计算机病毒近年相似,ON GLOBAL STABILITY OF A NONRESIDENT COMPUTER VIRUS MODEL

typedef struct{BYTE NoUsed[11];//为了后面好编程，保留这个Bytes,分别是跳转指令和OEM代号WORD BPBBytesPerSector;//0x0B 每扇区字节数BYTE BPBSectorsPerClusters;   //0x0D 每簇扇区数BYTE BPBUnused1[2];            //0x0E 保留扇区数BYTE BPBUnused2[3];         //0x10 总为BYTE BPBUnused3[2];         //0x13 未用BYTE BPBMedia;//0x15 介质描述符BYTE BPBUnused4[2];//0x16 未用WORD BPBSectorPerTruck;//0x18 每磁道扇区数WORD BPBNumberOfHeads;//0x1A 磁头数DWORD BPBHideSector;//0x1C 隐藏扇区BYTE BPBUnused5[4];//0x20 保留BYTE BPBUnused6[4];//0x24 每FAT扇区数DWORD64 BPBTotalSector;//0x28  扇区总数DWORD64 BPBMFTStartCluster;//0x30   $MFT 起始簇号DWORD64 BPBMFTMirStartCluster;//0x38 $MFTMir 起始簇号BYTE BPBFileSize;//0x40文件记录的大小描述BYTE BPBUnused7[3];//0x41 未用BYTE BPBIndexBufferSize;//0x44 索引缓冲区大小描述BYTE BPBUnused8[3];              //45 未用BYTE BPBVolumeName[8];//0x48 卷序列号BYTE BPBCheckSum[4];//0x52 校验和 }NTFSBPB,*PNTFSBPB;NTFS的MFT文件记录头结构体如下：typedef struct{char MFTHSignature[4];   //0x00 MFT标志,一定是"FILE"WORD MFTHUSNOffset;       //0x04 USN偏移WORD MFTHUSNSize;    //0x06 USN大小与数组LONGLONG MFTHLSN;                //0x08 LSNWORD MFTHSequenceNumber;//0x10 序列号 用于记录主文件表记录被重复使用的次数WORD MFTHHardLinkCount;//0x12 硬链接数，有多少个目录指向该文件WORD MFTHFirstAttributeOffset;   //0x14  第一个属性的偏移地址WORD MFTHFlags;//0x16 标志00文件被删除;01文件正在使用 02目录被删除  03目录正在使用DWORD MFTHRealRecSize;   //0x18  文件记录的实际长度DWORD MFTHAllocatedRecSize;//0x1C  文件记录的分配长度LONGLONG MFTHBasicFileRec;    //0x20  基本文件记录中的文件索引号WORD MFTHNextAttributeID;//0x28  下一个属性IDWORD MFTHBoundary;       //0x2A  边界DWORD MFTHReferenceNumber;//0x2C  文件记录参考号WORD       MFTHUSN;                //0x30  更新序列号BYTE       MFTHUSA[4];                //0x32  更新数组 }NTFSMFTFILERECHEAD,*PNTFSMFTFILERECHEAD;用于构建文件目录树的结构体如下：文件链表 struct NTFSFILELINK{DWORD64 MFTReferenceNumber;  //文件记录参考号DWORD64 MFTParentReferenceNumber; //父目录文件参考号，使用的时候要注意，只有前个字节是父目录的参考号//可以学着先和xFFFFFFFFFFFF相与，然后再右移位WORD FileFlag; //标志,和MFT中定义的一样,00删除文件,02被删除目录WORD FileName[255];//文件名WORD FileExtend[3];//扩展名DWORD64 FileSize;//文件实际大小DWORD64 AllFileSize; //文件分配大小DWORD64 FileCreateTime;//文件创建时间DWORD64 FileModifyTime;//修改时间NTFSFILELINK *subDir;//子目录指针NTFSFILELINK *Next;//下一个节点指针 };//NTFS 文件记录属性，如果是常驻，则RESIDENT，否则NONRESIDENT typedef struct   {DWORD AttibuteType;//0x00  属性类型DWORD ThisAttributeSize;//0x04  本属性的长度BYTE IfResident;//0x08 是否为常驻BYTE AttributeNameLength;//0x09  属性名长度WORD AttributeNameOffset;//0x0A  属性名的开始偏移WORD AttributeFlags;//0x0C  标志WORD AttributeID; //0x0E  属性ID//这里使用联合,sizeof是以最大的为准,如果是小的赋了最大值,后面的忽略就好了union ATTR{//常驻struct RESIDENT{DWORD AttributeVolumeLength; //0x10  属性体的长度WORD AttributeVolumeOffset;  //0x14  属性体的开始偏移BYTE IndexFlags; //0x16  索引标志BYTE Padding;  //0x17 填充无意义} Resident;//非常驻struct NONRESIDENT{DWORD64 StartVCN;  //0x10 属性体的起始虚拟簇号(VCN)DWORD64 EndVCN; //0x18  属性体的结束虚拟簇号WORD DatarunOffset; //0x20  Data List偏移地址WORD CompressionSize; //0x22  压缩单位大小BYTE Padding[4]; //0x24  无意义DWORD64 AllocSize;//0x28  属性体的分配大小DWORD64 RealSize; //0x30  属性体的实际大小DWORD64 StreamSize;//0x38  属性体的初始大小// data runs...}NonResident;}Attr; } NTFSFILERECATTRIBUTE,*PNTFSFILERECATTRIBUTE;