是否可以在没有用户交互的情况下修复MBR?


0

我有一个案例,病毒通过内部网传播,并重写了12000台机器的MBR。

现在,我知道如何手动修复MBR,但我被要求通过创建可引导的USB介质来提供自动化此过程的解决方案,该介质将继续修复MBR而无需用户交互。

这样,我们就可以分发这个可启动映像的多个副本,并加快修复这么多机器的速度。

据我所知,所有这些机器都在/ dev / sda1上有可引导的分区,但应该使用病毒占用的模式来识别要修复的扇区。

那么,在dd没有任何用户交互的情况下,是否有可能在启动时执行?


客户端是windows,linux还是混合?由于MBR被破坏了,它们会启动进入Windows还是操作系统?
网络时间

据我所知,他们是Windows机器。似乎勒索软件没有传播到Linux机器。我不明白你问题的第二部分。你问(手动修复MBR后)他们是否能够再次启动到Windows?
amenadiel

不,我现在问那些破碎的MBR状态他们是否启动进入Windows?
网络时间

他们根本不开机。从我正在阅读的内容来看,可引导的usb棒无法像sudo那样执行命令...
amenadiel

PXE(发音为pixie)启动可能是你得到的壁橱。
网络时间

Answers:


1

如果他们根本不启动:

设置PXE引导以使用linux和MBR引导自定义ISO。让它自动重写MBR并重启。

这是一个11 / 16MB的发行版,你可以添加你的MBR和dd。

http://distro.ibiblio.org/tinycorelinux/downloads.html

您将希望这有助于设置可启动的Linux操作系统 https://www.tecmint.com/auto-execute-linux-scripts-during-reboot-or-startup/

Windows PE ISO也是一个不错的选择。

将条目添加到DHCP服务器以帮助完成此过程。 有些计算机将其作为自动故障转移条件。然后不需要用户干预。

其他人必须推动F11等从网络启动。BIOS中的引导顺序也可能更改为自动无法进行PXE引导。

在此输入图像描述

Linux的

编辑dhcpd.conf

vi /etc/dhcp/dhcpd.conf

并添加以下条目:

#option 66
option tftp-server-name "w.x.y.z";

#option 67
option bootfile-name "test.cfg";

然后重新启动DHCP服务器。

sudo service isc-dhcp-server restart

此链接还有更详细的说明:https//www.thegeekstuff.com/2010/07/tftpboot-server


我喜欢你提出的解决方案,这是我将在家庭局域网中尝试的。但是,我被告知该公司没有内联网可用。我不知道网络的哪一部分依赖于一层也被感染的Windows机器。为什么?甘拜下风。
amenadiel

@amenadiel除非所有计算机都有静态IP,否则某处有一台DHCP服务器。即使没有,您也可以从包含DHCP服务器的USB记忆棒轻松启动ISO。
网络时间

1

是的,可以在没有交互的情况下运行dd,你可以使用带有systemd服务的Linux网络引导,但盲目配置那么多服务器也是一个非常糟糕的主意。

这是一个更好的想法使用PXE有效负载链接Windows引导加载程序,一旦您的服务器启动,您可以发送所有命令,以使用该bootsect命令从Windows更新其MBR 。

您可以通过网络加载GRUB并为其提供将加载操作系统的配置。https://www.gnu.org/software/grub/manual/grub/grub.html#Network

从将用于PXE服务的Linux服务器(我建议只为它创建一个新VM):

为PXE设置DHCP和TFTP。

grub-mknetdir --net-directory=/srv/tftp --subdir=/boot/grub -d /usr/lib/grub/i386-pc

nano /srv/tftp/boot/grub/grub.cfg 并添加:

search -s root -f /Boot/BCD
ntldr /bootmgr
boot

系统应加载grub,然后搜索包含ntldr BCD的分区,然后加载bootmgr。

一旦你的服务器上线,你可以在这里阅读有关如何修复MBR的信息:https//docs.microsoft.com/en-us/windows-hardware/manufacture/desktop/bootsect-command-line-options可能只是bootsect /nt60 SYS


这假设该病毒也没有进入Windows BCD。但它没有对设备,启动代码,活动分区代码做出任何假设。它会检测并直接进入Windows启动管理器。
jdwolf

谢谢您的回答。不幸的是,这家公司内部网的结构基于Windows服务器,也被感染了。我提议手动修复其中的一些以使内部网的某些部分工作,但在中间另一名顾问制作了一个可引导的棒,有点像所要求的那样工作。我同意,这种可引导的棒可能被用于无意中零填充机器
amenadiel

@amenadiel更有力量来解决这个烂摊子。但我不明白的是,如果机器都感染了恶意软件,为什么他们不只是重新配置所有新服务器?
jdwolf

我对服务器被感染没有好评,因为外部顾问只是被告知了这么多。也许内部网暂时关闭以阻止恶意软件进一步传播。我们只被告知内部网络也已关闭,因此没有PXE。但是现在你提到它了,我会提醒一下,如果涉及任何Windows服务器,它们应该被重新配置。然而,感染媒介来自运营电子邮件附件的销售团队中的人。再说一遍,我们对这个事实并不积极,也许不会被进一步告知
amenadiel
By using our site, you acknowledge that you have read and understand our Cookie Policy and Privacy Policy.
Licensed under cc by-sa 3.0 with attribution required.