手工修复NTFS文件系统的 DBR.doc_第1页
手工修复NTFS文件系统的 DBR.doc_第2页
手工修复NTFS文件系统的 DBR.doc_第3页
全文预览已结束

下载本文档

版权说明：本文档由用户提供并上传，收益归属内容提供方，若内容存在侵权，请进行举报或认领

文档简介

NTFS分析的DBR和备份DBR都被破坏的修复。1、修复思路：我们可以把一个正常的NTFS分区的正常DBR拷贝到0号扇区，然后在对其中的参数进行修改。1、我们需要修改的参数也就是:每簇扇区数在DBR的偏移地址（0x0D）8扇区总数在DBR的偏移地址（0x280x2F）$MFT起始簇号在DBR的偏移地址（0x300x37）$MFTMirr起始簇号在DBR的偏移地址（0x380x3F）好的我们分别来找这几个参数。1 搜索$MFTMirr的起始扇区，因为$MFTMirr一般处于卷的中间位置。所以找起来比较方便。我们先转到卷的中间偏上一些位置。这里就是305172/2=152586.我们就转到152586扇区吧。这里全是零。好的我们下面开始搜索$MFTMirr的开始标志46494C45很快在152648号扇区找到了$MFTMirr。在查找$MFTMirr时。你可以在卷的中间位置上下查找。好的我们已经找到了$MFTMirr。下面我们就来分析它。我们都知道$MFTMirr是$MFT的前几个记录项的备份。第一个备份当然就是备份的$MFT本身了。要重构DBR我们需要在$MFT中找到80属性。就是$MFT的数据属性。具体的分析我在前面的教程都讲过了。我们看到它的起始VCN是00 00 00 00 00 00 00 00 结束VCN是 5F 00 00 00 00 00 00 00 。那么所占的簇数为96个簇。我们有看到分配给它的空间是 00 C0 00 00 00 00 00 00 也就是49152个字节，把它化为扇区：49152/512=96（扇区）。它的运行处也表明了它占用96个簇。96个扇区刚好分给它96个簇， 96（扇区）/96（簇）=1扇区/簇。这里我们的一个参数已经出来了。就是每簇扇区数为1个。还有$MFTMirr起始扇区数是152648号扇区，换算成簇也就是152648号簇。（还可以去看$MFTMirr的MFT记录项的数据运行）好的。现在我们已经知道了$MFTMirr起始簇号，每簇扇区数，扇区总数又可以很容易找到，下面就只需要知道$MFT的起始簇号就OK了。怎么找呢。很简单。上面就有了。看到运行处。31 60 5C 8D 01 说明$MFT的起始簇号就
人人文库> 全部分类> 专业文献 > 生活休闲

温馨提示

  • 1. 本站所有资源如无特殊说明，都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
  • 2. 本站的文档不包含任何第三方提供的附件图纸等，如果需要附件，请联系上传者。文件的所有权益归上传用户所有。
  • 3. 本站RAR压缩包中若带图纸，网页内容里面会有图纸预览，若没有图纸预览就没有图纸。
  • 4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
  • 5. 人人文库网仅提供信息存储空间，仅对用户上传内容的表现方式做保护处理，对用户上传分享的文档内容本身不做任何修改或编辑，并不能对任何下载内容负责。
  • 6. 下载文件中如有侵权或不适当内容，请与我们联系，我们立即纠正。
  • 7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。

最新文档

评论

0/150

提交评论