比原链mov是什么意思，117什么意思

一、各种后缀名代表什么意思

解说常见文件名后缀大全！

编者按：

你对Windows里面各个面孔的文件名后缀熟悉吗？是不是有点糊涂呀，不要紧，我们在本文中将为你对常用的文件名后缀进行一一解说！

什么是文件名后缀

说起来Windows工作界面下的文件名简直是随心所欲，比如：某编辑部的2000年工作计划。文件名即可用中文直接表达，而且长度最长可达256个字符，让人看起来真是一目了然。然而在Windows环境中，安装的软件中却大量存在着类似CALENDAR.EXE、GAMES.GRP等等的文件名，这又是为什么呢？原来这些文件名都是根据DOS环境的文件名命名规则而定的。

DOS环境下的文件名

在DOS下，文件名采用8＋3结构，即：最长8位的文件名，由小数点分隔后再跟上最长3位的后缀名，如：READ.ME、SETUP.EXE，一般情况下文件名不允许使用汉字，只能由字母、数字和一些符号组成。如READ.ME用中文理解就是"读我"，即提示用户在使用软件前先看看这个文件的内容，以获取更多的提示信息。而更重要的是，DOS下规定用后缀名来区分各种不同的文件。

在DOS下最容易遇到的首先是可执行文件，后缀名有两类：*.exe、*.com（此处的*表示文件名任意），它们是由汇编语言或其它高级语言编出的程序经过编译后直接在DOS下运行的文件。有时由于软件功能多、内存偏小，不能一次性全部调入内存还可能有同文件名的ovl文件，如ws.exe、ws.ovl。另外还有一种文件可以直接运行，*.bat,即批处理文件，其中有许多命令或可执行文件名，主要用于提高工作效率，其中最有用的是Autoexec.bat，这个文件在开机时会被自动执行（自动执行在英文中就是Automaticallyexecute）。而另外一种可以加载但不能直接运行的文件即是系统扩展管理文件*.sys（sys即系统system），它主要提供某些非标准设备如鼠标、扩充内存等的驱动程序，如mouse.sys、himem.sys。为了统一管理还专门规定了一个config.sys的文本文件来一次性地在开机时自动调入这些必需的设备驱动程序，这些文件一旦被误删或换名或被病毒侵袭则将直接导致系统工作不正常。

DOS下字处理产生的文件原本是可以不用后缀的，但人们常用*.txt表示（txt即文本text）。被所有的平台和所有应用程序支持。而为了管理方便，人们也可以用自己的名字做后缀来表示是自己建的文本文件，如我输入的很多文章即为*.mcj，为了便于用户在意外删掉原文件的情况下能尽快恢复原文件，许多字处理系统都提供了一种自动备份的功能，如我第二次编辑JIHUA.MCJ时（JIHUA:计划的汉语拼音），系统会先拷贝一份原文件为JIHUA.BAK。使用具有特殊格式功能的字处理软件，如求伯君先生早年推出的WPS，就会规定其后缀为.wps，用以标识是用WPS生成的文本文件。当使用字处理软件编辑高级语言程序时，后缀通常为相应语言的前三个字母（如：*.BAS即BASIC语言源程序，*.PAS为PASCAL语言程序，*.FOR为Fortran语言程序，*.C即为C语言，*.ASM即为汇编语言程序）。

伴随着可执行文件常附有以下几类文件：*.HLP即帮助文件(help)、*.CFG即配置文件(config)、*.DAT即数据文件(data)、*.LOG即日志文件(log)、*.TMP为临时文件(temporal)。

Windows环境下的文件名

绝大多数DOS文件名后缀在Windows下继续有效，但Windows本身也引出了许多种崭新的后缀名，如：*.drv为设备驱动程序(Driver)、*.fon和*.fot都是字库文件、*.grp为分组文件(Group)、*.ini为初始化信息文件(Initiation)、*.pif为DOS环境下的可执行文件在Windows下执行时所需要的文件格式、*.crd即卡片文件(Card)、*.rec即记录器宏文件(Record)、*.wri即文本文件(Write)，它是字处理write.exe生成的文件、*.doc和*.rtf也是文本文件(Document)，它们是Word产生的文件、*.cal为日历文件、*.clp是剪贴板中的文件格式、*.htm和*.html即主页文件、*.par为交换文件、*.pwl为口令文件(Password)等等。

图像文件名后缀

进入多媒体世界后，大家会看到各种各样精彩的图片，会发现许多种后缀名。的确，由于各个公司在开发图形有关的软件时都自制标准，导致今日在图形方面有太多的格式，以下就是常见的几种格式：

首先是一种位图文件格式，它是一组点（像素）组成的图像，它们由图像程序生成或在扫描图像时创建。主要有Windows位图（.BMP）：由Microsoft公司开发，它被Windows和WindowsNT平台及许多应用程序支持。支持32位颜色，用于为Windows界面创建图标的资源文件格式，光标（.CUR、.DLL、.EXE）：资源文件格式，用于创建Windows界面的光标。OS/2位图（.BMP）：Microsoft公司和IBM开发的位图文件格式。它为各种操作系统和应用程序所支持。支持压缩，最大的图像像素为64000×64000。画笔(.PCX)：由Zsoft公司推出，它对图像数据也进行了压缩，可由PCX生成。用于Windows的画笔。支持24位颜色，最大图像像素是64000×64000。支持压缩。图形交换格式:

GraphicsInterchageFormat（.GIF）：由CompuServe创建，它能以任意大小支持图画，通过压缩可节省存储空间，还能将多幅图画存在一个文件中。支持256色，最大图像像素是64000×64000。

KodakPhotoCD(.PCD)：EastmanKodak所开发的位图文件格式，被所有的平台所支持，PCD支持24位颜色，最大的图像像素是2048×3072，用于在CD－ROM上保存照片。

Adobe Photoshop(.PSD)：AdobePhotoshop的位图文件格式，被Macintosh和MSWindows平台所支持，最大的图像像素是30000×30000，支持压缩，广泛用于商业艺术。

Macintosh绘画（.MAC）：Apple公司所开发的位图文件格式。被Macintosh平台所支持，仅支持单色原图，最大图像像素是576×720。支持压缩，主要用于在Macintosh图形应用程序中保存黑白图形和剪贴画片。

BMP：Windows系统下的标准位图格式，使用很普遍。其结构简单，未经过压缩，一般图像文件会比较大。它最大的好处就是能被大多数软件“接受”，可称为通用格式。

JPEG：也是应用最广泛的图片格式之一，它采用一种特殊的有损压缩算法，将不易被人眼察觉的图像颜色删除，从而达到较大的压缩比(可达到2:1甚至40:1)，所以“身材娇小，容貌姣好”，特别受网络青睐。

GIF：分为静态GIF和动画GIF两种，支持透明背景图像，适用于多种操作系统，“体型”很小，网上很多小动画都是GIF格式。其实GIF是将多幅图像保存为一个图像文件，从而形成动画,所以归根到底GIF仍然是图片文件格式。

PSD：图像处理软件“大哥大”Photoshop的专用图像格式，图像文件一般较大。

PCX：ZSOFT公司在开发图像处理软件Paintbrush时开发的一种格式，存储格式从1位到24位。它是经过压缩的格式，占用磁盘空间较少，并具有压缩及全彩色的优点。

PNG：与JPG格式类似,网页中有很多图片都是这种格式，压缩比高于GIF，支持图像透明，可以利用Alpha通道调节图像的透明度。

DXF：三维模型设计软件AutoCAD的专用格式，文件小，所绘制的图形尺寸、角度等数据十分准确，是建筑设计的首选。

CDR：著名的图形设计软件——CorelDRAW的专用格式，属于矢量图像，最大的优点“体重”很轻，便于再处理。

动画文件的后缀名

动画文件格式用于保存包含动画框架中的图形信息。主要有：AutodeskFLIC(.FLC)：即.FLI，AutodeskAnimator和AnimatorPro的动画文件格式。支持256色，最大的图像像素是64000×64000，支持压缩。广泛用于动画图形中的动画序列、计算机辅助设计和计算机游戏应用程序。不大适合制作真实世界图像动画。

MacPICTS(.PCS，.PIC)：Macromedia开发的动画文件格式，为Macintosh应用程序使用。支持256色，支持压缩，用于保存动画数据，是QuickTime的前身。

Microsoft资源互换文件格式，TIFF（.AVD）：Microsoft公司开发的动画文件格式，被Windows、Windows

NT平台和OS/2多媒体应用程序所支持，支持256色和压缩，用于在多媒体应用程序中保存音频、视频和图形信息。

MPEG（.MPEG）：国际标准化组织的运动图像专家小组开发的动画文件格式。被所有平台和XingTechnologies

MPEG播放器及其它应用程序所支持，支持压缩，最大图像像素是4095×4094×30帧/每秒。用于编码音频、视频、文本和图形数据。

QuickTime(.QTM)：Apple计算机公司开发的动画文件格式。被AppleMacintosh和Microsoft

Windows平台所支持，支持25位颜色，最大图像像素是64000×64000，支持压缩，用于保存音频和运动视频信息。

声音文件的后缀名

声音文件格式是用于保存数字音频信息的。它们主要有：

AIFF（.AIF）：这是Apple计算机公司开发的声音文件格式，被Macintosh平台和应用程序所支持。支持压缩。

Amiga声音(.SVX)：Commodore所开发的声音文件格式，被Amiga平台和应用程序所支持，不支持压缩。

MAC声音(.SND)：Apple计算机公司开发的声音文件格式，被Macintosh平台和多种Macintosh应用程序所支持，支持某些压缩。

MIDI（.MID）：国际MIDI协会开发的声音文件格式，被Windows平台和许多应用程序所支持，用于为乐器创建数字声音。

声霸(.VOC)：CreativeLabs公司开发的声音文件格式，被Windows和DOS平台所支持，支持压缩。

WAVE（.WAV）：微软公司用作Windows平台上保存音频信息的资源格式。

压缩文件的后缀名

为了提高存储效率，许多公司都推出了压缩数据的方法和相应的软件，这类文件的使用主要通过压包和解包软件来进行，主要的后缀有：*.zip、*.arj、*.rar、*.lzh、*.jar。还有一些专用的压缩文件，如：*.ex_、*.dl_、*.d3_、*.cab等。

数据库类文件的后缀名

在Dbase、FoxBase、Foxpro系列软件的环境下有以下几类后缀：

.dbf数据库文件(databasefile).prg命令文件(即程序Program)

.fxp编译后的程序.scx和.sct屏幕文件

.fpt备注字段文件.frx和.frt报表文件

.cbx和.pjt标签文件.mnx和.mnt菜单文件

.pjx和.pjt工程文件.app应用文件

.cdx和.idx索引文件.qpr和.qpxSQL查询文件

.fp配置文件.ap生成应用

.err编译错误文件.men内存应用

.fky键宏文件.win窗口文件

.pcb库文件.tmp临时文件

.tbk临时数据库文件

可安全删除的文件类型

临时文件：*.tmp,*.syd,*.$$$,*.@@@,*._mp,*.gid,*.~*,*.gts

备份文件：*.bak,*.old,*.wbk,*.xlk,*.ckr_

帮助文件：*.hlp、*.chm、*.cnt

后记

用户要注意在不同的操作系统下，后缀名的约定会有所不同，如在Unix下，*.p代表Pascal语言程序，*.z代表压缩文件，*.tar代表归档文件。另外，针对极特殊的设备，其驱动程序也会有特殊的后缀，如3DS显示卡的驱动程序是*.exp。还有某些公司针对自己的产品也规定了文件名后缀，如方正公司的图像排版文件规定用*.grh(即Graph)。

文件名的后缀代表着某一种类型的文件，一般会由某一种特定的软件产生和处理。只有对这些后缀名的知识有一定的了解，才能在上机的过程中知道其所以然。这儿带着大家看到了常见的一些后缀类型，实际上还有很多类型，不可能全部讲完。常言说，师傅领进门，修行在个人，以后大家在计算机世界中自己转着看吧。

常见的文件后缀名

ACA Microsoft的代理使用的角色文档

acf系统管理配置

acm音频压缩管理驱动程序,为Windows系统提供各种声音格式的编码和解码功能

aif声音文件，支持压缩，可以使用WindowsMediaPlayer和QuickTimePlayer播放

AIF音频文件，使用WindowsMediaPlayer播放

AIFC音频文件，使用WindowsMediaPlayer播放

AIFF音频文件，使用WindowsMediaPlayer播放

ani动画光标文件扩展名，例如动画沙漏。

ans ASCII字符图形动画文件

arc一种较早的压缩文件，可以使用WinZip,WinRAR,PKARC等软件打开

arj压缩文件。可以使用WinZip,WinRAR,PKARC等软件打开

asf微软的媒体播放器支持的视频流，可以使用WindowsMediaPlayer播放

asp微软的视频流文件，可以使用WindowsMediaPlayer打开

asp微软提出的ActiveServerPage,是服务器端脚本，常用于大型网站开发，支持数据库连接，类似PHP。可以使用VisualInterDev编写，是目前的大热门

asx WindowsMedia媒体文件的快捷方式

au是Internet中常用的声音文件格式，多由Sun工作站创建，可使用软件WaveformHoldandModify播放。NetscapeNavigator中的LiveAudio也可以播放.au文件

avi一种使用MicrosoftRIFF规范的Windows多媒体文件格式，用于存储声音和移动的图片

bak备份文件，一般是被自动或是通过命令创建的辅助文件，它包含某个文件的最近一个版本，并且具有于该文件相同的文件名

bas Basic语言源程序文件，可编译成可执行文件,目前使用Basic开发系统的是VisualBasic

bat批处理文件，在MS-DOS中，.bat文件是可执行文件，有一系列命令构成，其中可以包含对其他程序的调用

bbs电子告示板系统文章信息文件

bfc Windows的公文包文件

bin二进制文件，其用途依系统或应用而定

bmp Bitmap位图文件，这是微软公司开发Paint的自身格式，可以被多种Windows和WindowsNT平台及许多应用程序支持，支持32位颜色，用于为Windows界面创建图标的资源文件格式。

c C语言源程序文件，在C语言编译程序下编译使用

cab Microsoft制订的压缩包格式，常用于软件的安装程序，使用Windows自带的实用程序，Extract.exe可以对其解压缩，WinZip,WinRAR等都支持这种格式

cal Windows中的日历文件

cdf InternetExplorer的频道文件

cdr CorelDraw中的一种图形文件格式，它是所有CorelDraw应用程序中均能够使用的一种图形图像文件格式

cdx索引文件，存在于Dbase,Foxbase,Foxpro系统软件环境下

cfc配置文件，系统或应用软件用于进行配置自己功能，特性的文件

chm编译过后的HTML文件，常用于制作帮助文件和电子文档

clp在Windows下剪贴板中的文件格式

cmd用于WindowsNT/2000的批处理文件，其实与BAT文件功能相同，只是为了与DOS/Windows9x下的BAT有所区别

cmf声卡标准的音乐文件，FM合成器等可以回放

cnf NetMeetting会议连接文件

cnt联机帮助文件目录索引文件，通常和同名的.hlp文件一起保存

col由AutodeskAnimator,AutodeskAnimatorPor等程序创建的一种调色板文件格式，其中存储的是调色板中各种项目的RGB值

com DOS可执行命令文件，一般小于64KB

cpl控制面板扩展文件，Windows操作系统使用

cpp C++语言源程序，非常强大的语言，在各种平台中都有相应的开发系统

crd Windows中的卡片文件

crt用于安全方面的证书认证文件

cur Windows下的光标资源文件格式，可用光标编辑软件编辑

css Text/css文件

dat数据文件，在应用程序中使用

dat VCD中的图象声音文件，VCD播放软件可调用，或是通过VCD机播放

dbf数据库文件，Foxbase,Dbase,VisualFoxPro,等数据库处理系统所产生的数据库文件

dcx传真浏览文档文件

ddi映象文件，DUP,HD,IMG等工具可展开

dev设备驱动程序

dib设备无关位图文件，这是一种文件格式，其目的是为了保证用某个应用程序创建的位图图形可以被其它应用程序装载或显示一样

dir目录文件

dll Windows动态连接库，几乎无处不在，但有时由于不同版本DLL冲突会造成败各种各样的问踢

doc是目前市场占有率最高的办公室软件MicrosoftOffice中的字处理软件Word创建的文档

dos Windows保留的MS-DOS的某些系统文件

dot MicrosoftWord的文档模板文件，通过模板可以简化一些常用格式文档的创建工作,而且可以内嵌VBA程序来实现某些自动化功能

drv设备驱动程序文件，用在各种系统中

dwg AutoCAD的图纸文件，也是许多绘图软件都支持的格式，常用于共享数据

dxb AutoCAD创建的一中图形文件格式

dxf图形交换格式，一种计算机辅助设计的文件格式，最初开发用来与AutoCAD一起使用，以便于图形文件在应用程序之间的传递,它以ASCII方式储存图形，在表现图形的大小方面十分精确

der Certiticate文件

dic Txt文件

emf由Microsoft公司开发的Windows32位扩展图元文件格式，其总体设计目标是要补在MicrosoftWindows3.1(Win16)中用的*.wmf文件格式的不足,使得图元文件更加易于使用

eps用PostScript语言描述的一种图形文件格式，以文本文件保存，在PostScript图形打印机上能打印出高品质的图形图象，最高能表示32位图形图象

err编译错误文件，存在于Dbase,Foxbase,Foxpro系列软件环境下

exe可执行文件，虽然后缀名相同，但具有不同的格式和版本

exp 3DS使用的显示卡驱动程序

exc Txt文件

flc AutodeskAnimator和Animatorpro的动画文件，支持256色，最大的图象象索是64000*64000,支持压缩，广泛用于动画图形中的动画序列，计算机辅助设计和计算机游戏应用程序

fnd保存的搜索结果

fon点阵字库文件

for Fortran语言程序

fot指向字体的快捷键

fp配置文件，存在于Dbase,Foxbase,Foxpro系列软件的环境下

fpt备注字段文件，存在于Dbase,Foxbase,Foxpro系列软件的环境下

frt报表文件,存在于Dbase,Foxbase,Foxpro系列软件的环境下

frx报表文件,存在于Dbase,Foxbase,Foxpro系列软件的环境下

fxp编译后的程序，存在于Dbase,Foxbase,Foxpro系列软件的环境下

gif在各种平台的各种图形处理软件上均能够处理的，经过压缩的一种图形文件格式

grh方正公司的图象排版文件

grp Windows下的程序管理器产生的组窗口文件

goc Gocserve

gra MSGraph.Chart.5

h C语言源程序头文件

hlp Windows应用程序帮助文件

hqx Macintosh中使用BinHex将二进制文件编码为7位的文本文件，大多数Macintosh文件皆以.hqx出现(.bin极少使用)，在Macintosh中,可使用StuffItExpander对.hqx解码，在Windows中可使用BinHex13解码

ht超级终端

htm保存超文本描述语言的文本文件，用于描述各种各样的网页，使用各种浏览器打开

html同.htm文件

icm图象配色描述文件

ico Windows中的图标文件，可以包含同一个图标的多种格式，使用图标编辑软件创建

idf MIDI乐器定义

idx索引文件，存在于Dbase,Foxbase,Foxpro系列软件的环境下

iff文件交换格式文件，这种文件格式多用于Amiga平台,在这种平台上它几乎可以存储各种类型的数据，在其它平台上，IFF文件格式多用于存储图象和声音文件

image MAcintosh磁盘映象文件，常见于萍果机的FTP网点，在Macintosh中由ShrinkWrap处理

ime Windows下的输入法文件

img磁盘映象文件，用HD-COPY,WinImage等工具打开后可以恢复到一张磁盘上

inc汇编语言包含文件，类似C/C++中的.H文件

inf Windows下的软件安装信息，Windows的标准安装程序根据此文件内的安装信息对软件，驱动程序等进行安装

ini Windows中的初始化信息文件,已经用的不多了，新的应用程序将设置保存在系统的注册表中

jar一种压缩文件，ARJ的新版本，不过不太流行，可以使用WinJar,Winrar等打开

jpeg一种图片压缩文件,同.jpg

jpg静态图象专家组制订的静态图象压缩标准，具有很高的压缩比，使用非常广泛，可使用PhotoShop等图象处理软件创建

lnk快捷方式，这个文件指向另一个文件，开始菜单的程序文件夹下每条项目都是一个LNK文件

log日志文件,通常用来记录一些事件之类

lzh一种古老的压缩文件，可以使用WinRAR打开

mac Macintosh中使用的一中灰度图形文件格式，在MacintoshPaintbrush中使用，其分辨率只能是720*567

mag图形文件格式

mdb MicrosoftAccess使用的数据库格式，是非常流行的桌面数据库

men内存应用文件,存在于Dbase,Foxbase,Foxpro系列软件的环境下

mid音频压缩文件，曾经非常流行，不过在现在的软件中用的很少了

mif MIDI乐器

mov使用Apple'sQuickTime格式的电影文件，在Macintosh中由Sparkle,FastPlayer,MoviePlayer等软件播放，在Windows中可由Quicktime播放

movie QuickTime或苹果机的影视格式，在Macintosh中由Sparkle,FastPlayer,MoviePlayer等软件播放,在Windows中可由QuickTime播放

mp3采用MPEG-1Layout3标准压缩的音频文件，是网上主要的压缩音频文件，这种文件由于具有极高的压缩率和失真低的特点，是目前音乐盗版的主要文件格式，但目前受到VQF,WMA等新标准的挑战

mpg采用MPEG-1标准压缩的视频文件，与VCD使用的格式非常相近，提供CD质量的音频信号和320*240的视频分辩率，目前的媒体播放软件大都能播放,Microsoft的WMV8和MPEG-4压缩的AVI文件是其强大的竞争对手

mpt Macintosh中使用的一种图形文件格式

msg Microsoft邮件文档

obj对象代码

ovl由于软件功能多，内存偏小，不能一次性全部调入内存的可执行文件可能有同文件名的ovl文件

pcd位图文件，由EastmanKodak开发，被所有的平台所支持，PCD支持24位颜色，最大的图象像索是2048*3072，用于在CD-ROM上保存图片

pcs动画文件，是Macromedia开发的动画文件格式，为Macintosh应用程序使用,支持压缩，支持256色，用于保存动画数据，是QuickTime的前身

pcx图像文件，PCX格式是ZSOFT公司在开发图像处理软件Paintbrush是开发的一种格式，这是一种经过压缩的格式，占用磁盘空间较少

pdf图文多媒体文件，Adobe公司定义的电子印刷品文件格式，它是一种事实上的标准，在Internet网上的很多电子印刷品，都是.pdf格式的

psd是PhotoShop中使用的一种标准图形文件格式，能够保存图像数据的每一个细小部分，包括层，附加的蒙版通道以及其他内容

pwl Windows下的口令文件

qt Machintosh的QuickTime影视格式，在Macintosh中由Sparkle,FastPlayer,MoviePlayer等软件播放，在Windows中可由Quicktime播放

qtm动画文件，这种文件格式是由Apple计算机公司开发，被AppleMacintosh和MicrosoftWindows平台所支持，支持25位颜色，最大图像分辩率是64000*64000,支持压缩，用于保存音频和运动视频信息

rec Windows下的记录器宏文件

reg Windows95/98的系统及应用程序注册文件，这种文件虽然以纯文本文件保存，但一样存在版本问题，不同的操作系统使用的REG文件版本是不同的

rle一种压缩过的位图文件格式，RLE压缩方案是一种极其成熟的压缩方案，特点是无损失压缩，既节省了磁盘空间又不损失任何图像数据，但在打开这种压缩文件时，要花费更多时间，此外，一些兼容性不太好的应用程序可能会搭不开

rm Windows下的RealPlayer所支持的视频压缩文件，网上非常流行的流式视频文件，很多实时视频新闻等都是采用这种格式的，不过，最新的WindowsMediaVideoV8已经对其发起了强大的攻势

rmi MIDI音序文件

rtf丰富文本格式文件，以纯文本描述内容，能够保存各种格式信息，可以用写字版，Word等创建

sav存档文件

scp用于Windows系统中Internet拨号用户，自动拨号登录用的脚本文件，可避免手动登录时繁琐的键盘输入

scr屏障保护文件

sct屏幕文件

scx屏幕文件

set Microsoft备份集文件，用于保存要备份的内容，设置等信息

shb指向一个文档的快捷方式

snd Mac声音文件,Apple计算机公司开发的声音文件格式，被Macintosh平台和多种Macintosh应用程序所支持，支持某些压缩

sql查询文件，在Dbase,Foxbase,Foxpro系列软件的环境下使用

svg SVG可以算是目前最火热的图像文件格式了，它是基于XML由WorldWideWebConsortium联盟开发的，SVG是可缩放的矢量图形

svx Amiga声音文件，Commodore所开发的声音文件格式，被Amiga平台和应用程序所支持，不支持压缩

swf flash是Micromedia公司的产品，严格说它是一种动画编辑软件，实际上它是制作出一种后缀名为.swf的动画，这种格式的动画能用比较小的体积来表现丰富的多媒体形式，并且还可以与HTML文件达到一种"水乳交融"的境界

swg虚拟内存交换文件，由操作系统使用

sys系统文件，驱动程序等，在不同的操作系统中有不同的定义

tbk临时数据库文件，在Dbase,Foxbase,Foxpro系列软件的环境下使用

tga图像文件，此文件格式的结构比较简单，属于一种图形，图像数据的通用格式，在多媒体领域有着很大影响，是计算机生成图像向电视转换的一种首选格式

tiff图像文件，此图像格式复杂，存储内容多，占用存储空间大，其大小是GIF图像的3倍，是相应的JPEG图像的10倍，最早流行于Macintosh,现在Windows主流的图像应用程序都支持此格式

tmp临时文件，一般是系统和应用程序产生的临时使用的文件，当系统和应用程序退出时，会自动地删除其建立的临时文件，如果是非正常退出，临时文件可能保留在磁盘上，在单任务系统下，可立即删除它们，在多任务系统下，应删除那些不是正在使用的临时文件

txt文本文件

url InternetShortcut(internet上URL地址的快捷方式)

vcd虚拟光驱工具制作的光盘镜像文件

ver版本描述，用于描述某个软件的版本

二、"BIOS绝对0扇区"是什么意思

硬盘的dos管理结构 r VyQnV

P9AnFsv"`t 1.磁道，扇区，柱面和磁头数

r d~4H B)e6g@E$~2z&ASXo

硬盘最基本的组成部分是由坚硬金属材料制成的涂以磁性介质的盘片，不同容量硬盘的盘片数不等。每个盘片有两面，都可

V E5]rn6FEZ1X 1{i-rC^WC

记录信息。盘片被分成许多扇形的区域，每个区域叫一个扇区，每个扇区可存储128×2的n次方（n＝0.1.2.3）字节信息。在dos

?/z$]p2L!_&PL6N&v3lov6v xb2eG0],Zf

中每扇区是128×2的2次方＝512字节，盘片表面上以盘片中心为圆心，不同半径的同心圆称为磁道。硬盘中，不同盘片相同半径

p%F@w|+NcG&cRd

R t(n5_[ j{W的磁道所组成的圆柱称为柱面。磁道与柱面都是表示不同半径的圆，在许多场合，磁道和柱面可以互换使用，我们知道，每个磁G!{Qg5J@

s7F|b7Pc盘有两个面，每个面都有一个磁头，习惯用磁头号来区分。扇区，磁道（或柱面）和磁头数构成了硬盘结构的基本参数，帮这些#DBLj7o6P-J?;y

h$dkeB"^-MF*A参数可以得到硬盘的容量，基计算公式为：

hV*|}*}.^ rMg 5d M+m1aW8Yd({B9F1?

存储容量＝磁头数×磁道（柱面）数×每道扇区数×每扇区字节数w Q+i:k~}

#F8mDBP A+|+u要点：（1）硬盘有数个盘片，每盘片两个面，每个面一个磁头

cVyc+y C6{+Tp HV| ]w$[

（2）盘片被划分为多个扇形区域即扇区'b(p;b_'p

gKf"e~Od

（3）同一盘片不同半径的同心圆为磁道

8Z9Y3?G Uc-lZ

-c w3QX;}V,u（4）不同盘片相同半径构成的圆柱面即柱面

OF9jb;U0U5^n'A}3Ab.o!X-Bl9L

（5）公式：存储容量＝磁头数×磁道（柱面）数×每道扇区数×每扇区字节数 Uog3_J!_-jZu

&O[N"SYL$h'g（6）信息记录可表示为：××磁道（柱面），××磁头，××扇区 3u9X)}Z a+[

J]dpOxOhZ 2.簇

5yUp@"BV?,^

?-J'I#tZ“簇”是dos进行分配的最小单位。当创建一个很小的文件时，如是一个字节，则它在磁盘上并不是只占一个字节的空间，

:SD]{ N0u.`+[)~&lqD5Lyl;xdS6n

而是占有整个一簇。dos视不同的存储介质（如软盘，硬盘），不同容量的硬盘，簇的大小也不一样。簇的大小可在称为磁盘

B5IflJ-Cn5X#Y

`;Lu"_2^ q参数块（）中获取。簇的概念仅适用于数据区。,?&} Y.SU7C[.g

(Q6xH2b Fc本点：（1）“簇”是dos进行分配的最小单位。NOGg@z7y$p

7bI Iv2?'UQ（2）不同的存储介质，不同容量的硬盘，不同的dos版本，簇的大小也不一样。/gV eW|N5?

#BeP-C st2`v

（3）簇的概念仅适用于数据区。

y@!~ q'_#gg|$Jp|\$]1epj%g

3.扇区编号定义：绝对扇区与dos扇区

6X._"u1R.N9Im t

8s-M8n,{Rd由前面介绍可知，我们可以用柱面/磁头/扇区来唯一定位磁盘上每一个区域，或是说柱面/磁头/扇区与磁盘上每一个扇区有

0D8\}u~

A'U2gGj9k_9W#l一一对应关系，通常dos将“柱面/磁头/扇区”这样表示法称为“绝对扇区”表示法。但dos不能直接使用绝对扇区进行磁盘上的;g&uK h@3@Q

O:V$M T3e信息管理，而是用所谓“相对扇区”或“dos扇区”。“相对扇区”只是一个数字，如柱面140，磁头3，扇区4对应的相对扇区号d8U+Xa:XF/x

P6ZGP-wB

为2757。该数字与绝对扇区“柱面/磁头/扇区”具有一一对应关系。当使用相对扇区编号时，dos是从柱面0，磁头1，扇区1开始^ s-^9t3qL0Z/Ox

Z ^ha5^{c（注：柱面0，磁头0，扇区1没有dos扇区编号，dos下不能访问，只能调用bios访问），第一个dos扇区编号为0，该磁道上剩余wPR3S"@2i

9Y3r e6s Q%Gq的扇区编号为1到16（设每磁道17个扇区），然后是磁头号为2，柱面为0的17个扇区，形成的dos扇区号从17到33。直到该柱面的)\ YLi3xoH!F(A

2GjXt-N&Ynhu Wg

所有磁头。然后再移到柱面1，磁头1，扇区1继续进行dos扇区的编号，即按扇区号，磁头号，柱面号（磁道号）增长的顺序连续

7P:ul$x psR!I X

^*Bt OSo$]!BQ地分配dos扇区号。u;_,K ekng ^_

c'^O(I_8Wue

公式：记dh－－第一个dos扇区的磁头号

/o+zCCqg.JXv-e-L&W!b/Qe

dc－－第一个dos扇区的柱面号

tQ1cz'X%nA'X`2W$h ye o~[

ds－－第一个dos扇区的扇区号

kS4l;~"u%Og

*Obv]|X*C3QW－－每磁道扇区数

F/n4k8_*S|!R n"]DU/qS,D}k$yly

nh－－磁盘总的磁头数!T;@(V U)A$D

/ac A*Q.px a(hi$[则某扇区（柱面c，磁头h，扇区s）的相对扇区号rs为：

#D_;TJ:sA~ZC

'`%_L9~1Rg rs＝nh××（c－dc）＋×（h－dh）＋（s－ds）|cwn9I

?vw_'W若已知rs，dc，dh，ds，和nh则

va]R`{ LE#}1ef,Vx}

s＝（rs mod）＋dsBs:z[c3oJY lR

j pm3@'jTyD!NdR h＝（（rs div）mod nh）＋dh

&O{tAU Qo:[

a-zm3S^9L e0[ c＝（（rs div）div nh）＋dc

y)N;E8so u/Zp

Cf)`aDG要点：（1）以柱面/磁头/扇区表示的为绝对扇区又称物理磁盘地址

)N@4QU`1~Yg

xN/Mgi5i#A?l（2）单一数字表示的为相对扇区或dos扇区，又称逻辑扇区号T"Kxk'?7j

.N2C SMH2@.Ez（3）相对扇区与绝对扇区的转换公式~^0Y0oTc"_6m

ot6@6agy D 4.dos磁盘区域的划分#jjF0c$E F c8j/c"Af

$b)F|5Lx#^Hy&p E[

格式化好的硬盘，整个磁盘按所记录数据的作用不同可分为主引导记录（mbr:main boot record），dos引导记录（dbros

V3B{x V;v*c1DEgc0]*q)tMwK8T^+Z"wK

boot record），文件分配表（fat:file a ign table），根目录（bd:boot directory）和数据区。前5个重要信息在磁盘的外Dbx6E9a!xp j1b

Je}B5Y}A`

磁道上，原因是外圈周长总大于内圈周长，也即外圈存储密度要小些，可伤心性高些。-qXnZ^,q7U P

6@$VV:MZt0I-Y要点：（1）整个硬盘可分为mbr，dbr，fat，bd和数据区。

O tb W8I3g

'y#ObL+N（2）mbr，dbr，fat，和bd位于磁盘外道。

\T,I^K#x,?{,_x

W&Wo2o7M+o4k JP4\ 5.mbr

CA5{+N` Fs`L6a

6R Q-z_%j Ia mbr位于硬盘第一个物理扇区（绝对扇区）柱面0，磁头0，扇区1处。由于dos是由柱面0，磁头1，扇区1开始，故mbr不属于

ak!GCq@yeX

vu!c M'Y1O dos扇区，dos不能直接访问。mbr中包含硬盘的主引导程序和硬盘分区表。分区表有4个分区记录区。记录区就是记录有关分区信

^/TW*K9A}:z9v)J:^%b2b

FL)F_ k$g'Q0Z息的一张表。它从主引导记录偏移地址01beh处连续存放，每个分区记录区占16个字节。

lX6nYiTy.z

8Kf-MP7H分区表的格式N8P^5|#@"G

N!e nr*V)e-xw%V]分区表项的偏移意义占用字节数

4Ux#Z)Q)z H

2cD/PJ j7u8H8sj%\ 00引导指示符 1b

v}mO8K0cI!M1\~ D

5k-]#`P P@ 01分区引导记录的磁头号 1b

3g5}&`'N7V:s!n+ku j-u wt#L

02分区引导记录的扇区和柱面号 2bMH k(mP"L3sv

2_b|#FC.@/d,r 04系统指示符 1b

xT~Lb

l*u`CW|-s"Ai 05分区结束磁头号 1bns4E E9_)B vA#l

Y+zp!JIZ,C(GFg 06分区结束扇区和柱面号 2b$x*hnr0E;`X1P

3npglhi(\^%y$o

08分区前面的扇区数 4b.[\{7_-l

[0l(g]b 0c分区中总的扇区数 4b

\9\N[1?R3I/r0fGsg V@(NVy4l^ _

4个分区中只能有1个活跃分区，即c盘。标志符是80h在分区表的第一个字节处。若是00h则表示非活跃分区。例如：

e6V#gJb b9A K

TXU Qd1{ 80 01 01 00 0b fe 3f 81 3f 00 00 00 c3 dd 1f 00 iw;W6s$JnIB

HuL.YH8j M 00 00 01 82 05 fe bf 0c 02 de 1f 00 0e 90 61 00 ap"r.J"o Ve

eM F P)b]4c 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00QV"b6s])hl

%X` jF0oR 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00$g8y lT2r4y

(v"eSmBCZHW,]}Y

要点：（1）mbr位于硬盘第一个物理扇区柱面0，磁头0，扇区1处。不属于dos扇区，B@[{$?N d_&H6n

@wO3R_@?

（2）主引导记录分为硬盘的主引导程序和硬盘分区表。`"HIE q(A

Z O1v(t${'p P

6.dbr

gM*@5l5k L/]1}

&W]SS7Ff dbr位于柱面0，磁头1，扇区1，即逻辑扇区0。dbr分为两部分：dos引导程序和（bios参数块）。其中dos引导程序完成

o0HHs:m$l3~a9{i

.w!Swr8K3Vz4i dos系统文件（io.sys，msdos.sys）的定位与装载，而用来描述本dos分区的磁盘信息，位于dbr偏移0bh处，共13字节。

s"ai ge N9MUN*F?J sLpo8R

它包含逻辑格式化时使用的参数，可供dos计算磁盘上的文件分配表，目录区和数据区的起始地址，之后三个字提供物理格

;O1\aE#y,\8nc!TI;jaEK2H

式化（低格）时采用的一些参数。引导程序或设备驱动程序根据这些信息将磁盘逻辑地址（dos扇区号）转换成物理地址（绝对

w%v ^ f0T;m

Ddsr l"h4^+F扇区号）。格式

4kTu(Z q%d kz PHqh$S0j;Kg5C/m*O

序号偏移地址意义"y#t C ^,S/lLx+d

xpJ ]7}1o*Im`? 1 03h－0ah oem号w1J2u ]:Sf~@`.qa

@Qd#o:E/Yn

2 0bh－0ch每扇区字节数 1cg`WZ,l6p@+b&?S5\

"X#_.S'p!b/M*} M/[ h'} 3 0dh每簇扇区数 fr V^B:}v;t ]

^/b-H yZM 4 0eh－0fh保留扇区数

#{E[ C7cB gvPi(}.c5j)FZ+p3I6B

5 10h fat备份数*|0c$s%U({uq

4S3o8\*R;hN$V6Z 6 11h－12h根目录项数

7K km|}#Z"[

s5X0emn!U&c)n%VF 7 13h－14h磁盘总扇区数

)r9E A\c0}p

t(f!NY4}+` q/f)w 8 15h描述介质

0]-F1L*[B!j1T

&Y'y"]NKX 9 16h－17h每fat扇区数

jL/m{/C,l!O

8\Z2_6k0r0`q7nsr} 10 18h－19h每磁道扇区数S{X-nc)N9w

EA,DxA XyU%l 11 1ah－1bh磁头数

'N9Srl~:}L fg7b

"Qj9w(U-T0t H:AO 12 1ch－1fh特殊隐含扇区数 4`(O6x?"PB"Q

lO n9Z+Lpk(z 13 20h－23h总扇区数 xj0h&B uL9sy*e

sC z8E`K 14 24h－25h物理驱动器数

J|9f};c

z{{'y%j-Z#^ 15 26h扩展引导签证

Q2GDS_4T(]%t

1@F%sW+dX jB VSE 16 27h－2ah卷系列号

:K8N'W d8m o#N ejA.k[tkY

17 2bh－35h卷标号

:T*tN-[tEi)`9G `StVQk%Ys

18 36h－3dh文件系统号}:gEmB~ u q/il+ni

m;jy"p"cz1M

dos引导记录公式：

W/h C(m F8`H

3|2H/op,W5`'}文件分配表≡保留扇区数

'`,P!J:b L9uzkT9\%j9K)}(],n:Jq

根目录≡保留扇区数＋fat的个数×每个fat的扇区数

_1vGF\8^dN[,b

y7Hq0I E;wbN(a)a%e数据区≡根目录逻辑扇区号＋（32×根目录中目录项数＋（每扇区字节数－1））div每扇区字节数

QEsac X+CD?(]Z*R5g1Y1?9h

绝对扇区号≡逻辑扇区号＋隐含扇区数

-xtSj$\%qS~@(dD*]3G

扇区号≡（绝对扇区号mod每磁道扇区数）＋1

aQ4{4|DKj

+RK`0}9pNa(V8Y4x磁头号≡（绝对扇区号div每磁道扇区数）mod磁头数

G4GarH2r'A TX-s:L$]:B']| F

磁道号≡（绝对扇区号div每磁道扇区数）div磁头数

N Yg xD(_6@AO Hfdh nD} n+D4y3X

要点：（1）dbr位于柱面0，磁头1，扇区1，其逻辑扇区号为0

&O8]^;uba^+I

(qY;E3Gzg1T（2）dbr包含dos引导程序和。

5K'IYZ `

zA!gnpMF0Q!s（3）十分重要，由此可算出逻辑地址与物理地址。.t&BTJ%~

gbHcgO 7.文件分配表

IwB3h A6H;f8u5Q

F%k+N;@#AS`V/\$u文件分配表是dos文件组织结构的主要组成部分。我们知道dos进行分配的最基本单位是簇。文件分配表是反映硬盘上所

Ba7qV$R6b2U 7{m0Baz;|(z

有簇的使用情况，通过查文件分配表可以得知任一簇的使用情况。dos在给一个文件分配空间时总先扫描fat，找到第一个可

|$TUr1hy7We']B0IqoNb3}"{G

用簇，将该空间分配给文件，并将该簇的簇号填到目录的相应段内。即形成了“簇号链”。fat就是记录文件簇号的一张表。,I;Y/mq+S-n6es

_|O3X0lE*Q!nN

fat的头两个域为保留域，对fat12来说是3个字节，fat来说是4个字节。其中头一个字节是用来描述介质的，其余字节为ffh~gf"L2J~dL

,EwAu*Vx4st

。介质格式与相同。j~,Z/Z%L a

m|X%t:wbH

第一个字节的8位意义： R6eKT Of!S

HB~KC 7 6 5 4 3 2 1 0

&X(l1PL)@1_Y

i`^6HTd7W4s{j└—————-┘│││┌0非双面

!{/x A!H(y)W Cw5K6TY9v:@&K0Q8M

置1││└┤

0it4G{&@Al

.E#q4ims-BpL7_││└1双面

Z7i*w|3?0F?b ]

,Q k@1t6E││┌0不是8扇区@a Jr*Bj1A6t/o

3Zk\tk|r7R_

│└┤Al"u[pJ

spPCK0E(k ql

│└1是8扇区

jk_*}3`Nt!l

/`7o,hG Ze0~ ef│┌0不是可换的Y)Yh*`,s%QM;PSU3~

9z:w H2?5S%k

└┤ pU:y'o~m*b

@)mN}/P

└1是可换的#F{p!CL%M He(q2L7@XZ

_Q};F:p.f P fat结构含义F|Zf!m~6@

WD(yoE`pW}U

fat12 fat16意义

'eb9|(?g/O3Rh_0Z3L'q&tX Co? JX+bt

000h 0000h可用` B1f&IkTq

4T;yL)Q(n6hH]~ ff0h－ff6h fff0h－fff6h保留

?#t/oTZ.p)@

1QM|~dV ff7h fff7h坏 3p3T D{*nVL5a]ns

}#P:a8Bt

ff8h－fffh fff8h－ffffh文件最后一个簇;q*Fh~){t{"^bC u

'do7bs9t`{J P

×××h××××h文件下一个簇R5bjx#PX i M(s

#N;z:Gd J"@C0{

对于fat16，簇号×2作偏移地址，从fat中取出一字即为fat中的域。!]Mw.`HI

.lp`}lk

逻辑扇区号＝数据区起始逻辑扇区号＋（簇号－2）×每簇扇区数

_i%Q/Y5NV!N&z5k8sP

4~9Y8^up3Kr&se簇号＝（逻辑扇区号－数据区起始逻辑扇区号）div每簇扇区数＋2

9F*TH!R2T:~ g!qg

g!E_$[(FoxXr要点：（1）fat反映硬盘上所有簇的使用情况，它记录了文件在硬盘中具体位置（簇）。

V!{{k\`/?

X3R}c~.K:U（2）文件第一个簇号（在目录表中）和fat的该文件的簇号串起来形成文件的“簇号链”，恢复被破坏的文件就是根

,Lt(T8\ ^3n9@-l

5hk8iIg_'[据这条链。

I;f0x!oG2A 8{7IV:_eS,A

（3）由簇号可算逻辑扇区号，反之，由逻辑扇区号也可以算出簇号，公式如上。

G#KMLr

[@%?~)V5i:j（4）fat位于dbr之后，其dos扇区号从1开始。

Ku?7~g(D{!G/R,@B w@8wUf

8.文件目录

K}-z:x+l"R&a!F Uz/J

@f(u7Yf4a文件目录是dos文件组织结构的又一重要组成部分。文件目录分为两类：根目录，子目录。根目录有一个，子目录可以有 9cJ ihh yHY5GY

w{9`|*N|N

多个。子目录下还可以有子目录，从而形成“树状”的文件目录结构。子目录其实是一种特殊的文件，dos为目录项分配32字x4s.X E+}S!k{

kx.^1]0tPk

节。目录项分为三类：文件，子目录（其内容是许多目录项），卷标（只能在根目录，只有一个。目录项中有文件（或子目

AD(y[9YPdA C\)?

录，或卷标）的名字，扩展名，属性，生成或最后修改日期，时间，开始簇号，及文件大小。%u/P&lVV@t}/v

bJP;J6Yr u目录项的格式

7q^y QS O(m g#u;VlQ%X

字节偏移意义占字节数"q}%HC+R%s2d S

4F"g~6Br SW1g~

00h文件名 8b

ZLo7T~~ G7Y Q Q`)_

08h扩展名 3b)zTp`"h*B8U2W

PNE;@W!g*dD(L 0bh文件属性 1b 5XmPW A8Cc

I!s'VXWg-SG 0ch保留 10b

H|?L+uJ C%?!^Rx8w.[

16h时间 2b 8n ]n4Q8N(~+[3ffs

3{;cn7?T-D 18h日期 2b'n,n"Vb2MtH]

0{#@V1@3b

1ah开始簇号 2bn;~xQJT7MH'kLc

M7]#u/fg6tWHgbb

1ch文件长度 4b

@6sCM(In1N`F fP!m Po]S

目录项文件名区域中第一个字节还有特殊的意义：00h代表未使用\fE+Er4gc6@ z E

u P+IV zV*V5`

05h代表实际名为e5h

,zx G.h,b'cflmgK ^3X;[

ebh代表此文件已被删除

0L!F0k`O4W2|!o)aC 5~p.K8EI.~:TC)H

目录项属性区域的这个字节各个位的意义如下： 7 6 5 4 3 2 1 0k*Z@,q?th

D6}#n({n@z5Xs&|

未修修子卷系隐只 0q,o"a4\`i

}'{9z;@'b}z用改改目标统藏读

5`9O%v9S@X:Bdd,P7JEi+X

标标录属属属;WmSCj|

-i&in/D^Q4i'Cu志志性性性$t#n?5X/r*]k

:B3A:r5Wa/B

注意：windows的长文件名使用了上表中所说的“保留”这片区域。

s[*TlOGT"B

DSo,u:P[:@#wn$O要点：（1）文件目录是记录所有文件，子目录名，扩展名属性，建立或删除最后修改日期。文件开始簇号及文件长度的一张 cxF5`1`Vt

5{5@ _ E H

登记表.u'RI`%e l}/_

c*X1s}hUe

（2）dos中dir列出的内容训是根据文件目录表得到的。

zV(T-iq\5W Vz*h,|*I+M x/EF X

（3）文件起始簇号填在文件目录中，其余簇都填在fat中上一簇的位置上。Rb?~7Uv![#v Q

M8f V4pzS^ 9.物理驱动器与逻辑驱动器

y!wh:@ K1~Ix)RN`4H7@B

物理驱动器指实际安装的驱动器。iP-C^ Z9{V;x]

t`;i/q+Z%Z.O

逻辑驱动器是对物理驱动器格式化后产生的

\#ngGxR3k-qdQ xS,m

硬盘逻辑锁巧解

p){2T%wsZ H%] m$Q$c

在谈论具体的解决方法前，先讲述一下被"逻辑锁"锁住的硬盘为什么不能用普通办法启动的原因：(d,uD~nc lq

O gt wg计算机在引导dos系统时将会搜索所有逻辑盘的顺序，当dos被引导时，首先要去找主引导扇区的分区表信息，位于硬盘的零头零柱面的第一个扇区的obeh地址开始的地方，当分区信息开始的地方为80h时表示是主引导分区，其他的为扩展分区，主引导分区被定义为逻辑盘c盘，然后查找扩展分区的逻辑盘，被定义为d盘，以此类推找到e，f，g....."逻辑锁"就是在此下手，修改了正常的主引导分区记录将扩展分区的第一个逻辑盘指向自己，dos在启动时查找到第一个逻辑盘后，查找下个逻辑盘总是找到是自己，这样一来就形成了死循环，这就是使用软驱,光驱，双硬盘都不能正常启动的原因。实际上这"逻辑锁"只是利用了dos在启动时的一个小小缺陷，便令不少高手都束手无策。知道了"逻辑锁"的"上锁"原理，要解锁也就比较容易了。以前我看到有位朋友采用"热拔插"硬盘电源的方法来处理：就是在当系统启动时，先不给被锁的硬盘插上电源线，等待启动完成后再给硬盘"热插"上电源线，这时如果硬盘没有烧坏的话，系统就可以控制硬盘了。当然这是一种非常危险的方法，大家不要轻易尝试，下面介绍两种比较简单和安全的处理方法。

'U&RY fa l8f

]$ZJTn:h;I$\

Nwxbe'I方法一：修改dos启动文件

_ K$P$~ Qh9JI(Add{

$f_}SC首先准备一张dos6.22的系统盘，带上debug、pctools5.0、fdisk等工具。然后在一台正常的机器上，使用你熟悉的二进制编辑工具（debug、pctools5.0，或者windows下的ultraedit都行）修改软盘上的io.sys文件（修改前记住改该文件的属性为正常），具体是在这个文件里面搜索第一个"55aa"字符串，找到以后修改为任何其他数值即可。用这张修改过的系统软盘你就可以顺利地带着被锁的硬盘启动了。不过这时由于该硬盘正常的分区表已经被黑客程序给恶意修改了，你无法用fdisk来删除和修改分区，而且仍无法用正常的启动盘启动系统，这时你可以用debug来手工恢复。使用debug手工修复硬盘步骤如下：~$Z*R?M Z%k

Z$J wm4m-J+y?RwN"a)Tc

a:\>debug

(GM/G6}oL.r"\ M9eC6Xc

-a 4Kt.rg8n

;B+b?0l}tD)e

-xxxx:100 mov ax,0201读一个扇区的内容

7el2Y4b.L-EW~4Y*i4g-i

-xxxx:103 mov bx,500设置一个缓存地址-Va knj-z'l7A

:OL(i YF{l C

-xxxx:106 mov cx,0001设置第一个硬盘的硬盘指针&~qN5k o q6sqWX0k

^"C;`7^ nU'Hh

-xxxx:109 mov dx,0080读零磁头*};uK2F9Ki2ME

'hc2Rz Z-c

-xxxx:10c int 13硬盘中断J7{1Ud;I2x n7g

_|UnF XR5h8u-xxxx:10e int 20|-Y%Dy&e_s R

jsC;\;f!K-xxxx:0110退出程序返回到指示符

)X8uq LGO3G!?A

6b8QI7S"S WZ-g运行

`;J*r7j/Q^N;{)x|

DFx~#y n-d500查看运行后500地址的内容

%S,K&eb kQ-z!j5@[(x/T{*Uv

'V,~Dx+o

这时候会发现地址6be开始的内容是硬盘分区的信息，发现此硬盘的扩展分区指向自己，这就使dos或windows启动时查找硬盘逻辑盘进去死循环，在debug指示符下用e命令修改内存数据具体如下：

U~VYha%^4U%@.Se7_,m1e

5m J~&hn k lp8J n;\ e6be"m~K} m8B

[ Xj-u s4`h:Zl&H

xx.0 xx.0 xx.0...............

5F4x3oy[!Bu,q p

.tfar8ja%S.............................

;q0EpAt&p I%Y4z~b4m+}

.......................55 aa

PoFl8S8r6[2XFx2U5`X+F;x5ct

55 aa表示硬盘有效的标记，不要修改，xx0表示把以前的数据"xx"改成0 0N!Pr9\7_#@|V#Jn

Q:M#D/g"Dz8s,Gqe

I)_X(NWU9Q

再用硬盘中断13把修改好的数据写入硬盘就可以了，具体如下：

,Il,zk9F\

4hY1t5M R3[U+fg{(V RI*r&Y)}2Y

a:\>debugF1|Kb$`

1S-T$GKhnnPB0Qw3]

a 100表示修改100地址的汇编指令

8d SPs.@@@K

%@)kcPe0O-C-xxxx:100 mov ax,0301写硬盘一个扇区

W[wEx)\` ZZk&? N1}7pn

-xxxx:这里直接按回车

tC6^"|#x?R!q^,I O1|'cH!q;S\

-g运行

]{3b%^"F[t1u@(c:mq

-q退出 9e^ fuC"}$`:F

7f g"Nr~9x

Uz"u`8N1r4m$L*fn u\然后运行 fdisk/mbr（重置硬盘引导扇区的引导程序)，再重新启动电脑就行了。怎么样？用这种方法处理够简单的吧？而且这种方法还有一个好处就是可以保住盘上的数据！如果你不需要保数据的话，还有更加简单的处理方法：

/ykU+dC0R:r*[}j:mR_

方法二：巧设bios，用dm解锁大家知道dm软件是不依赖于主板bios的硬盘识别安装软件，（所以在不能识别大硬盘的老主板上也可用dm来安装使用大容量硬盘）。就算在bios中将硬盘设为"none"，dm也可识别并处理硬盘。 G h!f|ho(B

`6E"D.~+zf&N6O7_

nA yJC1w

首先你要找到和硬盘配套的dm软件（找js要或去网上荡），然后把dm拷到一张系统盘上。接上被锁硬盘，开机，按住del键，进cmos设置，将所有ide硬盘设为none（这是关键所在!），保存设置，重启动，这时系统即可"带锁"启动。启动后运行dm，你会发现dm可以绕过bios，识别出硬盘，选中该硬盘，分区格式化，就ok了。这么简单？不过这种方法的弱点是硬盘上的数据将全部丢失。

三、内核414117什么意思

‍

中国武术博大精深，其中太极作为不以拙力胜人的功夫备受推崇。同样如果从攻击的角度窥视漏洞领域，也不难看出攻防之间的博弈不乏“太极”的身影，轻巧稳定易利用的漏洞与工具往往更吸引黑客，今天笔者要着墨分析的就是这样一个擅长“四两拨千斤”的0day漏洞。

0day漏洞的攻击威力想必大家都听说过，内核0day更因为其影响范围广，修复周期长而备受攻击者的青睐。近期，国外安全研究者Vitaly Nikolenko在twitter[1]上公布了一个Ubuntu 16.04的内核0day利用代码[2]，攻击者可以无门槛的直接利用该代码拿到Ubuntu的最高权限(root)；虽然只影响特定版本，但鉴于Ubuntu在全球拥有大量用户，尤其是公有云用户，所以该漏洞对企业和个人用户还是有不小的风险。

笔者对该漏洞进行了技术分析，不管从漏洞原因还是利用技术看，都相当有代表性，是Data-Oriented Attacks在linux内核上的一个典型应用。仅利用传入的精心构造的数据即可控制程序流程，达到攻击目的，完全绕过现有的一些内存防护措施，有着“四两拨千斤”的效果。

0×02漏洞原因

这个漏洞存在于Linux内核的eBPF模块，我们先来简单了解下eBPF。

eBPF(extended Berkeley Packet Filter)是内核源自于BPF的一套包过滤机制，严格来说，eBPF的功能已经不仅仅局限于网络包过滤，利用它可以实现kernel tracing，tracfic control，应用性能监控等强大功能。为了实现如此强大的功能，eBPF提供了一套类RISC指令集，并实现了该指令集的虚拟机，使用者通过内核API向eBPF提交指令代码来完成特定的功能。

看到这里，有经验的安全研究者可能会想到，能向内核提交可控的指令代码去执行，很可能会带来安全问题。事实也确实如此，历史上BPF存在大量漏洞 [3]。关于eBPF的更多细节，可以参考这里[4][5]。

eBPF在设计时当然也考虑了安全问题，它在内核中实现了一套verifier机制，过滤不合规的eBPF代码。然而这次的漏洞就出在eBPF的verifier机制。

从最初Vitaly Nikolenko公布的补丁截图，我们初步判断该漏洞很有可能和CVE-2017-16995是同一个漏洞洞[6]，但随后有2个疑问：

1.CVE-2017-16995在去年12月份，内核4.9和4.14及后续版本已经修复，为何Ubuntu使用的4.4版本没有修复？

2.CVE-2017-16995是Google Project Zero团队的Jann Horn发现的eBPF漏洞，存在于内核4.9和4.14版本[7]，作者在漏洞报告中对漏洞原因只有简短的描述，跟本次的漏洞是否完全相同？

注：笔者所有的代码分析及调试均基于Ubuntu 14.04，内核版本为4.4.0-31-generic#50~14.04.1-Ubuntu[8]。

先来回答第二个问题，中间的调试分析过程在此不表。

参考以下代码，eBPF的verifer代码(kernel/bpf/verifier.c)中会对ALU指令进行检查(check_alu_op)，该段代码最后一个else分支检查的指令是：

1.BPF_ALU64|BPF_MOV|BPF_K，把64位立即数赋值给目的寄存器；

2.BPF_ALU|BPF_MOV|BPF_K，把32位立即数赋值给目的寄存器；

但这里并没有对2条指令进行区分，直接把用户指令中的立即数insn->imm赋值给了目的寄存器，insn->imm和目的寄存器的类型是integer，这个操作会有什么影响呢？

参考以下代码，上面2条ALU指令分别对应ALU_MOV_K和ALU64_MOV_K，可以看出verifier和eBPF运行时代码对于2条指令的语义解释并不一样，DST是64bit寄存器，因此ALU_MOV_K得到的是一个32bit unsigned integer，而ALU64_MOV_K会对imm进行sign extension，得到一个signed 64bit integer。至此，我们大概知道漏洞的原因，这个逻辑与CVE-2017-16995基本一致，虽然代码细节上有些不同(内核4.9和4.14对verifier进行了较大调整)。但这里的语义不一致又会造成什么影响？

我们再来看下vefier中以下代码(check_cond_jmp_op)，这段代码是对BPF_JMP|BPF_JNE|BPF_IMM指令进行检查，这条指令的语义是：如果目的寄存器立即数==指令的立即数(insn->imm)，程序继续执行，否则执行pc+off处的指令；注意判断立即数相等的条件，因为前面ALU指令对32bit和64bit integer不加区分，不论imm是否有符号，在这里都是相等的。再看下eBPF运行时对BPF_JMP|BPF_JNE|BPF_IMM指令的解释(bpf_prog_run)，显然当imm为有符合和无符号时，因为sign extension，DST!=IMM结果是不一样的。注意这是条跳转指令，这里的语义不一致后果就比较直观了，相当于我们可以通过ALU指令的立即数，控制跳转指令的逻辑。这个想象空间就比较大了，也是后面漏洞利用的基础，比如可以控制eBPF程序完全绕过verifier机制的检查，直接在运行时执行恶意代码。

值得一提的是，虽然这个漏洞的原因和CVE-2017-16995基本一样，但但控制跳转指令的思路和CVE-2017-16995中Jann Horn给的POC思路并不一样。感兴趣的读者可以分析下，CVE-2017-16995中POC，因为ALU sign extension的缺陷，导致eBPF中对指针的操作会计算不正确，从而绕过verifier的指针检查，最终读写任意kernel内存。但这种利用方法，在4.4的内核中是行不通的，因为4.4内核的eBPF不允许对指针类型进行ALU运算。

到这里，我们回过头来看下第一个问题，既然漏洞原因一致，为什么Ubuntu 4.4的内核没有修复该漏洞呢？和Linux kernel的开发模式有关。

Linux kernel分mainline，stable，longterm 3种版本[9]，一般安全问题都会在mainline中修复，但对于longterm，仅会选择重要的安全补丁进行backport，因此可能会出现，对某个漏洞不重视或判断有误，导致该漏洞仍然存在于longterm版本中，比如本次的4.4 longterm，最初Jann Horn并没有在报告中提到影响4.9以下的版本。

关于Linux kernel对longterm版本的维护，争论由来已久[10]，社区主流意见是建议用户使用最新版本。但各个发行版(比如Ubuntu)出于稳定性及开发成本考虑，一般选择longterm版本作为base，自行维护一套kernel。

对于嵌入式系统，这个问题更严重，大量厂商代码导致内核升级的风险及成本都远高于backport安全补丁，因此大部分嵌入式系统至今也都在使用比较老的longterm版本。比如Google Android在去年Pixel/Pixel XL 2发布时，内核版本才从3.18升级到4.4，原因也许是3.18已经进入EOL了(End of Life)，也就是社区要宣布3.18进入死亡期了，后续不会在backport安全补丁到3.18，而最新的mainline版本已经到了4.16。笔者去年也在Android kernel中发现了一个未修复的历史漏洞(已报告给google并修复)，但upstream在2年前就修复了。

而Vitaly Nikolenko可能是基于CVE-2017-16995的报告，在4.4版本中发现存在类似漏洞，并找到了一个种更通用的利用方法(控制跳转指令)。

0×03漏洞利用

根据上一节对漏洞原因的分析，我们利用漏洞绕过eBPF verifier机制后，就可以执行任意eBPF支持的指令，当然最直接的就是读写任意内存。漏洞利用步骤如下：

1.构造eBPF指令，利用ALU指令缺陷，绕过eBPF verifier机制；

2.构造eBPF指令，读取内核栈基址；

3.根据泄漏的SP地址，继续构造eBPF指令，读取task_struct地址，进而得到task_struct->cred地址；

4.构造eBPF指令，覆写cred->uid, cred->gid为0，完成提权。

漏洞利用的核心，在于精心构造的恶意eBPF指令，这段指令在Vitaly Nikolenko的exp中是16机制字符串(char*__prog)，并不直观，笔者为了方便，写了个小工具，把这些指令还原成比较友好的形式，当然也可以利用eBPF的调试机制，在内核log中打印出eBPF指令的可读形式。我们来看下这段eBPF程序，共41条指令(笔者写的小工具的输出)：

稍微解释下，ins 0和 ins 1一起完成了绕过eBPF verifier机制。ins 0指令后，regs[9]= 0xffffffff，但在verifier中，regs[9].imm=-1，当执行ins 1时，jmp指令判断regs[9]== 0xffffffff，注意regs[9]是64bit integer，因为sign extension，regs[9]== 0xffffffff结果为false，eBPF跳过2(off)条指令，继续往下执行；而在verifier中，jmp指令的regs[9].imm== insn->imm结果为true，程序走另一个分支，会执行ins 3 jmp|exit指令，导致verifier认为程序已结束，不会去检查其余的dead code。

这样因为eBPF的检测逻辑和运行时逻辑不一致，我们就绕过了verifier。后续的指令就是配合用户态exp完成对kernel内存的读写。

这里还需要知道下eBPF的map机制，eBPF为了用户态更高效的与内核态交互，设计了一套map机制，用户态程序和eBPF程序都可以对map区域的内存进行读写，交换数据。利用代码中，就是利用map机制，完成用户态程序与eBPF程序的交互。

ins4-ins5: regs[9]= struct bpf_map*map，得到用户态程序申请的map的地址，注意这2条指令，笔者的静态解析并不准确，获取map指针的指令，在eBPF verifier中，会对指令内容进行修改，替换map指针的值。

ins6-ins12:调用bpf_map_lookup_elem(map,&key)，返回值为regs[0]=&map->value[0]

ins13: regs[6]=*regs[0]， regs[6]得到map中key=0的value值

ins14-ins20:继续调用bpf_map_lookup_elem(map,&key)，regs[0]=&map->value[1]

ins21: regs[7]=*regs[0]，regs[7]得到map中key=1的value值

ins22-ins28:继续调用bpf_map_lookup_elem(map,&key)，regs[0]=&map->value[2]

ins29: regs[8]=*regs[0]，regs[8]得到map中key=2的value值

ins30: regs[2]= regs[0]

ins32: if(regs[6]!= 0) jmp ins32+ 3，根据用户态传入的key值不同，做不同的操作

ins33: regs[3]=*regs[7]，读取regs[7]中地址的内容，用户态的read原语，就在这里完成，regs[7]中的地址为用户态传入的任意内核地址

ins34:*regs[2]= regs[3]，把上调指令读取的值返回给用户态

ins36: if(regs[6]!= 1) jmp ins36+ 2

ins37:*regs[2]= regs[FP],读取eBPF的运行时栈指针，返回给用户态，注意这个eBPF的栈指针实际上指向bpf_prog_run函数中的一个局部uint64数组，在内核栈上，从这个值可以得到内核栈的基址，这段指令对应用户态的get_fp

ins39:*regs[7]= regs[8]，向regs[7]中的地址写入regs[8]，对应用户态的write原语，regs[7]中的地址为用户态传入的任意内核地址

理解了这段eBPF程序，再看用户态exp就很容易理解了。需要注意的是，eBPF指令中的3个关键点：泄漏FP，读任意kernel地址，写任意kernel地址，在verifier中都是有检查的，但因为开始的2条指令完全绕过了verifier，导致后续的指令长驱直入。

笔者在Ubuntu 14.04上提权成功：这种攻击方式和传统的内存破坏型漏洞不同，不需要做复杂的内存布局，只需要修改用户态传入的数据，就可以达到控制程序指令流的目的，利用的是原有程序的正常功能，会完全绕过现有的各种内存防御机制(SMEP/SMAP等)，有一种四两拨千斤的效果。这也是这两年流行的Data-Oriented Attacks，在linux kernel中似乎并不多见。

0×04漏洞影响范围&修复

因为linux kernel的内核版本众多，对于安全漏洞的影响范围往往并不容易确认，最准确的方式是搞清楚漏洞根因后，从代码层面判断，但这也带来了高成本的问题，快速应急时，我们往往需要尽快确认漏洞影响范围。从前面的漏洞原理来看，笔者大致给一个全面的linux kernel受影响版本：

3.18-4.4所有版本(包括longterm 3.18，4.1，4.4)；

<3.18，因内核eBPF还未引入verifier机制，不受影响。

对于大量用户使用的各个发行版，还需要具体确认，因为该漏洞的触发，还需要2个条件

1.Kernel编译选项CONFIG_BPF_SYSCALL打开，启用了bpf syscall；

2./proc/sys/kernel/unprivileged_bpf_disabled设置为0，允许非特权用户调用bpf syscall

而Ubuntu正好满足以上3个条件。关于修复，upstream kernel在3月22日发布的4.4.123版已经修复该漏洞[11][12]， Ubuntu官方4月5日也正式发布了安全公告和修复版本[13][14]，没有修复的同学可以尽快升级了。

但现在距漏洞Exp公开已经过去20多天了，在漏洞应急时，我们显然等不了这么久，回过头看看当初的临时修复方案：

1.设置/proc/sys/kernel/unprivileged_bpf_disabled为1，也是最简单有效的方式，虽然漏洞仍然存在，但会让exp失效；

2.使用Ubuntu的预发布源，更新Ubuntu 4.4的内核版本，因为是非正式版，其稳定性无法确认。

Vitaly Nikolenko在twitter上公布的Ubuntu预发布源：all 4.4 ubuntu aws instances are vulnerable: echo“deb restricted main multiverse universe”>/etc/apt/sources.list&& apt update&& apt install linux-image-4.4.0-117-generic

Ubuntu的非正式内核版本，做了哪些修复，我们可以看下补丁的关键内容(注意这是Ubuntu的kernel版本，非upstream)：

git diff Ubuntu-lts-4.4.0-116.140_14.04.1 Ubuntu-lts-4.4.0-117.141_14.04.1ALU指令区分了32bit和64bit立即数，同时regs[].imm改为了64bit integer

我们再看下upstream kernel 4.4.123的修复，相比之下，要简洁的多，仅有3行代码改动[12]：

当处理32bit ALU指令时，如果imm为负数，直接忽略，认为是UNKNOWN_VALUE，这样也就避免了前面提到的verifer和运行时语义不一致的问题。

我们回顾以下整个漏洞分析过程，有几点值得注意和思考：

1.eBPF作为内核提供的一种强大机制，因为其复杂的过滤机制，稍有不慎，将会引入致命的安全问题，笔者推测后续eBPF可能还会有类似安全漏洞。

2.受限于linux kernel的开发模式及众多版本，安全漏洞的确认和修复可能存在被忽视的情况，出现N day变0 day的场景。

3.Vitaly Nikolenko公布漏洞exp后，有网友就提出了批评，在厂商发布正式补丁前，不应该公布细节。我们暂且不讨论Vitaly Nikolenko的动机，作为一名安全从业者，负责任的披露漏洞是基本守则。

4.笔者所在公司使用的OS是经过专门的团队量身定制，进行了不少的安全加固和冗余组件裁剪，故不受到此次漏洞影响。可见维护一个安全可靠的OS不失为保障大型企业的安全方案之一。

感谢阅读，行文匆忙，如有不正之处，敬请指出。

0×06参考文档

[1]