学院首页>安全防御>病毒防治>解毒的另一种方法

解毒的另一种方法

作者:未知 来源:未知 添加时间:2006-5-21 17:16:58
3. type FDISK /MBR for making a new partition table
最近这版常有人如此说, 但这是错误的!
FDISK/MBR 并不会动你的partition table! Not even a bit !
它只会盖掉你的Pre-Boot 程式!
在硬碟最最最开始的磁区叫MBR (Master Boot Record), 这是MicroSoft的
正式称呼! 有些人叫它Pre-Boot 磁区或Pre-Load 磁区.
MBR (512 bytes) can be divided into 3 parts:
 (1) 前面446 bytes 为开机程式(即Pre-Boot程式), 实际只用约200bytes
 (2) 接着的64bytes就是partition table, 每16bytes代表一个logical HD
 (3) 最後2 bytes 一定是 55  AA  (十六进位)
FDISK/MBR 就是把前面446 bytes 换成乾净的Pre-Boot 程式!
它绝不会动後面的66bytes!!!
因此有两种情形不能用这招:
(1) 你装了DOS 以外的系统或装了Multi-Boot之类的东东
(2) 中了改变你partition table 的病毒; 此时用乾净的A: 开机反而看
 不到C:, 只有用C 或有同样毒的A:开才看的到!
The following small program can read the MBR: (Under DEBUG)
DEBUG
a100
mov ax,0201
mov bx,0300
mov cx,1
mov dx,80
int 13
int 3
(Hit ENTER only here)
g=100
d4be  (show the partition tables)
d300  (the pre-boot program,  U300  to see the instructions)
如果把AX 的0201改为0301表示要把memory中的512 bytes (300h-4ffh in this
example)写入硬碟的MBR. 这动作很危险,最好要有懂一点组语的人在身旁壮胆!
顺便回答下一篇MIRROR 的问题:
MIRROR (在 DOS 5.0 中也有) 有很多用途, 其中MIRROR/PARTN 可用来制出万能
解毒济:
  (1) FORMAT/s A:  造一片可开机的A片(不是那种A..:-)
  (2) Copy UNFORMAT.COM (或.EXE?忘了)到该片
  (3) 在C:碟下此命令:MIRROR/PARTN
此将造出一个好像叫MIRROR.FIL 的档案, 它会问你要放那里, 回答A:
此档会包括
 a. MBR
 b. BOOT sector
 c. the two DOS files (通常是 IO.SYS, MSDOS.SYS )
它不包括FAT, 因FAT存起来以後也没用的!
当你中了开机形病毒时(或只是怀疑), 用此片开机, 然後下此命令:
 UNFORMAT/PARTN
这样它就会把MBR+BOOT+IO.SYS+MSDOS.SYS 恢复原状!
!!! 注意该A片只能用在该机器! 你可不能拿去别台机器用! (除非你确定它们是
 有相同的partition. 
!!! 很好用吧? 是的, 可是只要硬碟有一些小问题, MIRROR/PARTN 就不做事:-(((
这可能是DOS6.0 以後却把MIRROR 拿掉的原因?
So, I always save the MBR via the small program mentioned above.
And the BOOT+IO.SYS+MSDOS.SYS can be cleaned by "SYS C:" command if
you start the machine with a clean diskette.
Sorry, 打字太慢, 打不下去了, 叫那个专写毒的Dark 什麽的教你们吧...
(...deleted)

 
站内搜索