窥视计算机病毒的磁盘存储结构

　　对于硬盘空间的分配由两个部分组成：第一部分就是整个硬盘的第一扇区，这一扇区 称之为硬盘的主引导程序扇区，它由两部分内容组成，一是主引导程序，二是分区信息表。主引导程序是硬盘启动时首先执行的程序，由它装入执行活动分区（活动分区）引导程序，从而进一步引导系统。分区信息表登记各个分区引导指示符、操作系统指示符以及该分区占用硬盘空间的位置及其长度；第二部分是各个系统分区。各个系统分区是提供给各操作 系统使用的区域，每一区域只能存放一种操作系统，在该区域中的系统具有自己的引导记录、文件分配表区、文件目录区以及数据区。 若整个硬盘归DOS使用，硬盘上信息由5部分即第1扇区的主引导程序和分区信息表、分区引导程序、文件分配表区、文件根目录区、文件数据区。

　　硬盘主引导扇区很特殊，它不在DOS的管辖范围内。所以用DOS的非常驻命令 FORMAT、FDISK、DEBUG都不能触及它。当该扇区损坏时，硬盘不能启动。用FORMAT、FDISK都不能修复它。DEBUG的L命令和W命令都不能用于主引导扇区。只有 在DEBUG下借用INT 13H或低级格式化方能修复。

　　2.系统型病毒的磁盘存储结构

　　系统型病毒是指专门传染操作系统的启动扇区，主要指传染硬盘主引导扇区和DOS引导扇区的病毒。系统型病毒在磁盘上的存储结构是这样的，病毒程序被划分为两部分， 第一部分存放在磁盘引导扇区中，第二部分则存放在磁盘其他的扇区中。病毒程序在感染一个磁盘时，首先根据FAT表在磁盘上找到一个空白簇（如果病毒程序的第二部分占用 若干个簇，则需要找到一个连续的空白簇），然后将病毒程序的第二部分以及磁盘原引导扇区的内容写入该空白簇，接着将病毒程序的第一部分写入磁盘引导扇区。

　　但是，由于磁盘不同，病毒程序第二部分所占用的空白簇的位置就不同，而病毒程序在侵入系统时，又必须将其全部程序装入内存，在系统启动时道德装入的是磁盘引导扇区 中的病毒程序，该段程序在执行时要将其第二部分装入内存，这样第一部分必须知道其第二部分所在簇的簇号或逻辑扇区号。为此，在病毒程序感染一个磁盘时，不仅要将其第一 部分写入磁盘引导扇区，而且必须将病毒程序第二部分所在簇的簇号（或该簇第一扇区的逻辑扇区号）记录在磁盘的偏移地址01F9处，存放其第二部分所在簇第一扇区的逻辑扇 区号。