ud.FAT法：把UD扩展区当作fat区

pseudo

如果能把UD扩展区当作fat16/32区分配盘符，用windows资源管理器来访问（即使只读），当然方便。那样小gho文件、散开的外置工具放入ud就方便读取了。
障碍之一，ud扩展区无对应分区表项，或者不是第一个分区表项，windows不会自动分配盘符。
这个好办，pecmd2012就有把盘上某些扇区映射成一个盘的功能。
障碍之二，即使把ud扩展区直接映射成一个分区，这个分区也因无文件分配表（File Allocation Table，FAT），windows资源管理器读不懂它。
在不提供专门的ud文件系统驱动程序、不像udm、multimbr那样对ud做大动作前提下，构造FAT成为关键。

下面是思路，有待实证：
1、fbinsttool格式化ud时，问用户是否为ud扩展区生成FAT，如果“是”，就在ud扩展区写入一个名为ud.FAT（或者一个固定、特定、恰当的其它名字）的适当大小文件。
对于ud而言，ud.FAT只是ud扩展区文件之一，此法只需增加一个文件到ud，ud的结构没大变动。
2、ud.FAT作为ud扩展区第一个文件，占据ud扩展区开头位置，往ud扩展区加入其它文件时，fbinsttool须确保它们总是位于ud.FAT之后。整理ud碎片时，fbinsttool确保ud.FAT保持在ud扩展区开头。
3、整个ud扩展区被当作无分区表项的一个fat16/32分区，ud.FAT占据空间恰好对应分区头部，内容含fat16/32分区的分区引导记录、文件分配表等，ud扩展区其它文件内容占据的空间对应fat16/32分区内相应文件内容占据的空间。ud扩展区其它文件有双重身份：既是普通ud扩展区文件，在ud头部有文件登记信息；又是fat16/32分区普通文件，在fat16/32分区头部即ud.FAT里有文件登记信息。ud.FAT有双重身份：既是普通ud扩展区文件，在ud头部有文件登记信息；又是fat16/32分区头部。
4、往ud扩展区加入其它文件、整理碎片时，ud.FAT内容被相应同步修改。

pseudo

待核实的地方：fat16/32分区的文件结束标志跟ud扩展区文件结束标志一致？

pseudo

构造测试例方法之一：
1、fbinsttool格u盘弄出ud扩展区，放0pe的grldr入ud（非ud扩展区）。
2、找出ud扩展区的起始扇区、大小。按起始扇区、大小建立分区（有正常分区表项）、格为fat32，找出fat32分区头部大小。这步稍难。
3、往ud扩展区放一个名为ud.fat的文件，大小等于fat32分区头部大小（用fbinsttool的“查看mbr"功能检查）。再往ud放入0pe.iso。这步目的是让ud登记ud.fat和0pe.iso。
4、重新格式化fat32分区（上一步放入ud.fat破坏了fat32分区头部，这里重格可以恢复），用diskgenius或资源管理器加入0pe.iso（将与ud的0pe.iso占据相同空间）。这步目的是让fat32分区登记0pe.iso。
测试：
1、u盘启动进0pe，用diskgenius看u盘有无0pe.iso文件，有则成功。
2、清除ud扩展区对应分区表项，u盘启动进0pe，用pecmd2012映射ud扩展区、分配盘符，用资源管理器看到（ud扩展区上的）0pe.iso则成功。

此测试例用来验证可行性。看着复杂，以后做进工具里就简单了：
1、格ud时问是否为ud扩展区生成FAT，回答“是”。
2、往ud拖入两个文件grldr+0pe.iso，还可以拖入其它东西，收工
u启进pe后，自动或手动调用pecmd2012为ud扩展区分配盘符，就可以在资源管理器里看到原ud扩展区的东西了。如果不分配盘符，ud里的东西就看不见。呵呵。

另外，启动时可以用grub4dos映射ud扩展区为(hd0,0)，然后散开放置在ud的linux、普通pe（fbinsttool可以看到setupldr.bin/bootmgr）有望能启动。


我只提供思路，纸上谈兵。

sp_star

P大这个办法和M大的UDm差不多啊！

邪恶海盗

看起来是针对uefi的某种解决方案，太高深了，盗哥前排围观中…

zds1210

不错的方案，最好能搞出UD驱动，就很好了。嗯。
UD区外置加载，UD区PE内核要打包，这都是UD与量产PE最大的区别，搞得大家很头大。如果有这东西出来，就很好
说到UD解决efi启动 问题，UD分区表项、UD三分区、UD可加见fat的efi，都很好的解决了问题。

sp_star

pseudo 发表于 2015-1-23 21:34
构造测试例方法之一：
1、fbinsttool格u盘弄出ud扩展区，放0pe的grldr入ud（非ud扩展区）。
2、找出ud扩 ...

我觉得复杂了，似乎没必要。不必通过ud管理img内部内容，就简单多了。
1. 一个img文件放到扩展区，扩展区没有其他文件。
2. grldr启动首先map这个文件，然后随意.
3. windows/pe用扇区映射访问这个img文件内部的内容。

zds1210

期待P大的好消息。希望一個量產PE，直接放到uD區就能實現內核散開的PE和外置加載，不要做過多的設計。

jianliulin

新版fbinstTool 已经可以把ud中的“分区”文件挂到分区表，也可以随意排列各个分区的顺序，只要“分区”文件是第一个添加的，那它永远不会被碎片整理移动位置。

fbinsttool 早已经实现了P大提出的功能，就是不知道有没有人在用。

sp_star

jianliulin 发表于 2015-1-24 13:56
新版fbinstTool 已经可以把ud中的“分区”文件挂到分区表，也可以随意排列各个分区的顺序，只要“分区”文 ...

挂到分区表就不是深度隐藏了。
我理解P大的意思是不加到分区表，而是通过pecmd2012的扇区映射来访问img内部的内容。这样需要时挂载，平时仍然是深度隐藏的。

jianliulin

只要把分区格式的文件丢到ud，就是深度隐藏了

zds1210

jianliulin 发表于 2015-1-24 13:56
新版fbinstTool 已经可以把ud中的“分区”文件挂到分区表，也可以随意排列各个分区的顺序，只要“分区”文 ...

现在UD三分区法，感觉efi兼容性强一些，J大为什么不更新fbinstool支持一下？

mdyblog

jianliulin 发表于 2015-1-24 13:56
新版fbinstTool 已经可以把ud中的“分区”文件挂到分区表，也可以随意排列各个分区的顺序，只要“分区”文 ...

前面J大回复说不会C， 所以 fbinst.exe没有同步更新。
能麻烦提供一些 怎么找到这个 EFI-IMG 的位置和大小的 说明。
没  “挂到分区表”， 怎么找？
挂载了，怎么找？
“挂到分区表” 与否 有什么标志？

就是 是否映射 “挂到分区表”， 都能找到  “EFI-IMG 的位置和大小”。

我来给大家 写个小程序，在PE中挂在这个IMG， 大家就有口福了，

sp_star

其实挂载的方法已经有了，只是大家可能没注意：
http://bbs.wuyou.net/forum.php?m ... p;extra=&page=1
还有最后的小程序。都是根据img文件的文件名查找。

最好ud能稍作修改，将分区信息写到固定扇区，pecmd直接读取就可以挂载了，这样就不用小程序了。也不依赖文件名。

jianliulin

mdyblog 发表于 2015-1-25 07:44
前面J大回复说不会C， 所以 fbinst.exe没有同步更新。
能麻烦提供一些 怎么找到这个 EFI-IMG 的位置和 ...

ud的文件列表是以一个个保存着文件信息(大小、名称等）结构体排列组成，以下是结构体的声明，

struct fbm_file
{
    uchar size; 记录着当前是结构体的大小（含name），当size等于0则表示到了文件列表的结尾。
    uchar flag;0:可能是主分区文件，也可能是扩展分区文件。 1:为普通的扩展分区文件。  4:已经映射为mbr的第一个分区。  8:已经映射为mbr的第二个分区。  16:已经映射为mbr第三个分区。  32:已经映射为mbr第四个分区
    uchar4 data_start; 文件的起始扇区。
    uchar4 data_size; 文件的大小（字节数），不能超过4G
    time_t data_time; 文件的修改日期，unixdate 格式
    char name[0]; 文件名，原来fbinst.exe 是以ansi编码，目前fbinsttool 是utf-8编码。
} PACK;


ud从第69扇区开始是文件件列表，最大896为个扇区，binsttool 默认也是设置为896个扇区。每个扇区最后2个字节是fbinst内部使用，所以读取文件列表时候要剔除这2个字符。

当文件挂在到mbr时候，flag 会是 4 ，8, 16, 32 这几个数字之一，如果是1则是没有挂载，fbt判断一个文件是否是分区文件的方法是判断文件第一个扇区的第一字符是否是
0xEB 这个跳转符号，最后两个字节是否是0xAA55 ，文件大小是否大于30M。


另外：
要是能在pecmd中添加，通过文件名就能直接把ud中的文件读取到内存里面执行，不需要目前先用fbinst.exe导出到临时目录，再执行。mdyblog老大，你干这事你是天然的人选，
pe可以没有fbinst.exe 但绝对不可能没有pecmd.exe

邪恶海盗

jianliulin 发表于 2015-1-25 12:25
ud的文件列表是以一个个保存着文件信息(大小、名称等）结构体排列组成，以下是结构体的声明，

str ...

都是高手啊，说实话，fbinsttool使u盘启动的制作和修改方便了不少，自从用过fbinsttool以后我就没用其他软件写u盘pe了

mdyblog

jianliulin 发表于 2015-1-25 12:25
ud的文件列表是以一个个保存着文件信息(大小、名称等）结构体排列组成，以下是结构体的声明，

str ...

>>char name[0]; 文件名，原来fbinst.exe 是以ansi编码，目前fbinsttool 是utf-8编码。
请问， 是什么编码， 是否什么地方存放了标志。  免得搞错了。

jianliulin

没有标志，建议用utf-8，

mdyblog

jianliulin 发表于 2015-1-25 12:25
ud的文件列表是以一个个保存着文件信息(大小、名称等）结构体排列组成，以下是结构体的声明，

str ...

》》当文件挂在到mbr时候，flag 会是 4 ，8, 16, 32 这几个数字之一
此时， 已经在分区表中了， 不需要另外在挂载了。


》》
flag 如果是1则是没有挂载，也就是没有这样一种  “带标标深度隐藏状态”：  文件挂在到mbr， 大是有标识， 说这个 就是 需要映射的 文件，
建议加个， 65～127 为 文件的分区序号， 65为第一分区，66为第二分区。。。 127为第63分区可以是ISO（虽然不能作EFI，但可以作为外置）。

现在没有标识， 所以也无法挂载了。
至于通过内容判断，  对windows挂载  帮助不大。
很多 IMG 有这种内容，  但并不需要挂载。
而 最重要的  外置的IMG（不是EFI-IMG）， 不一定有这个内容标志 （没有也是合法的）。  
还有ISO,  压根没有这个内容，前面都0x00.



---下面是 取消分区映射后 的数据
0x13 0x00 0xC4 0x03 0x00 0x00 0x13 0x00 0x00 0x00 0x54 0x90 0xC4 0x54 0x66 0x62
0x2E 0x63 0x66 0x67 0x00 0x13 0x00 0xC5 0x03 0x00 0x00 0x00 0x02 0x00 0x00 0x54
0x90 0xC4 0x54 0x6D 0x62 0x72 0x2E 0x70 0x74 0x00
0x14 0x01   0x00 0x40 0x00 0x00   0x00 0x00 0xF0 0x7F 0x6C 0x90 0xC4 0x54 0x65 0x66 0x69 0x2E 0x69 0x6D 0x67 0x00       0x00
---- ----   -------------------   -------------------
flag=0x01

pseudo

@jianliulin
分区表项法分配盘符例如U:后，windows资源管理器能从U:盘看到(ud)/efi.img里包含的内容，例如看到U:\EFI\boot\bootx64.efi。

但这里不同。

这里为整个ud扩展区分配盘符，例如U:，然后，windows资源管理器能从U:盘看到ud扩展区内所有文件（除ud.fat之外），例如看到U:\efi.img。
即ud扩展区内所有目录、文件（除ud.fat外），既能被fbinsttool看到，也能被windows资源管理器直接（不经fbinst、pecmd）看到。

这样，你可以把整个外置工具petools目录用fbinsttool拖入ud，然后在pe里分配盘符，然后windows资源管理器就能直接看到、运行petools目录下的所有外置工具。

至于ud扩展区（上述U:盘对应的fat分区）在分区表中的登记信息，可以让它在分区表中显式存在，好处之一是可以直接支持uefi启动——8pe散开放入ud也100%支持uefi启动了；
也可以抹去，达到深藏目的，那样ud架构完全不受影响，代价只是增加一个ud.fat文件并维护之。

在windows看来，U:盘---->fat分区(ud扩展区)=分区头部+其它文件+(u:盘的)剩余空间
在fbinsttool看来，                         ud扩展区=ud.fat     +其它文件+(ud扩展区的)剩余空间

mdyblog

jianliulin 发表于 2015-1-25 12:25
ud的文件列表是以一个个保存着文件信息(大小、名称等）结构体排列组成，以下是结构体的声明，

str ...

那个MBR.pt
干什么的？
能用来存放 用户数据吗？

jianliulin

mdyblog 发表于 2015-1-25 15:17
那个MBR.pt
干什么的？
能用来存放 用户数据吗？

是0扇区的内容，错误强行格式化时候的后悔药，可以随意删除

mdyblog

jianliulin 发表于 2015-1-25 12:25
ud的文件列表是以一个个保存着文件信息(大小、名称等）结构体排列组成，以下是结构体的声明，

str ...

》》
另外：
要是能在pecmd中添加，通过文件名就能直接把ud中的文件读取到内存里面执行，不需要目前先用fbinst.exe导出到临时目录，再执行。
--------------
对单个普通执行文件，PECMD 倒是可以 用 幽灵模式 EXEC. 不需要 临时文件，直接在内存中运行。比如 CALC.EXE

但是对 特别文件， 日那个WINRAR自解压文件， 程序运行后 要找 自己的宿主 文件，寻找待解压 数据。   
有些 被特别压缩国的文件，也不能 幽灵模式 EXEC。 会失败的。



有些 程序 内部重定位符号被 清除了， 无法在内存中展开，故也不能  幽灵模式 EXEC。  


还有的程序需要数据的。 可能数据是大头。

还有的程序是许多个文件， 如QQ， word。

mdyblog

jianliulin 发表于 2015-1-25 12:25
ud的文件列表是以一个个保存着文件信息(大小、名称等）结构体排列组成，以下是结构体的声明，

str ...

弄出来了。

MAPUP挂载UD外置

支持深度隐藏

文件： MAPUD.WCS  （MAPUP挂载UD外置.zip 中）

下面说说深度隐藏的制作和PE中的挂载。

方案用法

1） UD 格式化盘

2） 右键，创建EFI.IMG（名称随意）

3） 如果需要， 右键，创建外置EXT.IMG（名称随意）

4） 还可创建其它，可以创建4个。  后面放入其它普通文件。

5） 在EFI.IMG 上右键，【隐射UFI分区】

6） 如果需要，其他IMG也是【隐射UFI分区】

7） PECMD part -gui ， 手动改变上面隐射的分区的分区类型为0。就变成深度隐藏的了。如果不会，直接删除也可以。效果如图：

8） PECMD.INI 中:  LOAD MAPUD.WCS  *

9） 如果要恢复分区，可见，直接将分区类型改为0x1E/0x1B/0x0E/0x0B/0x16/0x06均可。

手动执行，效果如图：

可以直接 添加/维护文件。 也可以重新格式化。

MAPUP.WCS用法：

PECMD LOAD  MAPUP.WCS   [-w]   磁盘文件件名或磁盘号或*

-w:可写

*查询全部磁盘并加载

磁盘号为 0~N

磁盘文件件名为 \\.\PhysicalDrive0~N

jianliulin

这是已经map的情况，能否添加根据ud文件文件名来挂在

sp_star

mdyblog 发表于 2015-1-25 18:02
弄出来了。
MAPUP挂载UD外置支持深度隐藏
文件： MAPUD.WCS  （MAPUP挂载UD外置.zip 中）

占用分区表的方式依赖fbinsttool的操作，感觉还是查找文件名的方式比较好，这样也不用占用分区表。
比如扩展一下命令：
MOUN -ud -w TEST.IMG Z:

jianliulin

pseudo 发表于 2015-1-25 15:08
@jianliulin
分区表项法分配盘符例如U:后，windows资源管理器能从U:盘看到(ud)/efi.img里包含的内容，例如 ...

我还是不太明白，实现你说的功能是不是要一个ud的windows驱动？？

mdyblog

jianliulin 发表于 2015-1-25 18:27
这是已经map的情况，能否添加根据ud文件文件名来挂在

1：
这里 实际没有map。
因为  已经用分区软件从分区表中清除掉了。

用FBT隐射一下， 只是做个标记而已， 标识这个文件，  在PE启动时需要  加载到盘符。
做了标识后， 再 用分区软件 从分区表中清除掉了。
从实现 深度隐藏。---- 参见上面的分表， 分区表中只有一个 用户区。
如图： 分区表中，只有用户区 的分区表。




2： 我认为， 对PE启动来时， 这个才是适用的。
      这样就不用指定文件名了，而实现全自动的。 UD盘甚至好了就可以了。
      PE自动加载。



3：
至于根据文件加载， 早就实现了，PECMD的下载包中就有。
这个需要 固定文件名特征， 指定特征文件名的文件被自动加载。

mdyblog

sp_star 发表于 2015-1-25 19:30
占用分区表的方式依赖fbinsttool的操作，感觉还是查找文件名的方式比较好，这样也不用占用分区表。
比如 ...

不占用分区表的， 只是在文件的flag中做了个标记。
是 深度隐藏的。

加载的时候， 也是 不需要 分区表界入的。如图： 分区表中，只有用户区 的分区表。


》》依赖fbinsttool
除了格式化，拖入文件IMG外的文件。
其实 不以来 FBT了。
一切 都可以小软件搞定。 包括 打上标记， 清除标记， 软加载，硬加载。


只是 有现成的FBT，为什么还有再去造个功能一样的轮子呢。


做目前没有的功能——启动时的自动加载。

mdyblog

jianliulin 发表于 2015-1-25 21:53
我还是不太明白，实现你说的功能是不是要一个ud的windows驱动？？

》》我还是不太明白，实现你说的功能是不是要一个ud的windows驱动？？
不是的。
是要对FBT这个软件进行深度的 改造， 使得 FBT支持标准文件系统——这样windows就能认。
差不多UD变成简化的UDm了（同是又完全兼容UD）。
目前还只是P大的一个构思。