ud.FAT法：把UD扩展区当作fat区

mdyblog · 发表于 2015-1-25 07:44:20

本帖最后由 mdyblog 于 2015-1-25 15:22 编辑

jianliulin 发表于 2015-1-24 13:56
新版fbinstTool 已经可以把ud中的“分区”文件挂到分区表，也可以随意排列各个分区的顺序，只要“分区”文 ...

前面J大回复说不会C，所以 fbinst.exe没有同步更新。
能麻烦提供一些怎么找到这个 EFI-IMG 的位置和大小的说明。
没 “挂到分区表”，怎么找？
挂载了，怎么找？
“挂到分区表” 与否有什么标志？

就是是否映射 “挂到分区表”，都能找到 “EFI-IMG 的位置和大小”。

我来给大家写个小程序，在PE中挂在这个IMG，大家就有口福了，

mdyblog · 发表于 2015-1-25 14:38:27

jianliulin 发表于 2015-1-25 12:25
ud的文件列表是以一个个保存着文件信息(大小、名称等）结构体排列组成，以下是结构体的声明，

str ...

>>char name[0]; 文件名，原来fbinst.exe 是以ansi编码，目前fbinsttool 是utf-8编码。
请问，是什么编码，是否什么地方存放了标志。免得搞错了。

mdyblog · 发表于 2015-1-25 15:06:20

本帖最后由 mdyblog 于 2015-1-25 15:15 编辑

jianliulin 发表于 2015-1-25 12:25
ud的文件列表是以一个个保存着文件信息(大小、名称等）结构体排列组成，以下是结构体的声明，

str ...

》》当文件挂在到mbr时候，flag 会是 4 ，8, 16, 32 这几个数字之一
此时，已经在分区表中了，不需要另外在挂载了。

》》
flag 如果是1则是没有挂载，也就是没有这样一种  “带标标深度隐藏状态”：  文件挂在到mbr，大是有标识，说这个就是需要映射的文件，
建议加个， 65～127 为文件的分区序号， 65为第一分区，66为第二分区。。。 127为第63分区可以是ISO（虽然不能作EFI，但可以作为外置）。

现在没有标识，所以也无法挂载了。
至于通过内容判断，  对windows挂载  帮助不大。
很多 IMG 有这种内容，  但并不需要挂载。
而最重要的  外置的IMG（不是EFI-IMG），不一定有这个内容标志（没有也是合法的）。
还有ISO,  压根没有这个内容，前面都0x00.

---下面是取消分区映射后的数据
0x13 0x00 0xC4 0x03 0x00 0x00 0x13 0x00 0x00 0x00 0x54 0x90 0xC4 0x54 0x66 0x62
0x2E 0x63 0x66 0x67 0x00 0x13 0x00 0xC5 0x03 0x00 0x00 0x00 0x02 0x00 0x00 0x54
0x90 0xC4 0x54 0x6D 0x62 0x72 0x2E 0x70 0x74 0x00
0x14 0x01 0x00 0x40 0x00 0x00 0x00 0x00 0xF0 0x7F 0x6C 0x90 0xC4 0x54 0x65 0x66 0x69 0x2E 0x69 0x6D 0x67 0x00    0x00
---- ---- ------------------- -------------------
flag=0x01

mdyblog · 发表于 2015-1-25 15:17:57

jianliulin 发表于 2015-1-25 12:25
ud的文件列表是以一个个保存着文件信息(大小、名称等）结构体排列组成，以下是结构体的声明，

str ...

那个MBR.pt
干什么的？
能用来存放用户数据吗？

mdyblog · 发表于 2015-1-25 15:46:39

jianliulin 发表于 2015-1-25 12:25
ud的文件列表是以一个个保存着文件信息(大小、名称等）结构体排列组成，以下是结构体的声明，

str ...

》》
另外：
要是能在pecmd中添加，通过文件名就能直接把ud中的文件读取到内存里面执行，不需要目前先用fbinst.exe导出到临时目录，再执行。
--------------
对单个普通执行文件，PECMD 倒是可以用幽灵模式 EXEC. 不需要临时文件，直接在内存中运行。比如 CALC.EXE

但是对特别文件，日那个WINRAR自解压文件，程序运行后要找自己的宿主文件，寻找待解压数据。
有些被特别压缩国的文件，也不能幽灵模式 EXEC。会失败的。

有些程序内部重定位符号被清除了，无法在内存中展开，故也不能幽灵模式 EXEC。

还有的程序需要数据的。可能数据是大头。

还有的程序是许多个文件，如QQ， word。

mdyblog · 发表于 2015-1-25 18:02:48

本帖最后由 mdyblog 于 2015-1-25 21:47 编辑

jianliulin 发表于 2015-1-25 12:25
ud的文件列表是以一个个保存着文件信息(大小、名称等）结构体排列组成，以下是结构体的声明，

str ...

弄出来了。

MAPUP挂载UD外置

支持深度隐藏

文件： MAPUD.WCS （MAPUP挂载UD外置.zip 中）

下面说说深度隐藏的制作和PE中的挂载。

方案用法

1） UD 格式化盘

2）右键，创建EFI.IMG（名称随意）

3）如果需要，右键，创建外置EXT.IMG（名称随意）

4）还可创建其它，可以创建4个。后面放入其它普通文件。

5）在EFI.IMG 上右键，【隐射UFI分区】

6）如果需要，其他IMG也是【隐射UFI分区】

7） PECMD part -gui ，手动改变上面隐射的分区的分区类型为0。就变成深度隐藏的了。如果不会，直接删除也可以。效果如图：

8） PECMD.INI 中: LOAD MAPUD.WCS *

9）如果要恢复分区，可见，直接将分区类型改为0x1E/0x1B/0x0E/0x0B/0x16/0x06均可。

手动执行，效果如图：

可以直接添加/维护文件。也可以重新格式化。

MAPUP.WCS用法：

PECMD LOAD MAPUP.WCS [-w] 磁盘文件件名或磁盘号或*

-w:可写

*查询全部磁盘并加载

磁盘号为 0~N

磁盘文件件名为 \\.\PhysicalDrive0~N

mdyblog · 发表于 2015-1-25 21:56:24

本帖最后由 mdyblog 于 2015-1-25 22:14 编辑

jianliulin 发表于 2015-1-25 18:27
这是已经map的情况，能否添加根据ud文件文件名来挂在

1：
这里实际没有map。
因为已经用分区软件从分区表中清除掉了。

用FBT隐射一下，只是做个标记而已，标识这个文件，在PE启动时需要加载到盘符。
做了标识后，再用分区软件从分区表中清除掉了。
从实现深度隐藏。---- 参见上面的分表，分区表中只有一个用户区。
如图：分区表中，只有用户区的分区表。

2：我认为，对PE启动来时，这个才是适用的。
这样就不用指定文件名了，而实现全自动的。 UD盘甚至好了就可以了。
PE自动加载。

3：
至于根据文件加载，早就实现了，PECMD的下载包中就有。
这个需要固定文件名特征，指定特征文件名的文件被自动加载。

mdyblog · 发表于 2015-1-25 21:59:23

本帖最后由 mdyblog 于 2015-1-25 22:11 编辑

sp_star 发表于 2015-1-25 19:30
占用分区表的方式依赖fbinsttool的操作，感觉还是查找文件名的方式比较好，这样也不用占用分区表。
比如 ...

不占用分区表的，只是在文件的flag中做了个标记。
是深度隐藏的。

加载的时候，也是不需要分区表界入的。如图：分区表中，只有用户区的分区表。

》》依赖fbinsttool
除了格式化，拖入文件IMG外的文件。
其实不以来 FBT了。
一切都可以小软件搞定。包括打上标记，清除标记，软加载，硬加载。

只是有现成的FBT，为什么还有再去造个功能一样的轮子呢。

做目前没有的功能——启动时的自动加载。

mdyblog · 发表于 2015-1-25 22:06:25

本帖最后由 mdyblog 于 2015-1-25 22:12 编辑

jianliulin 发表于 2015-1-25 21:53
我还是不太明白，实现你说的功能是不是要一个ud的windows驱动？？

》》我还是不太明白，实现你说的功能是不是要一个ud的windows驱动？？
不是的。
是要对FBT这个软件进行深度的改造，使得 FBT支持标准文件系统——这样windows就能认。
差不多UD变成简化的UDm了（同是又完全兼容UD）。
目前还只是P大的一个构思。

mdyblog · 发表于 2015-1-25 22:32:39

sp_star 发表于 2015-1-25 22:23
信息还是存在分区表项的位置？
自动加载也不难的，可以查找UD内所有文件，自动挂载 .IMG后缀的(或者约定 ...

用PECMD PART -gui
删除该分区表后，哪儿是全0了。那儿没有分区信息了。

下面是【导出】的分区表：
磁盘:1
  磁盘信息磁盘号大小(字节)       柱面数磁头数扇数扇区媒体    签名总线
            1 63786975232          7754 255 63  512 12 D63D1E4D  7 MBR F
  字符说明激活 __本分区起始__ 分区 __本分区结束__ _______本分区______ ______本分区_______
  激活为0x80 磁头_扇区_柱面类型磁头_扇区_柱面 _____起始扇区号____ _____扇区总数______
  主分区1: 0x80 0x6D 0xB0 0x7E 0x0C 0xFC 0xB2 0x4A 0x00 0x80 0x9C 0x00 0x00 0x80 0xD0 0x06
  主分区2: 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00
  主分区3: 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00
  主分区4: 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00
  标志 : 0x55 0xAA
  全部分区: 1 -2  -3  -4
  分区  类型激活(1) 起始(字节)    长度(字节) 隐藏扇区    结尾(字节) 物理# 盘符
   1  0x0C 1    5251268608 58535706624 10256384 63786975232 1
-2  0x00 0             0             0          0             0 2
-3  0x00 0             0             0          0             0 3
-4  0x00 0             0             0          0             0 4

mdyblog · 发表于 2015-1-25 22:34:32

本帖最后由 mdyblog 于 2015-1-25 22:37 编辑

jianliulin 发表于 2015-1-25 22:27
fbinst 和udm 还是有本质上的区别的，两者并不类似。

最根本的区别是， UDM有标准文件系统。
P大的方法，就是让 UD支持标准文件系统。
从这个意义上说，如果那样做，就变成了一个简化的UDm。

而一旦用上了标准文件系统，就会发现 “UD文件系统” 变成多于的了。
正是这个原因， UDm中没有实现UD文件系统支持。

mdyblog · 发表于 2015-1-25 22:39:38

sp_star 发表于 2015-1-25 22:35
呵呵，看你映射EFI什么的，可能是理解错你的意思了。

那个，只是用来打个标记标记——PE启动时较加载我哦！

当然可以自己写软件做；用FBT现成的也可以，反正设置一次就完了。

mdyblog · 发表于 2015-1-25 22:42:28

sp_star 发表于 2015-1-25 22:39
从使用的角度说，可以做到一致：
ud区的约定：只放3个文件grldr, menu.lst, TEST.IMG，PE包括外置的所有 ...

而一旦用上了标准文件系统，就会发现 “UD文件系统” 变成多于的了。

grldr, menu.lst, TEST.IMG 直接放到标准文件系统不就完事了。
省事多了。随便一个软件都可以编辑修改访问。

mdyblog · 发表于 2015-1-26 11:36:23

本帖最后由 mdyblog 于 2015-1-26 13:26 编辑

jianliulin 发表于 2015-1-26 10:39
1. pecmd 能否实现， MOUN -ud -w TEST.IMG Z: 命令把ud中test.img 映射成为Z: 盘？ test.img 是用 ...

1：
》》 pecmd 能否实现， MOUN -ud -w TEST.IMG Z: 命令把ud中test.img 映射成为Z: 盘？ test.img 是用户指定的，现在很多外置都用petool 这样的目录，用户可以选择要挂什么，不挂什么，在pe中指定比在ud中指定更合理
---
这个其实有了，不是 MOUN -ud. 而是 PECMD的一个支持包——UDM-UD-U+-IMG-ISO-等的统一加载，
对UD的加载，用的文件名，用的fbinst.exe 来列出文件信息。
用法：
手动（只）加载UD：
EXEC =!"%MyName%" LOAD UDm+fixdrv.wcs LoadUD [(可含通配符)文件名] [磁盘列表] ["D E F ..."] [-w]
省略文件名就是 *OnLd.I*
省略磁盘列表就是所有硬盘
磁盘列表： 0 1 2 3 4 ...

------
至于 "MOUN -ud " 看看是否要内置，怎么内置（那些接口）。

》》2. pecmd 按Ctrl +Alt +A 分辨率变成800x600不是菜单提示的最佳分辨率
----
（1） PECMD-PE 默认快捷键
Ctrl +Alt +A ----------- 分辨率变成800x600
可以在PECMD.INI中改，随后四都可以改快捷键

（2）
800x600不是菜单提示的最佳分辨率
而是最安全的分辨率。分辨率设置错误黑屏了，就按这个。

mdyblog · 发表于 2015-1-27 12:02:21

本帖最后由 mdyblog 于 2015-1-27 12:09 编辑

jianliulin 发表于 2015-1-25 12:25
ud的文件列表是以一个个保存着文件信息(大小、名称等）结构体排列组成，以下是结构体的声明，

str ...

PECMD2012V88.05.47 对UD的直接支持

1:UD文件列表
MOUN -udm listud  [-ret:] 返名 [-udmask: flag掩码] 设备名 [通配符]    //返回详细UD文件列表

如：
MOUN -udm  listud  &V  \\.\PhysicalDrive1 ""
MESS. %&V%

2:直接加载UD中的文件
MOUN -udm -udfs  [-udm-] [-w]  [-udid: UDx编号] [-udmask: 掩码] [-udimg: 文件] 设备名 [盘符表]
可以根据 flag掩码或文件名加载

UDx编号为匹配中的序号，从1开始

如：
moun  -udm -udfs  -w -udm-  -udimg: EXT*.IMG \\.\PhysicalDrive1  R-  //加载EXT*.IMG

moun  -udm -udfs  -w -udm-  -udmask: * \\.\PhysicalDrive1  R- //加载有映射标记的文件

moun  -udm -udfs  -w -udm-  -udmask: *  -udid:  1 \\.\PhysicalDrive1  R- //只加载第一个

moun  -udm -udfs  -w -udm-  -udmask: *  -udimg: EXT*.IMG \\.\PhysicalDrive1  R-  //加载有映射标记的EXT*.IMG

3:直接运行UD中的文件
EXEC --exe:ud:UD文件名:UD内部文件名命令行及参数

UD文件名：磁盘或UD格式镜像

如：
EXEC  -exe:ud:\\.\PhysicalDrive1:calc.exe"  =calc
EXEC  -exe:"ud:\\.\PhysicalDrive1:My calc.exe"  =calc 11 222 333
EXEC  -exe:"ud:D:\abc.fba:My calc.exe"  =calc 11 222 333

mdyblog · 发表于 2015-1-27 12:12:14

本帖最后由 mdyblog 于 2015-1-28 05:44 编辑

sp_star 发表于 2015-1-26 11:51
现在其实也是能实现的，主要是依赖一条PECMD命令：（需要安装imdisk)
RAMD ImDisk*&V*2097280s*5734529 ...

新版 PECMD 直接内生支持了。

mdyblog · 发表于 2015-1-28 21:35:15

本帖最后由 mdyblog 于 2015-1-28 21:36 编辑

pseudo 发表于 2015-1-28 14:41
不支持这种双国籍，ud文件系统暂时看不到发展方向了。

那就放弃ud文件系统吧。

可以用PECMD2012

建一个 FAT的IMG文件 efi.img  <4G
改名为ud1.fat

再用 pecmd  moun -udm -udfs  -udimg:  ud1.fat    软加载。

为...建分区表项：可以把mbrostool 的功能移过来，  可以加个开关  -mh
pecmd  moun -udm -udfs  -udimg:  ud1.fat -mh       建分区表项：

mdyblog · 发表于 2015-2-21 18:15:22

MBROSTOOL
已经实现了  UD扩展区  MAP成一个硬盘分区出来。
PECMD也实现了。
grldr也实现了。(包内有)，如果用默认的 grldr, 需要调用包内的 ldudpe来map UD。
还可以锁住UD区，防止fbt  fbi  等破坏。
现在可以直接启动PE，并在PE中加载 UD到盘符(Z:)，访问外置。

效果：
6269#

PECMD.EXE （88.05.52）  UDM+FIXDRV.WCS 也支持 UDEXt

PE启动时，自动加载  UDEXt效果图：

mdyblog · 发表于 2015-2-22 08:24:55

本帖最后由 mdyblog 于 2015-2-22 08:27 编辑

zds1210 发表于 2015-2-22 00:38
你这项把UD扩展区map成一个盘，能不能在原版的UD中使用？
能的话，又要怎么使用？

》》你这项把UD扩展区map成一个盘，能不能在原版的UD中使用？
能的话，又要怎么使用？
---------------------
1）原版的UD 可以访问主数据区，随便编辑都可以。
2）扩展区，只能查看允许看的那部分文件，不能编辑-----锁住了。
   ---目前，“查看允许看的那部分文件”，那部分界面还没写（接口设计好了），只是锁住了。目前投石问路，看大家的反映，喜欢，且我有时间就接着写。
   我想，“查看允许看的那部分文件”，没几个吧。就是几个重要的IMG。

3） BIOS启动时map成(hd0,0)，后面是透明的了。
4) PE启动时， PECMD直接加载到盘符，  后面是透明的了。

mdyblog · 发表于 2015-2-22 12:59:43

zds1210 发表于 2015-2-22 00:38
你这项把UD扩展区map成一个盘，能不能在原版的UD中使用？
能的话，又要怎么使用？

贴张图吧！

mdyblog · 发表于 2015-2-22 13:00:39

本帖最后由 mdyblog 于 2015-2-22 13:04 编辑

sunsea 发表于 2015-2-22 10:33
原版ud？拓展区是按本楼的fat法吧？

原版ud
FbinstTool 1.607.2015.0119.EXE 其它版本也可以。

可能差不多吧。
没有 ud.FAT
扩展区不需要一个文件（或尸体）。

mdyblog · 发表于 2015-2-25 20:40:59

本帖最后由 mdyblog 于 2015-2-25 20:43 编辑

pseudo 发表于 2015-2-25 15:52
嗯，请J大看看能否做个调整：格盘时，允许选择ud扩展区起点——起点可以像原来那样紧接（8M)ud区，也可以往 ...

MBROSTool -16 已经支持了---高端隐藏。

同时支持扩展同步到UD目录。

MBROSTool5.3-16B-支持UD扩展区.7z

支持同步 UD扩展区的文件到 UD目录。 FBInstTool 等也可以看到这个文件。
udext.exp中保存 UD扩展区的文件需要输出到 UD的文件名列表。UTF8编码。
选【同步到UD目录】，就会同步到UD目录，并报告结果。

同步后的报告：

对于那些在UD中无效的文件，会提示滴。

mdyblog · 发表于 2015-2-26 00:14:32

pseudo 发表于 2015-2-25 23:47
没有udext.exp文件时，等效于有一个包含UD扩展区所有文件列表的udext.exp文件？
“同步到UD目录”反过来也 ...

1: >>没有udext.exp文件时，等效于有一个包含UD扩展区所有文件列表的udext.exp文件？
需要输出的文件，其实很少。大概就efi.img.
其它，输出，还真没看到有什么实际的用途。

1)BIOS启动阶段：
现在UD启动后，直接看到的目录就是(hd0,0), 就是UD扩展区本身，不在是(ud).
在bios启动阶段，用户不用 (ud) 了，直接用(hd0,0)。什么文件都看的清清楚楚。
相当于一个扩展的(udext).

2)windows阶段：也是直接访问 UD扩展区本身，自动记载到盘符。

现在UD主区，就放个引导文件，和 udext.exp.

2: “同步到UD目录”反过来也行？
现在没有这个必要。
1）操作主要在扩展区的文件系统上。文件直接拷过来就可以了。
对于需要输出到UD的文件，碎片整理下，在点下 “同步到UD目录”就可以了。
事实上，需要导出的IMG文件，一般创建后就不动了，所以“同步到UD”一次后，再也不需要 “同步到UD”了。

2） UD扩展区被锁住了， FBtool不能创建会修改文件。所以，自然就没有 UD-->文件系统这回事。
再说，那样也太费劲了，直接拷贝过去就完了，干嘛非得绕过圈子，绕UD，创建，在导过来？

扩展区的操作是“以文件系统上操作为主”,需要才同步到UD。

		自动登录	找回密码
密码			注册

ud.FAT法：把UD扩展区当作fat区

点评

点评

点评

点评

点评

点评

点评

点评

点评

点评

点评