破解硬盘保护卡

血凤凰

还原卡也称硬盘保护卡，学校等单位采用较多，可以保护硬盘数据不被恶意修改，删除
。保护卡是一种硬件芯片，插在主板上与硬盘的MBR协同工作。在说明原理前，我想先提
一种技术“BIOS映射地址搬移”。这种技术在前几年，大行其道，但均秘而不喧。诸位
以前玩解密的时候可能都用过龚成宾的SIMU97吧。它能在只读的BIOS地址区实现写入，
因而能拦截到CALL F000:EC59等调用。这种调用在以软盘为载体的加密方案中，有重要
意义[后来为了躲过它，王江民没办法使用了UPD765。不过，据我分析UPD765 照样可以
拦截]。刚才提的那种拦截方式的原理是这样的[跟踪所得]：通过调用Int15h子功能[其
他也可以，只要能切入保护模式]，切入保护模式，改掉BIOS所在段的段描述符。这种方
法可以实现BIOS段的重定位，当然就可以让它可写入了。用Int13H读软盘时Int13H会调
用F000:EC59,这是拦截Int13h 的一种高级手段。其实围绕硬盘保护的加密解密关键就看
谁拦截的位置更底层。但对与硬盘保护卡来说，只要恢复Int13的BIOS级中断向量就够了
。具体如何破解呢？找到Int13h的BIOS解中断向量值，填入中断向量表。[有些部份如果
觉得简单请跳过看 ^_^]
下面是找Int13入口的方法，我常用的几种：
1。手工运行Debug,如下：
　 Debug
-　a100
-　xor ax,ax
-　int 13
-　int3
然后输入t回车，不断的重复，直到显示的地址形如 F000:xxxx。 记下这一地址,按q 回
车退出。
在(0:13H*4)=0:4cH 处填入这个地址。
例如得到的地址是F000:1234
运行debug
-e 0:4c 34 12 00 F0
-q
注意：
填的时候要仔细，填错的话会死机。有些经过针对性处理的机器，要进一步鉴别。如在
Int13内部调　　　　用Int1ch. 如果在trace过程中发现如下代码 CMP DL,80，修改成
CMP DL,FF 别的都不要修改.试试　　　　硬盘可写吗？如果可以的话万事大吉。另外，
不能在Windows的虚拟DOS窗口中使用这种方法。如果在Windows的虚拟DOS窗口运行的话
，请使用下一种方法。
2。Debug
- s F000:0 ffff 80 fa 80
你可能会发现有好几处。试验一下: 如果U F000:xxxx地址后发现代码类似
　　　 -u F000:xxxx
PUSHF
CMP DL,80
JZ ....
　.
　.
　　　　　.
的话，填入向量表试试。通常破解就完成了。
我曾经发现经过以上中断还原后，仍不能写盘的情况。经跟踪发现Int8H,Int 1CH,Int1
5H等向量对
Int13H进行了向量保护。解决办法：把Int8H,Int1cH,Int15H 也改会原始中断点（也是
BIOS中断）。尝试写盘：
copy c:\command.com test.com
1 file Copied.
如果想获得保护卡密码的话，可以参考以下步骤：
1。找到Int13h原始点设回中断向量表。
2。读出MBR
可以分析这份MBR，找到存放加密密码的扇区得出解密算法。
   
附上一小程序 是将 0:0 搬移到 5000:0000 位址中
   请自个编辑成COM...利用EXE2BIN.EXE 转换成 COM 档
;------------------------------------------------------------------------------
CSEGBL SEGMENT
   ASSUME CS:CSEGBL,DS:CSEGBL
   ORG 100H
START:
   JMP INT ;跳到中断向量表的搬移动作
   .DATA
DESC_TABLE LABEL WORD
DUMMY DW 4 DUP(0)
GDT_LOC DW 4 DUP(0)
SOURCE_GDT DW 0FFFFH
   DW 0000H
   DB 00H
   DB 93H
   DW 0000H
TGET_GDT DW 0FFFFH
   DW 0000H
   DB 05H
   DB 93H
   DW 0000H
BIOS_CS DW 4 DUP(0)
BIOS_SS DW 4 DUP(0)
;=============================================================================
INT:
   ASSUME CS:CSEGBL,DS:CSEGBL
   MOV AX,CS
   MOV ES,AX
   MOV SI,OFFSET DESC_TABLE
   MOV CX,200H
   MOV AH,87H
   INT 15H
   INT 20H ;结束并常驻
CSEGBL ENDS
   END START
;=============================================================================
   列出本人 中断向量表 在DEBUG 的状况...
C:\TOOLS>DEBUG
-D0:0
0000:0000 DB 0F 8F 33 F4 06 70 00-16 00 0D 18 F4 06 70 00 ...3..p.......p.
0000:0010 F4 06 70 00 03 01 D2 1F-43 EB 00 F0 EB EA 00 F0 ..p.....C.......
0000:0020 3F 01 44 33 10 00 73 33-57 00 0D 18 6F 00 0D 18 ?.D3..s3W...o...
0000:0030 87 00 0D 18 9F 00 0D 18-B7 00 0D 18 F4 06 70 00 ..............p.
0000:0040 0C 01 D2 1F 4D F8 00 F0-41 F8 00 F0 FC 17 5D 19 ....M...A.....].
0000:0050 6B 0B 3B 15 1B 01 D2 1F-0F 01 D2 1F 12 01 D2 1F k.;.............
0000:0060 00 E0 00 F0 C7 18 5D 19-6E FE 00 F0 9F 01 34 14 ......].n.....4.
0000:0070 D7 01 A6 1F 22 1E 00 C0-22 05 00 00 3C 5F 00 C0 ...."..."...<_..
-D 5000:0000
5000:0000 DB 0F 8F 33 F4 06 70 00-16 00 0D 18 F4 06 70 00 ...3..p.......p.
5000:0010 F4 06 70 00 03 01 D2 1F-43 EB 00 F0 EB EA 00 F0 ..p.....C.......
5000:0020 3F 01 44 33 10 00 73 33-57 00 0D 18 6F 00 0D 18 ?.D3..s3W...o...
5000:0030 87 00 0D 18 9F 00 0D 18-B7 00 0D 18 F4 06 70 00 ..............p.
5000:0040 0C 01 D2 1F 4D F8 00 F0-41 F8 00 F0 FC 17 5D 19 ....M...A.....].
5000:0050 6B 0B 3B 15 1B 01 D2 1F-0F 01 D2 1F 12 01 D2 1F k.;.............
5000:0060 00 E0 00 F0 C7 18 5D 19-6E FE 00 F0 9F 01 34 14 ......].n.....4.
5000:0070 D7 01 A6 1F 22 1E 00 C0-22 05 00 00 3C 5F 00 C0 ...."..."...<_..

凤凰

最简单办法：
用debug
o 70 10
o 71 10
q
这样，BIOS的密码就被清除了，然后把boot from network关闭，
这样还原卡就无效了……

西门咳嗽

都这么厉害。

kelvin

但系现在出的保护卡，并不是做在主板上，而连在一张网卡上，这样是否也能破掉呢？

毒龙

能呀！！

凤凰

那种卡就是一个27C512和一个93C46嘛，
用编程器把程序提出来，写在主板上一样用……