0
点赞
收藏
分享

微信扫一扫

MBR代码分析


西西,很早以前的东东了,都不太记得了,有什么错误和不足欢迎大家指出


机器加电或按reset键后都要进行系统复位,复位后CS=FFFFH,IP=0000H

那么自然就从FFFF:0000H处开始执行指令,这个地方只有一条JMP指令

跳转到系统自检程序处,系统自检完成后把软盘的第一个扇区(如果由软盘启动)

或者硬盘的第一个扇区,即MBR扇区(如果由硬盘启动)读入到0:7C00H处

然后把控制权交出,从0:7C00H处继续执行,下面就是硬盘的MBR代码分析

其中的引导扇区是指硬盘相应分区的第一个扇区,是和操作系统有关的

操作系统的引导是由它来完成的,而MBR并不负责,MBR和操作系统无关

他的任务是把控制权转交给操作系统的引导程序


程序流程:


1 将程序代码由0:7C00H移动到0:0600H(注,BIOS把MBR放在0:7C00H处)

2 搜索可引导分区,即80H标志

成功:goto 3

失败:跳入ROM BASIC

无效分区表:goto 5

3 读引导扇区

失败:goto 5

成功:goto 4

4 验证引导扇区最后是否为55AAH

失败:goto 5

成功:goto 6

5 打印错误进入无穷循环

6 跳到0:7C00H进行下一步启动工作


下面将用汇编语言写出这一段代码,并进行说明。


;MBR.ASM

; MASM MBR

; LINK MBR

; EXE2BIN MBR


.MODEL tiny

.CODE


;设置寄存器及堆栈值


org 0

Head:

Start:

cli

xor ax,ax

mov ss,ax

mov sp,7C00H ;ss:sp=0:7C00H

mov si,sp

push ax

pop es

push ax

pop ds ;es=ds=0

sti


;将程序代码由0:7C00H移动到0:0600H处


cld

mov di,600H

mov cx,100H ;100H Words=512 Bytes,即一个扇区大小

repne movsw

db 0EAH ;这个是FAR JUMP的机器码

dw offset Continue+600H, 0000H ;这个是跳转目的地址,即0:061DH


;搜索可引导分区


Continue:


mov si,600H+1BEH ;si指向分区表

mov bl,4 ;四个分区


FindBoot:


cmp byte ptr[si],80H

je SaveRec ;读扇区位置

cmp byte ptr[si],0

jne Invaild ;无效分区

add si,10H

dec bl

jnz FindBoot

int 18H ;进入ROM BASIC


;读取引导分区的扇区,柱面号


SaveRec:


mov dx,[si]

mov cx,[si+2]

mov bp,si


;检查其余分区表


FindNext:


add si,10H

dec bl

jz SetRead

cmp byte ptr[si],0 ;是否存在非法分区

je FindNext


Invaild:


mov si,offset ErrMsg1+600H


;字符串输出子程序


PrintStr:


lodsb

cmp al,0

je DeadLock

push si

mov bx,7

mov ah,0EH ;输出字符

int 10H

pop si

jmp short PrintStr ;下一字符


DeadLock:


jmp short DeadLock ;无穷循环,也可以写成jmp $


;读引导扇区


SetRead:


mov di,5 ;读取次数


ReadBoot:


mov bx,7C00H

mov ax,201H

push di

int 13H ;cx,dx已经在SaveRec处得到

pop di

jnc GoBoot ;成功则启动

xor ax,ax

int 13H ;reset驱动器,然后再读取

dec di

jnz ReadBoot


mov si,offset ErrMsg2+600H

jmp short PrintStr 失败输出信息,并进入无穷循环


;检查读入的引导扇区


GoBoot:


mov si,offsetErrMsg3+600H

mov di,7C00H+1FEH

cmp word ptr[di],0AA55H

jne PrintStr ;非AA55标志则输出错误信息

mov si,bp ;si指向可启动分区

db 0EAH,0,7CH,0,0 ;跳转至0:7C00H


ErrMsg1 db Invaild partition table,0

ErrMsg2 db Error loading operating system,0

ErrMsg3 db Missing operating system,0


Tail:


FillNum equ 1BEH-(Tail-Head) ;计算填0数目

db FillNum dup(0)


;四个分区表项数据,跟分区情况有关,详细含义另解


PartTable db 80H,1,1,0,4,4,0D1H,2,11H,0,0,0,0FEH,0FFH,0,0

db 0,0,0C1H,3,5,4,0D1H,0FEH,0FFH,0FFH,0,0,0ACH,53H,0,0

db 20H dup(0)


ID dw 0AA55H


end start


;如果开始试用org 600H,那么访问数据时就不必加上600H,如mov si,offset

ErrMsg2+600H

;可写为mov si,offset ErrMsg2,这时就不能用exe2bin得到数据,必须试用debug

;debug mbr.exe

;-nmbr.bin

;-rcx 200

;-wcs:600

;-q




在硬盘的第一个扇区上保存着分区信息,称为主分区表,共有四项

读取分区表必须使用bios的int 13h,一般使用debug就可以了


debug

-a

xxxx:0100 mov ax,201

mov bx,200

mov cx,1

mov dx,80 ;如果是第二个硬盘则是81...

int 13

int 20

xxxx:????

-g


这时xxxx:0200开始的512字节就是分区表所在的扇区,前面一部分为MBR

debug中用-d3be l40就可以看到64字节的分区表信息,16个字节为一项

用-e命令就可以修改,改完后可以重新写回去,只要把前面代码中的

mov ax,201改为mov ax,301即可,或者直接把102处的2改成3,比如:


-e 102

xxxx:0102 02.3

-g=100


这样就写回去了,不过要小心哦,呵呵,弄不好就坏了,大家还是把分区

表手抄一份存下来吧,会省去很多麻烦的


下来说一下分区表项的具体意义,取其中一项举个例子:


80 01 01 00 0B 3F FF 00 3F 00-00 00 81 4F 2F 00


1 (80)引导标志,80代表可引导,00代表不可引导,一般必须且只能

有一个分区表项的引导标志为80,除非你自己修改MBR

2 (01)分区开始磁头

3,4 (01 00)=(1,0)分区开始柱面和扇区(后面后详解)

5 (0B)分区类型(后面有详解)

6 (3F)=(63)分区结束磁头

7,8 (FF 00)=(768,63分区结束柱面和扇区(同上)

9-12 (3F 00 00 00)=(63)此分区前扇区总数,即相对扇区数

13-16 (81 4F 2F 00)=(002F4F81H=3100545)此分区扇区总数


由于柱面和扇区共用两个字节表示,而柱面号为10位,最大1023,扇区号为6位,最大63


扇区号

______|____

| |

( 7 6 5 4 3 2 1 0 ) ( 7 6 5 4 3 2 1 0 )

|___| |_____________|

|________________________|

|_

柱面号


关于分区类型,常见的有:


00 未用,Unused

01 DOS-12(FAT 12)

02 XENIX

04 DOS-16(FAT 16)(分区<32M时用的,还有么?)

05 EXTEND(DOS扩展分区)

06 BIGDOS(>32M)(这个才是现在常说的FAT 16)

07 HPFS(OS/2)(好像NTFS也是这个标记)

0B FAT 32

0F 这个一时不确定,西西

50 DM

63 386/ix(unix)

64 NET286(Novell)

65 NET386(Novell)

FF BBT(UNIX Bad Block Table)


下面有几个平衡式用来计算分区参数:


1 第一分区参数平衡式


扇区总数=(结束柱面+1)*磁头数*每柱面扇区数-相对扇区数

例如:3100545=(768+1)*64*63-63


2 其它分区参数平衡式


扇区总数=(结束柱面-起始柱面+1)*磁头数*每柱面扇区数

00 00 C1 01 05 3F FF FD C0 4F-2F 00 C0 90 0F 00

000F90C0H=1020096,(FF FD)=(1021,63),(C1 01)=(769,1)

例如:1020096=(1021-769+1)*64*63


3 第一分区相对扇区=每柱面扇区数

其它分区相对扇区=上一分区相对扇区+上一分区扇区总数




扩展分区信息是一个链状结构,很多人不知道在删分区时把前面的分区删掉导致后面的分区找不到,原因就在于此,我们从主分区表中取出扩展分区项进行一下分析,如下:


00 00 01 C0 05 FE BF 6E C0 10-2F 00 EF A6 69 00


由此我们可以得到数据:

开始磁头:00

开始柱面扇区:01 C0=(192,0)


debug


debug

-a100

xxxx:0100 mov ax,201

mov bx,200

mov cx,05c0 ;开始柱面扇区号

mov dx,80 ;dh中为开始磁头号,这里为0

int 13

int 20

xxxx:????

-g=100

-d3be l10


读出的扇区中有两个16字节的分区表项和最后的一个55AA标志,这两个

分区表项为:


00 01 01 C0 06 FE 7F 97 3F 00-00 00 99 F2 34 00

00 00 41 98 05 FE BF 6E D8 F2-34 00 17 B4 34 00


第一个分区类型为6,其实这是第一个逻辑分区,含义和主分区表项相同

第二个分区类型为5,这其实是指向下一个扩展分区表的从这里我们可以得到:

开始磁头:0

开始柱面扇区:41 98=(408,1)


继续用debug读出(mov cx,9841)得到


00 01 41 98 06 FE BF 6E 3F 00-00 00 D8 B3 34 00


只有一个表项,是第二个逻辑盘,而且是逻辑盘链的最后一个可以看到,主分区表是非常重要的,所以除了小心操作外,还应当进行备份最安全的备份方式就是用笔抄下来,呵呵,放到安全的地方,当然,每次重新进行分区后还应当及时更新的说,:P


从前面可以看出,分区表里最重要的还是柱面号,其它比如磁头号都是0或者1或者最大值,扇区号都是1或63(最大值),扇区总数什么的也都能算出来,所以分区时最好把各分区的柱面号记下来,这样一旦分区信息被破坏就可以进行恢复了。


如果主分区表不幸丢失或者逻辑分区链被破坏,那么只要从硬盘上找出还存在的分区信息,就有可能部分恢复分区信息,甚至全部可以恢复,不过这样的麻烦大家还是尽量避免吧,怎么恢复呢,偶也没干过,下回一边说一边练,呵呵




举报

相关推荐

0 条评论