吾爱破解 - 52pojie.cn

 找回密码
 注册[Register]

QQ登录

只需一步,快速开始

查看: 97311|回复: 819
收起左侧

[系统底层] 再再谈王江民硬盘逻辑炸弹(真正的逻辑锁)完结!

    [复制链接]
JuncoJet 发表于 2018-12-25 16:06
本帖最后由 JuncoJet 于 2018-12-27 11:04 编辑

前言
  硬盘逻辑锁这个课题,高中时的电脑作业就是这个研究,当时这个研究主要是怎么破除逻辑死锁。对于构造这个炸弹只是拿网络上现成的资源,这次为了了解磁盘分区表,所以手动构造了逻辑锁。感觉还是挺完美的,至少并不是传说中的只影响老版本的MS-DOS,而WINXP和PE(WIN2003-WIN10)系统都会受到影响。测试下来,Linux受到影响比较小,但是一旦挂载回环的磁盘分区,后果也是相当的严重的。

废话不多说

实战-设置炸弹
手动挡(老司机自行上车),用DG、WINHEX手动创建一个逻辑锁,这个步骤截图比较多但是并不很复杂

首先用DG来分三个区,一个主分区两个逻辑分区
164923bcauc44gya4uu4gv.jpg

打开WINHEX的磁盘编辑,复制逻辑分区1的逻辑分区表
Image 279.jpg Image 280.jpg

粘贴到逻辑分区2的逻辑分区表
Image 281.jpg Image 282.jpg

完成操作,此时打开DG会被检测到逻辑锁
Image 283.jpg

自动挡(新手可试乘试驾),用鄙人写的开源小程序创建逻辑锁
上锁,运行程序输入S,然后要上锁的物理磁盘
Image 284.jpg

完成上锁可以用V命令查看MBR
Image 285.jpg

启动炸弹(逻辑锁死)
然后启动主机,WINXP明显被锁住,硬盘无限读取
Image 286.jpg

CentOS,无法进入系统
Image 287.jpg

TinyCore可以进入,列出256个sda分区信息
Image 288.jpg

真机测试,主板支持UEFI,这个被锁就相当严重了。电脑任何按键都无法作用,只要硬盘在就会无限读盘,无法启动U盘或者其他引导方式。
TIM图片20181205140107_resize.jpg

实战-拆弹(解除逻辑锁)
解除逻辑锁并不像网上说的重建MBR,因为你根本不可能进入DOS、PE,甚至无法进入BIOS设置
修复流程2.jpg
  然后按照老方法炮制一个引导程序,网上的代码对多核支持不好,然后我研究验证很久写了一个支持多核的引导程序。
  修复程序不会删除原有的分区表,只会禁用分区类型(Partition Type Indicator,系统识别字),将0x0F/0x05(扩展分区系统识别字)置为0x00,这样重启进入系统后,用户可以使用扇区编辑工具进行自行的修复。由于不删除分区表所以修复几率相当个的高。使用该引导程序,首先确保主机里硬盘只有一块,主要是为了避免误操作正常的硬盘。然后把 boot.img 写入到U盘或者软盘的首个扇区,这样就做成了修复盘,开机从U盘/软盘启动就能够修复,修复提示成功后取出修复盘,重启电脑。有些情况下也能通过 Linux 热插拔被锁的硬盘,然后使用 dd if=/dev/zero of=/dev/sdX bs=512 count=1 方式来强制修复磁盘,Windows下热插拔是没有效果的,同学们可以自己去尝试研究下,方法不唯一。
  修复程序流程如上图,好像有人留言说要引导程序源码,想说其实这个并不需要源码,使用逆向工具反而能比源码更多注解。同学们可以跟着我一起分析引导程序源码,毕竟我们是专业的论坛!哈哈
引导程序源码分析.jpg

真源码也长这样
TIM截图20181227110418.jpg

扩展阅读
逻辑分区是个典型的链表结构,所以就简化了下大致的结构画了个图
text2568.png

原版的分区表结构
分区表详细版.jpg

逻辑锁就是把原来应该指向下一个的分区表的地址改为上一个分区表的地址,或者当前分区表的地址,形成一种回环的结构
text3343.jpg

partitionViewer.zip

79.75 KB, 下载次数: 1957, 下载积分: 吾爱币 -1 CB

开源分区查看逻辑锁设置工具

boot.zip

336 Bytes, 下载次数: 753, 下载积分: 吾爱币 -1 CB

解锁引导程序(已支持多核)

点评

我竟然完全看不懂,看来得装作看懂的样子——写得很好,和我想的完全一样。之前我也是这么想的。  发表于 2018-12-29 10:10
这个炸弹不止威力强大,名字也很强大,蛤蛤。这个分析必须资瓷啊,已经钦定精华了,连公众号都转了,资瓷资瓷。  发表于 2018-12-28 18:08

免费评分

参与人数 293吾爱币 +292 热心值 +271 收起 理由
simakuangbiao + 1 + 1 我很赞同!
kocoin + 1 + 1 谢谢@Thanks!
剽完不给钱 + 1 + 1 我很赞同!
庞晓晓 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
chomosuke + 1 + 1 用心讨论,共获提升!
云深云潜 + 1 + 1 虽然不懂,但是根绝很牛逼的样子
zozobreak + 1 我很赞同!
wk_9999 + 1 + 1 用心讨论,共获提升!
7890qwaszx + 1 忽然有种自己试试的冲动
山野村夫 + 1 + 1 谢谢@Thanks!
Timelife + 1 + 1 我很赞同!
白上吹雪 + 1 用心讨论,共获提升!
周峻弘 + 1 + 1 热心回复!
饮源 + 1 谢谢@Thanks!
woy945woy + 1 用心讨论,共获提升!
networkbox + 1 谢谢@Thanks!
w0r1d3e + 1 + 1 热心回复!
sunnylds7 + 1 + 1 谢谢@Thanks!
wapjhy + 1 + 1 谢谢@Thanks!
爱拍阴天 + 1 + 1 我很赞同!
tte + 1 用心讨论,共获提升!
uujolin + 1 + 1 我很赞同!
呵呵哒2468666 + 1 鼓励转贴优秀软件安全工具和文档!
Manzen + 1 + 1 用心讨论,共获提升!
宋大老爷 + 1 已经处理,感谢您对吾爱破解论坛的支持!
ansterYJ + 1 + 1 用心讨论,共获提升!
like_yeer + 1 + 1 谢谢@Thanks!
行旅途 + 1 + 1 用心讨论,共获提升!
zhaozimoya + 1 + 1 热心回复!
godxkey + 1 + 1 谢谢@Thanks!
Coco的粑粑 + 1 + 1 我很赞同!
huangpu + 1 6666666
mxlkf + 1 + 1 谢谢@Thanks!
cybmp3 + 1 我很赞同!
人1998 + 1 + 1 谢谢@Thanks!
Abrahams + 1 + 1 我很赞同!
Lich + 1 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
usermargin + 1 + 1 我很赞同!
zhyyt + 1 + 1 谢谢@Thanks!
wxue + 1 + 1 谢谢@Thanks!
Asuka109 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
960064995 + 1 + 1 我很赞同!
xyzhuanjian + 1 + 1 用心讨论,共获提升!
秋名山摩托佬 + 1 + 1 感谢您的宝贵建议,我们会努力争取做得更好!
BIU-dian + 1 热心回复!
lmdme + 1 + 1 谢谢@Thanks!
clauwudi + 1 + 1 用心讨论,共获提升!
youhen233 + 1 + 1 谢谢@Thanks!
guluwj + 1 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
孟德兄 + 1 + 1 我很赞同!
erh + 1 + 1 谢谢@Thanks!
qkhhfnpl + 1 + 1 我就想知道既然被锁了之后,任何按键都无效,连BIOS都无法进入,你是怎么用.
gjdir + 1 + 1 谢谢@Thanks!
euukey + 1 + 1 我很赞同!
凉风暮雨 + 1 + 1 鼓励转贴优秀软件安全工具和文档!
happynocn + 1 谢谢@Thanks!
冰炎梦幻 + 1 + 1 loop大佬欢乐多
初晨曦流辉 + 1 有点懵逼了
zctsir + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
kuigh + 1 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
心怀感恩 + 1 我很赞同!
yzy9943 + 1 装作看懂 完全ojbk
爱玩灬 + 1 + 1 热心回复!
h31558770 + 1 + 1 谢谢@Thanks!
everso + 1 + 1 用心讨论,共获提升!
ewenyee + 1 热心回复!
水之精灵 + 1 + 1 我很赞同!
blindcat + 1 + 1 谢谢@Thanks!
luanshils + 2 + 1 鼓励转贴优秀软件安全工具和文档!
ppxox + 1 + 1 用心讨论,共获提升!
名字啪啪 + 1 + 1 热心回复!
sqchr888 + 1 + 1 谢谢@Thanks!
wgbcyc + 1 + 1 谢谢@Thanks!
zxw0557 + 1 + 1 我很赞同!
细雨清风琴 + 1 + 1 我很赞同!
Corvus + 1 + 1 用心讨论,共获提升!
fxshark + 1 + 1 我很赞同!
Z9IT + 1 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
time2s + 1 + 1 谢谢@Thanks!
gamingnow + 1 + 1 热心回复!
Mouse + 1 + 1 用心讨论,共获提升!
544178661 + 1 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
abcdkyd + 1 + 1 谢谢@Thanks!
youzia + 1 谢谢@Thanks!
夏天下了 + 1 用心讨论,共获提升!
xyuetao + 1 + 1 谢谢@Thanks!
overmind20 + 1 + 1 用心讨论,共获提升!
陌路丶下雪天 + 1 + 1 热心回复!
bigpypy + 1 + 1 谢谢@Thanks!
q164741384 + 1 + 1 我很赞同!
purplewall + 1 + 1 我很赞同!
36587285 + 1 + 1 用心讨论,共获提升!
zlm110 + 1 + 1 热心回复!
shiskey + 1 + 1 热心回复!
小郑网络 + 1 + 1 我很赞同!
叶含风 + 1 + 1 鼓励转贴优秀软件安全工具和文档!
systemime + 1 + 1 用心讨论,共获提升!
zx758547936 + 2 + 1 谢谢@Thanks!
做人不老实 + 1 + 1 虽然不懂,但是感觉确实很牛逼
汪汪队立大功 + 1 感谢您的宝贵建议,我们会努力争取做得更好!

查看全部评分

本帖被以下淘专辑推荐:

发帖前要善用论坛搜索功能,那里可能会有你要找的答案或者已经有人发布过相同内容了,请勿重复发帖。

 楼主| JuncoJet 发表于 2018-12-25 17:33
kuan99118 发表于 2018-12-25 17:28
解除逻辑锁并不像网上说的重建MBR,因为你根本不可能进入DOS、PE,甚至无法进入BIOS设置

对于上面说的   ...

对于会锁死 BIOS(即支持 UEFI 的 “高端主板”),目前无解,只能找块旧主板去解锁硬盘。老主板如果只有传统MBR引导模式的话,BIOS是不会被锁死的。此时使用U盘写入引导程序,或者软盘写入引导程序,开机通过U盘/软盘启动,可以解除逻辑锁。

免费评分

参与人数 3吾爱币 +3 热心值 +3 收起 理由
1900011 + 1 + 1 用心讨论,共获提升!
Mainos + 2 + 1 广告贴,请遵守论坛版规!
renyangyu + 1 我很赞同!

查看全部评分

kaedemina 发表于 2021-9-18 07:13
本帖最后由 kaedemina 于 2021-9-18 07:25 编辑

作死在实机上执行了一次这个程序。
还好没有弄在系统盘上面,不然麻烦就大了。
三个硬盘:一个系统盘(NVME),一个垃圾桶盘(NVME),一个数据盘(机械硬盘),我把数据盘锁了
经过:
1. 重启之后弹出主板厂商的图标,然后黑屏,这个时候应该是死循环了
2. 再次重启进入BIOS(不知道是不是因为我没有系统盘,BIOS可以正常进入),关闭UEFI,强制LEGACY启动
3. 将楼主提供的img文件烧入U盘,然后从U盘启动(LEGACY)
4. 关闭LEGACY启动,强制UEFI启动
5. 进入系统使用DG进行最后一步修复

以上就是我这个小白的作死过程。我有点庆幸我的driver_0不是系统盘,不然就麻烦了。
另外很奇怪的现象就是,在虚拟机里面运行的话,卡巴斯基会报毒然后直接结束进程,关掉卡巴斯基之后,虽然会报错(只有一个NVME盘,报错error on write disk 5),但是运行是成功了的,重启之后无法启动系统,只能重装。但是不在虚拟机里面运行,卡巴斯基没有任何反应,直接成功了,不知道这个和我锁的不是系统盘有没有关系。不过我毕竟是UEFI,系统盘的话,不敢这么折腾了。
以上算是一个报告吧。还是第一次接触这种硬盘逻辑锁

PS:虚拟机里面锁了硬盘重装的时候,安装程序会显示磁盘为MBR格式(原本为GPT),这是为什么呢?另外,倘若以后真的遇到了这种类型的恶意软件,是否可以通过Ubuntu的Live CD直接运行Ubuntu来解决问题?


附环境:
主板 华硕 PRIME H470-PLUS(国内无此型号),相近的应该是H470M-PLUS?
系统:Windows 10 21H1
安全软件:KIS(卡巴斯基)
程序在虚拟机中报毒:PDM:Trojan.Win32.Generic

免费评分

参与人数 1吾爱币 +3 热心值 +1 收起 理由
JuncoJet + 3 + 1 你流弊!送你上去

查看全部评分

欻欻 发表于 2019-1-3 04:15
我有个疑问,如果不是在PE中锁,在win开机视窗下运行lz的工具,dos锁硬盘引导,而且这个硬盘之前打开了类似影子系统且全盘保护的话,lz的工具包括手法进行上锁,那么重启以后的结果是啥呢,好奇,没试过

点评

实测,Shadow Defender两块物理盘,第一块盘是有MBR保护的,第二块盘MBR随意篡改  发表于 2019-1-3 09:06
只要影子系统服务启用了,就无效。反之。  发表于 2019-1-3 08:34
kuan99118 发表于 2018-12-25 17:28
解除逻辑锁并不像网上说的重建MBR,因为你根本不可能进入DOS、PE,甚至无法进入BIOS设置

对于上面说的   甚至无法进入BIOS设置   不太理解,锁硬盘还能把BIOS锁了?

免费评分

参与人数 1吾爱币 +3 热心值 +1 收起 理由
610100 + 3 + 1 我很赞同!

查看全部评分

ctlmlcfq 发表于 2018-12-26 20:10
现在还有多少人知道江民啊。。。 典型的中国企业,因一人而兴,因一人而亡。

免费评分

参与人数 2吾爱币 +2 收起 理由
yylwhy + 1 用过江民的举手
冰炎梦幻 + 1 一个人的武林

查看全部评分

pikachu888 发表于 2018-12-25 17:05
哇,这....要是让virus运用了,对电脑是毁灭性的吧

楼主大神啊!
 楼主| JuncoJet 发表于 2019-7-19 09:13
山野村夫 发表于 2019-7-19 00:11
引导扇区不晓得能不能加密或者植入病毒程序之类的,如果能的话,重建MBR也不能拯救

重建还是可以的,你所说的引导区植入病毒劫持,还原卡还原精灵就是那么做的,读取硬盘引导区时劫持INT 13中断向量。

免费评分

参与人数 1热心值 +1 收起 理由
吾爱破解官方 + 1 我很赞同!

查看全部评分

灵影 发表于 2018-12-25 16:34
玩引导的都是大牛。
ouyangbao 发表于 2018-12-25 16:16
沙发,果然厉害了,牛逼,长知识了
hdwlx 发表于 2018-12-25 16:18
这个是牛贴呀,楼主技术达人。
howardlee 发表于 2018-12-25 16:23
这个真是厉害!
至风 发表于 2018-12-25 16:32
羡慕----我高中遥不可攀的几节微机课。
胃小饱 发表于 2018-12-25 16:32
牛逼了,我的哥
幻象 发表于 2018-12-25 16:32 来自手机
请问能在虚拟机里搞着玩玩吗?
小凹凸曼 发表于 2018-12-25 16:33
电脑炸弹??多年前遇到过
头像被屏蔽
xiao135140 发表于 2018-12-25 16:33

沙发,果然厉害了,牛逼,长知识了
您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则

返回列表

RSS订阅|小黑屋|处罚记录|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2024-11-21 19:24

Powered by Discuz!

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表