荔园在线
荔园之美，在春之萌芽，在夏之绽放，在秋之收获，在冬之沉淀
[回到开始]
[上一篇][下一篇]
发信人: xhjx (I wait you), 信区: Virus
标 题: 计算机病毒的磁盘存储结构
发信站: 荔园晨风BBS站 (Wed Oct 17 18:16:09 2001), 站内信件
对于计算机病毒的存储结构来说，不同类型的病毒，在磁盘上的存储结构是不
同的。
1.磁盘空间的总体划分经过格式化后的磁盘包括：主引导记录区（只有硬盘有
）、引导记录区、文件分配表 （FAT）、目录区和数据区。主引导记录区和引导记
录区中存有DOS系统启动时所用的信息。 文件分配表（FAT）是反映当前磁盘扇区
使用状况的表。每张DOS盘含有两个完全相同的FAT表，即FAT1和FAT2，FAT2是一张
备份表。FAT与目录一起对磁盘数据 区进行管理。 目录区存放磁盘上现有的文件
目录及其大孝存放时间等信息。数据区存储和文件名相对应的文件内容数据。
（1）软盘空间的总体划分 当使用DOS的外部命令FORMAT格式化一张软盘后，
不仅把磁盘划分为若干磁道，每一磁道划分为若干扇区，而且同时把划分的扇区分
为五大区域，它们分别是引导记 录区、文件分配表1、文件分配表2、根目录区以
及数据区。
对于软盘只有一个引导区，引导区在磁盘的0面0道1扇区，它的作用是在系统
启动时负责把系统两个隐含文件IO.SYS和MSDOS.SYS装入内存，并提供DOS进行磁盘
读写所必需的磁盘I/O参数表。文件分配表（FAT表）是反映磁盘上所有文件各自
占用的扇区的一个登记表，此表非 常重要，一旦被破坏，将无法查找文件的内容
。即使对DOS内部精通的人，要修复FAT表损坏的磁盘文件，亦非易事，开销很大。
为此系统在划分磁盘区域时，保留了两份完全相同 的文件分配表。根目录区是记
载磁盘上所有文件的一张目录登记表。主要记载每个文件的文件名、扩 展名、文
件属性、文件长度、文件建立日期、建立时间以及其他一些重要信息。
（2）硬盘空间的总体划分 对于不同类型、不同介质的磁盘，DOS划分磁盘的
格式是不同的。对于硬盘来说，由于其存储空间比较大，为了允许多个操作系统分
享硬盘空间，并希望能从磁盘启动 系统，DOS在格式化硬盘时，把硬盘划分为主引
导记录区和多个系统分区。
对于硬盘空间的分配由两个部分组成：第一部分就是整个硬盘的第一扇区，这
一扇区 称之为硬盘的主引导程序扇区，它由两部分内容组成，一是主引导程序，
二是分区信息表。主引导程序是硬盘启动时首先执行的程序，由它装入执行活动分
区（活动分区）引导程序， 从而进一步引导系统。分区信息表登记各个分区引导
指示符、操作系统指示符以及该分区占用硬盘空间的位置及其长度；第二部分是各
个系统分区。各个系统分区是提供给各操作 系统使用的区域，每一区域只能存放
一种操作系统，在该区域中的系统具有自己的引导记录、文件分配表区、文件目录
区以及数据区。 若整个硬盘归DOS使用，硬盘上信息由5部分即第1扇区的主引导程
序和分区信息表、分区引导程序、文件分配表区、文件根目录区、文件数据区。
硬盘主引导扇区很特殊，它不在DOS的管辖范围内。所以用DOS的非常驻命令
FORMAT、FDISK、DEBUG都不能触及它。当该扇区损坏时，硬盘不能启动。用
FORMAT、FDISK都不能修复它。DEBUG的L命令和W命令都不能用于主引导扇区。只有
在DEBUG下借用INT 13H或低级格式化方能修复。
2.系统型病毒的磁盘存储结构 系统型病毒是指专门传染操作系统的启动扇区
，主要指传染硬盘主引导扇区和DOS引导扇区的病毒。系统型病毒在磁盘上的存储
结构是这样的，病毒程序被划分为两部分， 第一部分存放在磁盘引导扇区中，第
二部分则存放在磁盘其他的扇区中。病毒程序在感染一个磁盘时，首先根据FAT表
在磁盘上找到一个空白簇（如果病毒程序的第二部分占用 若干个簇，则需要找到
一个连续的空白簇），然后将病毒程序的第二部分以及磁盘原引导扇区的内容写入
该空白簇，接着将病毒程序的第一部分写入磁盘引导扇区。 但是，由于磁盘不同
，病毒程序第二部分所占用的空白簇的位置就不同，而病毒程序在侵入系统时，又
必须将其全部程序装入内存，在系统启动时道德装入的是磁盘引导扇区 中的病毒
程序，该段程序在执行时要将其第二部分装入内存，这样第一部分必须知道其第二
部分所在簇的簇号或逻辑扇区号。为此，在病毒程序感染一个磁盘时，不仅要将其
第一 部分写入磁盘引导扇区，而且必须将病毒程序第二部分所在簇的簇号（或该
簇第一扇区的逻辑扇区号）记录在磁盘的偏移地址01F9处，存放其第二部分所在簇
第一扇区的逻辑扇 区号。
另外，由于DOS分配磁盘空间时，必须将分配的每一簇与一个文件相联系，但
是，系 统型病毒程序第二部分所占用的簇没有对应的文件名，它们是以直接磁盘
读写的方式被存取的，这样它们所占用的簇就有可能被DOS分配给新建立的磁盘文
件，从而被覆盖。为 了避免这样的情况发生，病毒程序在将其第二部分写入空白
簇后，立即将这些簇在FAT中登记项的内容，强制地标记为坏簇（FF7H），经过这
样处理后，DOS就不会将这些簇分 配给其他新建立的文件。 3.文件型病毒的磁盘
存储结构文件型病毒是指专门感染系统中的可执行文件，即扩展名为.COM、.EXE的
文件。 对于文件型的病毒来说，病毒程序附着在被感染文件的首部、尾部、中部
或“空闲”部位，病毒程序没有独立占用磁盘上的空白簇。也就是说，病毒程序所
占用的磁盘空间依赖于 其宿主程序所占用的磁盘空间。但是，病毒入侵后一定会
使宿主程序占用的磁盘空间 增加。
绝大多数文件型病毒属于所谓外壳病毒，什么是文件外壳呢？简单地说是计算
机软件 的一种层次结构。比方说计算机软件公司编制了一种教育软件，经过设计
调试，软件本身的功能已经很完善，可以作为独立的磁盘文件提供给用户。但为了
提高产品的商品化程 序，公司决定为软件加一个漂亮的封面，为此设计人员可以
在已经完成的软件基础上附加一段显示封面的程序。通常我们称软件本身为内核，
而附加的显示封面程序称为外壳，加载运行关系。
尽管在结构上外壳接在内核后面，但运行的顺序仍然是先显示封面再跳 转去
执行内核。可执行文件的外壳一般具有相对独立的功能和结构，去掉外壳将不会影
响内核部分的运行。 如果我们用“病毒外壳”去替换图中的“封面外壳”，那么
就已经说明了文件型病毒的 基本机理。计算机病毒一般不传染数据文件，这是由
于数据文件是不能执行的，如果病毒传染了 数据文件以后，病毒自身得不到执行
权，也就不能进行进一步的传播，所以计算机病毒不可能存在于数据文件中，但可
能修改和破坏数据文件。
--
┏──┓ ┏──┓
│┏──┓ ┌以 ┐ ┌─速 │┏──┓
━┼思念┼━━───────────────────────┼蔓延┼─ -→
┗──┛│─总是 ─┘ 让人 ─难以接受的 ──┘ 度─ ┗──┛│
┗──┛ ┗──┛
___________________________________________________________________ xhjx xhjx
※ 来源:·荔园晨风BBS站 bbs.szu.edu.cn·[FROM: 192.168.48.234]
[回到开始]
[上一篇][下一篇]
荔园在线首页 友情链接：深圳大学 深大招生 荔园晨风BBS S-Term软件 网络书店