看雪的转发,BOOTKIT样本分析，国外的很不错。

鬼影感染mbr核心代码 ，仅供学习使用

采用感染VBR的技术进行自启动，在文件系统中并不产生任何文件，因此也不需要进行隐藏进程、隐藏驱动等工作，在实战工作中更好的保护自已不被发现。我们采用HTTP的方式将用户的木马主体文件下载下来并运行(下载至内存并运行)，这样用户只需要专注于木马的功能性，而不用考虑木马的隐藏性、持久性。

鬼影感染MBR的源代码，一般的电脑病毒是Windows系统下的应用程序，在Windows加载之后才运行。而"鬼影"病毒的主要代码是寄生在硬盘的主引导记录(MBR),在电脑启动过程中先于系统核心程序直接加载到电脑内存中运行。对于已经寄生于MBR中的病毒，安全软件无法进行拦截。因病毒比安全软件的启动还要早。

用来修复Windows系统的MBR引导项工具，安装双系统时方便实用。 一种情况：在win7下，当输入命令：MbrFix /drive 0 fixmbr /yes 然后按回车键,如果出现“Function failed.Error 5.拒绝访问”，此时，找到MbrFix.exe,右击“属性”，出现属性对话框，切换到“兼容性”选项卡，将“以管理员身份运行此程序”勾起来。然后重新输入MbrFix /drive 0 fixmbr /yes按回车键。