takihom0812
   
|
分享:
▲
▼
以前光華商場就補帖流行一陣,以iso檔偷改其標頭!把檔案隱藏..
或市是燒些雜檔,程式就隱藏的...這種片你無法拷背或有一檔超大檔...(一片cdr的容量)
但它給一程式密碼可切換進去..要燒複制要拉出原檔於硬碟後再做..
後來是拐騙..干脆是拿白片賣... 你可能不是吧...應是日片...把切換國家地區就看到!
◎◎◎ 超大檔案還原法 ◎◎◎
▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓
▓2倍燒錄強烈推鑒 Yamaha CDR-200, HP 6020, SONY CDU-926▓
▓4倍燒錄強烈推鑒 TEAC CD-R50S, Yamaha CDR-400 ▓
▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓
這裏所謂的隱藏目錄不是指那種內容為 H 的目錄，而是 DIR /a 看不到，工具程
式也找不到, 但可以用 "CD 目錄名" 進去的目錄。所謂超大檔案則是指檔案大小大得
離譜，甚至超過一片 CD 的大小。這些技巧在坊間補帖業者已盛行多時, 而其製作
方法只是修改 ISO 檔罷了。只要有一份 ISO 9660 的 "Directory record", 就可以知道
該修改什麼地方了。
您可以把 ISO 9660 簡介那份文件抓回去看看，其中 的 table 15 就是本文的 table
1。先看一下，等一下說明。
Table 1. Directory Record
BP
Field Name
Content
1
Length of directory
Record (LEN_DR)
Bytes
2
Extended Attribute
Record Length
Bytes - this field refers to the Extended Attribute Record, which
provides additional information about a file to systems that know how to
use it. Since few systems use it, we will not discuss it here. Refer to ISO
9660:1988 for more information.
3 to
10
Location of Extent
This is the Logical Block Number of the first Logical Block allocated to
the file.
11 to
18
Data Length
Length of the file section in bytes
19 to
25
Recording Date and
Time
This is recorded in the same format as the Volume Creation Date and
Time
26
File Flags
One Byte, each bit of which is a Flag:
Bit
0 File is Hidden if this bit is 1
1 Entry is a Directory if this bit is 1
2 Entry is an Associated file is this bit is 1
3 Information is structured according to the extended attribute
record if this bit is 1
4 Owner, group and permissions are specified in the extended
attribute record if this bit is 1
5 Reserved (0)
6 Reserved (0)
7 File has more than one directory record if this bit is 1
27
File Unit Size
This field is only valid if the file is recorded in interleave mode.
Otherwise this field is (00)
28
Interleave Gap Size
This field is only valid if the file is recorded in interleave mode.
Otherwise this field is (00)
29 to
32
Volume Sequence
Number
The ordinal number of the volume in the Volume Set on which the file
described by the directory record is recorded.
33
Length of File
Identifier (LEN_FI)
Byte
原來在每個目錄或檔案前面都有一段說明或記錄，第幾個 byte 到第幾個 byte 是
記錄什麼都有一定的規定。各位可以在 ISO 檔內找到您要的目錄(檔案)名後，由此
名字往前開始算，第一個 byte 就是上表的第 33 個 byte。同理，倒數第二到第 五個 bytes
就是上表的第 29 到 32 個 bytes 的地方。而所有的數位當然都要用十六進位表 示。
舉個例子來說，我有一個 ISO 檔，裡面有兩個目錄，一個叫 "BASE"，內含一 子目錄
CRACK；另一個叫 "PKZ"。現以目錄 PKZ 為例，您可以用 Norton Utility 的 Diskedit.exe 去找
ASCII 字串: "PKZ"，首先會找到兩個像 這樣的地方: (但這不是我們要的位置)
01 00 00 00 00 14 00 01 00 00 04 00 00 00 00 15
00 01 42 41 53 45 03 00 00 00 00 65 00 01 50 4B
5A 00 05 00 00 00 00 16 00 02 43 52 41 43 4B 00
. . . . . . . . . . . . . . . .
. . BASE . . . . . e . . PK
Z . . . . . . . . . CRACK.
再往下找就會再看到一個像這樣的地方:
00 01 01 01 26 00 15 00 00 00 00 00 00 15 00 08
00 00 00 00 08 00 60 08 0D 0D 10 20 00 02 00 00
01 00 00 01 04 42 41 53 45 00 24 00 65 00 00 00
00 00 00 65 00 08 00 00 00 00 08 00 60 08 0F 02
2C 0E 00 02 00 00 01 00 00 01 03 50 4B 5A 00 00
. . . . &. . . . . . . . . . .
. . . . . . ' . . . . . . . . .
. . . . . BASE . $ . e . . .
. . . e . . . . . . . . . . . .
, . . . . . . . . . . PKZ . .
就是這裡！我們來看看從 "PKZ" 開始，回頭算起的 33 個 bytes。
(就目錄而言其它 ISO 檔應該也是差不多要找三次才是要改的位置，不過讀完本篇
後您就會判斷那個位置才對了。而檔案的話僅找一次就可以到達我們要改的地方。)
24 00 65 00 00 00 00 00 00 65 00 08 00 00 00 00 08 00
60 08 0F 02 2C 0E 00 02 00 00 01 00 00 01 03 50 4B 5A
其中最後的 50 4B 5A 就是目錄名 "PKZ"，倒數第一個 byte 是 03，就是第 33 個 byte
"Length of File Identifier"，在這裡 "PKZ" 一共佔了三個Bytes，所以是 03。 再看看倒數第 15
到 21 個 bytes，也就是表一中第 19 到 25 個 bytes 的位置，這裡是記錄該目錄建立
的日期和時間。其中 60 08 0F 換算成十進位就是 96 08 15 也就是日期是 1996 年 8 月 15
日。再看看開頭第 3 到第 10 個 bytes 的位置: 65 00 00 00 00 00 00 65 ，其實 就是: 65 00 00
00。也就是此目錄在 ISO 檔中所佔的位置的第一個 sector 的 Logical Block Address
。再看看第 11 到第 18 個 bytes ，"Data Length" ，如果是個 檔案 的話，這就是該檔案
的大小 (File size)。如果是個 目錄 的話，則一律是 00 08 00 00 00 00 08 00 ，即 2048
bytes，也就是一個目錄名就要佔了一個 sector。
超大檔案
我們在製造超大檔案時就是改這邊（第 11 到第 18 個 bytes，把游標放在檔名的
第一個字母下，向上按兩次，再向右按 9 次，就是第 11 個 byte 的位置），把它改
成我們要的數位，例如 2 giga bytes，那麼在 dir 那片光碟時就會出現一個 2 giga 的檔
案。這邊您需要一個轉換十進位及十六進位的 Shareware: NUMCONV.EXE 。舉例來
說，要把檔案大小改成 20,000,000 bytes，先轉換成 16 進位，得到 : 1312D00 也就是
01 31 2D 00，那麼第 11 到第 18 個 bytes就要改成 :
00 2D 31 01 01 31 2D 00
或者只改第 11 到第 14 個 bytes 也可以。如下：
00 2D 31 01
如果該檔案是個執行檔，或許還可以執行。也可以 copy 到硬碟，因為 20,000,000也
不算太大。好，現在把它改成 2,000,000,000 換算成為 77359400 ，那麼就改為:
00 94 35 77 77 35 94 00
或：
00 94 35 77
這次不能執行也無法 copy 了。這就成了一個超大檔案，可以用來偽裝。
隱藏目錄
再看看倒數第 8 個 byte (把游標放在目錄名的第一個字母上，向左按 8 次)，也就 是第
26 個 byte : "File Flags"。一個 Byte 是八個 bit ，這八個 bit 每一個都是一個旗標，
記錄這個目錄或檔案的內容。從 0 到 7 的排列是這樣的:
7 6 5 4 3 2 1 0
目前是 02 ，也就是這樣：
0 0 0 0 0 0 1 0
< 0 > < 2 >
即 bit 1 是 1。查表一得知當此 bit 為 1 時是表示這是一個目錄。
Bit 0 是 1 時便給了它一個隱藏內容 (H attribute)。所以如果把它改成 03 ，就會
變成隱藏目錄，但是可以用工具程式或 dir/a 看到。像這樣:
0 0 0 0 0 0 1 1
< 0 > < 3 >
我們要做的是那種用 DIR/A 或工具程式看不到，但是用 "CD 目錄名" 卻又進得去
的那種隱藏目錄。事實上筆者是用 "嘗試錯誤法" (當然沒有燒進 CD，而是用 EASY- CD
MM/PRO FOR WIN3.1 所附的模擬功能，把 ISO 檔模擬成 CD。) 發現從 04 到 07
都可以變成這種隱藏目錄。也就是至少 bit 2 必需是 1。像這樣:
0 0 0 0 0 1 0 0
< 0 > < 4 >
0 0 0 0 0 1 0 1
< 0 > < 5 >
0 0 0 0 0 1 1 0
< 0 > < 6 >
0 0 0 0 0 1 1 1
< 0 > < 7 >
所以要製作這種隱藏目錄就是把這個 byte 改成 04 (or 05~07)。
這裡有幾個 ISO 檔的 範例 (129,415 bytes)，您可以抓回去研究看看。
以下是其說明檔 :
範例說明
這裡有三個 ISO 檔 :
1.NORMAL.ISO : 正常的 ISO 檔，裡面有兩個目錄 : DIR1 及 DIR2 ，以及一個執 行檔 :
VTSCAN.EXE 。
2.BIG_FILE.ISO : 內含一個所謂「超大檔案」。這裡是把 VTSCAN.EXE 的 FILE SIZE
改成 2,000,000,000 bytes，其它正常。
3.HID_DIR.ISO : 把兩個目錄: DIR1 及 DIR2 改為隱藏目錄。用 dir/a 看看，僅看到
一個檔案 VTSCAN.EXE。DIR1 是把第 26 個 byte ，或由目錄名處倒數第 8 個 byte，
即 " file flags " 的部份由 02 改為 04，DIR2 是把 02 改為 05。結果是一樣 的。( 改為 04
到 07 都可以 ) 打 " CD DIR1 " 或 " CD DIR2 " 便可以進去 該目錄。
最好是用 diskedit.exe 自行研究看看，您要燒入光碟我也不反對，但是有點浪費。 (一個
session 會花掉 13.5 mb 在 lead in 、lead out 的部份 ) 還有一個辦法就是用 Easy-CD Pro for
Windows 3.1 的 ISO檔模擬成光碟 的功能。需要 easycd.sys，easysim.com 及 loadcd.exe
等三個檔案，這三個檔案在 Easy-CD Pro for Windows 3 1 才有。
您可以增設一個開機選項，內容像這樣:
CONFIG.SYS 部份:
加上這一行: ( 不要用 DEVICEHIGH )
DEVICE=C:\ECDMM\EASYCD.SYS
去掉其他不必要的東西，例如光碟機驅動程式等。
AUTOEXEC.BAT 部份:
加上這兩行: ( 不要用 LOADHIGH )
C:\DOS\MSCDEX /D:EASYCD01
C:\ECDMM\EASYSIM.COM
去掉其他不必要的東西。
開機後用 ECDMM 目錄下的 LOADCD.EXE 執行:
LOADCD /S:[ ISO 檔 ] , 如 LOADCD /S:C:\NORMAL.ISO
Return code 為 0 就是成功。可以到該模擬 CD 的磁碟機代號裡去看看。
據筆者經驗以及一些朋友的反應，如果使用放在 SCSI 硬碟裡的 ISO 檔去模擬的
話，好像都無法成功。所以請把 ISO 檔存放到 IDE 硬碟再使用以上的模擬功能吧！
超大檔案還原法
首先宣告的是，筆者並非想宣揚盜版的非法軟體，只是想就理論上來探究超大檔
案罷了。
這裡所謂的還原，有兩種情況，一種是完全還原，一種是近似還原。不過在近
似還原之下也可以執行 (如果是執行檔的話。)
要還原超大檔案，如果您不是燒錄族，那麼可以去找一些網友所寫的還原程式， 例如
BIG_DBT.ZIP 、 CUT_HUGE.ZIP 等等，用唯讀光碟機就可以了，但是並不保
證對於所有情況皆可用。如果您是燒錄族，那麼就可以用燒錄器及燒錄軟體，把原 來的
CD 先讀出來，變成 ISO image 檔的狀態，再用 Norton Utility 的 Diskedit.exe 去修 改。以
Easy-CD Pro for win95 為例，選 [Disk Info and Tools] -> [Read Track] 便可把 CD
的資料軌讀出來，存到硬碟上成為一個 ISO image 檔，當然硬碟要有至少 650 MB 的
空間才行。
先用 Diskedit.exe 的 Tools -> Find 的功能，尋找所要的檔案的檔名。假設檔案名是
install.exe 的話，找到之後，再按 TAB 把活動的游標移到右半畫面，放在字母 i 的下
面，往上按兩次，再往右按一次，就是記錄該檔案位址的地方。如果是往上按兩次，
再往右按九次，則是記錄該檔案檔案大小的地方。
接著再依各種狀況說明如下：
1.先找到記錄檔案大小的地方，這裡應該有 8 個 bytes，但是前後 4 個 bytes 正常
狀況是一樣的，只不過是成映射狀排列的，像這樣： ( 舉例而已，各檔案大小
不一定)
00 2E 00 00 00 00 2E 00
不過如果只修改前面 4 個 byte 的話，檔案大小則只隨前面這 4 個 byte 而變。
像這樣：
FF FF FF 10 00 00 2E 00
那麼這個檔案的大小就變成了 16 進位的 10 FF FF FF (前面 4 個 BYTE 的映射)，
也就是十進位的 285,212,671 BYTES 了。如果超大檔是這樣產生的話，就簡單
多了，只要把後 4 個沒改過的 BYTE 變成映射填到前 4 個 BYTE 的位置就可以
了。像這樣：
00 2E 00 00 00 00 2E 00
然後把所有要改的地方改完後，再把 ISO 檔燒成光碟就可以了。或者用前面講 的
ISO 檔模擬功能，模擬成光碟後再 COPY 到硬碟裡去。
2.如果這前後 4 個 BYTE 全改了呢？這時候必須先查出該檔案的位址，換算成十
進位，然後再乘以一個 SECTOR 的大小，即 2048 BYTES，就可以根據這數位
找到該檔案實際在 ISO 檔中所在的地方。例如位址是在 00 00 00 16，換算成十
進位就是 22，也就是位在第 22 個 SECTOR。2048 x 22 == 45056，那麼就往下 找到
OFFSET 45056 的地方就對了。
然後再往下找 (也可以用 TOOLS -> FIND)，找到開始連續都是 00 的地方，
這個地方就是大約檔案尾端的地方了，這是因為光碟每一個 SECTOR 是 2048
BYTES，如果沒用完的話，剩下的就會全補上 00，到下一個 SECTOR 才會再
接續下一個檔案。
不過如果檔案本身尾端就有 00 00 ...，那怎麼辦呢？到那一個 00 才是真正
的檔案終點？這問題其實沒有答案。不過你可以把假設的檔案終點設在這個
SECTOR 的最後一個 BYTE 就可以了，因為比原檔案大小稍微大一點還是可 以用的
(不是嗎？超大檔那麼大都可以執行了！），但是只要比原檔案大小 少一個 BYTE
就完全不能用的。接著用你所決定的檔案終點，減去檔案起始
的位址。以剛才的例子而言，如果終點是在 OFFSET 100,000，那麼 ：
100,000 - 45,056 == 549,44，換算成 16 進位，就是 B3 78 ，那麼再回到記錄
檔案大小的那個位置，填入：
78 B3 00 00 00 00 B3 78
就可以了。不過這並不是精確的原檔案大小。
3.如果連檔案起始位址都改了呢？那就別管它了，因為這種檔案是無法執行的，
應該可以把它叫做垃圾檔。
[ 此文章被takihom0812在2005-04-01 07:17重新編輯 ]
|
