网络安全教学实验——病毒攻防

《网络安全教学实验——病毒攻防》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、实验31引导区病毒练习一DOS引导区病毒实验原理 一．引导型病毒定义   引导型病毒，也叫开机型病毒，主要感染计算机主引导扇区和引导扇区的一类计算机病毒；其中，感染主引导扇区的病毒称作MBR病毒，感染引导区的病毒称为BR病毒。二．计算机的启动过程   在计算机系统启动时，BIOS加电自检及设备初始化成功后，BIOS将启动盘的0磁道，0柱面，1扇区的主引导记录（MBR）加载到内存物理地址0000：7C00（文档中的内存地址均采用16进制表示），并检查物理地址0000：7DFE处的字是否为0xAA55（引导区有效标

2、记），若不相等给出“NoRomBASIC”提示，然后死机，若相等执行主引导程序，主引导记录（MBR）先将自己复制到内存的其他地方以让出0：7C00处的512B的空间，然后在主分区表中搜索标志为0x80（分区已被激活，0则表示未被激活）的激活分区，如发现没有或有多个激活分区，则提示“Invalidpartitiontable”，并停止，否则将激活分区的第一个扇区（即系统引导扇区DBR）读入内存物理地址0000：7C00，并查找物理地址0000：7DFE处的字是否等于0xAA55，若不等于，则显示“MissingO

3、peratingSystem”然后停止，否则继续执行操作引导程序，引导计算机进入操作系统，完成整个引导过程。三．中断   中断就是CPU暂停当前程序的执行，转而执行处理紧急事物的程序，并在该事物处理结束后能自动恢复执行原先程序的过程，在此，称引起紧急事物的事件为中断源，称处理紧急事件的程序为中断服务程序或中断管理程序。中断的分类很多，按触发的原因，有硬中断和软中断之分。硬中断有实际的硬件事件引起，例如，除以零、算术溢出、按下键盘键等；软中断是因程序执行了计算机的INT指令造成的，例如，INT21H将执行21H中

4、断，这里21H称作中断号，其中“H”表示该数据为16进制。系统就是通过中断号来找到相应的中断处理程序的。软件中断包括BIOS中断（提供系统最底层硬件调用例程），DOS中断（系统中断服务例程）和用户自定义中断等。   CPU为了处理并发中的中断请求，规定了中断优先权。中断优先权由高到低是：   调试故障   其他故障   出发错误，INT0(溢出中断)，INTn（软件中断）   NMI（不可屏蔽中断）   INTR（可屏蔽中断）   单步中断   规定了中断优先级后，当多个中断同时发生的时候，CPU就会按中断优先

5、级的顺序来处理中断请求了。当处理某一中断过程中，有比当前处理的中断优先级高的中断请求时，CPU会响应更高级的中断。   中断向量表（InterruptVectors）是一个特殊的线性表，它保存这系统所有中断服务程序的入口地址（偏移量和段地址）。中断向量表占用内存最低端的0000H到03FEH的1KB物理地址空间，存放这256个元素，即远指针（中断向量），标号从00H到0FFH，每一个中断向量的入口地址占4个字节，高2字节存放中断向量的段地址，低2字节存放中断向量的偏移地址。一个中断向量指向一个中断服务处理程序。

6、中断程序调用方法通常为，利用MOV指令对中断程序需要用到的寄存器赋值，然后调用INTn执行中断，n为调用中断程序的中断号。四．内存寻址技术简介   现在的内存寻址模式主要分为两类：实模式寻址和保护模式寻址。   （1）实模式   实模式寻址采用“段地址左移4位+偏移地址”的方式进行内存物理地址的计算，其中段地址使用的是16位寄存器（如CS，DS，SS，ES等），偏移地址使用16位寄存器（AX，BX，CX，DX等），因此其有效访问内存空间只能达到220=1MB，通常在系统启动时，采用的是实模式内存寻址方式。   

7、（2）保护模式   保护模式下，内存寻址完全变成了对虚拟内存地址的访问，保护模式下的内存管理程序，负责管理着应用程序对访问内存地址到物理地址的映射，因此程序访问的内存地址将不再真实的对应到相应的物理内存地址。这样做的好处是：虚拟内存管理器通过虚拟地址的访问请求，控制全部物理地址访问。使用虚拟内存，简化了应用软件内存操作，实现了内存访问的权限控制，并可以弥补物理内存的不足。保护模式下使用的是32位寄存器（64位CPU中使用的是64位寄存器），存储内存偏移地址，16位段寄存器中存储的将不再是段地址，而是内存“选择子

8、”。五．引导区病毒原理动画演示   引导型病毒的基本原理如图31-1-1。图31-1-1 引导区病毒原理   从计算机启动引导的过程可以看出，系统BIOS完成相关检测、初始化后，读主引导扇区/引导扇区到内存固定位置0:7C00处，并转交系统控制权。控制权转交是以物理位置为依据，而不是以扇区为依据，转交的条件是扇区的有效性标志0xAA55。引导型病毒正是利用了这一特点，通过感染主引导扇区