【烘焙课堂】硬盘保护卡的运作机制与引导型病毒

硬盘保护卡原理分析

doskey lee

以下内容仅是个人分析（想象）的结果，如果有不符合事实的情况，请不要〜想要〜平坦〜我〜！由于我没有硬盘保护卡，所以我只在网吧使用过几次，所以......：）

简单地说，硬盘保护的操作机制与引导型病毒非常相似。它修改启动区并在启动时自动加载其自己的驱动程序。它的驱动程序可以放在一些隐藏的扇区中或文件中（.SYS DOS下的驱动程序，类似于CD-ROM驱动程序）。如果将其放置在隐藏的扇区中，则可以有效地提高其隐私性和安全性，同时可以将其放置在文件中以降低复杂性。您可能想知道，将其放入文件中是否安全？会被其他人删除吗？请稍等，请慢慢听我说。

已加载的驱动程序与DOS病毒非常相似。它接管INT13中断和INT18，并将FAT，引导区，CMOS信息，中断向量表和其他信息保存到卡中的临时存储单元。另外，将FAT信息保存在临时存储单元中，以应对我们对硬盘中数据的修改。保护卡可能会在硬盘中找到一部分连续的空磁盘空间，然后将修改后的数据保存到其中。

无论何时我们将数据写入硬盘，实际上都是将数据写入硬盘，但是硬盘中的FAT并没有真正被修改。由于保护卡接管了INT13，因此当保护卡找到写操作时，它将原始数据目标地址重定向到先前的连续空磁盘空间，并将先前备份的第二FAT中的修改后的相关数据指向该空间。当我们读取数据时，与写入操作相反，当程序访问文件时，保护卡首先在第二个备份FAT中搜索相关文件。如果在启动后对其进行了修改，则它将位于重定向空间中。读入，否则在第一个副本的FAT中查找和读取相关文件。删除与写入数据相同，即从第二个副本的FAT中删除文件的FAT记录。

当硬盘保护卡收到INT18或收到重启信息（例如复位（RESET））时，首先将卡中的临时存储单元中的原始FAT，引导区，CMOS，中断向量和其他信息还原到系统中。重新启动时，您会发现最后修改的数据将丢失。上一部分用于保存修改后的数据空间。由于没有用于写入硬盘的FAT，因此它仍然是空的磁盘空间。

此外，由于接管了INT13，用户无法格式化实际的硬盘。 INT13的功能05H和06H正在格式化。如果用户使用的是快速格式化（FORMAT DRIVE / Q），则保护卡只需要在格式化后将相关驱动器的FAT清除到外观即可（当然，存储在卡中的第二个FAT）。如果它是正常格式（清除了每个扇区），则保护卡将一起工作以将其转换为快速格式，或者仅转换为FAT。

我对其他磁盘访问机制（低格式？低格式！）了解不多，因此在此不再赘述。如果您对我的废话有任何意见，或者您已经研究了硬盘保护卡，请发送电子邮件至。我会尽力回答您的问题。另外，阅读本文后，您是否有感觉可以通过软件实现此硬盘保护卡？我也这么认为。我正在寻找相关信息，并正在开发一套硬盘保护软件。让我们一起赚钱吧！！

本文欢迎您转载，但不重载，并且此信息可能会被删除。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/dianqi/article-356864-1.html