手工修复ntfs文件系统的 dbr

《手工修复ntfs文件系统的 dbr》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、NTFS分析的DBR和备份DBR都被破坏的修复。1、修复思路：我们可以把一个正常的NTFS分区的正常DBR拷贝到0号扇区，然后在对其中的参数进行修改。1、我们需要修改的参数也就是:每簇扇区数——在DBR的偏移地址（0x0D）8扇区总数——在DBR的偏移地址（0x28——0x2F）$MFT起始簇号——在DBR的偏移地址（0x30——0x37）$MFTMirr起始簇号——在DBR的偏移地址（0x38——0x3F）好的我们分别来找这几个参数。1搜索$MFTMirr的起始扇区，因为$MFTMirr一般处于卷的中间位置。所以找起来比较方便。我们先转到卷的中间偏上一些位置。这里就

2、是305172/2=152586.我们就转到152586扇区吧。这里全是零。好的我们下面开始搜索$MFTMirr的开始标志46494C45很快在152648号扇区找到了$MFTMirr。在查找$MFTMirr时。你可以在卷的中间位置上下查找。。。好的我们已经找到了$MFTMirr。下面我们就来分析它。我们都知道$MFTMirr是$MFT的前几个记录项的备份。第一个备份当然就是备份的$MFT本身了。。要重构DBR我们需要在$MFT中找到80属性。就是$MFT的数据属性。具体的分析我在前面的教程都讲过了。我们看到它的起始VCN是0000000000000000结束VCN是

3、5F00000000000000。那么所占的簇数为96个簇。我们有看到分配给它的空间是00C0000000000000也就是49152个字节，把它化为扇区：49152/512=96（扇区）。它的运行处也表明了它占用96个簇。96个扇区刚好分给它96个簇，96（扇区）/96（簇）=1扇区/簇。这里我们的一个参数已经出来了。就是每簇扇区数为1个。还有$MFTMirr起始扇区数是152648号扇区，换算成簇也就是152648号簇。（还可以去看$MFTMirr的MFT记录项的数据运行）好的。现在我们已经知道了$MFTMirr起始簇号，每簇扇区数，扇区总数又可以很容易找到，下面

4、就只需要知道$MFT的起始簇号就OK了。。。。怎么找呢。很简单。上面就有了。。看到运行处。。31605C8D01说明$MFT的起始簇号就是5C8D01也就是101724号簇。。呵呵。大功告成了。。。。下面的工作就是把这些参数填回去了。