欢迎来到天天文库
浏览记录
ID:26832586
大小:727.00 KB
页数:9页
时间:2018-11-29
《用WinHex手工恢复硬盘分区表.doc》由会员上传分享,免费在线阅读,更多相关内容在学术论文-天天文库。
1、用WinHex手工恢复硬盘分区表最近,PC机不能正常引导,将硬盘挂载到其它PC机上,显示硬盘未分区,结果如下图所示:原硬盘分为4个分区,但现在显示未分区,推测是硬盘的分区表丢失,计划用WinHex工具手工恢复硬盘分区表,通过用WinHex查看分区表,果真丢失了分区表,于是利用该工具进行了恢复,成功修复硬盘。恢复期间,参考了网上的众多资料,这些资料虽然提供了很多帮助,但感觉理论性太强,没有充分利用工具本身的优势,因此作一总结,以为新手提供帮助。为了更好的理解恢复方案,在文中增加了小知识点,如果对理论不
2、感兴趣,可略过这些小知识点,直接参考恢复步骤即可。在此也一并感谢在网上分享资料的各位大侠。一、查看MBR(MasterBootRecord)利用WINHEX打开硬盘的MBR,如下图所示:从图中可见,1、第1扇区的55AA前的64个字节全为0,表明分区表信息丢失。2、在最上边的栏中的可以看到分区信息,包括分区名称、类型、大小、该分区的首扇区等信息,这些将帮助我们迅速地恢复硬盘分区。小知识1:MBR(Master Boot Recorder)、DPT(Disk Partition Table) MBR位
3、于磁盘的第一个扇区,CHS地址是0柱面,0磁头,1扇区,共占用63个扇区,实际上只使用1扇区;其布局如下: 扇区内偏移描 述 0x0000-0x01BD 446 字节引导代码0x01BE-0x01FD 4个16字节主分区表项,共描述4个分区表项,每个分区表项可以描述一个主分区或一个扩展分区 0x01FE-0x01FF 2字节MBR签名(0xAA55)(两个字节分别为55、AA)DPT中定义的分区包括主分区和扩展分区,主分区+扩展分区总共不能超过4个。所谓主分区是指DPT中包含能够被系统的磁盘分区,
4、一个硬盘主分区至少有1个,最多4个,它是可以设置为活动的,即可以引导操作系统。一个硬盘只能有一个活动分区。扩展分区并不能被系统直接使用,它的作用是突破DPT中只能定义四个分区限制的,可以没有,最多1个。对于windows系统,一般分为一个主分区,一个扩展分区。(本文介绍的方法也是针对这种情况,对硬盘分区表进行恢复)。其做法:定义完主分区之后,将多余的容量定义为扩展分区,指定该分区的起始位置,根据起始位置指向硬盘的某一扇区,称作扩展MBR(EBR),在其中定义下一个分区表。如果只有一个分区,就定义该分
5、区,然后结束;如果不只一个分区,就定义一个基本分区和一个扩展分区,扩展分区再指向下一个分区表,在下一个分区表中定义分区,直至结束。在扩展分区中定义的分区就是逻辑分区。扩展分区的容量=各个逻辑分区的容量之和+隐藏扇区(即EBR所占用扇区)另外EBR的结构跟MBR的结构是一样的,也是占用63个扇区。对于一个分为4个区的硬盘数据结构如下:图中的C盘为主分区,D盘、E盘、F盘都为逻辑分区。二、分区表恢复方案由于目前普遍采用LBA寻址方式,每个分区表项的16字节信息中最重要的是1、5、9、10、11、12、1
6、3、14、15、16四组信息。至于2、3、4字节,对于C盘,一般为010100,其它盘为00、、C1、FF(即0磁头、1扇区、1111111111柱面(由于柱面数一般会大于1024,因此表示柱面数的10位全为1));6、7、8字节一般填写FE、FF、FF即可。第1字节代表引导标志,引导盘为80,其它则为00;第5字节代表分区类型,可自图中所示分区类型获得,本硬盘中,四个分区类型分别为:FAT32、FTA32、NTFS、FAT32。第9、10、11、12字节代表本分区之前已用了的扇区数,需要通过计算获
7、得第13、14、15、16字节代表本分区的总扇区数,需要通过计算获得。通过查找EBR中的分区信息,及WinHex系统提供的信息,计算MBR中的分区信息,完成分区表的恢复。三、手工恢复硬盘分区表过程1、收集各EBR中的分区信息由于EBR的结构与MBR结构一样,即以55AA作为结束标志,因此可以搜索55AA。为加快搜索速度,设置offsetmod512=510,即对512的整数倍的510、511字节进行搜索。如果是直接从MBR处开始搜索,要注意判断是否是EBR,该扇区前面、后面的几个扇区的字节一般全为0
8、0.小技巧:由于WinHex工具本身提供的信息较全,可直接点击Partition2后,进行反向搜索。很快搜索到第一个EBR。如下图所示:第1扩展分区分区示意图在第一个扩展分区,其分区信息表如下:0001C1FF0BFEFFFF3F000000AD2CE2040000C1FF05FEFFFFEC2CE204EC2CE204再点击Partition3进行反向搜索,得到第2个EBR,如下图所示:第2扩展分区分区示意图第二个扩展分区的分区信息如下:000101000BFEFF
此文档下载收益归作者所有