U盘的称呼最早来源于朗科科技生产的一种新型存储设备,名曰“优盘”,使用USB接口进行连接。U盘连接到电脑的USB接口后,U盘的资料可与电脑交换。而之后生产的类似技术的设备由于朗科已进行专利注册,而不能再称之为“优盘”,而改称“U盘”。后来,U盘这个称呼因其简单易记而因而广为人知,是移动存储设备之一。现在市面上出现了许多支持多种端口的U盘,即三通U盘(USB电脑端口、iOS苹果接口、安卓接口)。
最近有一些比较流氓的MBR扇区的木马,其特点就是启动进不了系统,就算全盘格式化后从新分区重新装系统也一样进不了系统,进winPE里后也识别不到C盘分区,diskgenius 显示 空闲分区。修复MBR后分区仍然显示空闲,无法开机也无法读取数据,遇到这种情况我们就应该试着用下面的方式来解决。
模拟中这个木马:调试无名模块子程序,物理硬盘逻辑锁,看起来好强大。
执行一次,密码123456789,重启密码正确正常重启
然后想去掉逻辑锁,密码文本留空,重启,无限循环指向
1,没工具,进PE,删除整个分区表
2,重新分区
3,还原ghost 无效文件 好吧 挂载虚拟硬盘
4,安装…重启
5,还是无限指向,PE修复引导。
下面开始解决:
准备工具“”下载后制作好U盘PE启动工具,并设置BIOS从U盘启动。
修复方法1:
使用任何支持磁盘扇区编辑的软件,如 Sector Editor 、WinHex,直接看密码。请看下图以BooticeX86为例。
可以清楚看到密码是 12345678 .信息提示是 dian nao yi bei suo !!! lian xi xxxx,这个QQ是我测试用的.
修复方法2,以及针对分区破坏的修复:
为了更严谨的技术分享,修复方法2操作前,建议使用如diskgenius这类工具进行扇区备份,甚至硬盘备份,确保能保留当前的状态,如果木马不但锁你的硬盘,还在关机前进行了文件删除,那么分区找回来之后还需要文件修复扫描。
使用diskgenius磁盘工具进行丢失的分区搜索,先把分区找回来,一般只需这一步就可以恢复原貌了。如果病毒有删除文件操作需要进行文件修复。
具体步骤如下:
1.使用diskgenius,点击磁盘,然后右键或者在菜单中选 "搜索分区" ,弹出对话框设置下相关参数。找到分区,保存。
2.分区找到后,为了更干净,再重建一下MBR分区表。保存更改。直接重启电脑即可。
下图可以看到分区已经找到,并且浏览文件也正,下图是我的C盘,我只有一个分区。如果有多个分区选择保留后会继续下一步搜索。没有了就提示已搜索完毕
到这一步就完事儿了,直接重启电脑就可以进入系统,在PE里面选择开始菜单,重启。拔掉U盘。
如果分区找到了,文件不完整。原因1是你搜索的分区不对需要再搜索,原因2是文件被病毒删除了。
另外不排除病毒感染系统文件,进系统后会各种错误等,了解了病毒原理和清除方法,提取重要数据后建议全新分区后重装系统.分区的时候一定要选中重建MBR。
使用对付这种MBR扇区病毒木马并不困难,关键是要换一个思路来解决,只要有winpe在,解决起来很容易的。
U盘有USB接口,是USB设备。如果操作系统是WindowsXP/Vista/Win7/Linux/PrayayaQ3或是苹果系统的话,将U盘直接插到机箱前面板或后面的USB接口上,系统就会自动识别。
……