能力值：
(RANK：350 )
|
-
-
26 楼
才看到此帖。
谢谢楼主分享！置顶3天以示鼓励！
|
能力值：
( LV17，RANK：1820 )
|
-
-
27 楼
support
|
能力值：
( LV2，RANK：10 )
|
-
-
28 楼
我是来顶贴的！！
|
能力值：
( LV2，RANK：10 )
|
-
-
29 楼
我很少回帖,但这个一定要顶,感谢楼主
|
能力值：
( LV7，RANK：100 )
|
-
-
30 楼
BootKit，很邪恶，很强大！！呵呵
|
能力值：
( LV2，RANK：10 )
|
-
-
31 楼
看看这高深的东西 谢谢楼主分享了
|
能力值：
( LV2，RANK：10 )
|
-
-
32 楼
我看不懂，先收藏一下
|
能力值：
( LV2，RANK：10 )
|
-
-
33 楼
surport!!!
|
能力值：
( LV2，RANK：10 )
|
-
-
34 楼
好贴 顶了 支持吧
|
能力值：
( LV2，RANK：10 )
|
-
-
35 楼
这玩意儿应该怎么清除？
|
能力值：
( LV2，RANK：10 )
|
-
-
36 楼
膜拜 啊 太强了
|
能力值：
( LV12，RANK：470 )
|
-
-
37 楼
进入第三页膜拜
|
能力值：
( LV2，RANK：10 )
|
-
-
38 楼
谢谢分享 学习了。
|
能力值：
( LV2，RANK：10 )
|
-
-
39 楼
mark 
|
能力值：
( LV2，RANK：10 )
|
-
-
40 楼
surport
|
能力值：
( LV2，RANK：10 )
|
-
-
41 楼
占位学习.谢谢
|
能力值：
( LV2，RANK：10 )
|
-
-
42 楼
up up up
|
能力值：
(RANK：600 )
|
-
-
43 楼
辛苦楼主了，下下来，好好地看看！！
|
能力值：
( LV2，RANK：10 )
|
-
-
44 楼
rootkit?bootkit?
|
能力值：
( LV2，RANK：10 )
|
-
-
45 楼
1、第一级HOOK（HOOK INT13h)
seg000:7C35 @HOOK_INT13H:
seg000:7C35 xor bx, bx
seg000:7C37 mov eax, [bx+4Ch]
seg000:7C3B mov es:73h, eax
seg000:7C40 mov word ptr [bx+4Ch], 66h ; 'f'
seg000:7C45 mov word ptr [bx+4Eh], es
seg000:7C48 push es
seg000:7C49 push 4Dh ; 'M'
seg000:7C4C retf
上面的代码实现了HOOK INT13h ，即HOOK了BIOS的磁盘中断服务。
这里不在详述了，这种HOOK磁盘服务在Bootkit中经常用到。
应该是在dos时代哦。
|
能力值：
( LV4，RANK：50 )
|
-
-
46 楼
这里的HOOK INT13h 确实是用到了DOS时代的篡改中断向量表，通过这种方式能够再次获得控制权。
至于这种基于MBR的Bootkit还是很好防御，首先可以有杀毒软件主动防御的保护MBR，如果利用什么其他方法绕过了安全防御篡改了MBR，可以用杀毒软件进行检测，不过我试过一些杀毒软件，只能检测出一部分被Bootkit篡改的MBR，而且被篡改后的MBR，杀毒软件很难进行修复。其实计算机的MBR代码还是很相似的，不同的计算机也就是分区表不太一样。估计杀毒软件不进行恢复，原因很有可能是：一旦恢复不成功，计算机就不能正常启动，会对用户造成一定的影响。
至于其他类型的Bootkit，则要具体问题具体分析了。
这些都是个人的一些看法，说得不对还请大牛门指正。 
|
能力值：
( LV2，RANK：10 )
|
-
-
47 楼
难道只能用于病毒这样邪门的东西？
我想了一种新用途，笔记本电脑被盗后追踪，使用这种方法后，系统重装后也能加载指定的代码，如果联网了，就能快速找到ip。
|
能力值：
( LV2，RANK：10 )
|
-
-
48 楼
看这个，还不如去看别人的源码。这样本就是国外论坛里的源码，一点都没有改动。别人的源码注释还更清楚，更详细
|
能力值：
( LV2，RANK：10 )
|
-
-
49 楼
经测试，此样本在我虚拟机中没正常工作。
|
能力值：
( LV4，RANK：50 )
|
-
-
50 楼
之前还真不知道这个样本有源码，至今我也还没找到这个样本的源码。还望大牛指点。
当初只是想从逆向的角度分析下这个Bootkit样本启动代码的实现过程，放到论坛里面来，也是为了普及一下这种技术的实现过程。
这个样本在虚拟机里面是能跑的，最终这个Bootkit启动了一个驱动程序。测试的时候，这个驱动程序有200多KB，还加壳，我也就没细致的去分析这个驱动。感兴趣的可以分析下这个驱动的实现过程。
|
|
|
|
