MBR代码分析
时间：2007-02-17 来源：PHP爱好者
西西，很早以前的东东了，都不太记得了，有什么错误和不足欢迎大家指出
机器加电或按reset键后都要进行系统复位，复位后CS=FFFFH，IP=0000H
那么自然就从FFFF:0000H处开始执行指令，这个地方只有一条JMP指令
跳转到系统自检程序处，系统自检完成后把软盘的第一个扇区（如果由软盘启动）
或者硬盘的第一个扇区，即MBR扇区（如果由硬盘启动）读入到0:7C00H处
然后把控制权交出，从0:7C00H处继续执行，下面就是硬盘的MBR代码分析
其中的引导扇区是指硬盘相应分区的第一个扇区，是和操作系统有关的
操作系统的引导是由它来完成的，而MBR并不负责，MBR和操作系统无关
他的任务是把控制权转交给操作系统的引导程序
程序流程：
1 将程序代码由0:7C00H移动到0:0600H（注，BIOS把MBR放在0:7C00H处）
2 搜索可引导分区，即80H标志
成功：goto 3
失败：跳入ROM BASIC
无效分区表：goto 5
3 读引导扇区
失败：goto 5
成功：goto 4
4 验证引导扇区最后是否为55AAH
失败：goto 5
成功：goto 6
5 打印错误进入无穷循环
6 跳到0:7C00H进行下一步启动工作
下面将用汇编语言写出这一段代码，并进行说明。
;MBR.ASM
; MASM MBR
; LINK MBR
; EXE2BIN MBR
.MODEL tiny
.CODE
;设置寄存器及堆栈值
org 0
Head:
Start:
cli
xor ax,ax
mov ss,ax
mov sp,7C00H ;ss:sp=0:7C00H
mov si,sp
push ax
pop es
push ax
pop ds ;es=ds=0
sti
;将程序代码由0:7C00H移动到0:0600H处
cld
mov di,600H
mov cx,100H ;100H Words=512 Bytes，即一个扇区大小
repne movsw
db 0EAH ;这个是FAR JUMP的机器码
dw offset Continue+600H, 0000H ;这个是跳转目的地址，即0:061DH
;搜索可引导分区
Continue:
mov si,600H+1BEH ;si指向分区表
mov bl,4 ;四个分区
FindBoot:
cmp byte ptr[si],80H
je SaveRec ;读扇区位置
cmp byte ptr[si],0
jne Invaild ;无效分区
add si,10H
dec bl
jnz FindBoot
int 18H ;进入ROM BASIC
;读取引导分区的扇区，柱面号
SaveRec:
mov dx,[si]
mov cx,[si+2]
mov bp,si
;检查其余分区表
FindNext:
add si,10H
dec bl
jz SetRead
cmp byte ptr[si],0 ;是否存在非法分区
je FindNext
Invaild:
mov si,offset ErrMsg1+600H
;字符串输出子程序
PrintStr:
lodsb
cmp al,0
je DeadLock
push si
mov bx,7
mov ah,0EH ;输出字符
int 10H
pop si
jmp short PrintStr ;下一字符
DeadLock:
jmp short DeadLock ;无穷循环，也可以写成jmp $
;读引导扇区
SetRead:
mov di,5 ;读取次数
ReadBoot:
mov bx,7C00H
mov ax,201H
push di
int 13H ;cx,dx已经在SaveRec处得到
pop di
jnc GoBoot ;成功则启动
xor ax,ax
int 13H ;reset驱动器，然后再读取
dec di
jnz ReadBoot
mov si,offset ErrMsg2+600H
jmp short PrintStr 失败输出信息，并进入无穷循环
;检查读入的引导扇区
GoBoot:
mov si,offsetErrMsg3+600H
mov di,7C00H+1FEH
cmp word ptr[di],0AA55H
jne PrintStr ;非AA55标志则输出错误信息
mov si,bp ;si指向可启动分区
db 0EAH,0,7CH,0,0 ;跳转至0:7C00H
ErrMsg1 db Invaild partition table,0
ErrMsg2 db Error loading operating system,0
ErrMsg3 db Missing operating system,0
Tail:
FillNum equ 1BEH-(Tail-Head) ;计算填0数目
db FillNum dup(0)
;四个分区表项数据，跟分区情况有关，详细含义另解
PartTable db 80H,1,1,0,4,4,0D1H,2,11H,0,0,0,0FEH,0FFH,0,0
db 0,0,0C1H,3,5,4,0D1H,0FEH,0FFH,0FFH,0,0,0ACH,53H,0,0
db 20H dup(0)
ID dw 0AA55H
end start
;如果开始试用org 600H，那么访问数据时就不必加上600H，如mov si,offset
ErrMsg2+600H
;可写为mov si,offset ErrMsg2，这时就不能用exe2bin得到数据，必须试用debug
;debug mbr.exe
;-nmbr.bin
;-rcx 200
;-wcs:600
;-q
在硬盘的第一个扇区上保存着分区信息，称为主分区表，共有四项
读取分区表必须使用bios的int 13h，一般使用debug就可以了
debug
-a
xxxx:0100 mov ax,201
mov bx,200
mov cx,1
mov dx,80 ;如果是第二个硬盘则是81...
int 13
int 20
xxxx:????
-g
这时xxxx:0200开始的512字节就是分区表所在的扇区，前面一部分为MBR，
在debug中用-d3be l40就可以看到64字节的分区表信息，16个字节为一项
用-e命令就可以修改，改完后可以重新写回去，只要把前面代码中的
mov ax,201改为mov ax,301即可，或者直接把102处的2改成3，比如：
-e 102
xxxx:0102 02.3
-g=100
这样就写回去了，不过要小心哦，呵呵，弄不好就坏了，大家还是把分区
表手抄一份存下来吧，会省去很多麻烦的
下来说一下分区表项的具体意义，取其中一项举个例子：
80 01 01 00 0B 3F FF 00 3F 00-00 00 81 4F 2F 00
1 (80)引导标志，80代表可引导，00代表不可引导，一般必须且只能
有一个分区表项的引导标志为80，除非你自己修改MBR
2 (01)分区开始磁头
3,4 (01 00)=(1,0)分区开始柱面和扇区（后面后详解）
5 (0B)分区类型（后面有详解）
6 (3F)=(63)分区结束磁头
7,8 (FF 00)=(768,63分区结束柱面和扇区（同上）
9-12 (3F 00 00 00)=(63)此分区前扇区总数，即相对扇区数
13-16 (81 4F 2F 00)=(002F4F81H=3100545)此分区扇区总数
由于柱面和扇区共用两个字节表示，而柱面号为10位，最大1023，扇区号为6位，最大63
扇区号
______|____
| |
( 7 6 5 4 3 2 1 0 ) ( 7 6 5 4 3 2 1 0 )
|___| |_____________|
|________________________|
|_
柱面号
关于分区类型，常见的有：
00 未用，Unused
01 DOS-12(FAT 12)
02 XENIX
04 DOS-16(FAT 16)（分区<32M时用的，还有么？）
05 EXTEND(DOS扩展分区)
06 BIGDOS(>32M)（这个才是现在常说的FAT 16）
07 HPFS(OS/2)（好像NTFS也是这个标记）
0B FAT 32
0F 这个一时不确定，西西
50 DM
63 386/ix(unix)
64 NET286(Novell)
65 NET386(Novell)
FF BBT(UNIX Bad Block Table)
下面有几个平衡式用来计算分区参数：
1 第一分区参数平衡式
扇区总数=(结束柱面+1)*磁头数*每柱面扇区数-相对扇区数
例如：3100545=(768+1)*64*63-63
2 其它分区参数平衡式
扇区总数=(结束柱面-起始柱面+1)*磁头数*每柱面扇区数
00 00 C1 01 05 3F FF FD C0 4F-2F 00 C0 90 0F 00
000F90C0H=1020096,(FF FD)=(1021,63),(C1 01)=(769,1)
例如：1020096=(1021-769+1)*64*63
3 第一分区相对扇区=每柱面扇区数
其它分区相对扇区=上一分区相对扇区+上一分区扇区总数
扩展分区信息是一个链状结构，很多人不知道在删分区时把前面的分区删掉导致后面的分区找不到，原因就在于此，我们从主分区表中取出扩展分区项进行一下分析，如下：
00 00 01 C0 05 FE BF 6E C0 10-2F 00 EF A6 69 00
由此我们可以得到数据：
开始磁头：00
开始柱面扇区：01 C0=(192,0)
用debug
debug
-a100
xxxx:0100 mov ax,201
mov bx,200
mov cx,05c0 ;开始柱面扇区号
mov dx,80 ;dh中为开始磁头号，这里为0
int 13
int 20
xxxx:????
-g=100
-d3be l10
读出的扇区中有两个16字节的分区表项和最后的一个55AA标志，这两个
分区表项为：
00 01 01 C0 06 FE 7F 97 3F 00-00 00 99 F2 34 00
00 00 41 98 05 FE BF 6E D8 F2-34 00 17 B4 34 00
第一个分区类型为6，其实这是第一个逻辑分区，含义和主分区表项相同
第二个分区类型为5，这其实是指向下一个扩展分区表的从这里我们可以得到：
开始磁头：0
开始柱面扇区：41 98=(408,1)
继续用debug读出（mov cx,9841)得到
00 01 41 98 06 FE BF 6E 3F 00-00 00 D8 B3 34 00
只有一个表项，是第二个逻辑盘，而且是逻辑盘链的最后一个可以看到，主分区表是非常重要的，所以除了小心操作外，还应当进行备份最安全的备份方式就是用笔抄下来，呵呵，放到安全的地方，当然，每次重新进行分区后还应当及时更新的说，:P
从前面可以看出，分区表里最重要的还是柱面号，其它比如磁头号都是0或者1或者最大值，扇区号都是1或63（最大值），扇区总数什么的也都能算出来，所以分区时最好把各分区的柱面号记下来，这样一旦分区信息被破坏就可以进行恢复了。
如果主分区表不幸丢失或者逻辑分区链被破坏，那么只要从硬盘上找出还存在的分区信息，就有可能部分恢复分区信息，甚至全部可以恢复，不过这样的麻烦大家还是尽量避免吧，怎么恢复呢，偶也没干过，下回一边说一边练，呵呵
php爱好者站 http://www.phpfans.net PHP|MySQL|javascript|ajax|html.
机器加电或按reset键后都要进行系统复位，复位后CS=FFFFH，IP=0000H
那么自然就从FFFF:0000H处开始执行指令，这个地方只有一条JMP指令
跳转到系统自检程序处，系统自检完成后把软盘的第一个扇区（如果由软盘启动）
或者硬盘的第一个扇区，即MBR扇区（如果由硬盘启动）读入到0:7C00H处
然后把控制权交出，从0:7C00H处继续执行，下面就是硬盘的MBR代码分析
其中的引导扇区是指硬盘相应分区的第一个扇区，是和操作系统有关的
操作系统的引导是由它来完成的，而MBR并不负责，MBR和操作系统无关
他的任务是把控制权转交给操作系统的引导程序
程序流程：
1 将程序代码由0:7C00H移动到0:0600H（注，BIOS把MBR放在0:7C00H处）
2 搜索可引导分区，即80H标志
成功：goto 3
失败：跳入ROM BASIC
无效分区表：goto 5
3 读引导扇区
失败：goto 5
成功：goto 4
4 验证引导扇区最后是否为55AAH
失败：goto 5
成功：goto 6
5 打印错误进入无穷循环
6 跳到0:7C00H进行下一步启动工作
下面将用汇编语言写出这一段代码，并进行说明。
;MBR.ASM
; MASM MBR
; LINK MBR
; EXE2BIN MBR
.MODEL tiny
.CODE
;设置寄存器及堆栈值
org 0
Head:
Start:
cli
xor ax,ax
mov ss,ax
mov sp,7C00H ;ss:sp=0:7C00H
mov si,sp
push ax
pop es
push ax
pop ds ;es=ds=0
sti
;将程序代码由0:7C00H移动到0:0600H处
cld
mov di,600H
mov cx,100H ;100H Words=512 Bytes，即一个扇区大小
repne movsw
db 0EAH ;这个是FAR JUMP的机器码
dw offset Continue+600H, 0000H ;这个是跳转目的地址，即0:061DH
;搜索可引导分区
Continue:
mov si,600H+1BEH ;si指向分区表
mov bl,4 ;四个分区
FindBoot:
cmp byte ptr[si],80H
je SaveRec ;读扇区位置
cmp byte ptr[si],0
jne Invaild ;无效分区
add si,10H
dec bl
jnz FindBoot
int 18H ;进入ROM BASIC
;读取引导分区的扇区，柱面号
SaveRec:
mov dx,[si]
mov cx,[si+2]
mov bp,si
;检查其余分区表
FindNext:
add si,10H
dec bl
jz SetRead
cmp byte ptr[si],0 ;是否存在非法分区
je FindNext
Invaild:
mov si,offset ErrMsg1+600H
;字符串输出子程序
PrintStr:
lodsb
cmp al,0
je DeadLock
push si
mov bx,7
mov ah,0EH ;输出字符
int 10H
pop si
jmp short PrintStr ;下一字符
DeadLock:
jmp short DeadLock ;无穷循环，也可以写成jmp $
;读引导扇区
SetRead:
mov di,5 ;读取次数
ReadBoot:
mov bx,7C00H
mov ax,201H
push di
int 13H ;cx,dx已经在SaveRec处得到
pop di
jnc GoBoot ;成功则启动
xor ax,ax
int 13H ;reset驱动器，然后再读取
dec di
jnz ReadBoot
mov si,offset ErrMsg2+600H
jmp short PrintStr 失败输出信息，并进入无穷循环
;检查读入的引导扇区
GoBoot:
mov si,offsetErrMsg3+600H
mov di,7C00H+1FEH
cmp word ptr[di],0AA55H
jne PrintStr ;非AA55标志则输出错误信息
mov si,bp ;si指向可启动分区
db 0EAH,0,7CH,0,0 ;跳转至0:7C00H
ErrMsg1 db Invaild partition table,0
ErrMsg2 db Error loading operating system,0
ErrMsg3 db Missing operating system,0
Tail:
FillNum equ 1BEH-(Tail-Head) ;计算填0数目
db FillNum dup(0)
;四个分区表项数据，跟分区情况有关，详细含义另解
PartTable db 80H,1,1,0,4,4,0D1H,2,11H,0,0,0,0FEH,0FFH,0,0
db 0,0,0C1H,3,5,4,0D1H,0FEH,0FFH,0FFH,0,0,0ACH,53H,0,0
db 20H dup(0)
ID dw 0AA55H
end start
;如果开始试用org 600H，那么访问数据时就不必加上600H，如mov si,offset
ErrMsg2+600H
;可写为mov si,offset ErrMsg2，这时就不能用exe2bin得到数据，必须试用debug
;debug mbr.exe
;-nmbr.bin
;-rcx 200
;-wcs:600
;-q
在硬盘的第一个扇区上保存着分区信息，称为主分区表，共有四项
读取分区表必须使用bios的int 13h，一般使用debug就可以了
debug
-a
xxxx:0100 mov ax,201
mov bx,200
mov cx,1
mov dx,80 ;如果是第二个硬盘则是81...
int 13
int 20
xxxx:????
-g
这时xxxx:0200开始的512字节就是分区表所在的扇区，前面一部分为MBR，
在debug中用-d3be l40就可以看到64字节的分区表信息，16个字节为一项
用-e命令就可以修改，改完后可以重新写回去，只要把前面代码中的
mov ax,201改为mov ax,301即可，或者直接把102处的2改成3，比如：
-e 102
xxxx:0102 02.3
-g=100
这样就写回去了，不过要小心哦，呵呵，弄不好就坏了，大家还是把分区
表手抄一份存下来吧，会省去很多麻烦的
下来说一下分区表项的具体意义，取其中一项举个例子：
80 01 01 00 0B 3F FF 00 3F 00-00 00 81 4F 2F 00
1 (80)引导标志，80代表可引导，00代表不可引导，一般必须且只能
有一个分区表项的引导标志为80，除非你自己修改MBR
2 (01)分区开始磁头
3,4 (01 00)=(1,0)分区开始柱面和扇区（后面后详解）
5 (0B)分区类型（后面有详解）
6 (3F)=(63)分区结束磁头
7,8 (FF 00)=(768,63分区结束柱面和扇区（同上）
9-12 (3F 00 00 00)=(63)此分区前扇区总数，即相对扇区数
13-16 (81 4F 2F 00)=(002F4F81H=3100545)此分区扇区总数
由于柱面和扇区共用两个字节表示，而柱面号为10位，最大1023，扇区号为6位，最大63
扇区号
______|____
| |
( 7 6 5 4 3 2 1 0 ) ( 7 6 5 4 3 2 1 0 )
|___| |_____________|
|________________________|
|_
柱面号
关于分区类型，常见的有：
00 未用，Unused
01 DOS-12(FAT 12)
02 XENIX
04 DOS-16(FAT 16)（分区<32M时用的，还有么？）
05 EXTEND(DOS扩展分区)
06 BIGDOS(>32M)（这个才是现在常说的FAT 16）
07 HPFS(OS/2)（好像NTFS也是这个标记）
0B FAT 32
0F 这个一时不确定，西西
50 DM
63 386/ix(unix)
64 NET286(Novell)
65 NET386(Novell)
FF BBT(UNIX Bad Block Table)
下面有几个平衡式用来计算分区参数：
1 第一分区参数平衡式
扇区总数=(结束柱面+1)*磁头数*每柱面扇区数-相对扇区数
例如：3100545=(768+1)*64*63-63
2 其它分区参数平衡式
扇区总数=(结束柱面-起始柱面+1)*磁头数*每柱面扇区数
00 00 C1 01 05 3F FF FD C0 4F-2F 00 C0 90 0F 00
000F90C0H=1020096,(FF FD)=(1021,63),(C1 01)=(769,1)
例如：1020096=(1021-769+1)*64*63
3 第一分区相对扇区=每柱面扇区数
其它分区相对扇区=上一分区相对扇区+上一分区扇区总数
扩展分区信息是一个链状结构，很多人不知道在删分区时把前面的分区删掉导致后面的分区找不到，原因就在于此，我们从主分区表中取出扩展分区项进行一下分析，如下：
00 00 01 C0 05 FE BF 6E C0 10-2F 00 EF A6 69 00
由此我们可以得到数据：
开始磁头：00
开始柱面扇区：01 C0=(192,0)
用debug
debug
-a100
xxxx:0100 mov ax,201
mov bx,200
mov cx,05c0 ;开始柱面扇区号
mov dx,80 ;dh中为开始磁头号，这里为0
int 13
int 20
xxxx:????
-g=100
-d3be l10
读出的扇区中有两个16字节的分区表项和最后的一个55AA标志，这两个
分区表项为：
00 01 01 C0 06 FE 7F 97 3F 00-00 00 99 F2 34 00
00 00 41 98 05 FE BF 6E D8 F2-34 00 17 B4 34 00
第一个分区类型为6，其实这是第一个逻辑分区，含义和主分区表项相同
第二个分区类型为5，这其实是指向下一个扩展分区表的从这里我们可以得到：
开始磁头：0
开始柱面扇区：41 98=(408,1)
继续用debug读出（mov cx,9841)得到
00 01 41 98 06 FE BF 6E 3F 00-00 00 D8 B3 34 00
只有一个表项，是第二个逻辑盘，而且是逻辑盘链的最后一个可以看到，主分区表是非常重要的，所以除了小心操作外，还应当进行备份最安全的备份方式就是用笔抄下来，呵呵，放到安全的地方，当然，每次重新进行分区后还应当及时更新的说，:P
从前面可以看出，分区表里最重要的还是柱面号，其它比如磁头号都是0或者1或者最大值，扇区号都是1或63（最大值），扇区总数什么的也都能算出来，所以分区时最好把各分区的柱面号记下来，这样一旦分区信息被破坏就可以进行恢复了。
如果主分区表不幸丢失或者逻辑分区链被破坏，那么只要从硬盘上找出还存在的分区信息，就有可能部分恢复分区信息，甚至全部可以恢复，不过这样的麻烦大家还是尽量避免吧，怎么恢复呢，偶也没干过，下回一边说一边练，呵呵
php爱好者站 http://www.phpfans.net PHP|MySQL|javascript|ajax|html.
相关阅读 更多 +
