引導型病毒寄生在主引導區、引導區，病毒利用操作係統的引導模塊放在某個固定的位置， 並且控製權的轉交方式是以物理位置為依據，而不是以操作係統引導區的內容為依據，因而病毒占據該物理位置即可獲得控製權，而將真正的引導區內容搬傢轉移，待病毒程序執行後，將控製權交給真正的引導區內容，使得這個帶病毒的係統看似正常運轉，而病毒已隱藏在係統中並伺機傳染、發作。
指寄生在磁盤引導區或主引導區的計算機病毒。此種病毒利用係統引導時,不對主引導區的內容正確與否進行判別的缺點,在引導型係統的過程中侵入係統,駐留內存,監視係統運行,待機傳染和破壞。按照引導型病毒在硬盤上的寄生位置又可細分為主引導記錄病毒和分區引導記錄病毒。主引導記錄病毒感染硬盤的主引導區,如大麻病毒、2708病毒、火炬病毒等;分區引導記錄病毒感染硬盤的活動分區引導記錄,如小球病毒、girl病毒等。
引導型病毒進入係統，一定要通過啓動過程。在無病毒環境下使用的軟盤或硬盤，即使它已感染引導區病毒，也不會進入係統並進行傳染，但是，衹要用感染引導區病毒的磁盤引導係統，就會使病毒程序進行內存，形成病毒環境。
================================================================
引導型病毒介紹
--------------------------------------------------------------------------------
作者：陳文傑
天啊，我的文件怎麽不翼而飛了？
有的用戶也許碰到過上面的問題，其中相當一部分原因可能是因為你的電腦係統感染了引導扇區型病毒。下面將對該種病毒進行介紹。
引導扇區是硬盤或軟盤的第一個扇區，對於操作係統的裝載起着十分重要的作用。軟盤衹有一個引導區，被稱為dos boot secter，衹要軟盤已格式公就已存在。其作用為查找盤上有無io.sys和dos.sys命令，若存在則可以引導，若不存在則顯示“no system disk...”等信息。硬盤有兩個引導區，即oo道1扇區稱為主引導區，該分區的第一個扇區即為dos boot secter。絶大多數病毒感染硬盤主引導扇區和軟盤dos引導扇區。一般來說，引導扇區先於其他程序獲得對cpu的控製，通過把自己放入引導扇區，病毒就可以立刻控製整個係統。
病毒代碼代替了原始的引導扇區信息，並把原始的引導扇區信息移到磁盤的其他扇區。當dos需要訪問引導數據信息時，病毒會引導dos到貯存引導信息的新扇區，從而使dos無法發覺信息被挪到了新的地方。
另外，病毒的一部分仍駐留在內存中，當新的磁盤插入時，病毒就會把自己寫到新的磁盤上。當這個盤被用於另一臺機器時，病毒就會以同樣的方法傳播到那臺機器的引導扇區上。
駐留內存：一般采取修改0：415地址的方法，因為引導時，dos並不加載，主是唯一的方法，但有很大的缺點，在啓動後用mem命令查看會發現常規內存的總量少於640k，這就表明有病毒存在，當然有辦法解决，可以修改int8，檢測int21是否建立，若建立則可采用dos功能駐留內存。
隱形技術：當病毒駐留時，讀寫引導區均對原引導區操作，就好像沒有病毒一樣。
加密技術：一般加密分區表，使無毒盤啓動，無法讀取硬盤。
引導型病毒的優點：隱蔽性強，兼容性強，一個好的病毒程序是不容易被發現的，通用於dos和windows 95操作係統。
引導型病毒的缺點：很多，如傳染速度慢，一定要帶毒軟盤啓動才能傳到硬盤，殺毒容易，衹需改寫引導區即可，如：fdisk/mbr,kv200/k。kv200能查出所有引導型病毒，底板能對引導區寫保護，所以現在純引導型病毒已很少了。
在各種pc機病毒中，引導區型病毒並不是數量占多數的一類，但引導區型病毒往往具有較強的破壞性。
這裏介紹幾種引導區型病毒，可以看出引導區型病毒的工作原理和破壞作用。認識了這些病毒的行為，就是尋找對付各類引導區型病毒做好基礎準備工作。
來自：
引導型病毒是一種在rom bios之後,係統引導時出現的病毒,它先於操作係統,依托的環境是bios中斷服務程序.引導型病毒是利用操作係統的引導模塊放在某個固定的位置,並且控製權的轉交方式是以物理位置為依據.而不是以操作係統引導的內容為依據.因而病毒占據該物理位置可獲得控製權,而將真正的引導區內容轉移或替換,待病毒程序執行後,將控製權交給真正的引導區內容,使得這個帶病毒的係統看似正常運轉,而病毒已隱藏在係統中並伺機傳染,發作.
引導型病毒按其寄對象的不同又可分為兩類,即mbr(主引導區)病毒,br(引導)病毒:mbr病毒也稱為分區病毒,將病毒寄生在硬盤分區中主引導程序所占據的硬盤0頭0柱面第1個扇區中.典型的病毒有大麻(stoned),2708,int60病毒等;br病毒是將病毒寄生在硬盤邏輯0扇(即00道第1個扇區)>典型的病毒有brain,小球病毒等.
引導型病毒的主要特點為:
(1)引導型病毒是在安裝操作係統之前進入內存,寄生對象又相對固定,因此該類型病毒基本上不得不采用減少操作係統所掌管的內存容量方法來駐留內存高端.而正常的係統引導過程一般是不減少係統內存的.
(2)引導型病毒需要把病毒傳染給軟盤,一般是通過修改int 13h的中斷嚮量,而新int 13h中斷嚮量段址必定指嚮內存高端的病毒程序.
(3)引導型病毒感染硬盤時,必定駐留硬盤的主引導扇區或引導扇區,並且衹駐留一次,因此引導型病毒一般都是在軟盤啓動過程中把病毒傳染給硬盤的.而正常的引導過程一般是不對硬盤主引導區或引導區進行寫盤操作的.
(4)引導型病毒的寄生對象相對固定,把當前的係統主引導扇區和引導扇區與幹淨的主引導扇區和引導扇區進行比較,如果內容不一致,可認定係統引導區異常. |