windows xp MBR结构分析

Posted 2021-12-28 pro-love

1、系统通电启动-->Bios启动代码进行加电自检，包括显卡，内存，主板等-->根据用户指定的启动顺序。

从指定设备加载MBR（第一个扇区，0磁头0柱面1扇区）到内存地址0x7c00处。

2、用winhex软件打开磁盘，内容0x00-0x200总共512个字节为MBR。

0x0000-0x01BD, 446字节，引导代码和数据区域

0x01BE-0x01FD, 64字节，4个分区表，每个分区表占16个字节

0x01FE-0x01FF,    2字节，MBR结构标志，值为0xAA55

3、分区表结构（16字节）：

0x1BE，1bytes;    =0x00: 不可启动分区，=0x80:可启动分区

0x1BF-0x1C1, 3bytes;  0x1BF,分区起始磁头号

　　　　　　　　　     0x1C0-0xC01,分区起始扇区和柱面号，0x1C0低6位为起始扇区，0x1C0高2位加上0xC01组成10位为起始柱面号

0x1C2,  1bytest;　=0x07,分区文件系统类型，07为ntfs,0x0B为FAT32,0x83为Linux等

0x1C3-0x1C5, 3bytes;   分区结束磁头号，结束扇区，结束柱面号，定义同前

0x1C6-0x1C9, 4bytes;   分区前扇区数，即此分区的起始扇区号

0x1CA-0x1CD,4bytes;   分区大小，即总扇区数

4、winxp mbr反汇编代码分析

 利用工具ndisasmw生成MBR反汇编代码，命令

ndisasmw -o 0x7c00 mbr.bin >> dismbr.asm

4.1:第一步，MBR代码拷贝。（0x7c1b到0x61b）

00007C00  33C0              xor ax,ax　　　　　　;ax=0
00007C02  8ED0              mov ss,ax　　　　　　;ss=0
00007C04  BC007C            mov sp,0x7c00　　　 ;sp=0x7c00
00007C07  FB                sti　　　　　　　　   ;开中断
00007C08  50                push ax　　　　　　　
00007C09  07                pop es　　　　　　　　;es=0
00007C0A  50                push ax
00007C0B  1F                pop ds　　　　　　　　;ds=0
00007C0C  FC                cld　　　　　　　　　　;CLD是使得si,di传送方向从低地址到高地址增长
00007C0D  BE1B7C            mov si,0x7c1b　　    ;si=0x7c1b
00007C10  BF1B06            mov di,0x61b　　  　　;di=0x61b
00007C13  50                push ax
00007C14  57                push di
00007C15  B9E501            mov cx,0x1e5　　　　　;200h-1bh=1e5,cx=485个字节拷贝
00007C18  F3A4              rep movsb　　　　　　　;[ds:si]=[0:0x7c1b], [es:di] =[0:0x61b],拷贝0x7c1b地址以上的485个字节的内容到0x61b内存地址中
00007C1A  CB                retf　　　　　　　　　　;ip=0x61b,cs=0,跳转到内存地址0x61b处执行，即后面的代码

4.2:第二步，MBR查找分区表信息，找到启动分区表以后，读取第一个扇区内容，并跳转至启动分区执行相关代码。

00007C1B  BDBE07            mov bp,0x7be　　　　;bp=0x7be  4个分区表的开始地址
00007C1E  B104              mov cl,0x4　　　　  ;cl=4　　最多有4个分区表
00007C20  386E00            cmp [bp+0x0],ch　　;判断分区表的第一个字节是否为0x80，和0比较
00007C23  7C09              jl 0x7c2e　　　　　 ;jl小于（有符号），0x80有符号是-128,小于0，成功表示找到启动分区，失败是普通分区
00007C25  7513              jnz 0x7c3a　　　　　;不等于0，跳转，显示分区表无效
00007C27  83C510            add bp,byte +0x10  ;bp指向下一个分区表
00007C2A  E2F4              loop 0x7c20　　　　　;cl不等于0，继续循环
00007C2C  CD18              int 0x18　　　　　　 ;ROM BASIC中断
00007C2E  8BF5              mov si,bp　　　　　　 ;si=0x7be
00007C30  83C610            add si,byte +0x10   ;si=0x7ce，下一个分区表
00007C33  49                dec cx　　　　　　　　 ;cx减1
00007C34  7419              jz 0x7c4f  　　　　　 ;cx=0,如果4个表项都检查完毕就跳转
00007C36  382C              cmp [si],ch　　　　   ;检查分区指示符
00007C38  74F6              jz 0x7c30　　　　　　  ;如果分区指示符是0就跳转，否则分区表是无效的
00007C3A  A0B507            mov al,[0x7b5]　　　　;0x1b5偏移地址处为2c，0x12c文件偏移地址处指向字符串"Invalid partition table"
00007C3D  B407              mov ah,0x7
00007C3F  8BF0              mov si,ax　　　　　　  ;si指向字符串
00007C41  AC                lodsb　　　　　　　　　 ;读取一个字节到al
00007C42  3C00              cmp al,0x0　　　　　　 ;字符串是否显示完成
00007C44  74FC              jz 0x7c42　　　　　　　;如果是就跳转(跳转到上面那条指令，系统陷入死循环)，否则就调用10h号中断显示字符
00007C46  BB0700            mov bx,0x7
00007C49  B40E              mov ah,0xe
00007C4B  CD10              int 0x10　　　　　　   ;显示字符　　
00007C4D  EBF2              jmp short 0x7c41
00007C4F  884E10            mov [bp+0x10],cl　　  ;cl=0,bp=0x7be
00007C52  E84600            call word 0x7c9b　　　;读取启动分区的第一个扇区（512字节）信息到0x7c00
00007C55  732A              jnc 0x7c81　　　　     ;加载成功跳转
00007C57  FE4610            inc byte [bp+0x10]
00007C5A  807E040B          cmp byte [bp+0x4],0xb　　;0bh：用传统INT 13h就可以访问的FAT32分区
00007C5E  740B              jz 0x7c6b
00007C60  807E040C          cmp byte [bp+0x4],0xc　　;0ch：需要用扩展INT 13h访问的FAT32分区
00007C64  7405              jz 0x7c6b
00007C66  A0B607            mov al,[0x7b6]　　　　　　;0x1b6偏移地址处为0x44，0x144文件偏移地址处指向字符串"Error loading operating system"
00007C69  75D2              jnz 0x7c3d　　　　　　　　 ;错误信息显示出来(显示完后，系统进入死循环)
00007C6B  80460206          add byte [bp+0x2],0x6
00007C6F  83460806          add word [bp+0x8],byte +0x6
00007C73  83560A00          adc word [bp+0xa],byte +0x0
00007C77  E82100            call word 0x7c9b
00007C7A  7305              jnc 0x7c81
00007C7C  A0B607            mov al,[0x7b6]
00007C7F  EBBC              jmp short 0x7c3d
00007C81  813EFE7D55AA      cmp word [0x7dfe],0xaa55　　　;检查启动分区的头个扇区是不是0xaa55结尾
00007C87  740B              jz 0x7c94　　　　　　　　　　　　;如果是,以0xaa55结尾就跳转
00007C89  807E1000          cmp byte [bp+0x10],0x0
00007C8D  74C8              jz 0x7c57
00007C8F  A0B707            mov al,[0x7b7]　　　　　　　　  ;0x1b7偏移地址处为0x63，0x163文件偏移地址处指向字符串"Missing operating system"
00007C92  EBA9              jmp short 0x7c3d　　　　　　　　;错误信息显示出来(显示完后，系统进入死循环)
00007C94  8BFC              mov di,sp
00007C96  1E                push ds　　　　　　　　　　　　　
00007C97  57                push di　　
00007C98  8BF5              mov si,bp
00007C9A  CB                retf　　　　      ;代码回到0x7c00,0x7c00是启动分区的第一个扇区拷贝的代码，MBR引导代码结束
00007C9B  BF0500            mov di,0x5　　　　;di=5，最多读取启动分区第一个扇区5次，如果5次都失败了，提示载入系统失败
00007C9E  8A5600            mov dl,[bp+0x0]  ;dl=80H（00H~7FH：软盘；80H~0FFH：硬盘）
00007CA1  B408              mov ah,0x8　　　　;ah=0x8 08h表示读取驱动器参数
00007CA3  CD13              int 0x13　　　　　;ah=08,int 13h 读取驱动器参数，是为了决定用CHS方式还是LBA方式读取磁盘数据
00007CA5  7223              jc 0x7cca　　　　 ;jc跳转，CF=1,操作失败，跳转，采用CHS方式
00007CA7  8AC1              mov al,cl　　　　 ;ch=柱面数的低8位  cl的位7~6=柱面数的高2位  CL的位5~0=扇区数
00007CA9  243F              and al,0x3f　　  ;获取扇区数
00007CAB  98                cbw
00007CAC  8ADE              mov bl,dh　　　　 ;磁头数
00007CAE  8AFC              mov bh,ah
00007CB0  43                inc bx
00007CB1  F7E3              mul bx
00007CB3  8BD1              mov dx,cx
00007CB5  86D6              xchg dl,dh
00007CB7  B106              mov cl,0x6
00007CB9  D2EE              shr dh,cl
00007CBB  42                inc dx　　　　　　;dx柱面数
00007CBC  F7E2              mul dx
00007CBE  39560A            cmp [bp+0xa],dx　　;分区前已用的扇区数(高2字节)
00007CC1  7723              ja 0x7ce6　　　　　　;超过了CHS访问方式所能表示的最大扇区数就采用LBA方式读取磁盘
00007CC3  7205              jc 0x7cca　　　　　　;比CHS访问方式所能表示的最大扇区数小就采用CHS方式读取磁盘，否则的话[bp+0xa]与dx相等，继续判断
00007CC5  394608            cmp [bp+0x8],ax    ;分区前已用的扇区数(低2字节)
00007CC8  731C              jnc 0x7ce6
00007CCA  B80102            mov ax,0x201　　　　;读取启动分区第一个扇区的数据，CHS方式读取，ah=2（功能读）,al=1（一个扇区）,int 13h读一个扇区
00007CCD  BB007C            mov bx,0x7c00　　　 ;存储读取数据的内存地址0x7c00，相当于buffer
00007CD0  8B4E02            mov cx,[bp+0x2]　　 ;从哪个sector扇区开始读,其中低6位是扇区，高2位是柱面
00007CD3  8B5600            mov dx,[bp+0x0]　　 ;dl:硬盘，dh:从哪个磁头开始读
00007CD6  CD13              int 0x13
00007CD8  7351              jnc 0x7d2b　　　　　　;CF=0就跳转（CF为0代表操作成功）
00007CDA  4F                dec di
00007CDB  744E              jz 0x7d2b　　　　　　;操作失败
00007CDD  32E4              xor ah,ah　　　　　　;ah=0,磁盘系统复位
00007CDF  8A5600            mov dl,[bp+0x0]　　 ;要复位的磁盘驱动器号
00007CE2  CD13              int 0x13
00007CE4  EBE4              jmp short 0x7cca　　;再次读取
00007CE6  8A5600            mov dl,[bp+0x0]   ;LBA方式读取磁盘,先判断是否支持LBA方式访问磁盘
00007CE9  60                pushaw　　　　　　　;寄存器组压栈
00007CEA  BBAA55            mov bx,0x55aa　　　
00007CED  B441              mov ah,0x41       ;检测BIOS是否已经支持扩展INT 13h功能
00007CEF  CD13              int 0x13　　　　　　;bx=0x55aa,dl=驱动器号,ah=0x41
00007CF1  7236              jc 0x7d29　　　　　;不支持跳转
00007CF3  81FB55AA          cmp bx,0xaa55
00007CF7  7530              jnz 0x7d29　　　　 ;扩展INT 13h不可用也转
00007CF9  F6C101            test cl,0x1　　　　;测试扩展盘访问是否被支持
00007CFC  742B              jz 0x7d29　　　　　;不支持跳转
00007CFE  61                popaw　　　　　　　 ;寄存器组弹栈
00007CFF  60                pushaw　　　　　　　;LAB方式访问磁盘
00007D00  6A00              push byte +0x0
00007D02  6A00              push byte +0x0
00007D04  FF760A            push word [bp+0xa]    ;启动分区前已用的扇区数(高2字节)
00007D07  FF7608            push word [bp+0x8]　　 ;启动区前已用的扇区数(低2字节)
00007D0A  6A00              push byte +0x0　　　　　;存储数据目标缓冲区首址段址
00007D0C  68007C            push word 0x7c00　　　　;存储数据目标缓冲区首址偏移
00007D0F  6A01              push byte +0x1　　　　  ;扇区数1
00007D11  6A10              push byte +0x10　　　　 ;包长度
00007D13  B442              mov ah,0x42　　　　　　  ;置扩展读功能号，以LBA方式读取
00007D15  8BF4              mov si,sp
00007D17  CD13              int 0x13　　　　　　　　　;读取数据
00007D19  61                popaw
00007D1A  61                popaw
00007D1B  730E              jnc 0x7d2b　　　　　　  ;CF=0跳转，说明读取成功
00007D1D  4F                dec di
00007D1E  740B              jz 0x7d2b　　　　　　　;5次都没读取成功,CF=1
00007D20  32E4              xor ah,ah　　　　　　　;ah=0,磁盘系统复位
00007D22  8A5600            mov dl,[bp+0x0]　　　 ;复位的驱动器号
00007D25  CD13              int 0x13
00007D27  EBD6              jmp short 0x7cff
00007D29  61                popaw
00007D2A  F9                stc　　　　　　　　　　;设置CF=1
00007D2B  C3                ret　　　　　　　　　　;返回
后面指令略...

 5. MBR的作用是检测分区表，找到启动分区，读取其中第一个扇区的指令代码，返回到0x7c00执行。