论文部分内容阅读
[摘 要] 方正还原卡mzx版（海光）属于BIOS集成硬盘还原卡（以下简称BIOS还原卡），不能像独立还原卡直接拔掉或卸载来删除。结合实践，详细介绍了彻底删除该还原卡的原理和实验方法。
[关 键 词] 还原卡；硬盘；BIOS；删除
[中图分类号] TP309 [文献标志码] A [文章编号] 2096-0603（2018）01-0183-01
装有方正还原卡max版（海光）的电脑（如方正商祺N110等电脑）C盘保存的资料在重启后就会消失，这给用户带来诸多不便。经作者检测查明，方正还原卡max版（海光）属于BIOS集成还原卡，不能像独立还原卡（如PCI还原卡、网卡集成还原卡）能够直接拔掉或者卸载方法来删除。BIOS集成还原卡一般是通过将还原卡的保护程序写入主板的BIOS中再结合板载网卡来实现对硬盘的保护功能，对其删除的操作过程比较复杂，且因机而异。本文结合作者操作实践，详细介绍了对方正max版（海光）BIOS集成还原卡彻底删除的原理与实验方法。
一、BIOS集成还原卡原理与删除实验过程
BIOS集成还原卡的加载驱动的方式十分类似DOS下的引导型病毒。接管BIOS的INT13中断，将FAT记录、引导区、CMOS信息、中断向量表等信息都保存到卡内的临时储存单元中或是硬盘的隐藏扇区中，用自带的中断向量表来替换原始的中断向量表；再另外将FAT记录信息保存到临时储存单元中，用来应付我们对硬盘内数据的修改；最后是在硬盘中找到一部分连续的空磁盘空间，然后将我们修改的数据保存到其中。每当我们向硬盘写入数据时，其实还是写入硬盘中，可是没有真正修改硬盘中的FAT。由于保护卡接管INT13，当发现写操作时，便将原先数据目的地址重新指向先前的连续空磁盘空间，并将先前备份的第二份FAT中的被修改的相关数据指向这片空间。当我们读取数据时，和写操作相反，当某程序访问某文件时，保护卡先在第二份备份的FAT中查找相关文件，如果是启动后修改过的，便在重新定向的空间中读取，否则在第一份的FAT中查找并读取相关文件。
作者通过对方正商祺N110这批电脑的检测发现，该还原卡是属于BIOS集成还原卡，是通过修改BIOS，使计算机启动时，选择先从网络（网卡的Bootrom）启动的话，BIOS会先将控制权交给网卡的Bootrom进行控制，将硬盘保护系统程序烧录到网卡的Bootrom芯片里，则可实现利用网卡中的保护模块来进行对硬盘的管理与控制。针对N110电脑，作者通过屏蔽BIOS中的板载LAN，发现还原卡不启动了，当然进入系统也找不到网卡了。该硬盘保护信息是写入网卡的Bootrom芯片里了吗？答案是否定的。作者再输入保护卡密码“gzkm****”，有了还原卡密码，就可以卸载掉还原卡，但是每次开机都会要求你重新安装，如果不安装，得按一下Esc才能启动系统，很不方便。进一步考虑硬盘的MBR和BIOS，找一个公版BIOS，不带硬盘还原系统的，应该就能正常启动，在重新MBR就应该可以了。先查“方正N110 BIOS”无果，开机看到是富士康的主板，型号为“661M06F2-FX-6L”，按照这个型号，根本查不到BIOS，最后发现该主板是富士康“6617MAPRO”，通過这个型号勉强能找到其BIOS，直接用U盘引导进入PE，使用老毛桃PE自带的phoenix winflash 汉化版进行刷BIOS，谁知道，可以备份但是不可以写入。马上想到是不是BIOS保护了，不给写，重启，查看BIOS，发现根本没有保护，怀疑是不是PE有问题。重启以后，换成DOS并用AWDFLASH.EXE备份和刷新BIOS同样只能读不能写，作者又把备份的BIOS写回去，发现可以写，那么唯一的问题就是BIOS版本不对了，这个BIOS已经是作者唯一能找到的、最符合硬件的BIOS了。继续查资料，在查找BIOS文件的时候，也阅读了很多关于BIOS的文章，其中有一些文章讲到可以利用CBROM32 1.96 修改BIOS里面的资料，要找到富士康 6617MXPRO公版BIOS是不可能了。于是考虑能不能通过修改备份出来的BIOS文件去除保护卡（事实证明这个思路是正确的）。先把CBROM32 1.96 和备份出来的OLD.BIN放在同一目录下，按照命令说明执行：“CBROM196cn OLD.BIN /D”（显示 BIOS 中所有已合并的 ROM 信息），看到各个模块的信息以后，把各个模块的名称放到网络去查询，查到最后，发现是PCI的M32D-FZ.BIN就是保护卡的程序模块。再执行“CBROM196cn OLD.BIN /PCI RELEASE”，回车剥离，分离成功（根据后来查询资料得知，不同的还原卡或者不同品牌电脑，写的模块不一样，有的写在ISA中，那么剥离的时候执行“CBROM32 OLD.BIN /ISA RELEASE”）。最后用“AWDFLASH OLD.BIN”出现界面，选择“Y”，看着刷BIOS的进度条完成，按F1启动，成功了，终于没有看到讨厌的还原卡要求安装的界面了。但是硬盘不能启动了。下面的工作是重写MBR，或者分区，重装系统。这样就成功彻底删除了方正max版（海光）BIOS集成还原卡。
二、BIOS集成还原卡删除方法总结
1.如果有保护卡密码，先卸载保护卡；如果没有保护卡密码，可以屏蔽板载网卡或者拔掉硬盘，总之是为了进入DOS或者PE。
2.根据硬件下载相应的刷BIOS工具和修改工具，刷BIOS的DOS版本为AWDFLASH.EXE，Windows版本为phoenix winflash 汉化版，修改BIOS工具为CBROM32 1.96。
3.利用DOS执行命令。AWDFLASH回车，不填刷入文件名，回车，按要求填入，备份文件名，回车，备份成功。本例BIOS备份为OLD.BIN文件。CBROM196cn OLD.BIN/D（显示BIOS中所有已合并的ROM信息）CBROM196cn OLD.BIN/PCI RELEASE（根据ROM信息显示M32D-FZ.BIN所在模块为PCI，剥离M32D-FZ.BIN保护程序）AWDFLASH OLD.BIN回车，输入刷入文件名OLD.BIN，回车，等待刷入完成，按F1重启。
4.清空硬盘MBR表，可以使用fdisk/mbr或者diskgen等工具执行。
5.分区、重装系统。
参考文献：
李新宇.还原技术在计算机操作系统维护中的运用研究[J].黑龙江科技信息，2012（9）.
[关 键 词] 还原卡；硬盘；BIOS；删除
[中图分类号] TP309 [文献标志码] A [文章编号] 2096-0603（2018）01-0183-01
装有方正还原卡max版（海光）的电脑（如方正商祺N110等电脑）C盘保存的资料在重启后就会消失，这给用户带来诸多不便。经作者检测查明，方正还原卡max版（海光）属于BIOS集成还原卡，不能像独立还原卡（如PCI还原卡、网卡集成还原卡）能够直接拔掉或者卸载方法来删除。BIOS集成还原卡一般是通过将还原卡的保护程序写入主板的BIOS中再结合板载网卡来实现对硬盘的保护功能，对其删除的操作过程比较复杂，且因机而异。本文结合作者操作实践，详细介绍了对方正max版（海光）BIOS集成还原卡彻底删除的原理与实验方法。
一、BIOS集成还原卡原理与删除实验过程
BIOS集成还原卡的加载驱动的方式十分类似DOS下的引导型病毒。接管BIOS的INT13中断，将FAT记录、引导区、CMOS信息、中断向量表等信息都保存到卡内的临时储存单元中或是硬盘的隐藏扇区中，用自带的中断向量表来替换原始的中断向量表；再另外将FAT记录信息保存到临时储存单元中，用来应付我们对硬盘内数据的修改；最后是在硬盘中找到一部分连续的空磁盘空间，然后将我们修改的数据保存到其中。每当我们向硬盘写入数据时，其实还是写入硬盘中，可是没有真正修改硬盘中的FAT。由于保护卡接管INT13，当发现写操作时，便将原先数据目的地址重新指向先前的连续空磁盘空间，并将先前备份的第二份FAT中的被修改的相关数据指向这片空间。当我们读取数据时，和写操作相反，当某程序访问某文件时，保护卡先在第二份备份的FAT中查找相关文件，如果是启动后修改过的，便在重新定向的空间中读取，否则在第一份的FAT中查找并读取相关文件。
作者通过对方正商祺N110这批电脑的检测发现，该还原卡是属于BIOS集成还原卡，是通过修改BIOS，使计算机启动时，选择先从网络（网卡的Bootrom）启动的话，BIOS会先将控制权交给网卡的Bootrom进行控制，将硬盘保护系统程序烧录到网卡的Bootrom芯片里，则可实现利用网卡中的保护模块来进行对硬盘的管理与控制。针对N110电脑，作者通过屏蔽BIOS中的板载LAN，发现还原卡不启动了，当然进入系统也找不到网卡了。该硬盘保护信息是写入网卡的Bootrom芯片里了吗？答案是否定的。作者再输入保护卡密码“gzkm****”，有了还原卡密码，就可以卸载掉还原卡，但是每次开机都会要求你重新安装，如果不安装，得按一下Esc才能启动系统，很不方便。进一步考虑硬盘的MBR和BIOS，找一个公版BIOS，不带硬盘还原系统的，应该就能正常启动，在重新MBR就应该可以了。先查“方正N110 BIOS”无果，开机看到是富士康的主板，型号为“661M06F2-FX-6L”，按照这个型号，根本查不到BIOS，最后发现该主板是富士康“6617MAPRO”，通過这个型号勉强能找到其BIOS，直接用U盘引导进入PE，使用老毛桃PE自带的phoenix winflash 汉化版进行刷BIOS，谁知道，可以备份但是不可以写入。马上想到是不是BIOS保护了，不给写，重启，查看BIOS，发现根本没有保护，怀疑是不是PE有问题。重启以后，换成DOS并用AWDFLASH.EXE备份和刷新BIOS同样只能读不能写，作者又把备份的BIOS写回去，发现可以写，那么唯一的问题就是BIOS版本不对了，这个BIOS已经是作者唯一能找到的、最符合硬件的BIOS了。继续查资料，在查找BIOS文件的时候，也阅读了很多关于BIOS的文章，其中有一些文章讲到可以利用CBROM32 1.96 修改BIOS里面的资料，要找到富士康 6617MXPRO公版BIOS是不可能了。于是考虑能不能通过修改备份出来的BIOS文件去除保护卡（事实证明这个思路是正确的）。先把CBROM32 1.96 和备份出来的OLD.BIN放在同一目录下，按照命令说明执行：“CBROM196cn OLD.BIN /D”（显示 BIOS 中所有已合并的 ROM 信息），看到各个模块的信息以后，把各个模块的名称放到网络去查询，查到最后，发现是PCI的M32D-FZ.BIN就是保护卡的程序模块。再执行“CBROM196cn OLD.BIN /PCI RELEASE”，回车剥离，分离成功（根据后来查询资料得知，不同的还原卡或者不同品牌电脑，写的模块不一样，有的写在ISA中，那么剥离的时候执行“CBROM32 OLD.BIN /ISA RELEASE”）。最后用“AWDFLASH OLD.BIN”出现界面，选择“Y”，看着刷BIOS的进度条完成，按F1启动，成功了，终于没有看到讨厌的还原卡要求安装的界面了。但是硬盘不能启动了。下面的工作是重写MBR，或者分区，重装系统。这样就成功彻底删除了方正max版（海光）BIOS集成还原卡。
二、BIOS集成还原卡删除方法总结
1.如果有保护卡密码，先卸载保护卡；如果没有保护卡密码，可以屏蔽板载网卡或者拔掉硬盘，总之是为了进入DOS或者PE。
2.根据硬件下载相应的刷BIOS工具和修改工具，刷BIOS的DOS版本为AWDFLASH.EXE，Windows版本为phoenix winflash 汉化版，修改BIOS工具为CBROM32 1.96。
3.利用DOS执行命令。AWDFLASH回车，不填刷入文件名，回车，按要求填入，备份文件名，回车，备份成功。本例BIOS备份为OLD.BIN文件。CBROM196cn OLD.BIN/D（显示BIOS中所有已合并的ROM信息）CBROM196cn OLD.BIN/PCI RELEASE（根据ROM信息显示M32D-FZ.BIN所在模块为PCI，剥离M32D-FZ.BIN保护程序）AWDFLASH OLD.BIN回车，输入刷入文件名OLD.BIN，回车，等待刷入完成，按F1重启。
4.清空硬盘MBR表，可以使用fdisk/mbr或者diskgen等工具执行。
5.分区、重装系统。
参考文献：
李新宇.还原技术在计算机操作系统维护中的运用研究[J].黑龙江科技信息，2012（9）.