引導區病毒採集核心邏輯

引導區病毒感染磁碟啟動扇區（MBR/DBR）。採集關鍵：獲取乾淨啟動扇區備份 + 受感染扇區對比，提取病毒體代碼。

標準採集流程 (DOS 環境)

1. 準備乾淨系統軟盤：FORMAT A: /S 寫入啟動文件。
2. 複製關鍵系統執行文件至軟盤（供後續分析環境使用）：
   • Win 3.x：\Windows\System\gdi.exe 等核心模組。
   • Win 9x/Me：command.com、io.sys、msdos.sys、kernel32.dll、user32.dll、gdi32.dll。
   • NT/2000/XP：ntldr、ntdetect.com、boot.ini、\System32\ntoskrnl.exe、hal.dll、核心驅動。
3. 受感染機器冷啟動（斷電重啟，避免病毒駐留內存）進入 DOS，用 DEBUG 或專用工具（DISKDUPE、MBRTOOL）讀取物理磁碟前 扇區（MBR）及各分區 DBR，存檔為 MBR.BIN、DBR_C.BIN 等。
4. 對比乾淨備份與受感染扇區，定位病毒體偏移、長度、跳轉指令，提取完整病毒代碼。
5. 記錄採集環境：磁碟幾何參數、分區表、感染症狀、時間戳，建立樣本檔案鏈。

進階技巧

• 虛擬機快照 + 十六進制編輯器 (HxD/010 Editor) 替代實體軟盤，效率更高。
• 多重引導扇區病毒需分別採集 MBR 與所有活動分區 DBR。
• 加密/多態病毒需動態調試 (IDA Pro/OllyDbg) 獲取解密後真實代碼。

安全警示

採集過程嚴禁在生產環境操作，必須在隔離測試機/虛擬機進行。樣本存儲需加密壓縮、明確標記、物理隔離，防止誤執行造成二次感染。