Hardware 版 (精华区)

发信人: anderson (塞上牛羊空许约), 信区: Hardware
标  题: 硬盘杀手破坏机制分析　可用kavfix恢复数据
发信站: 哈工大紫丁香 (2003年01月13日17:37:35 星期一), 站内信件

总的来说，硬盘杀手是个构思不错的病毒，一个Win32的病毒释放一个DOS的COM程
序在机器启动时，不断的写硬盘，彻底的破坏硬盘数据，你的硬盘数据真的没救了
？请往下看：当你的机器感染的第二天，就会触发其破坏机制：

　　 1，修改AutoExec.bat,使得下次启动时，会运行其释放的mslienf.com文件,
然后重新启动机器.

　　 2，执行mslienf.com时，调用磁盘中断13h的08功能获得磁盘的结构参数，然
后调用03号功能从0扇区把病毒代码及后续的内存数据写63个扇区，然后不断重复
这一操作，写过的数据真的完了。

　　 3，你可能反应很敏捷，你按断电源，让它重启动了，但执行的引导区程序已
是病毒代码了，它继续摧毁你的数据，你该无奈了吧!

　　 4，回头看第2步，磁盘中断的08号功能只能取到硬盘8GB以内的数据参数（
1024*255*63*512 Byte = 8GB），而03号功能也只能写8GB内的数据，与CIH不同，
CIH在Win32平台下用系统的底层服务来操作硬盘，可以读写超过8G的数据，还好，
它很“仁慈”，它只写1M的数据，好，我们的希望来了，如果你的第一分区是8GB
以上的，那么你的扩展分区的数据就有救了。是动手修复的时候了，一起来吧！

　　 1，最好的情况是你的手头有你在这台机器上作的金山毒霸应急杀毒盘，那就
找到其中的HD0bk.dat文件，用应急启动盘中的kavfix工具写回硬盘即可挽回你扩
展分区的数据，什么？你不会用kavfix工具，那你就先看看说明书吧！

　　 2，那就试试kavfix的重建分区表的功能吧！ 

　　 3，如果重建失败，建议你及时跟金山毒霸的技术人员或数据恢复人员联系，
他们能最大的可能帮你恢复你的数据。

--
※ 来源:·哈工大紫丁香 bbs.hit.edu.cn·[FROM: 202.118.239.85]