mbr virüsü nedir bir bilen yardım etsin

aaaa · 2005-11-16T23:58:20.0000000+03:00

arkadaşlar sistemimde kurulu güncel anti virüsüm olduğu halde bir uyarı alıyorum MBR virüsü var diye. anti virüs sadece haber veriyor başka da bir halt yiyemiyor. avg kurulu sonra kapersky de kurdum kar etmedi. nedir bunun çaresi,,, şimdiden teşekkürler.

C4

Yarbay

3401 Mesaj

Tüm Başarılarını Gör

veliaht41

Yüzbaşı

538 Mesaj

Tüm Başarılarını Gör

eleny

Binbaşı

1439 Mesaj

Tüm Başarılarını Gör

uisik34

Yarbay

3567 Mesaj

Tüm Başarılarını Gör

slm arkadasim oncelikle

MBR (Partition) Virüsleri

MBR virüsleri esas olarak, boot virüslerinden pek de farklı değildir.Ancak can alıcı bir nokta vardır ki, bu boot ve mbr virüsleri arasındaki en önemli noktadır. Hard diskler kapasite olarak çok farklı ve büyük kapasitede olduklarından diskin DOS’a tanıtılması amacıyla MBR - Master Boot Record (Ana açılış kaydı) denilen özel bir açılış programı içerirler.Bu kod diskin 0.cı iz, 0.cı kafa ve 1.ci sektörü üzerinde bulunur.Yani disketlerde boot sektörün bulunduğu konum, hard diskler için MBR yeridir.Master boot record, hangi disk partitionundan bilgisayarın açılacağını gösterir.Bu yüzden çok önemlidir.Eğer bilgisayar hard diskten boot ediliyorsa, o takdirde mbr ve partition table okunur.Aktif partitiona ait boot sektör okunur.Bundan sonrası boot sektör kısmındaki sistemin aynısıdır.

İlk önce şunu belirtmekte fayda var.Mantıksal sürücülerin ilk sektörüne Boot sektör denir.Mantıksal sektörler 0 ile başlar.
Şöyle genel bir bakış atıcak olursak;1-9 sektör fat bilgisini içerir.
10-18 sektörleri fat bilgisinin kopyasını içerir.19-32 root directory,32-2879 veri bölümüni içerir.

Boot sektördeki bilgilerde formatlandığı işletim sistemine göre boot kodu ve biosun disketle ilgili bölümlerin bulunduğu parametre bloğu farklılıklar gösterir.
Hdd için debug altından L 0 2 0 1 ifadesini yazın fakat sisteminiz xp ise bunu direk xp altından yapmanız mümkün değil dos altından yapın.
Yada xp altında bir disket sürücü formatlayın ve L 0 0 0 1 ifadesini verin.
Bu komutun anlamı 0 adresine 2. sürücünin 0. sektöründen başlayarak 1 sektör yükle.

ifadeyi unassemble etmek için debug programına komut verdiğinizde CS:IP ifadesi olarak karşımıza çıkan tabloda İlk ifade olarak elime eb3c jmp 003E ifadesi geçti.Bu komutla bir dallanma gerçekleşiceği açıkca belirtilmiş.Boot yapılacak ifadeye dallanma gerçekleştiricek olan jmp 003e komutudur.

Şimdide belleği dump(0.bölümü) edelim ve karşımıza gelenleri görelim:
EB 3c 90 ifadesi boot komutuna dallanma komutudur.Yukarda da unassemble edilmiş halini görmüştük.Burda açıkca Jump 003e,Nop ifadesi veriliyor.
Diğer kalan satıra devam edicek olursak Msdos 5.0 ifadesi Oem ismini vericektir.
Bu listeyi daha açık bir şekilde yazıcak olursam MBR'ye geçemiycem.Ayrıntılı bir şekilde anlatmam istenirse daha sonra gerekli ayrıntıları net bir şekilde açıklarım.

Bu ayrıntıya değindikten sonra MBR konusuna gelelim.Fiziksel disklerin ilk bölümüne Master boot record(MBR)denir.Eğer dos interruptları ile ilk sektörü okumak isterseniz mantıksal disklere ulaşırsınız.

Buraya kadarki kısımda okuduğumuz bölüm boot record bölümüydü.Disk yüzeyinde istediğimiz sektörlere ulaşmak için Dos ve Bios interrupları dediğimiz kesmelerden yararlanırız.Bunların arasından hangisinin ne iş yaptığına gelince Bios interruptları disk üzerindeki ilk sektörü başlangıç sektörü kabul eder.Oysaki Dos interruptları ise çalışan işletim sisteminin üzerinde bulunduğu partition üzerindeki ilk sektörü başlangış sektörü kabul eder.

Şöyle bir örnek vermek gerekirse Bios interruptları boot sektörünü track 0 sector 1 üzerine adresler.Dos interruptları ise bunu track 0 sector 0 da adresler.Sebebi ise dos interrupları mantıksal sektörlere baktığı için böyle bir sonuç oluşturur.
Şimdide MBR sektörüne ulaşalım.Bunun için biosun 13h interruptunun 02h fonksiyonunu kullanıcaz.

Debuga geçin.
a100 komutunu verin
mov ah,2
mov al,1
mov ch,0
mov cl,1
mov dh,0
mov dl,80
mov bx,200
int 13
int 20
g
Bu komutlar bütününü verdiğimizde MBR'yi belleye yüklemiş oluyoruz.
Komutların mantıksal açıklamasına girmiycektim fakat anlaşılmasında güçlük çekilebiliceğini düşündüğüm için bu noktayada girmeye karar verdim.
İfade birde AH registerına 2 değeri ekleniyor.AH general purpose register dediğimiz bir kaydedici tipinin yüksek baytlı kısmıdır.AX(akümülatör) olarak kullanılan bu kaydedici aritmatik işlemler için kullanılır.AX=AH+AL şeklinde ifade edilir.AL ise düşük seviyeli bayt kısmıdır.AL 0-7 bitlik kısmı AH ise 8-15 bitlik kısmı kayıtlar.Yani toplamda 1 wordluk bir ifade üretilir.(1 word 16 bit yani 2 byte).
al değerine 1 ifadesi eklenmiştir.Şöyle bakıcak olursak
mov AH,13
mov AL,2B
AX=132B olur.
Burada CH komutu silindir numarasını belirtmektedir.CH'a silindir numarası olarak 0 değeri atamış oluyoruz.CL ifadesi sektör numarasını belirtir.Yani 1. sektör oluyor.DH kafa numarasıdır.DL ise sürücü numarasını belirtir.Aslında burda BX registerını ayrı olarak incelemek gerekir ama gecenin bir yarısı bu dökümanı oluştumak için uğraşınca insanda bir bezginlik yaratıyor.BX için sektörün yazılacağı adresi işaret ediyor diyebiliriz.200 üncü offset adresinde okunan sektörü görüyorum.Yine dediğim gibi bunları Winxp altında denediğinizde diske erişim yaptığınıza dair bir mesaj alırsınız ve işlem sonlandırılır.

200 offset değerini unassemble edersek
Cli komutunu görürsünüz.İnterrupt flagını sıfırlar.Ben bu noktada bu konuyada biraz değinmek istiyorum.Flagler özel bir register yapısında incelenirler.Flag registerında yer alan bitler tek tek ve kendi başlarına özel anlamlarına sahiptirler.Bu registerın içerisindeki bitlere flag denir.Flagler set yada reset olmalarına göre bilgiler verirler.
1 wordluk flags register yapısına bakıcak olursak 0. bitten 16. bite doğru Carry Flag,Parity flag,Auxilary ,Zero,Sign,Trap,Interrupt,Direction,Owerflow flağı olarak sıralanır.Yanlız 1. bit değeri 1, 3.bit 0, 5. bit değeri 0 olarak belirlenmiştir.
Flagler üzerinde fazla durmıycam başlı başına bir konu çıkar bunlardan.

Yukarda flagını sıfırladığından bahsetmiştim.Flag binary 1 değerini alana kadar işlemci hiçbir donanım kesmesine yanıt vermez.Bir alt satırda JMP komutunu görüyorsunuz bunu gördüğümüzde artık bir dallanmanın başlıycağını biliyoruz.Bu dallanmanın başladığı adresten itibaren belleğe yüklediğimiz offset değerini çıkartırsak gerçek offset değerlerini bulmuş oluruz.
MBR de bir noktayada dikkatinizi çekmek istiyorum.
0000 adresinde master bootstrap loader code bulunur.01BE kısmında partition table,01FE de ise imza bulunur.

mbr virüsü nedir bir bilen yardım etsin

Benzer içerikler