[發明專利]查殺引導型病毒的方法及系統

有效

• 申請號: 201110371500.2
• 申請日: 2011-11-21
• 公開（公告）號: CN103123674A
• 公開（公告）日: 2013-05-29
• 發明（設計）人: 陳志列;謝君義;修惠文
• 申請（專利權）人: 研祥智能科技股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 廣州華進聯合專利商標代理有限公司 44224
• 代理人: 何平

【技術領域】

本發明涉及計算機技術領域，尤其涉及一種查殺引導型病毒的方法及系統。

【背景技術】

硬盤格式存儲設備的主引導扇區位于整個硬盤的0磁道0柱面1扇區即第一扇區(也叫主引導記錄MBR)，包括硬盤主引導記錄、分區信息表和主引導記錄結束標志字符；硬盤格式設備通常包括多個分區，每個分區都有一個分區引導記錄(DOS?Boot?Record，DBR)，其中MBR不屬于任何一個分區。每個分區的DBR位于每個分區的第一扇區。如果計算機的系統啟動程序安裝在硬盤格式存儲設備上，在開機上電后，會通過BIOS中斷服務程序將MBR讀入內存，然后通過MBR找到其中一個分區有系統啟動程序，再通過該分區的DBR引導進操作系統。

軟盤(Floppy?Disk?Drive，FDD)格式存儲設備的引導扇區也是第一扇區(FDD的DBR)。如果系統啟動程序(一般是DOS系統)安裝在FDD格式存儲設備上，在開機上電后，會通過BIOS中斷服務程序將DBR讀入內存，通過DBR引導進操作系統。

本文中所提到的引導記錄數據的概念，是個廣義的概念，可以是硬盤第一扇區的數據(包括但不限于硬盤主引導記錄的數據)；也可以是軟盤引導扇區的數據。

引導型病毒是指專門感染硬盤格式存儲設備的主引導扇區或軟盤格式存儲設備的引導扇區的一類病毒。我們在分析引導型病毒的機理后，得到以下過程：如果存儲設備感染了引導型病毒，引導型病毒會將正常的MBR或DBR數據備份到存儲設備的某一個位置。如果將感染引導型病毒的存儲設備作為系統啟動盤使用，從感染了引導型病毒的存儲設備引導，在執行BIOS中斷服務器程序將MBR或DBR讀入內存的階段，病毒代碼將被讀入內存并執行。在執行病毒代碼的過程中，引導型病毒從備份的位置將正常的MBR或DBR數據讀到內存中并執行，系統正常引導進操作系統從而掩蓋病毒自身。待系統引導進操作系統之后，病毒發作，致使出現類似藍屏、定時重啟等問題。

【發明內容】

基于此，有必要提供一種能防止病毒掩蓋自身從而使得引導型病毒的查殺更精確有效的查殺引導型病毒的方法。

一種查殺引導型病毒的方法，包括以下步驟：

開機上電，硬件初始化設置；

檢測存儲設備的引導扇區是否包含預設的引導型病毒的特征標識，若是，則清除引導型病毒；

加載引導設備的引導扇區，引導進入操作系統。

優選的，所述存儲設備包括多個存儲設備；在所述硬件初始化設置的步驟之后，進一步包括：

遍歷存儲設備，對每個存儲設備，執行所述檢測存儲設備的引導扇區是否包含預設的引導型病毒的特征標識的步驟。

優選的，所述清除引導型病毒的步驟為：

獲取引導型病毒備份正常引導記錄數據的存放位置，從所述存放位置讀取所述備份的正常引導記錄數據，寫入存儲設備的引導扇區。優選的，所述獲取引導型病毒備份正常引導記錄數據的存放位置，從所述存放位置讀取所述備份的正常引導記錄數據，寫入存儲設備的引導扇區的步驟包括：

若存儲設備是硬盤格式存儲設備，則根據存儲設備的MBR獲取引導型病毒備份的正常MBR數據的存放位置，從所述存放位置讀取所述備份的正常MBR數據，寫入所述硬盤格式存儲設備的主引導扇區；

若存儲設備是軟盤格式存儲設備，則根據所述存儲設備的DBR獲取引導型病毒備份的正常DBR數據的存放位置，從所述存放位置讀取所述備份的正常DBR數據，寫入所述軟盤格式存儲設備的引導扇區。

優選的，所述清除引導型病毒的步驟為：

獲取病毒代碼的存放位置和引導型病毒備份的加密后的正常引導記錄數據的存放位置，獲取所述病毒代碼和所述備份的加密后的正常引導記錄數據，根據所述病毒代碼對所述加密后的正常引導記錄數據進行解密，將解密后的正常引導記錄數據寫回存儲設備的引導扇區。

此外，還有必要提供一種能放置病毒掩蓋自身從而使得引導型病毒的查殺更精確有效的查殺引導型病毒的系統。

一種查殺引導型病毒的系統，包括：

初始化模塊，用于在開機上電后進行硬件初始化設置；

檢測模塊，用于檢測存儲設備的引導扇區是否包含預設的引導型病毒的特征標識；

病毒清除模塊，用于在所述檢測模塊檢測到存儲設備的引導扇區是否包含預設的引導型病毒的特征標識時清除引導型病毒；

引導模塊，用于加載引導設備的引導扇區，引導進入操作系統。

優選的，所述存儲包括多個存儲設備；所述系統還包括：