首页
社区
课程
招聘
[讨论]关于TDL4一个不为人知的细节
发表于: 2012-10-23 18:05 6586

[讨论]关于TDL4一个不为人知的细节

2012-10-23 18:05
6586
这几天 搞TDL4 已经实现了TDL4引导的功能 WIN7下 对用AH=42h 读入kdcom.dll那部分处理还有点问题 山寨TDL4 2号没起来 在win7/win7 x64上面

其中有一个细节 肯定很多人没注意到 我也没解

Queue15  17:43:55
今天 发现了一个很重要的问题

Queue15  17:47:36
int 13h extend 读写盘 支持的最大硬盘是137G
很显然 TDL4支持>137G的硬盘

在真实的机器上 TDL4应该是用支持ATA/133标准的
int 13h extend extend 来进行读盘的 读取并且解密他那个位于磁盘尾部的加密的FS

真操蛋啊  真不知道TDL4的作者 调试的时候是怎么调试的  

难道在大硬盘上 调试啊  虚拟机硬盘也不可能这么大啊


网上 也没有什么关于int 13h extend 支持大于137G的时候 参数传递的说明啊

真操蛋啊

TDL4真不知道是怎么调试的   我用TDL4样本感染了两台真实机

全都起来了 TDL4  全都向磁盘尾部写入了加密数据

一个320G 一个500G的硬盘

[课程]Linux pwn 探索篇!

上传的附件:
收藏
免费 0
支持
分享
最新回复 (6)
雪    币: 201
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
版主好,我也在搞这个东西,可以交流一下,11259500.
2012-10-31 08:57
0
雪    币: 8865
活跃值: (2379)
能力值: ( LV12,RANK:760 )
在线值:
发帖
回帖
粉丝
3
int 13h extend 支持大硬盘到1TB啊~
参数都是 long long 啊~
你看的是什么年代的文档啊~
2012-10-31 20:56
0
雪    币: 673
活跃值: (278)
能力值: ( LV15,RANK:360 )
在线值:
发帖
回帖
粉丝
4
这个问题 好长时间前 解决了 BIOS支持硬盘大小与int 13h
int 13h extend 无关   感谢某淫提醒
参数已经足够大了
LBA 大体分成28bit 32bit 48bit
可参考这个文章http://vbb.twftp.org/showthread.php?t=8016
目前我们大家用的都是LBA 48BIT 支持的硬盘可以是PB
而其中LBA 32BIT支持的硬盘正好是2047.xxGB 也就是现在基于MBR 分区的一个限制 但是现在造成不支持大于2TB硬盘那是因为MBR的事情 不是bios或者int 13h/extend的问题 ...
以前的137GB限制是因为  LBA 28bit的缘故 .....
2012-11-3 19:28
0
雪    币: 673
活跃值: (278)
能力值: ( LV15,RANK:360 )
在线值:
发帖
回帖
粉丝
5
感谢V大回复 以前的老人们 也就只剩V大 比较活跃了啊 MJ都被消声感觉
2012-11-3 19:30
0
雪    币: 8865
活跃值: (2379)
能力值: ( LV12,RANK:760 )
在线值:
发帖
回帖
粉丝
6
int 0x13完全无压力~不过MBR很蛋痛~
TDSS家族也不支持超大硬盘~
2012-11-3 21:36
0
雪    币: 673
活跃值: (278)
能力值: ( LV15,RANK:360 )
在线值:
发帖
回帖
粉丝
7
啊 确切的说 基于MBR的bootkit无法支持引导不从MBR走的分区方案的

UEFI+MBR   
或者
UEFI+GPT

mbr的bootkit就都挂了的
2012-11-6 19:06
0
游客
登录 | 注册 方可回帖
返回
//