置和用户对某些参数的设定。而对CMOS中各项参数的设定要通过专门的程序，现在多数厂家将CMOS设置程序做到了BIOS芯片中，在开机时通过按下某个特定键就可进入CMOS设置程序而非常方便地对系统进行设置，因此这种CMOS设置又通常被叫做BIOS设置
Relevant Link:
http://blog.csdn.net/sunqinye/article/details/18793853
2. MBR分析(master boot record) - 位于整个硬盘的 0 扇区
磁盘的存储是已扇区为基本单位的，我们的资料，操作系统代码，包括系统启动引导代码(MBR)都是存储在这些扇区中，其中硬盘的0柱面、0磁头、1扇区称为主引导扇区，也叫主引导记录MBR，该记录占用512个字节，它用于硬盘启动时将系统控制权(BIOS启动后将控制权给MBR，MBR负责加载操作系统)转给用户指定的、在分区表中登记了某个操作系统分区
MBR的内容是在硬盘分区时由分区软件写入该扇区的，MBR不属于任何一个操作系统，不随操作系统的不同而不同，即使不同，MBR也不会夹带操作系统的性质，具有公共引导的特性。但安装某些多重引导功能的软件或LINUX的LILO时有可能改写它，它先于所有的操作系统被调入内存并发挥作用，然后才将控制权交给活动主分区内的操作系统
0x1: MBR功能
1．扫描分区表查找活动分区 2．寻找活动分区的起始扇区 3．将活动分区的引导扇区读到内存 4．执行引导扇区的运行代码(启动操作系统)
如果主引导代码未完成这些功能，系统显示下列错误信息
Invalid partition table
Error loading operating system
Missing operating system
0x2: MBR成员结构
1. BootCode(主引导程序代码): [0:440] 2. DiskSignature(磁盘签名): [440: 444]: 主引导程序代码之后的4字节 self.BootableFlag = struct.unpack("<c", data[:1])[0] self.StartCHS0 = struct.unpack("<B", data[1:2])[0] self.StartCHS1 = struct.unpack("<B", data[2:3])[0] self.StartCHS2 = struct.unpack("<B", data[3:4])[0] 3. Unused: [444:445] 4. PartitionTables(4个硬盘分区表DPT): [445: 509]，占64字节，每个分区表占16字节 self.Entry0 = PartitionEntry(data[6:22]) self.Entry1 = PartitionEntry(data[22:38]) self.Entry2 = PartitionEntry(data[38:54]) self.Entry3 = PartitionEntry(data[54:70]) 5. Signature(主引导扇区结束标志55AAH): [509: 511]
1. Bootcode(主引导程序代码)
0x00000000: 33c0 XOR AX, AX 0x00000002: 8ed0 MOV SS, AX 0x00000004: bc007c MOV SP, 0x7c00 ; 当前栈区在0x7c00 0x00000007: fb STI 0x00000008: 50 PUSH AX 0x00000009: 07 POP ES 0x0000000a: 50 PUSH AX 0x0000000b: 1f POP DS 0x0000000c: fc CLD 0x0000000d: be1b7c MOV SI, 0x7c1b 0x00000010: bf1b06 MOV DI, 0x61b 0x00000013: 50 PUSH AX 0x00000014: 57 PUSH DI 0x00000015: b9e501 MOV CX, 0x1e5 ; 区块初始化 0x00000018: f3a4 REP MOVSB ; 复制引导扇区内容到DI所在位置 0x0000001a: cb RETF ; 远返回指令，相当于跳转到0:DI 0x0000001b: bdbe07 MOV BP, 0x7be ; 栈底 7be 即指向DPT表 0x0000001e: b104 MOV CL, 0x4 0x00000020: 386e00 CMP [BP+0x0], CH ; 对介质类型判断 0x00000023: 7c09 JL 0x2e 0x00000025: 7513 JNZ 0x3a 0x00000027: 83c510 ADD BP, 0x10 ; 继续判断下一个分区表 0x0000002a: e2f4 LOOP 0x20 0x0000002c: cd18 INT 0x18 0x0000002e: 8bf5 MOV SI, BP 0x00000030: 83c610 ADD SI, 0x10 0x00000033: 49 DEC CX 0x00000034: 7419 JZ 0x4f 0x00000036: 382c CMP [SI], CH 0x00000038: 74f6 JZ 0x30 0x0000003a: a0b507 MOV AL, [0x7b5] 0x0000003d: b407 MOV AH, 0x7 0x0000003f: 8bf0 MOV SI, AX 0x00000041: ac LODSB 0x00000042: 3c00 CMP AL, 0x0 0x00000044: 74fc JZ 0x42 0x00000046: bb0700 MOV BX, 0x7 0x00000049: b40e MOV AH, 0xe 0x0000004b: cd10 INT 0x10 0x0000004d: ebf2 JMP 0x41 0x0000004f: 884e10 MOV [BP+0x10], CL 0x00000052: e84600 CALL 0x9b 0x00000055: 732a JAE 0x81 0x00000057: fe4610 INC BYTE [BP+0x10] 0x0000005a: 807e040b CMP BYTE [BP+0x4], 0xb 0x0000005e: 740b JZ 0x6b 0x00000060: 807e040c CMP BYTE [BP+0x4], 0xc 0x00000064: 7405 JZ 0x6b 0x00000066: a0b607 MOV AL, [0x7b6] 0x00000069: 75d2 JNZ 0x3d 0x0000006b: 80460206 ADD BYTE [BP+0x2], 0x6 0x0000006f: 83460806 ADD WORD [BP+0x8], 0x6 0x00000073: 83560a00 ADC WORD [BP+0xa], 0x0 0x00000077: e82100 CALL 0x9b 0x0000007a: 7305 JAE 0x81 0x0000007c: a0b607 MOV AL, [0x7b6] 0x0000007f: ebbc JMP 0x3d 0x00000081: 813efe7d55aa CMP WORD [0x7dfe], 0xaa55 ; 检测signature 0x00000087: 740b JZ 0x94 0x00000089: 807e1000 CMP BYTE [BP+0x10], 0x0 0x0000008d: 74c8 JZ 0x57 ; if(支持 API位图) { 0x0000008f: a0b707 MOV AL, [0x7b7] 0x00000092: eba9 JMP 0x3d 0x00000094: 8bfc MOV DI, SP 0x00000096: 1e PUSH DS 0x00000097: 57 PUSH DI 0x00000098: 8bf5 MOV SI, BP 0x0000009a: cb RETF 0x0000009b: bf0500 MOV DI, 0x5 0x0000009e: 8a5600 MOV DL, [BP+0x0] 0x000000a1: b408 MOV AH, 0x8 0x000000a3: cd13 INT 0x13 0x000000a5: 7223 JB 0xca 0x000000a7: 8ac1 MOV AL, CL 0x000000a9: 243f AND AL, 0x3f 0x000000ab: 98 CBW 0x000000ac: 8ade MOV BL, DH 0x000000ae: 8afc MOV BH, AH 0x000000b0: 43 INC BX 0x000000b1: f7e3 MUL BX 0x000000b3: 8bd1 MOV DX, CX 0x000000b5: 86d6 XCHG DH, DL 0x000000b7: b106 MOV CL, 0x6 0x000000b9: d2ee SHR DH, CL 0x000000bb: 42 INC DX 0x000000bc: f7e2 MUL DX 0x000000be: 39560a CMP [BP+0xa], DX 0x000000c1: 7723 JA 0xe6 0x000000c3: 7205 JB 0xca 0x000000c5: 394608 CMP [BP+0x8], AX 0x000000c8: 731c JAE 0xe6 0x000000ca: b80102 MOV AX, 0x201 0x000000cd: bb007c MOV BX, 0x7c00 0x000000d0: 8b4e02 MOV CX, [BP+0x2] 0x000000d3: 8b5600 MOV DX, [BP+0x0] 0x000000d6: cd13 INT 0x13 0x000000d8: 7351 JAE 0x12b 0x000000da: 4f DEC DI 0x000000db: 744e JZ 0x12b 0x000000dd: 32e4 XOR AH, AH 0x000000df: 8a5600 MOV DL, [BP+0x0] 0x000000e2: cd13 INT 0x13 0x000000e4: ebe4 JMP 0xca 0x000000e6: 8a5600 MOV DL, [BP+0x0] 0x000000e9: 60 PUSHA 0x000000ea: bbaa55 MOV BX, 0x55aa 0x000000ed: b441 MOV AH, 0x41 0x000000ef: cd13 INT 0x13 0x000000f1: 7236 JB 0x129 0x000000f3: 81fb55aa CMP BX, 0xaa55 0x000000f7: 7530 JNZ 0x129 0x000000f9: f6c101 TEST CL, 0x1 0x000000fc: 742b JZ 0x129 0x000000fe: 61 POPA 0x000000ff: 60 PUSHA ; 寄存器保护 0x00000100: 6a00 PUSH 0x0 ; BlockNum_H4 0x00000102: 6a00 PUSH 0x0 0x00000104: ff760a PUSH WORD [BP+0xa] 0x00000107: ff7608 PUSH WORD [BP+0x8] ; BlockNum_L4 0x0000010a: 6a00 PUSH 0x0 ; BufferAddr_H2 0x0000010c: 68007c PUSH WORD 0x7c00 ; BufferAddr_L2 0x0000010f: 6a01 PUSH 0x1 ; BlockCount=1 0x00000111: 6a10 PUSH 0x10 ; PacketSize=16 PReserved=0 0x00000113: b442 MOV AH, 0x42 ; 磁盘地址数据包 0x00000115: 8bf4 MOV SI, SP 0x00000117: cd13 INT 0x13 ; 扩展读 0x00000119: 61 POPA 0x0000011a: 61 POPA 0x0000011b: 730e JAE 0x12b 0x0000011d: 4f DEC DI 0x0000011e: 740b JZ 0x12b 0x00000120: 32e4 XOR AH, AH 0x00000122: 8a5600 MOV DL, [BP+0x0] 0x00000125: cd13 INT 0x13 0x00000127: ebd6 JMP 0xff 0x00000129: 61 POPA 0x0000012a: f9 STC 0x0000012b: c3 RET
2. PartitionEntry(分区表)
1. 引导标志(BootableFlag)[0:1]: 指明该分区是否是活动分区 1) 0x80: Bootable 2) !0x80: Not Bootable 2. 硬盘物理起始位置信息(Start_CHS) 1) 磁头(Heads): [1:2] 2) 扇区(Sector): [2:3] 3) 柱面(Cylinder): [3:4] 3. 分区的类型描述(PartitionType)[4:5]: 定义了分区的类型 0x00: "Empty", 0x01: "FAT12,CHS", 0x04: "FAT16 16-32MB,CHS", 0x05: "Microsoft Extended", 0x06: "FAT16 32MB,CHS", 0x07: "NTFS", 0x0b: "FAT32,CHS", 0x0c: "FAT32,LBA", 0x0e: "FAT16, 32MB-2GB,LBA", 0x0f: "Microsoft Extended, LBA", 0x11: "Hidden FAT12,CHS", 0x14: "Hidden FAT16,16-32MB,CHS", 0x16: "Hidden FAT16,32MB-2GB,CHS", 0x18: "AST SmartSleep Partition", 0x1b: "Hidden FAT32,CHS", 0x1c: "Hidden FAT32,LBA", 0x1e: "Hidden FAT16,32MB-2GB,LBA", 0x27: "PQservice", 0x39: "Plan 9 partition", 0x3c: "PartitionMagic recovery partition", 0x42: "Microsoft MBR,Dynamic Disk", 0x44: "GoBack partition", 0x51: "Novell", 0x52: "CP/M", 0x63: "Unix System V", 0x64: "PC-ARMOUR protected partition", 0x82: "Solaris x86 or Linux Swap", 0x83: "Linux", 0x84: "Hibernation", 0x85: "Linux Extended", 0x86: "NTFS Volume Set", 0x87: "NTFS Volume Set", 0x9f: "BSD/OS", 0xa0: "Hibernation", 0xa1: "Hibernation", 0xa5: "FreeBSD", 0xa6: "OpenBSD", 0xa8: "Mac OSX", 0xa9: "NetBSD", 0xab: "Mac OSX Boot", 0xaf: "MacOS X HFS", 0xb7: "BSDI", 0xb8: "BSDI Swap", 0xbb: "Boot Wizard hidden", 0xbe: "Solaris 8 boot partition", 0xd8: "CP/M-86", 0xde: "Dell PowerEdge Server utilities (FAT fs)", 0xdf: "DG/UX virtual disk manager partition", 0xeb: "BeOS BFS", 0xee: "EFI GPT Disk", 0xef: "EFI System Parition", 0xfb: "VMWare File System", 0xfc: "VMWare Swap", 4. 硬盘物理结束位置信息(End_CHS) 1) 磁头(Heads): [5:6] 2) 扇区(Sector): [6:7] 3) 柱面(Cylinder): [7:8] 5. 本分区之前使用的扇区数(Starting Sector LBA)[8:12]: 指从该磁盘开始到该分区开始之间的偏移量，以扇区数为单位 在我自己电脑上这个值取到的是0x3f(63)，即MBR的第一个分区是从63扇区开始，通常情况下，磁盘的3-63扇区之间的内容是未使用的，因此MBR木马常常将shellcode放置在这块分区中 6. 分区的总扇区数(Section in Partition)[12:16]: 该分区所包含扇区的总数 在我自己电脑上这个值取到的是0xee7bb0f(250067727)
我的电脑上第4个分区表的解析结果如下
===== Partition Table #1 ===== Boot flag: 0x80 (Bootable) Partition type: 0x7 (NTFS) Starting Sector (LBA): 0x3f (63) Starting CHS: Cylinder: 0 Head: 1 Sector: 1 Ending CHS: Cylinder: 1023 Head: 254 Sector: 63 Size in sectors: 0xee7bb0f (250067727) ===== Partition Table #2 ===== Boot flag: 0x0 Partition type: 0x0 (Empty) Starting Sector (LBA): 0x0 (0) Starting CHS: Cylinder: 0 Head: 0 Sector: 0 Ending CHS: Cylinder: 0 Head: 0 Sector: 0 Size in sectors: 0x0 (0) ===== Partition Table #3 ===== Boot flag: 0x0 Partition type: 0x0 (Empty) Starting Sector (LBA): 0x0 (0) Starting CHS: Cylinder: 0 Head: 0 Sector: 0 Ending CHS: Cylinder: 0 Head: 0 Sector: 0 Size in sectors: 0x0 (0) ===== Partition Table #4 ===== Boot flag: 0x0 Partition type: 0x0 (Empty) Starting Sector (LBA): 0x0 (0) Starting CHS: Cylinder: 0 Head: 0 Sector: 0 Ending CHS: Cylinder: 0 Head: 0 Sector: 0 Size in sectors: 0x0 (0)
由于MBR仅仅为分区表保留了64字节的存储空间，而每个分区则占用16字节的空间，也就是只能分4个分区，而4个分区在实际情况下往往是不够用的。因此就有了扩展分区，扩展分区中的每个逻辑分区的分区信息都存在一个类似MBR的扩展引导记录(简称EBR)中，扩展引导记录包括分区表和结束标志“55 AA”，没有引导代码部分
如上图：EBR中分区表的第一项描述第一个逻辑分区，第二项指向下一个逻辑分区的EBR。如果下一个逻辑分区不存在，第二项就不需要了
如果硬盘的MBR被破坏，可以复制其他硬盘的MBR到故障盘，然后修复分区表，也可以初始化故障盘然后修复分区表
Relevant Link:
https://raw.githubusercontent.com/gleeda/misc-scripts/master/misc_python/mbr_parser.py https://raw.githubusercontent.com/gleeda/misc-scripts/master/misc_python/mbr_parser.py https://github.com/hamptus/pyMBR/blob/master/mbr.py http://baike.baidu.com/item/%E5%BC%95%E5%AF%BC%E6%89%87%E5%8C%BA http://bbs.pediy.com/thread-178914.htm http://blog.csdn.net/sunqinye/article/details/18793853 http://www.360doc.com/content/14/1201/12/11681374_429548792.shtml http://www.bydavy.com/2012/01/lets-decrypt-a-master-boot-record/ http://dengqi.blog.51cto.com/5685776/1348951
3. DBR(DOS boot record) - 位于柱面0，磁头1，扇区1，即逻辑扇区0(逻辑扇区的第一个扇区)
分区引导扇区也称DBR，是由FORMAT高级格式化命令写到该扇区的内容，DBR是由硬盘的MBR装载的程序段。DBR装入内存后，即开始执行该引导程序段，其主要功能是完成操作系统的自举并将控制权交给操作系统。每个分区都有引导扇区，但只有被设为活动分区才会被MBR装的DBR入内存运行
Relevant Link:
http://baike.baidu.com/item/DBR/4998996
4. MBR病毒
http://bbs.pediy.com/thread-121861.htm
Copyright (c) 2017 LittleHann All rights reserved
