|
本帖最后由 mdyblog 于 2014-3-28 11:20 编辑
思路很妙。
PECMD2012 可以帮你轻松搞定 这16字节
方法1:
1)用grub 的block命令,查出IMG位置和大小。
设为(hdx)甲+乙
甲是位置, 乙是大小。
2)用PECMD生成16字节
假设U是(hd1),主注意:一般不可能是hd0,hd0是你的主硬盘。
假设你要放到第二分区, 类型为0x0C, 要隐藏就是0x1C.
命令行:
PECMD PART -up -super 1#2 -a 0x0C 甲s 乙s
OK。 就这样。
命令解释:
PECMD PART -up -super 是命令。
1是磁盘编号, 从0开始,0是你的主硬盘,银盘编号和 FbinstTool1.606 一 致。
2是分区编号,1~4.按你的设计,可为2~4
-a: 没有激活标志
甲s: 甲是上面得到的IMG位置,s是单位,grub的单位是s ,PECMD支持字节(默认)扇区s,K,M,G,T单位。
乙s: 乙是上面得到的IMG大小,s是单位,grub的单位是s
由于有多个,可执行多次,得到多个分区。分区编号依次去2,3,4
方法2:
其实第一步,也可能在windows, PECMD直接完成。
假设IMG硬盘上有一份,或者虚拟盘中有一份,或者任何可以看到的地方有一份。
设路径为 Z:\PE1.ISO
U盘的磁盘编号为1, 对应PECMD设备名则为 \\.\PhysicalDrive1 (其它类推)
下面面脚本 findimg.wcs 可以找到位置,大小
ENVI^ EviMode=1
ENVI IMGPS=
SIZE IMGSZ=Z:\PE1.ISO
CALC #IMGSZ=%IMGSZ% / 512
GETF -find \\.\PhysicalDrive1,0#5G,IMGPS,Z:\PE1.ISO
IFEX $%IMGPS%<0, TEAM MESS 没找到| EXIT
CALC #IMGPS=%IMGPS% / 512
MESS 位置:%%IMGPS%%s 大小:%%IMGSZ%%s
----脚本完毕----
0#5G说明:0是搜索起始位置,如果是UD,一般为0,如果是U+高端隐藏,则是此高端隐藏区的起始位置,单位字节
5G,是搜索范围的大小,如果是UD(+), 则是UD(+)的大小,如果是U+高端隐藏,则是此高端隐藏区的大小,单位字节
IMGPS 返回 找到的位置,0为起点,单位字节。>=0。 没找到则返回-1
这种方法没有grub方法快,但可以穿透IMG,可以找到IMG里面的IMG。
第二步同上。
|
|