硬盘分区恢复的报告.doc

《硬盘分区恢复的报告.doc》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、硬盘分区恢复的报告项目名称：硬盘分区出错的恢复一、目的：1、了解MBR、EBR和DBR。2、学会恢复出错的硬盘分区。3、了解FAT32文件系统。二、仪器及设备计算机、虚拟机、Winhex软件等。三、步骤（一）、主分区表损坏的恢复MBR例子，通过如下步骤实现对分区错误的恢复：首先，添加一个新的磁盘，对其进行分区：在winhex中打开磁盘，使用Winhex对该磁盘的0扇区分区表进行备份，即主引导分区表的备份。如下图所示：其次，将该盘的主引导扇区的分区表填充为“00”，如图所示：对填充后的分区表进行保存

2、，刷新磁盘可见如下图，磁盘为未被分区的状态：再在winhex中打开该磁盘，搜索全部的“55AA”有效标志，如下，可知该盘的第一个分区格式为FAT32，现在已经知道磁盘的第一个分区是FAT32格式的，找到扇区的分区起始LBA地址，并将其复制给第一个分区，这样就恢复了第一个分区，如图：（分区起始LBA地址）（填充分区格式及LBA地址）用第一个分区的大小扇区数加上63得到下一个分区的起始地址，再将其和转换为十六进制，再进行填充，如此类推来完成对剩余的分区进行恢复，如图：最后，将磁盘驱动停用后，重新启动以

3、刷新磁盘的分区，验证分区的恢复，如图所示：（二）、DBR损坏后的恢复如果一个分区的DBR损坏，试图打开该分区时会提示“未格式化”，并询问是否对其进行格式化，而格式化将会向磁盘中写入代码或对某些区域进行清零操作，因此，为了尽可能地挽救其中的数据，应该禁止对其进行格式化操作。在这里，我们以FAT32文件系统为例，进行FAT32文件系统DBR损坏后的恢复。对于FAT32文件系统，如果只是DBR意外损坏，位于文件系统6号扇区的备份完好的情况下，可以使用备份DBR恢复主DBR；如果备份DBR也已经损坏，就需

4、要根据分区中的数据存储情况重建其DBR来恢复其中的数据。而在此例中，我们制造的是DBR和FAT1被破坏的实验环境。首先向磁盘1中的第一个分区里拷入一些目录和文件，以营造数据存储环境。在这里，我们在其中拷入三个目录“目录1”、“目录2”、“目录3”，每个目录下都有一个文件。（磁盘1的第一个分区（F：））（F32根目录下的内容）（每个目录下的文件）然后，我们将保留区域及FAT1中的内容全部清零，制造DBR和FAT1被破坏的实际情景。完毕后，将磁盘停用后再启用，发现该分区的卷标已经不再显示，试图打开分区

5、时提示未格式化。这时候，在Winhex中的逻辑磁盘内选择该分区也无法将其打开，因此，我们选择打开物理磁盘，然后在打开的物理磁盘界面中单击按钮选择该分区将其打开，如图所示。分区打开后，我们看到分区DBR已经不存在。现在，我们开始对该分区进行分析与恢复：1、进行尝试性搜索，以确定原文件系统的类型：通过搜索十六进制字节“F8FFFF”寻找FAT表，如果能找到FAT表，则说明原来的文件系统是FAT系列文件系统，然后根据FAT表的特征值进而判断是哪一种FAT类型。搜索十六进制“F8FFFF”时，设置如图所示

6、。很快，在10024号扇区找到一个“F8FFFF”，如图所示。因为FAT表的起始处是“F8FFFFOF”，故这个扇区的内容是一个FAT32的FAT表，说明原来的文件系统是FAT32。通常FAT1的起始处位于40号扇区以前，而我们搜索到的这个FAT表位置在10024号扇区，所以应该考虑它是FAT2，按F3键继续向下搜索，没有再次找到该值，说明这确实是FAT2的起始扇区。我们可以在表格中做一个简单的记录。（在表格中做记录）（按“F3”继续向下搜索）（没有再次找到该值）1、寻找根目录：寻找根目录是为了确

7、定FAT2的大小，从而可用FAT2恢复FAT1。寻找根目录的方法有多种，第一种方法是搜索回收站，第二种方法是估算法，第三种方法是搜索卷标，第四种方法是搜索较早建立于根目录下的目录或文件名，在此，我们用第四种方法，在Winhex工具栏中单击搜索文本字符按钮，即可弹出文本搜索设置框，设置如图所示。设置完毕后单击OK按钮即可开始搜索，最终在20016号扇区找到“目录1”。同时还可以看到其他两个目录的目录项，如图所示。我们将根目录添加进“分析”表格中，如图所示。现在，我们可以计算出FAT2的大小，进而算出

8、FAT1的起始位置，如图所示。1、计算每簇大小扇区数。我们知道，为子目录分配的簇空间中，第一个目录项一定是一个“.”目录项，这个目录项用以描述该子目录本身，其中有一个参数描述了它现在所处的扇区的簇号（偏移Ｏｘ１４－Ｏｘ１５为簇号的高二位，偏移Ｏｘ１Ａ－Ｏｘ１Ｂ处为簇号的低二位）。我们利用两个子目录间的起始扇区号差和它们的簇号差，就可以计算出每个簇的大小扇区数。要搜索一个子目录，可以在Winhex中搜索位于扇区起始处的十六进制值“2Ｅ”，这是“．”后面跟随１０个空格的十六进制表现形式