數(shù)據(jù)恢復(fù)分區(qū)表

1、數(shù)據(jù)恢復(fù)硬盤(pán)的數(shù)據(jù)結(jié)構(gòu)下面是一個(gè)分了三個(gè)區(qū)的整個(gè)硬盤(pán)的數(shù)據(jù)結(jié)構(gòu)MBRC盤(pán)EBRD盤(pán)EBRE盤(pán)MBR，即主引導(dǎo)紀(jì)錄，位于整個(gè)硬盤(pán)的0柱面0磁道1扇區(qū)，共占用了63個(gè)扇區(qū)，但實(shí)際只使用了1個(gè)扇區(qū)（512字節(jié)）。在總共512字節(jié)的主引導(dǎo)記錄中，MBR又可分為三部分：第一部分：引導(dǎo)代碼，占用了446個(gè)字節(jié)；第二部分：分區(qū)表，占用了64字節(jié)；第三部分：55AA，結(jié)束標(biāo)志，占用了兩個(gè)字節(jié)。用winhex軟件來(lái)恢復(fù)誤分區(qū)，主要就是恢復(fù)第二部分：分區(qū)表。引導(dǎo)代碼的作用：就是讓硬盤(pán)具備可以引導(dǎo)的功能。如果引導(dǎo)代碼丟失，分區(qū)表還在，那么這個(gè)硬盤(pán)作為從盤(pán)所有分區(qū)數(shù)據(jù)都還在，只是這個(gè)硬盤(pán)自己不能夠用來(lái)啟動(dòng)進(jìn)系統(tǒng)了。如

2、果要恢復(fù)引導(dǎo)代碼，可以用DOS下的命令：FDISK /MBR；這個(gè)命令只是用來(lái)恢復(fù)引導(dǎo)代碼，不會(huì)引起分區(qū)改變，丟失數(shù)據(jù)。另外，也可以用工具軟件，比如DISKGEN、WINHEX等。但分區(qū)表如果丟失，后果就是整個(gè)硬盤(pán)一個(gè)分區(qū)沒(méi)有，就好象剛買(mǎi)來(lái)一個(gè)新硬盤(pán)沒(méi)有分過(guò)區(qū)一樣。是很多病毒喜歡破壞的區(qū)域。EBR，也叫做擴(kuò)展MBR（Extended MBR）。因?yàn)橹饕龑?dǎo)記錄MBR最多只能描述4個(gè)分區(qū)項(xiàng)，如果想要在一個(gè)硬盤(pán)上分多于4個(gè)區(qū)，就要采用擴(kuò)展MBR的辦法。MBR、EBR是分區(qū)產(chǎn)生的。比如MBR和EBR各都占用63個(gè)扇區(qū)，C盤(pán)占用1435329個(gè)扇區(qū)那么數(shù)據(jù)結(jié)構(gòu)如下表：631435329631435329

3、631253889MBRC盤(pán)EBRD盤(pán)EBRE盤(pán)擴(kuò)展分區(qū)而每一個(gè)分區(qū)又由DBR、FAT1、FAT2、DIR、DATA5部分組成：比如C 盤(pán)的數(shù)據(jù)結(jié)構(gòu)：631435329631435329631253889MBRC盤(pán)EBRD盤(pán)EBRE盤(pán)擴(kuò)展分區(qū)C 盤(pán)DBRFAT1FAT2DIRDATA打開(kāi)WINHEX打開(kāi)硬盤(pán)分析一下MBR，前446個(gè)字節(jié)為引導(dǎo)代碼，對(duì)我們來(lái)說(shuō)沒(méi)有意義，我們只分析分區(qū)表中的64個(gè)字節(jié)。分區(qū)表64個(gè)字節(jié)，一共可以描述4個(gè)分區(qū)表項(xiàng)，每一個(gè)分區(qū)表項(xiàng)可以描述一個(gè)主分區(qū)或一個(gè)擴(kuò)展分區(qū)（比如上面的分區(qū)表，第一個(gè)分區(qū)表項(xiàng)描述主分區(qū)C盤(pán)，第二個(gè)分區(qū)表項(xiàng)描述擴(kuò)展分區(qū)，第三第四個(gè)分區(qū)表項(xiàng)填零未用）每

4、一個(gè)分區(qū)表項(xiàng)各占16個(gè)字節(jié)，各字節(jié)含義如下：（H表示16進(jìn)制）字節(jié)位置內(nèi)容及含義第1字節(jié)引導(dǎo)標(biāo)志。若值為80H表示活動(dòng)分區(qū)；若值為00H表示非活動(dòng)分區(qū)。第2、3、4字節(jié)本分區(qū)的起始磁頭號(hào)、扇區(qū)號(hào)、柱面號(hào)第5字節(jié)分區(qū)類(lèi)型符：00H表示該分區(qū)未用06HFAT16基本分區(qū)0BHFAT32基本分區(qū)05H擴(kuò)展分區(qū)07HNTFS分區(qū)0FH（LBA模式）擴(kuò)展分區(qū)83H Linux分區(qū)第6、7、8字節(jié)本分區(qū)的結(jié)束磁頭號(hào)、扇區(qū)號(hào)、柱面號(hào)第9、10、11、12字節(jié)本分區(qū)之前已用了的扇區(qū)數(shù)第13、14、15、16字節(jié)本分區(qū)的總扇區(qū)數(shù)此硬盤(pán)的第一分區(qū)表（即MBR）分析如下：第一個(gè)分區(qū)表項(xiàng)（C盤(pán)）第1字節(jié)80：表示此分區(qū)為活動(dòng)分區(qū)；第5字節(jié)0B：表示分區(qū)類(lèi)型為Fat32；第9、10、11、12字節(jié) 系統(tǒng)隱含扇區(qū)3F 00 00 00：所謂系統(tǒng)隱含扇區(qū)就是本分區(qū)（C盤(pán)）之前已用了的扇區(qū)數(shù)，這是一個(gè)十六進(jìn)制數(shù)，但要注意：真正的隱含扇區(qū)數(shù)應(yīng)該反過(guò)來(lái)填寫(xiě)（比如：隱含扇區(qū)數(shù)為3E 4D 5A 6F，則反過(guò)來(lái)就是6F 5A 4D 3E ，這才是實(shí)際