无忧启动论坛

标题: 万能隐藏型PE维护技术汇总 [打印本页]

作者: zds1210 时间: 2013-4-2 16:12
标题: 万能隐藏型PE维护技术汇总
本帖最后由 zds1210 于 2013-4-7 19:22 编辑

万能隐藏型PE维护技术汇总

帖子更新地址：http://zds1210.blog.163.com/blog/static/244812482013324353220/

前言：
一、万能隐藏PE的类型：UD U+ B+
目前，主流的隐藏型PE部署方式有UD写入（fbinst主引导）、U+V2写入（用ultraiso软件写入）、B+写入（用bootice分区并写入主引导和分区引导）。
二、PE隐藏的原理：1.普通隐藏 2.高端隐藏 3.深度隐藏
1.普通隐藏：利用分区工具如DiskGenius对U盘格式化为两Usb-hdd主分区，win/pe下只识别第一主分区，从而把第二主分区信息隐藏，这就是普通隐藏。普通隐藏最大的问题，就是因bootmgr搅乱，运行类似gghost软件时，会出现隐藏区与可见区的互换问题。
2.高端隐藏：在普通隐藏的基础上，解决正常使用时隐藏区与可见区的互换的问题，就是高端隐藏，它使隐藏PE达到了稳定实用阶段。典型的有U+高端隐藏和B+隐藏。高端隐藏区在diskgenius可见并可编辑修改，grub、syslinux、nt5和nt6、easyboot引导都能识别并引导hdd格式高端隐藏区。
3.深度隐藏：深度隐藏就是在高端隐藏的基础上，进一步抹去隐藏区分区信息。典型的有u+V2深度隐藏和UD隐藏。这样，分区工具也找不到隐藏区，，从而形成一种潜规则，UD自家的fbinst当然认识并引导UD区，easyboot引导对自家的U+V2深度隐藏区的兼容性最好。Syslinux可以识别并引导U+V2深度隐藏区；grub增加代码可以识别并引导U+V2深度隐藏区，但兼容性有等改进，特别是老主板。理论上，微软原版的nt5和nt6引导和uefi都不能识别并引导U+zip隐藏、U+V2深度隐藏区及UD区：故bios下内核解开的PE只能部署于U+V2-hdd高端隐藏区和B+隐藏区，而不能部署于深度隐藏的U+V2区和UD区（把内核打包成iso就解决问题）；理论上，uefi能引导识别U+V2-hdd高端隐藏区和B+隐藏区，而不能识别引导U+zip隐藏区、U+深度隐藏区和UD区。
三、隐藏PE维护原则：隐藏区乃可读写分区
因隐藏PE都是部署在U盘可读写分区，故在读写数据如PE启动及运行程序时，都不能插拔U盘，U盘用完后一定要正确拔出，以免损坏隐藏区数据及引导。这和量产PE本质上是不同的，量产PE分区是只读介质。
故理论上，UD和U+B+隐藏PE，隐藏区数据和引导都可能损坏。本文主要探讨一下各种隐藏PE无损可见区数据的引导和数据修复。

[ 本帖最后由 zds1210 于 2013-4-2 16:31 编辑 ]

作者: zds1210 时间: 2013-4-2 16:12

Part one U+V2高端隐藏PE维护技术初探

理论上看，U+V2高端隐藏区是可读写分区，所以有可能把隐藏区引导和数据损坏。重新U+可以修复，但却把可见区数据损坏了。下面主要来探讨一下U+V2隐藏区无损可见区的修复。
一、U+V2高端隐藏基础
1.官方说明：与U+相比，U+ V2在技术上增加了以下功能：
1）启动驱动器号校正: 有些BIOS在调用MBR程序时，会传递错误的U盘驱动器号(drive number)，U+ v2会自动纠正。
2）0扇区调整：有些BIOS会据自己的规则，重新定位U盘的0扇区，U+ v2会自动判别并支持。
3）优化MBR区布局，占用252个扇区（U+ 只占用1个扇区），避免BIOS跳过U盘从硬盘启动，或者因0扇区重定位错误而导致U盘启动死机
4）根据BIOS是否支持EDD，自动转换启动模式：对于新电脑，BIOS支持EDD，U+ v2使用HDD+模式；对于老电脑，不支持EDD，U+ v2自动转用ZIP+模式
5）支持“深度隐藏”启动分区和支持高端隐藏启动分区 (bootmgr)，提高安全性
2.引导原理：MBR（252扇区）→分区引导（pbr，fat16占一扇区）→grldr（grub）、ezldr(easyboot)、ntldr(nt5)、bootmgr(nt6)等。
U+写入时，ultraiso会搜索隐藏分区下的分区引导文件，似乎默认顺序是easyboot、syslinux引导、nt56引导、grub引导，并写入分区引导。因easyboot对自家的U+兼容性最好，推荐大家用引导easyboot单引导，来引导其它多引导。老版的easyboot对U+隐藏兼容性并不好，大家可以用easyboot打开相应引导文件，保存一次来更新到新版。现时将新生成的引导文件复制到根目录下，再次取消挂载与保存修改。
二、U+V2高端隐藏区数据维护

可用bootpart或bootice无损可见区数据来修复。以下介绍用bootpart。
1可写挂载隐藏区到 T盘
把bootpart三文件（bootpart.exe、bootpart.sys和bootpt64.sys）三文件放于win/pe的system32下，cmd命令：
%windir%\system32\bootpart.exe -mount
-driveletter T:
只读挂载隐藏区到T
%windir%\system32\bootpart.exe -mount
-readonly
-driveletter T:
2取消挂载并保存结果
%windir%\system32\bootpart.exe –eject
当然如果用图形化的U+挂载器或bootice去做，就简单多了。
三、U+V2高端隐藏引导修复：用bootice20130303版无损可见区数据的修复
（一）主引导维护
虽然现在bootice暂时只支持U+V1-hdd和zip引导写入，但已经可以识别U+V2高端隐藏引导。测试可以备份U+V2-hdd和U+V2-zip高端隐藏的主引导盲区（252扇区），然后用恢复主引导扇区的方法来写入或恢复U+V2高端隐藏主引导。测试发现U+V2高端隐隐藏主引导对所有U盘是通用的，重新恢复不会损坏可见区数据。
1.主引导写入或修复
a插入等修复U盘，再打开bootice，定位相应U盘分区，注意不要选中硬盘而把硬盘搞坏了。
b单击“主引导记录”，点击“恢复MBR”，然后选中附件包中的“U+V2-hdd高端隐藏.bin或U+V2-zip高端隐藏.bin”（或重新找一个空U盘U+备份），写入修复引导。
2.U+V2高端隐藏zip格式与hdd格式的互换
用上面1的方法，hdd引导与zip引导可以互换，也可正常启动。
（二）分区引导修复
Bootice支持grub、syslinux、nt5和nt6等分区引导的直接写入修复。实测发现可以用另类方法实现easyboot分区引导写入修复。
1.grub、syslinux、NT5NT6分区引导写入修复
a插入U盘，再打开bootice选中U盘
b单击“分区引导记录“，目标分区选中隐藏区所在分区，选中要写入的分区引导，单击“安装/配置”后，指定分区引导引导的文件名。
2.easyboot分区引导写入和修复
理论上，自家的easyboot对U+的兼容性最好。但bootice并无easyboot分区引导写入修复支持。理论上我们也可以备份easyboot引导扇区再恢复来修复easyboot分区引导，但目前尚不清楚easyboot分区引导占几个扇区，所以测试失效。但实测发现可以借助nt5分区引导来修复。
a.用bootpart可读写挂载U+隐藏区或用bootice显现并给隐藏区分配盘符。
b．找到easyboot的引导文件*.ezb并用最新版easyboot打开并保存一次，这样子就可以把不支持U+隐藏的老版easyboot变成可支持U+隐藏的新版文件。同时把新生成的ezldr复制到根目录下。
c.单击“分区引导记录“，目标分区选中隐藏区所在分区，选中要写入的分区引导为“ntldr引导程序”，单击“安装/配置”后，指定分区引导引导的文件名更名为ezldr。
四、用bootice手工部署PE到U+V2高端隐藏区：给PE编程U+隐藏写入提供思路参考
大家知道，杏大的B版PE已经实现nt6和U+V1-hdd高端隐藏两种方式的自动编程写入。我猜他是先用gdisk对U盘分两主分区，然后用bootice写入U+V1主引导，再用ghost恢复写入隐藏区数据和grub分区引导，最后用bootice激活和隐藏PE区；nt6引导不同的地方是写入nt6主引导，分区引导采用bootmgr并指定引导文件来grldr。
实测一下，也可以用bootice20130303版实现U+2高端隐藏部署。方法如下：
1.先给genius或bootice等工具给U盘分两主分区，主数据区在前，PE区在后，推荐格式为fat16或fat32。
2.用先前恢复分区引导的方法写入高端隐藏主引导。
3.写入隐藏区分区引导，并复制PE数据到隐藏盘（编程可用ghost恢复来写入PE数据及分区引导）。设置各种分区引导如前。
4.激活并隐藏隐藏PE区
五、希望：编程高手解决以下问题
1.制作Uiinstool：
类似UD的fbinstool，集合bootpart、bootice及ultraiso的功能，实现三方面功能
a.隐藏区数据修复 b.U+V2引导修复与互换 c.U+V2高端隐藏PE写入
2.U+V2高端隐藏PE编程自动写入
3.解决U+V2深度隐藏问题：
a.U+V2-zip深度隐藏挂载问题：目前用bootpart无法挂载U+V2-zip深度隐藏区
b.U+V2深度隐藏引导修复问题：用bootice备份恢复主引导扇区的方法无法实现

附件说明：大家可以下载以下附件，测试用bootice来修复U+V2高端隐藏引导和数据，或手工部署U+V2高端隐藏。

U+V2高端隐藏主引导.7z (3.98 KB, 下载次数: 97)

计算机统一维护模块.part1.rar (400 KB, 下载次数: 92)

计算机统一维护模块.part2.rar (400 KB, 下载次数: 87)

计算机统一维护模块.part3.rar (148.14 KB, 下载次数: 79)

[ 本帖最后由 zds1210 于 2013-4-2 17:16 编辑 ]

作者: zds1210 时间: 2013-4-2 16:12

Part two 万能隐藏UD PE维护技术汇总

[ 本帖最后由 zds1210 于 2013-4-2 16:14 编辑 ]

作者: zds1210 时间: 2013-4-2 16:13

Part tree 万能隐藏B+ PE维护技术初探

[ 本帖最后由 zds1210 于 2013-4-2 16:18 编辑 ]

作者: liuyuting 时间: 2013-4-2 16:48
咱技术水平太臭了，看不太懂。

作者: zds1210 时间: 2013-4-2 16:59

原帖由 liuyuting 于 2013-4-2 16:48 发表
咱技术水平太臭了，看不太懂。

应该是我没有写好。改天上个图，就直观多了。现在主要还是在文字方面。

作者: 51boy 时间: 2013-4-2 17:43
不错啊！
谢谢版主！辛苦了！
好好研究学习学习！

作者: w66639 时间: 2013-4-2 20:02
要慢慢消化，介绍的也很详细了

作者: 2013hjxq 时间: 2013-4-2 21:12
不错，喜欢追寻本质的东西。

作者: haook 时间: 2013-4-3 10:55
感谢楼主分享技术，请问VHDX的win8系统，能不能在U+V2-hdd高端隐藏区启动，（关键在于U+V2-hdd高端隐藏区能用ntfs格式启动吗?）谢谢！

[ 本帖最后由 haook 于 2013-4-3 11:08 编辑 ]

作者: zds1210 时间: 2013-4-3 12:05

原帖由 haook 于 2013-4-3 10:55 发表
感谢楼主分享技术，请问VHDX的win8系统，能不能在U+V2-hdd高端隐藏区启动，（关键在于U+V2-hdd高端隐藏区能用ntfs格式启动吗?）谢谢！

在B+下测试，ntfs格式的隐藏区，PE内核可以正常启动。但bootpart不能挂载ntfs格式高隐藏隐藏区。

作者: zds1210 时间: 2013-4-7 19:23
帖子更新地址：http://zds1210.blog.163.com/blog/static/244812482013324353220

作者: 2012jc天马行空 时间: 2013-4-12 00:40

zds1210 发表于 2013-4-2 16:12
Part one U+V2高端隐藏PE维护技术初探
理论上看，U+V2高端隐藏区是可读写分区，所以有可能把隐藏区引导和数 ...

请问一下大大如果是ud启动，启动界面的倒计时框是如何做到的？我看那个假的老毛桃pe里面可以做到？

作者: fyhwaijxnt78 时间: 2013-4-12 09:32
谢谢分享，学习了！

作者: hero8000 时间: 2013-4-12 15:45
这个恢复还是很实用的。

数据无损修复。

楼主肯定做了好多试验，支持一下

作者: hero8000 时间: 2013-4-12 15:47
本帖最后由 hero8000 于 2013-4-12 15:49 编辑

好像pauly说过，U+由于版权的原因，所以不支持。

不知FbinstTool 的作者 jianliulin 可不可以出手写个类似的工具。

作者: lilimi 时间: 2014-9-27 09:13
正在学习中

作者: zds1210 时间: 2014-9-27 10:58

2012jc天马行空发表于 2013-4-12 00:40
请问一下大大如果是ud启动，启动界面的倒计时框是如何做到的？我看那个假的老毛桃pe里面可以做到？

message里改一下，用一个软件加上计时条。

作者: 953825781 时间: 2014-12-4 21:15
收藏，慢慢消化。

作者: basdk 时间: 2014-12-12 22:20
正在学习中

欢迎光临无忧启动论坛 (http://bbs.c3.wuyou.net/)