主要內(nèi)容硬盤結(jié)構(gòu)文件系統(tǒng)計(jì)算機(jī)的引導(dǎo)過程中斷內(nèi)存管理EXE文件的格式第2章預(yù)備知識(shí)主要內(nèi)容硬盤結(jié)構(gòu)第2章預(yù)備知識(shí)2.1.1硬盤的物理結(jié)構(gòu)絕大多數(shù)硬盤在結(jié)構(gòu)上都是溫徹斯特(Winchester)盤，其核心就是：磁盤片被密封、固定并且不停高速旋轉(zhuǎn)，磁頭懸浮于盤片上方沿磁盤徑向移動(dòng)，并且不和盤片接觸2.1硬盤結(jié)構(gòu)簡(jiǎn)介2.1.1硬盤的物理結(jié)構(gòu)絕大多數(shù)硬盤在結(jié)構(gòu)上都是溫徹斯特2.1.1硬盤的物理結(jié)構(gòu)低級(jí)格式化與硬盤的基本參數(shù)對(duì)于一塊新硬盤，低級(jí)格式化的過程已經(jīng)由生產(chǎn)廠家在產(chǎn)品出廠前完成了低級(jí)格式化的主要目的是將盤面劃分成磁道、扇區(qū)和柱面2.1硬盤結(jié)構(gòu)簡(jiǎn)介早期：3D參數(shù)（CHS）Cylinder-最大1023-10bit存儲(chǔ)表示一個(gè)盤片上有幾條磁道Head-最大255-8bit存儲(chǔ)表示磁盤有幾個(gè)盤面Sector-最大63-6bit存儲(chǔ)表示一條磁道有幾個(gè)扇區(qū)特別注意C、H從0開始；而S從1開始一個(gè)扇區(qū)通常是512個(gè)字節(jié)早期每個(gè)磁道具有相同扇區(qū)數(shù)2.1.1硬盤的物理結(jié)構(gòu)低級(jí)格式化與硬盤的基本參數(shù)2.12.1.1硬盤的物理結(jié)構(gòu)基本INT13H調(diào)用BIOSINT13H調(diào)用是BIOS提供的磁盤基本輸入輸出中斷調(diào)用，它可以完成磁盤(包括硬盤和軟盤)的復(fù)位、讀寫、校驗(yàn)、定位、診斷、格式化等功能，完全不用考慮被操作硬盤安裝的是什么操作系統(tǒng)使用CHS尋址方式

柱面-磁頭-扇區(qū)只能訪問8GB左右的硬盤老式硬盤缺點(diǎn)：每個(gè)磁道扇區(qū)數(shù)相等。2.1硬盤結(jié)構(gòu)簡(jiǎn)介2.1.1硬盤的物理結(jié)構(gòu)基本INT13H調(diào)用2.12.1.1硬盤的物理結(jié)構(gòu)現(xiàn)代硬盤結(jié)構(gòu)簡(jiǎn)介老式硬盤，每個(gè)磁道扇區(qū)數(shù)相等改用等密度結(jié)構(gòu)生產(chǎn)硬盤，外圈磁道的扇區(qū)比內(nèi)圈磁道多硬盤不再具有實(shí)際的3D參數(shù)尋址方式也改為線性尋址，即以扇區(qū)為單位進(jìn)行尋址現(xiàn)代大容量硬盤一般采用LBA(LogicBlockAddress)線性地址來尋址，以替代CHS尋址。在LBA方式下，系統(tǒng)把所有的物理扇區(qū)都按某種方式或規(guī)則看做是一線性編號(hào)的扇區(qū)，即從0到某個(gè)最大值方式排列，這樣，只用一個(gè)序數(shù)就能確定一個(gè)唯一的物理扇區(qū)。這就是線性地址扇區(qū)的由來，顯然線性地址是物理扇區(qū)的邏輯地址2.1硬盤結(jié)構(gòu)簡(jiǎn)介2.1.1硬盤的物理結(jié)構(gòu)現(xiàn)代硬盤結(jié)構(gòu)簡(jiǎn)介2.1硬盤結(jié)CHS到LBA假設(shè)用C表示當(dāng)前柱面號(hào)，H表示當(dāng)前磁頭號(hào)，c表示起始柱面號(hào)，h表示起始磁頭號(hào)，s表示起始扇區(qū)號(hào)，PS表示每磁道有多少個(gè)扇區(qū)，PH表示每柱面有多少個(gè)磁道，則有以下對(duì)應(yīng)關(guān)系:LBA=（C-c）*PH*PS+（H-h）*PS+（S-s）

一般情況下，c=0、h=0、s=1；PS=63、PH=255

C/H/S=0/0/1，代入上述公式中得到LBA=0

C/H/S=0/0/63，代入上述公式中得到LBA=62

C/H/S=220/156/18，代入上述公式中得到LBA=3544145CHS到LBA假設(shè)用C表示當(dāng)前柱面號(hào)，H表示當(dāng)前磁頭號(hào)，c表LBA到CHSc=0、h=0、s=1；PS=63、PH=255/整除；MOD求余；C=LBA/(PH*PS)+c

H=(LBA/PS)MODPH+Hs

S=LBAMODPS+sLBA=0,相應(yīng)地C/H/S=0/0/1

LBA=62,相應(yīng)地C/H/S=0/0/63

LBA到CHSc=0、h=0、s=1；PS=63、PH=252.1.1硬盤的物理結(jié)構(gòu)擴(kuò)展INT13H雖然現(xiàn)代硬盤都已經(jīng)采用了線性尋址，但是由于基本INT13H的制約，使用BIOSINT13H接口的程序，如DOS等還只能訪問8G以內(nèi)的硬盤空間。為了打破這一限制，Microsoft等幾家公司制定了擴(kuò)展INT13H標(biāo)準(zhǔn)(ExtendedINT13H)，采用線性尋址方式存取硬盤，所以突破了8G的限制，而且還加入了對(duì)可拆卸介質(zhì)(如移動(dòng)硬盤、優(yōu)盤)的支持2.1硬盤結(jié)構(gòu)簡(jiǎn)介2.1.1硬盤的物理結(jié)構(gòu)擴(kuò)展INT13H2.1硬盤2.1.1硬盤的物理結(jié)構(gòu)分區(qū)與高級(jí)格式化硬盤在使用時(shí)，是按照不同的區(qū)域存儲(chǔ)數(shù)據(jù)的，硬盤分區(qū)就是劃分區(qū)域的過程。劃分好的每一個(gè)區(qū)域都稱作一個(gè)分區(qū)，最多可以劃分為四個(gè)主分區(qū)。這項(xiàng)工作由分區(qū)程序來完成，通常使用FDISK或磁盤管理工具軟件在分區(qū)的過程中，分區(qū)程序向0柱面0磁頭1扇區(qū)寫入主引導(dǎo)記錄MBR(MasterBootRecord)和分區(qū)記錄表DPT(DiskPartitionTable)，并建立一個(gè)分區(qū)表鏈，所有的邏輯驅(qū)動(dòng)器寫入鏈表記錄。硬盤的分區(qū)格式常用的分區(qū)格式有四種：FAT16、FAT32、NTFS和Linux硬盤分區(qū)后還不能直接使用，要在每個(gè)分區(qū)內(nèi)建立完整的存儲(chǔ)系統(tǒng)后才能正常使用。建立存儲(chǔ)系統(tǒng)的工作一般由FORMAT程序來完成，這個(gè)過程稱為高級(jí)格式化高級(jí)格式化的目的是在分區(qū)內(nèi)建立分區(qū)引導(dǎo)記錄DBR(DOSBootRecord)、文件分配表FAT(FileAllocationTable)、文件目錄表FDT(FileDirectoryTable)和數(shù)據(jù)區(qū)DATA2.1硬盤結(jié)構(gòu)簡(jiǎn)介存放系統(tǒng)主引導(dǎo)程序，負(fù)責(zé)從活動(dòng)分區(qū)中裝載并運(yùn)行系統(tǒng)引導(dǎo)程序作業(yè)：MBR反編譯，分析主引導(dǎo)程序功能。2.1.1硬盤的物理結(jié)構(gòu)分區(qū)與高級(jí)格式化2.1硬盤結(jié)2.1.2硬盤的數(shù)據(jù)結(jié)構(gòu)主引導(dǎo)扇區(qū)的組成主引導(dǎo)扇區(qū)(BootSector)也就是硬盤的第一個(gè)物理扇區(qū)(0柱面0磁頭1扇區(qū))主引導(dǎo)記錄(MasterBootRecord，MBR)主分區(qū)表即磁盤分區(qū)表(DiskPartitionTable，DPT)引導(dǎo)扇區(qū)標(biāo)記(BootRecordID/Signature)完成系統(tǒng)主板BIOS向操作系統(tǒng)交接的重要入口2.1硬盤結(jié)構(gòu)簡(jiǎn)介主引導(dǎo)扇區(qū)結(jié)構(gòu)圖合法引導(dǎo)區(qū)標(biāo)志2.1.2硬盤的數(shù)據(jù)結(jié)構(gòu)主引導(dǎo)扇區(qū)的組成2.1硬盤結(jié)隱藏扇區(qū)主引導(dǎo)扇區(qū)0|0|1所在的磁道稱為0磁道，是隱藏磁道這個(gè)磁道的63個(gè)扇區(qū)都是隱藏扇區(qū)

Debug讀寫Winhex2.1硬盤結(jié)構(gòu)簡(jiǎn)介2.1.2硬盤的數(shù)據(jù)結(jié)構(gòu)Format對(duì)它們也無能為力！隱藏扇區(qū)2.1硬盤結(jié)構(gòu)簡(jiǎn)介2.1.2硬盤的數(shù)據(jù)結(jié)構(gòu)F2.1.2硬盤的數(shù)據(jù)結(jié)構(gòu)硬盤主分區(qū)表結(jié)構(gòu)簡(jiǎn)介2.1硬盤結(jié)構(gòu)簡(jiǎn)介偏移字節(jié)字段長(zhǎng)度值字段名和定義0x01BEBYTE0x80引導(dǎo)指示符號(hào)(BootIndicator)0x01BFBYTE0x01起始磁頭號(hào)(StartHead)0x01C0WORD6位0x01起始扇區(qū)號(hào)高2位為起始柱面號(hào)9-10位0x01C110位0x00起始柱面號(hào)(StartCylinder)0x01C2BYTE0x07系統(tǒng)ID(SystemID)，定義了分區(qū)的類型0x01C3BYTE0xFE結(jié)束磁頭號(hào)(EndHead)0x01C4WORD6位0xBF結(jié)束扇區(qū)號(hào)(EndSector)0x01C510位0xFC結(jié)束柱面號(hào)(EndCylinder)0x01C6DWORD0x0000003F相對(duì)扇區(qū)數(shù)(RelativeSectors)0x01CADWORD0x00BB867E總扇區(qū)數(shù)(TotalSectors)，該分區(qū)中扇區(qū)總數(shù)2.1.2硬盤的數(shù)據(jù)結(jié)構(gòu)硬盤主分區(qū)表結(jié)構(gòu)簡(jiǎn)介2.1硬注意:在dos/windows系統(tǒng)中，基本分區(qū)一柱面為單位劃分（以1柱面的容量為分區(qū)粒度）如果磁盤總空間不是柱面的整數(shù)倍，那么不夠一個(gè)柱面的空間就是剩余空間，這部分空間不參與分區(qū)浪費(fèi)，并且成為病毒的藏身之地。問：對(duì)于CHS為764/255/63的硬盤，分區(qū)的最小尺寸是多少？2.1.2硬盤的數(shù)據(jù)結(jié)構(gòu)2.1硬盤結(jié)構(gòu)簡(jiǎn)介注意:在dos/windows系統(tǒng)中，基本分區(qū)一柱面為單位劃通過主引導(dǎo)記錄定義的硬盤分區(qū)表，最多只能描述4個(gè)分區(qū)---不夠用，無法滿足需求一個(gè)主分區(qū)定義為擴(kuò)展分區(qū)-可進(jìn)一步分區(qū)，滿足需求2.1.3擴(kuò)展分區(qū)與擴(kuò)展MBR簡(jiǎn)介2.1硬盤結(jié)構(gòu)簡(jiǎn)介通過主引導(dǎo)記錄定義的硬盤分區(qū)表，最多只能描述4個(gè)分區(qū)---不2.1.3擴(kuò)展分區(qū)與擴(kuò)展MBR簡(jiǎn)介微軟采用虛擬MBR的技術(shù)-主MBR在定義分區(qū)的時(shí)候，將多余的容量定義為主擴(kuò)展分區(qū)。該分區(qū)中還可以進(jìn)一步劃分一個(gè)基本分區(qū)和一個(gè)擴(kuò)展分區(qū)。虛擬MBR(擴(kuò)展MBR,ExtendedMBR,EBR)沒有引導(dǎo)和錯(cuò)誤提醒信息部分。用以描述分區(qū)的扇區(qū)形成一個(gè)“分區(qū)鏈”，通過這個(gè)分區(qū)鏈，就可以描述所有的分區(qū)-邏輯鎖2.1硬盤結(jié)構(gòu)簡(jiǎn)介2.1.3擴(kuò)展分區(qū)與擴(kuò)展MBR簡(jiǎn)介微軟采用虛擬MBR的技29302560*51237E3E4000H97659135*512=BA451FE00H+37E3E4000H=F22903E00H29302560*51237E3E2.1.3擴(kuò)展分區(qū)與擴(kuò)展MBR簡(jiǎn)介擴(kuò)展分區(qū)和邏輯盤2.1硬盤結(jié)構(gòu)簡(jiǎn)介2.1.3擴(kuò)展分區(qū)與擴(kuò)展MBR簡(jiǎn)介擴(kuò)展分區(qū)和邏輯盤2.12.1.3擴(kuò)展分區(qū)與擴(kuò)展MBR簡(jiǎn)介3主分區(qū)(其中一個(gè)用作擴(kuò)展)的磁盤結(jié)構(gòu)圖2.1硬盤結(jié)構(gòu)簡(jiǎn)介一個(gè)3主分區(qū)的磁盤結(jié)構(gòu)擴(kuò)展分區(qū)表鏈接示意圖2.1.3擴(kuò)展分區(qū)與擴(kuò)展MBR簡(jiǎn)介3主分區(qū)(其中一個(gè)用作2.2.1文件系統(tǒng)簡(jiǎn)介2.2文件系統(tǒng)主引導(dǎo)記錄(MasterBootRecord，MBR)磁盤分配表DPT操作系統(tǒng)引導(dǎo)記錄(DOSBootRecord，DBR)文件分配表(FileAllocationTable，F(xiàn)AT)文件目錄表(FileDirectoryTable，F(xiàn)DT)數(shù)據(jù)區(qū)在低級(jí)格式化，磁盤被分成每塊512BFAT文件系統(tǒng)將多個(gè)扇區(qū)合并成一個(gè)簇(cluster)2.2.1文件系統(tǒng)簡(jiǎn)介2.2文件系統(tǒng)主引導(dǎo)記錄(Ma2.2.2FAT32DBRDBR區(qū)(DOSBootRecord)引導(dǎo)扇區(qū)2.2文件系統(tǒng)2.2.2FAT32DBRDBR區(qū)(DOSBootBPBBIOSParameterBlockBPBBIOSParameterBlock2.2.3FAT16DBRFAT12和FAT16中的DBR與FAT32中的DBR的基本含義類似，只是相關(guān)偏移量和參數(shù)意義有小的差異2.2文件系統(tǒng)偏移字節(jié)字段長(zhǎng)度(字節(jié))字段名稱0x003跳轉(zhuǎn)指令(JumpInstruction)0x038OEMID0x0B25BPB0x2426擴(kuò)展BPB0x3E448引導(dǎo)程序代碼(BootstrapCode)0x01FE4扇區(qū)結(jié)束標(biāo)識(shí)符(0x55AA)2.2.3FAT16DBRFAT12和FAT16中的D2.2.4保留扇區(qū)在FAT文件系統(tǒng)DBR的偏移0x0E處，用2個(gè)字節(jié)存儲(chǔ)保留扇區(qū)的數(shù)目。所謂保留扇區(qū)(有時(shí)候也稱作系統(tǒng)扇區(qū)、隱藏扇區(qū))，是指從分區(qū)DBR扇區(qū)開始的僅為系統(tǒng)所有的扇區(qū)，包括DBR扇區(qū)。在FAT16文件系統(tǒng)中，通常設(shè)置為1，即僅僅DBR扇區(qū)。而在FAT32中，保留扇區(qū)的數(shù)據(jù)通常取為32FAT32中的保留扇區(qū)除了磁盤總第0扇區(qū)用作DBR，總第2扇區(qū)(Windows98系統(tǒng))或總第0xC扇區(qū)(Windows2000/XP)用作OS引導(dǎo)代碼擴(kuò)展部分外，其余扇區(qū)都不參與操作系統(tǒng)管理與磁盤數(shù)據(jù)管理，通常情況下是沒作用的操作系統(tǒng)之所以在FAT32中設(shè)置保留扇區(qū)，是為了對(duì)DBR作備份或留待以后升級(jí)時(shí)用。FAT32中，DBR偏移0x32占2字節(jié)的數(shù)據(jù)指明了DBR備份扇區(qū)所在，一般為第6扇區(qū)。當(dāng)FAT32分區(qū)DBR扇區(qū)被破壞導(dǎo)致分區(qū)無法訪問時(shí)，可以用第6扇區(qū)的原備份替換第0扇區(qū)來找回?cái)?shù)據(jù)2.2文件系統(tǒng)2.2.4保留扇區(qū)在FAT文件系統(tǒng)DBR的偏移0x0E處2.2.5FAT16存儲(chǔ)原理當(dāng)把一部分磁盤空間格式化為FAT文件系統(tǒng)時(shí)，F(xiàn)AT文件系統(tǒng)就將這個(gè)分區(qū)當(dāng)成整塊可分配的區(qū)域進(jìn)行規(guī)劃，以便于數(shù)據(jù)的存儲(chǔ)FAT16是Microsoft較早推出的文件系統(tǒng)，具有高度兼容性，目前仍然廣泛應(yīng)用于PC機(jī)尤其是移動(dòng)存儲(chǔ)設(shè)備中2.2文件系統(tǒng)FAT16的組織形式2.2.5FAT16存儲(chǔ)原理當(dāng)把一部分磁盤空間格式化為2.2.5FAT16存儲(chǔ)原理FAT表記錄了磁盤數(shù)據(jù)文件的存儲(chǔ)鏈表(簇號(hào)鏈表)FAT表以“F8FFFFFF”開頭，此4字節(jié)為介質(zhì)描述單元，并不參與FAT表簇鏈關(guān)系。小紅字標(biāo)出的是FAT扇區(qū)每2字節(jié)對(duì)應(yīng)的簇號(hào)相對(duì)偏移0x4～0x5為第2簇(順序上第1簇)，為“FFFF”，表示存儲(chǔ)在第2簇上的文件/