home *** CD-ROM | disk | FTP | other *** search
/ World of Education / World of Education.iso / world_d / drfinfo.zip / MBRSAV20.ZIP / MBRSAVE.DOC < prev    next >
Text File  |  1993-04-15  |  29KB  |  567 lines
  1. Documentation for GETMBR.COM and PUTMBR.COM v2.0
  2.  
  3.  
  4. GETMBR.COM v2.0 - Copyright - Mike Lambert, 92-93 All rights reserved
  5. PUTMBR.COM v2.0 - Copyright - Mike Lambert, 92-93 All rights reserved
  6.  
  7.  
  8. Release Information
  9. -------------------
  10. GETMBR.COM and PUTMBR.COM released for public use. The program and
  11. this documentation file can be freely distributed  1) for NO
  12. compensation of any kind, including the cost of disk and shipping,
  13. 2) provided the GETMBR.COM, PUTMBR.COM, and MBRSAVE.DOC files are
  14. distributed together.
  15.  
  16. GETMBR v2.0 and PUTMBR v2.0 use a different filename than v1.0 and v1.1.
  17.  
  18.  
  19. Warrantee
  20. ---------
  21. No warranty is given for the performance of this software. Use at
  22. your own risk. As with any software, it is may cause harm if the
  23. programs are modified and executed.
  24.  
  25. GETMBR and PUTMBR are not supported in any way.
  26.  
  27.  
  28. Introduction
  29. ------------
  30. GETMBR and PUTMBR are a couple of simple programs I give to
  31. students. Since they were designed for students who may or may not
  32. know or have a program to save the MBR and EPBRs, the programs are
  33. simple and requires a floppy disk, no user options are allowed.
  34.  
  35. The object is to boot from a clean floppy and run GETMBR to get a
  36. copy of your MBR and EPBRs. Then when you need to replace them for
  37. any reason, you would boot the floppy disk and run PUTMBR. PUTMBR
  38. would ask you if you want to replace them if they have changed. If
  39. you wish to replace them, you answer with a Y. That's it, plain and
  40. simple. If the MBR/EPBRs have not changed, not action is required.
  41.  
  42.  
  43. Why you should use a program like this
  44. --------------------------------------
  45. The Master Boot Record (MBR) and Extended Partition Boot Record(s)
  46. (EPBR) should be backed up to your Disaster Recovery floppy disk.
  47. This floppy disk should be bootable and have all of your "in case
  48. something goes wrong" programs and data on it.
  49.  
  50.  
  51. Disaster Recovery Disk
  52. ----------------------
  53. A Disaster Recovery Disk is a floppy disk that is used to bring up
  54. your computer should your hard disk be unbootable, restore critical
  55. system data, repartition and format your hard disk, restore files
  56. from backup copies, etc. Its your basic "magic floppy disk" used to
  57. solve your system problems.
  58.  
  59. I suggest breaking the Disaster Recovery Disk into 2 disks; 1. the
  60. "clean original copy of DOS" and 2. the additional programs and
  61. data.
  62.  
  63. The clean original copy of DOS should have as a minimum on it:
  64.  
  65. 1.  It should be bootable
  66. 2.  SYS
  67. 3.  CHKDSK
  68. 4.  FDISK
  69. 5.  FORMAT
  70. 6.  DEBUG
  71. 7.  DISKCOPY
  72. 8.  ATTRIB
  73. 9.  MODE
  74. 10. MORE
  75. 11. MEM
  76. 12. any additional DOS drivers you require.
  77. 13. a CONFIG.SYS and AUTOEXEC.BAT to configure the system.
  78. 14. any other DOS programs you might need, perhaps MSD
  79.  
  80. This disk should be write protected immediately after creation and
  81. the write protect should NEVER be removed. Instead, boot the disk
  82. and run DISKCOPY to make a new copy. Modify the new disk only when
  83. booted from the clean floppy.
  84.  
  85.  
  86. The second disk should have the following as a minimum:
  87.  
  88. 1.  a program to restore your CMOS data
  89. 2.  your CMOS data
  90. 3.  GETMBR and PUTMBR
  91. 4.  mbrepbr.rec - your MBR and EPBRs
  92. 5.  An ASCII editor
  93. 6.  A Sector editor
  94. 7.  Your unarchiver (like PKunzip) if necessary
  95. 8.  Your tape backup/restore software
  96. 9.  ATTRIB from your DOS disk
  97.  
  98. This disk should be write protected immediately after creation. The
  99. disk should only be written to on a system booted by your clean
  100. boot disk. If you need to backup new copies of your MBR or CMOS
  101. data, boot the clean disk and run the appropriate programs. Write
  102. protect the disk as soon as you are finished.
  103.  
  104.  
  105. What else you need besides this
  106. -------------------------------
  107. You should ALWAYS have a backup of your programs and data on your
  108. system along with any additional programs necessary to restore the
  109. files to the hard disk. The actual contents would depend on the
  110. Disaster Recovery Plan you have made.
  111.  
  112.  
  113. For more info on Disaster Recovery Disk(s), see my paper, "Making
  114. the Disaster Recovery Disks, OR Making the Magic Floppy", copyright
  115. 1993, Mike Lambert.
  116.  
  117.  
  118. Using GETMBR
  119. ------------
  120. Copy GETMBR.COM to your Disaster Recovery Disk.
  121.  
  122. The command line syntax is:
  123.  
  124. A:\>GETMBR
  125.  
  126. No parameters are necessary. This program should be run in a
  127. "clean" environment, preferably from your clean Disaster Recovery
  128. Disk.
  129.  
  130. GETMBR is a simple program that reads the MBR and EPBRs on C: and
  131. writes them to a file to A:MBREPBR.REC. GETMBR does NOT write
  132. to C:.
  133.  
  134. If A:MBREPBR.REC already exists, the MBR from C: is NOT written.
  135. If you wish to replace the MBREPBR.REC on A:, you must:
  136. 1. change the R/O attribute of the file: ATTRIB -R A:MBREPBR.REC
  137. 2. delete the file: DEL A:MBREPBR.REC
  138.  
  139. GETMBR does a couple of checks on the MBR to see if it looks like
  140. it is a real MBR. Viruses are also able to immitate an MBR so this
  141. program should NOT be used to validate an MBR. If GETMBR thinks
  142. that a virus or security program is/will interfere with the
  143. process, it will notify you with a message. In that case, boot with
  144. the clean Disaster Recovery Floppy and re-run GETMBR.
  145.  
  146. GETMBR will warn the user when it finds a partition starting on
  147. head 0, cylinder 0. This area is used by many viruses and a
  148. partition starting in this area could be severely damaged by a virus.
  149. If you have a partition starting somewhere under head 0, on
  150. cylinder 0, consider repartitioning the disk to start under head 1.
  151.  
  152. GETMBR will display all the ASCII text found in the MBR and then
  153. ask if it should be written to A:. Answer Y or N.
  154.  
  155. If the file A:MBREPBR.REC is written to A:, it will be set to
  156. Read Only (R/O).
  157.  
  158. Use PUTMBR to replace the MBR or EPBRs in the event you have to.
  159. PUTMBR 2.0+ is version sensitive, use the same version as the
  160. version of GETMBR used to create A:MBREPBR.REC.
  161.  
  162. At this time it is convenient to backup your CMOS data to the
  163. floppy disk as well. When backups are completed, write protect the
  164. floppy disk.
  165.  
  166. If you change your hard disk system in any way, repartition your
  167. disk, etc. reboot your system with the Disaster Recovery Disk,
  168. delete the old MBREPBR.REC file, and rerun GETMBR to store the new
  169. information.
  170.  
  171. GETMBR will not run if it detects a stealth virus or some access
  172. security systems. GETMBR and PUTMBR are not appropriate for backup
  173. and restoring protected systems, the product should have that
  174. capability. If a stealth virus is active, GETMBR will refuse to
  175. run. Remove the virus from your system and rerun GETMBR. Ideally,
  176. GETMBR should be run after the system has been booted by the
  177. Disaster Recovery Disk.
  178.  
  179.  
  180. What GETMBR looks like
  181. ----------------------
  182. The following is a sample output of GETMBR:
  183.  
  184. The MBR in this example is a "typical" MBR, your's should look much
  185. the same. This disk has an Extended Partition with one logical
  186. drive in it, so there is one EPBR saved. This file is 1536 bytes
  187. long. The first 512 bytes is the MBR, the second 512 bytes is
  188. maintenance information used by PUTMBR, and the succeeding 512 byte
  189. blocks is the EPBR. A Data Recovery Specialist will have no
  190. trouble using the file to put the disk back together if necessary.
  191. Do not modify any information in A:MBREPBR.REC.
  192.  
  193. -----------------------------------------------------------------------------
  194.  
  195. GETMBR v2.0 - write Master Boot Record and Extended Partition Boot Records
  196.               on C: to A:\MBREPBR.REC
  197. ...hold on while I reset your hard disk
  198. ...reading your Master Boot Record from C:
  199. This is your MBR in Hex and Ascii, look for anything unusual.
  200. FA33C08E D0BC007C 8BF45007 501FFBFC BF0006B9 0001F2A5  .3.....|..P.P...........
  201. EA1D0600 00BEBE07 B304803C 80740E80 3C00751C 83C610FE  ...........<.t..<.u.....
  202. CB75EFCD 188B148B 4C028BEE 83C610FE CB741A80 3C0074F4  .u......L........t..<.t.
  203. BE8B06AC 3C00740B 56BB0700 B40ECD10 5EEBF0EB FEBF0500  ....<.t.V.......^.......
  204. BB007CB8 010257CD 135F730C 33C0CD13 4F75EDBE A306EBD3  ..|...W.._s.3...Ou......
  205. BEC206BF FE7D813D 55AA75C7 8BF5EA00 7C000049 6E76616C  .....}.=U.u.....|..Inval
  206. 69642070 61727469 74696F6E 20746162 6C650045 72726F72  id partition table.Error
  207. 206C6F61 64696E67 206F7065 72617469 6E672073 79737465   loading operating syste
  208. 6D004D69 7373696E 67206F70 65726174 696E6720 73797374  m.Missing operating syst
  209. 656D0000 00000000 00000000 00000000 00000000 00000000  em......................
  210. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  211. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  212. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  213. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  214. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  215. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  216. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  217. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  218. 00000000 00000000 00000000 00008001 01000405 62402200  ....................b@".
  219. 0000AAFF 00000000 41410505 E22BCCFF 00004487 01000000  ........AA...+....D.....
  220. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  221. 00000000 000055AA                                      ......U.
  222. Do you want to save this MBR to A:\MBREPBR.REC? (Y/N) 
  223. ...checking A: for A:\MBREPBR.REC
  224. Checking EPBR  1  saved
  225.  
  226. MBR on C: successfully written to A:\MBREPBR.REC   (set R/O)
  227.  
  228. -----------------------------------------------------------------------------
  229.  
  230.  
  231. Using PUTMBR
  232. ------------
  233. Copy PUTMBR.COM to your Disaster Recovery Disk.
  234.  
  235. If you ever need to restore your MBR or EPBRs, boot your Disaster
  236. Recovery Disk, put in the disk with PUTMBR and your copy of
  237. MBREPBR.REC, and run PUTMBR. You could also do this procedure to see
  238. if your MBR has been changed. PUTMBR will not write to C: unless
  239. the disk copy is different and you tell PUTMBR to.
  240.  
  241.  
  242. The command line syntax is:
  243.  
  244. A:\>PUTMBR
  245.  
  246. No parameters are necessary. This program should be run in a
  247. "clean" environment, preferably from your clean Disaster Recovery
  248. Disk.
  249.  
  250. PUTMBR is a simple program that reads the Master Boot Record on
  251. A:MBREPBR.REC and writes it to C:, sector 1, head 0, side 0. The
  252. file, A:MBREPBR.REC is created by the GETMBR program.
  253.  
  254. PUTMBR is intended to be used to restore your MBR from the backup
  255. copy. It is your responsibility to insure that the MBR is not
  256. infected with a virus.
  257.  
  258. PUTMBR does a couple of checks on the MBR to see if it looks like
  259. it is a real MBR. Viruses are able to immitate an MBR so this
  260. program should NOT be used to validate an MBR.
  261.  
  262. PUTMBR will compare the MBR with the stored copy of the MBR and if
  263. it is different, it will give you a chance to replace it. If so,
  264. PUTMBR will display all the ASCII text found in the MBR and then
  265. ask if it should be written to C:. Answer Y or N. EPBRs are also
  266. compared and if different, will also prompt you asking if they
  267. should be replaced.
  268.  
  269. If PUTMBR finds that the MBR and EPBRs are the same, it will tell
  270. you and take no action.
  271.  
  272. PUTMBR tries to protect you from accidently writing the wrong MBR
  273. and EPBRs to your system. If the disk system does not match the disk
  274. system that the MBR and EPBRs were saved from, PUTMBR will not
  275. replace the MBR or EPBRs. Of course, if you have two identical
  276. systems partitioned differently, PUTMBR will not be able to know
  277. that the MBR and EPBRs are for the other system and will ask you if
  278. you want them replaced. It is the user's responsibility, not the
  279. program's, to insure that the correct MBR and EPBRs are being
  280. replaced. This is easily accomplished by labeling the disk for each
  281. computer. Since you would also use this same disk to backup your
  282. CMOS settings, it is prudent to fully identify the system on the
  283. disk label.
  284.  
  285. Do not modify the MBREPBR.REC file. PUTMBR checks the integrity of
  286. the file and will not restore the MBR or EPBRs if the file has been
  287. modified. If you are sure that the MBR and EPBRs stored are
  288. correct, consult a Data Recovery Specialist. They will be able to
  289. use the file contents to recover your system.
  290.  
  291. PUTMBR will not run if it detects a stealth virus or some access
  292. security systems. GETMBR and PUTMBR are not appropriate for backup
  293. and restoring protected systems, the product should have that
  294. capability. If a stealth virus is active, PUTMBR will refuse to
  295. run. Remove the virus from your system and run GETMBR. Ideally,
  296. GETMBR should be run after the system has been booted by the
  297. Disaster Recovery Disk.
  298.  
  299.  
  300. What PUTMBR looks like
  301. ----------------------
  302. The following is a sample output of PUTMBR:
  303.  
  304. -----------------------------------------------------------------------------
  305.  
  306. If the stored MBR and EPBRs are identical to the disk copies:
  307.  
  308. PUTMBR v2.0 - write Master Boot Record on C: from A:\MBREPBR.REC
  309. ...hold while I reset your hard disk.
  310. ...reading your Master Boot Record from A:\MBREPBR.REC
  311. The stored MBR is the same as the disk's MBR, no need to restore it
  312. Checking EPBR  1 Ok, no need to restore it.
  313.  
  314. -----------------------------------------------------------------------------
  315.  
  316. If the hard disk MBR and EPBR are different:
  317.  
  318. PUTMBR v2.0 - write Master Boot Record on C: from A:\MBREPBR.REC
  319. ...hold while I reset your hard disk.
  320. ...reading your Master Boot Record from A:\MBREPBR.REC
  321. The stored MBR is different from the disk copy, this is the file's copy
  322. FA33C08E D0BC007C 8BF45007 501FFBFC BF0006B9 0001F2A5  .3.....|..P.P...........
  323. EA1D0600 00BEBE07 B304803C 80740E80 3C00751C 83C610FE  ...........<.t..<.u.....
  324. CB75EFCD 188B148B 4C028BEE 83C610FE CB741A80 3C0074F4  .u......L........t..<.t.
  325. BE8B06AC 3C00740B 56BB0700 B40ECD10 5EEBF0EB FEBF0500  ....<.t.V.......^.......
  326. BB007CB8 010257CD 135F730C 33C0CD13 4F75EDBE A306EBD3  ..|...W.._s.3...Ou......
  327. BEC206BF FE7D813D 55AA75C7 8BF5EA00 7C000049 6E76616C  .....}.=U.u.....|..Inval
  328. 69642070 61727469 74696F6E 20746162 6C650045 72726F72  id partition table.Error
  329. 206C6F61 64696E67 206F7065 72617469 6E672073 79737465   loading operating syste
  330. 6D004D69 7373696E 67206F70 65726174 696E6720 73797374  m.Missing operating syst
  331. 656D0000 00000000 00000000 00000000 00000000 00000000  em......................
  332. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  333. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  334. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  335. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  336. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  337. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  338. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  339. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  340. 00000000 00000000 00000000 00008001 01000405 62402200  ....................b@".
  341. 0000AAFF 00000000 41410505 E22BCCFF 00004487 01000000  ........AA...+....D.....
  342. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  343. 00000000 000055AA                                      ......U.
  344. Do you want to write this MBR to C: ? (Y/N) 
  345. PUTMBR writing MBR to C:
  346. Checking EPBR  1 , it is different than stored copy.
  347. Do you want to restore it?  EPBR restored from backup copy.
  348.  
  349. -----------------------------------------------------------------------------
  350.  
  351. If the MBREPBR.REC is a backup of some other system and does not
  352. match this disk system:
  353.  
  354. PUTMBR v2.0 - write Master Boot Record on C: from A:\MBREPBR.REC
  355. ...hold while I reset your hard disk.
  356. ...reading your Master Boot Record from A:\MBREPBR.REC
  357. The saved MBR does not match this disk geometry, Wrong Backup Copy!
  358.  
  359. ============================================================================
  360.  
  361.  
  362. Additional Information
  363. ----------------------
  364.  
  365. Below are some examples of some things you don't want to backup
  366. with GETMBR. They are viruses and you can see that the MBR
  367. presented to you is different than the example of the "typical" MBR
  368. above. These are for illustration purposes, different versions of
  369. the viruses look different. I've * out about half of the hex, for
  370. obvious reasons.
  371.  
  372. Just a short note on Multi-partitte viruses. These infect the MBR
  373. and load at boot time. The virus replicates via COM and EXE files
  374. rather than floppy disks. Imagine the problems you'd have if you
  375. had one of these and was running GETMBR and PUTMBR from a hard disk
  376. (not write protected) while infected.
  377.  
  378. To use GETMBR and PUTMBR most effectively, they should be placed on
  379. a clean bootable floppy and GETMBR should backup a clean MBR and
  380. EPBRs. If the floppy is then write protected, you won't go wrong.
  381. Booting that clean floppy disk and runing PUTMBR will ensure that
  382. you really restore your real MBR to the real MBR sector on the
  383. disk. Use some common sense and think about what you do!
  384.  
  385.  
  386. This is what the AZUSA virus looks like:
  387.  
  388. GETMBR v2.0 - write Master Boot Record and Extended Partition Boot Records
  389.               on C: to A:\MBREPBR.REC
  390. ...hold on while I reset your hard disk
  391. ...reading your Master Boot Record from C:
  392. This is your MBR in Hex and Ascii, look for anything unusual.
  393. E98B008E D0BC007C 8BF450F6 C402745B F6C28075 56501E31  .......|..P...t[...uVP.1
  394. ******** D0FEC084 ******** 44535152 ******** 01020E07  .........?.uDSQR.WV.....
  395. BB0002B9 ******** E8350072 ******** 89023B06 ********  .........5.r&.....;...t.
  396. ******** 0827B601 ******** 0EE81F00 ******** DB41B600  .....'.....r.......1.A..
  397. E80D005E ******** 5B1F58EA ******** 9C2EFF1E ********  ...^_.ZY[.X.........l...
  398. ******** 00B90800 ******** 7003BF70 ******** A4C331C0  ............p..p......1.
  399. 8ED88ED0 ******** 4C00A36C ******** A36E7CA1 ********  ......|.L..l|.N..n|...H.
  400. ******** D3E08EC0 ******** 0B00A34E ******** BE007C31  ..........L....N......|1
  401. FFFCF3A4 ******** 50CB31C0 ******** 8EC0B801 ********  ....P...P.1...1........|
  402. ******** 00F6C1FF ******** 00EA007C ******** 27BA0001  ...?....t..Q...|....'...
  403. CD1372F1 ******** 02BB0002 ******** 8000CD13 ********  ..r.................r...
  404. ******** 0074D6E8 ******** 0331DB41 ******** BEBE01B9  .9...t..e....1.A........
  405. 0400803C ******** C610E2F6 ******** 028B14CD ********  ...<.t.........L........
  406. ******** 1580066F ******** 030E0731 ******** B600CD13  o..u...o.......1........
  407. EB0E31C0 ******** 080400C6 ******** 0E1FC606 ********  ..1.................o...
  408. ******** C3000001 00000000 00000000 00000000 00000000  .Z......................
  409. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  410. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  411. 00000000 00000000 00000000 00008001 01000103 11961100  ........................
  412. 00000B28 00000000 01970503 D1AA1C28 000050D1 00000000  ...(...........(..P.....
  413. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  414. 00000000 000055AA                                      ......U.
  415. Do you want to save this MBR to A:\MBREPBR.REC? (Y/N) 
  416. GETMBR not writing MBR to A:
  417.  
  418. -----------------------------------------------------------------------------
  419.  
  420. This is what the JOSHI virus looks like:
  421.  
  422. GETMBR v2.0 - write Master Boot Record and Extended Partition Boot Records
  423.               on C: to A:\MBREPBR.REC
  424. ...hold on while I reset your hard disk
  425. ...reading your Master Boot Record from C:
  426. A stealth MBR virus (or security monitor) is active, disable it and try again
  427. Hit Y and I'll show you what the -REAL- MBR looks like.
  428. EB1F908E D08EC08E D8B8007C 8BE0FB8B F0BF007E FCB90001  ...........|.......~....
  429. ******** 02B90002 ******** 8ED88ED0 ******** A11304B1  ........................
  430. 06D3E08E ******** 2D2100BF ******** 7C03F003 ********  ........-!......|.....y.
  431. ******** A675108C ******** 8EC0BB00 ******** 0100CBA1  +....u.... .......S.....
  432. 13042D06 ******** B106D3E0 ******** 7CBF0000 ********  ..-.............|.......
  433. ******** 0520008E ******** 06530E1F ******** 8A2E1E7C  ..... .......S.........|
  434. 8A0E1F7C ******** 207C50B8 ******** 58505351 ********  ...|.... |P.....XPSQR...
  435. ******** 58731050 ******** B400CD13 ******** 58EBE2FE  .ZY[Xs.PSQR......ZY[X...
  436. C181C300 ******** 508AC12A ******** 08581F72 ********  ........P..*..|,.X.r....
  437. ******** 00000000 00000000 00000000 00000000 00000000  ........................
  438. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  439. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  440. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  441. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  442. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  443. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  444. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  445. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  446. 00000000 00000000 00000000 00008001 01000606 E3BD2300  ......................#.
  447. 0000B394 03000000 00000000 00000000 00000000 00000000  ........................
  448. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  449. 00000000 000055AA                                      ......U.
  450. ReBoot a clean system; run PUTMBR
  451.  
  452. -----------------------------------------------------------------------------
  453.  
  454. This what is the MICHAELANGELO virus looks like:
  455.  
  456. GETMBR v2.0 - write Master Boot Record and Extended Partition Boot Records
  457.               on C: to A:\MBREPBR.REC
  458. ...hold on while I reset your hard disk
  459. ...reading your Master Boot Record from C:
  460. This is your MBR in Hex and Ascii, look for anything unusual.
  461. E9AC00F5 00809F02 07001A03 00C81E50 0AD2751B 33C08ED8  ...............P..u.3...
  462. ******** 01751058 ******** 1E0A009C ******** CA020058  ..?..u.X...............X
  463. 1F2EFF2E ******** 51521E06 ******** 0E07BE04 ********  ......PSQR..VW..........
  464. ******** 010033D2 ******** 00730C33 ******** 0A004E75  ......3......s.3......Nu
  465. E4EB4333 ******** 077506AD ******** 35B80103 ********  ..C3...;.u..;G.t5.......
  466. ******** 7402B10E ******** 9CFF1E0A ******** BE03BFBE  ....t............r......
  467. 01B92100 ******** 010333DB ******** D29CFF1E ********  ..!.......3....3......_^
  468. ******** 5B58C333 ******** 8ED0B800 ******** 1E50A14C  ..ZY[X.3........|....P.L
  469. 00A30A7C ******** 0C7CA113 ******** 1304B106 ********  ...|.N...|...HH.........
  470. ******** 0E00A34C ******** 00B9BE01 ******** FFFCF3A4  ..|....L...N......|3....
  471. 2EFF2E03 ******** C0CD130E ******** BB007C8B ********  ....|3............|.....
  472. ******** BA8000CD ******** 0E0800BA ******** 72200E07  ..u.......+.........r ..
  473. B80102BB ******** 00BA8000 ******** 33F6FCAD ********  ..............r.3...;.uO
  474. ******** 754933C9 ******** 81FA0603 ******** D2B90100  .;G.uI3.........t..3....
  475. B809038B ******** FE037410 ******** 0E7409B2 ********  ....6.....t......t......
  476. ******** BB00508E ******** 0432E4CD ******** 36070072  ......P....s.2.....:6..r
  477. CF32F6FE ******** 0700890E ******** 03BA8000 ********  .2....................r.
  478. ******** BE01B921 ******** 010333DB ******** **900000  .......!......3.........
  479. 00000000 00000000 00000000 00008001 01000103 11961100  ........................
  480. 00000B28 00000000 01970503 D1AA1C28 000050D1 00000000  ...(...........(..P.....
  481. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  482. 00000000 000055AA                                      ......U.
  483. Do you want to save this MBR to A:\MBREPBR.REC? (Y/N) 
  484. GETMBR not writing MBR to A:
  485.  
  486. -----------------------------------------------------------------------------
  487.  
  488. This is what the NOINT virus looks like:
  489.  
  490. GETMBR v2.0 - write Master Boot Record and Extended Partition Boot Records
  491.               on C: to A:\MBREPBR.REC
  492. ...hold on while I reset your hard disk
  493. ...reading your Master Boot Record from C:
  494. A stealth MBR virus (or security monitor) is active, disable it and try again
  495. Hit Y and I'll show you what the -REAL- MBR looks like.
  496. EB3C908E D0BC007C 8BF45007 501FFBFC BF0006B9 0001F2A5  .<.....|..P.P...........
  497. ******** 00BEBE07 ******** 80740E80 ******** 83C610FE  ...........<.t..<.u.....
  498. CB75EFCD ******** 4C028BEE ******** C08ED88B ********  .u......L......3........
  499. ******** 4C0036A3 ******** 0036A30E ******** 36A3AB00  ....L.6....N.6......6...
  500. 4848A313 ******** E08EC036 ******** DA00A34C ********  HH.........6.......L...N
  501. ******** 161F33F6 ******** A436FF2E ******** 809F8CD0  ......3......6..........
  502. 8EC0B801 ******** C2807411 ******** 80009C2E ********  .....3....t.............
  503. ******** 02B90300 ******** 2EFF1E0C ******** 80E86200  .................r....b.
  504. 33C08ED8 ******** BC000433 ******** D22EFF2E ********  3..........3.3.3.......|
  505. ******** 80FC0275 ******** 00752983 ******** 51B90700  ...P...u9....u)...uQ...
  506. B801029C ******** 01597220 ******** 01581F55 ********  .........Yr ..&!.X.U...f
  507. ******** 1A0300C8 ******** 05E80A00 ******** 2EFF2E0C  ..]........w....r.X.....
  508. 01005351 ******** BE0200B8 ******** 00BB0002 ********  ..SQRVW...............2.
  509. ******** 0C01730F ******** FF1E0C01 ******** EB5190BE  ......s.3.......Nu...Q..
  510. D6000E1F ******** 00027443 ******** 0302B93B ********  ......;...tC.......;....
  511. ******** BE01B942 ******** 0103BB00 ******** B60180FA  .......B................
  512. 017605B9 ******** 9C2EFF1E ******** B8010333 ********  .v....2.......r....3.2..
  513. ******** 1E0C0107 ******** 5BC3FCFC 00000000 00000000  ........_^ZY[...........
  514. 00000000 00000000 00000000 00008001 01000103 11961100  ........................
  515. 00000B28 00000000 01970503 D1AA1C28 000050D1 00000000  ...(...........(..P.....
  516. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  517. 00000000 000055AA                                      ......U.
  518. ReBoot a clean system; run PUTMBR
  519.  
  520. -----------------------------------------------------------------------------
  521.  
  522. This is what the STONED virus looks like:
  523.  
  524. GETMBR v2.0 - write Master Boot Record and Extended Partition Boot Records
  525.               on C: to A:\MBREPBR.REC
  526. ...hold on while I reset your hard disk
  527. ...reading your Master Boot Record from C:
  528. This is your MBR in Hex and Ascii, look for anything unusual.
  529. EA0500C0 07E99900 021A0300 C8E40080 9F007C00 001E5080  ..................|...P.
  530. ******** 80FC0473 ******** 0E33C08E ******** A8017503  ..r....s...u.3....?...u.
  531. E8070058 ******** 09005351 ******** BE0400B8 ********  ...X......SQR.VW........
  532. ******** C98BD141 ******** 0900730E ******** FF1E0900  ...3...A......s.3.......
  533. 4E75E0EB ******** BF0002FC ******** 057506AD ********  Nu..5.3........;.u..;E.t
  534. ******** BB0002B1 ******** 2EFF1E09 ******** 010333DB  !................r....3.
  535. B10133D2 ******** 09005F5E ******** C333C08E ********  ..3......._^.ZY[.3......
  536. ******** A14C00A3 ******** 00A30B7C ******** 48A31304  ..|..L...|.N...|...HH...
  537. B106D3E0 ******** 7CB81500 ******** 064E00B9 ********  ........|....L...N......
  538. ******** FCF3A42E ******** B80000CD ******** C0B80102  3................3......
  539. BB007C2E ******** 00740BB9 ******** 00CD13EB ********  ..|..>...t..........I...
  540. ******** CD13723E ******** 04077512 ******** 1FAC0AC0  ......r>&..l..u.........
  541. 7408B40E ******** EBF30E07 ******** 0002B101 ********  t.......................
  542. ******** 1FBE0002 ******** 3B057511 ******** 750B2EC6  .r..........;.u..;E.u...
  543. 06080000 ******** 002EC606 ******** 0103BB00 ********  ........................
  544. ******** 1372DF0E ******** BE03BFBE ******** F3A4B801  .....r............B.....
  545. 0333DBFE ******** C507596F ******** 43206973 ********  .3........Your PC is now
  546. ******** 6E656421 ******** 004C4547 ******** 45204D41   Stoned!.....LEGALISE MA
  547. 52494A55 ******** 00000000 00008001 01000103 11961100  RIJUANA!................
  548. 00000B28 00000000 01970503 D1AA1C28 000050D1 00000000  ...(...........(..P.....
  549. 00000000 00000000 00000000 00000000 00000000 00000000  ........................
  550. 00000000 000055AA                                      ......U.
  551. Do you want to save this MBR to A:\MBREPBR.REC? (Y/N) 
  552. GETMBR not writing MBR to A:
  553.  
  554. -----------------------------------------------------------------------------
  555.  
  556. Please take the time to give me some feedback, good or bad. I would
  557. have no way of knowing if you find this of value if noone ever gave
  558. any feedback!! My intention is to make this of value, am I helping
  559. or hurting?
  560.  
  561.  
  562. Mike Lambert - 92-93
  563. 1153 Dublin Place
  564. Herndon, Va 22070
  565. Fax 703-471-6214
  566.  
  567.