用WinHex手工恢复硬盘分区表

用WinHex手工恢复硬盘分区表最近，PC机不能正常引导，将硬盘挂载到其它PC机上，显示硬盘未分区，结果如下图所示 ：原硬盘分为4个分区，但现在显示未分区，推测是硬盘的分区表丢失，计划用WinHex工具手工恢复硬盘分区表，通过用WinHex查看分区表，果真丢失了分区表，于是利用该工具进行了恢复，成功修复硬盘。恢复期间，参考了网上的众多资料，这些资料虽然提供了很多帮助，但感觉理论性太强，没有充分利用工具本身的优势，因此作一总结，以为新手提供帮助。为了更好的理解恢复方案，在文中增加了小知识点，如果对理论不感兴趣，可略过这些小知识点，直接参考恢复步骤即可。在此也一并感谢在网上分享资料的各位大侠。一、查看MBR(MasterBootRecord)利用WINHEX打开硬盘的MBR，如下图所示：8E-叩Nvlii*Ubla■ latf1H甘于匕・ncc11C*口》11«电9 i*"nyit^wH*『工'昌fbflhI9tMUribttki f■faemi 1CFAlfSAf.41■■・*一■.-a.*T1tl8E-叩Nvlii*Ubla■ latf1H甘于匕・ncc11C*口》11«电9 i*"nyit^wH*『工'昌fbflhI9tMUribttki f■faemi 1CFAlfSAf.41■■・*一■.-a.*T1tl1日gX妙04MQ■口Idi12DQ；?口bW'iJ'OQ1AQDWAWDISO□皿/岫cicePDtHl守口01£!白f-f^nji：jftl［mtcm：3013D打1 41g即:10初不设［仪|小口LEzqR口”白MOQ2口D0&口［刎QJOMF.,^C^iQr^kQ0，C"。「［思国胆口中方口MOUMtirO8CWIM0W1Cff°i{303D(I<ON7g由Q3IDc4ta>Mym。□M<hb4 ■・■—・!J・.件190g■10vtS41ft?・q>ico9rm”E)ZBl3例IBgIFCI-tPMfOKherr*EZia?4Q0WiwH|CIk［let>*，L*IIM4lU2«VVI|«l中疝*/u中P宣从图中可见，1、第1扇区的55AA前的64个字节全为0,表明分区表信息丢失。2、在最上边的栏中的可以看到分区信息，包括分区名称、类型、大小、该分区的首扇区等信息，这些将帮助我们迅速地恢复硬盘分区。小知识1：MBR（MasterBootRecorder）、DPT（DiskPartitionTable）MBR位于磁盘的第一个扇区，CHS地址是0柱面，0磁头，1扇区，共占用63个扇区，实际上只使用1扇区；其布局如下：扇区内偏移描述0x0000-0x01BD446字节引导代码0X01BE-0X01FD4个16字节主分区表项，共描述4个分区表项，每个分区表项可以描述一个主分区或一个扩展分区0X01FE-0X01FF2字节MBR签名（0XAA55）（两个字节分别为55、AA）每个分区表项各占16个字节，含义如下；字书内容及含义1弓1导标■至：比H表示活的分区；Soh表示非活动分区本分区的起始磁头号W扇瓦号、柱面号•反磁舆号占用1字节、扇区号占用2字节的低6位、柱面号2字节的高8.位+3.学千）5.分区类型：：OOH表示该分区未用06H表示FAT16分区□BH表示FAT32分区（1BH.OCH.1CH也表示该分区）07H表示NTFS分区05I-I表示扩展分区DFH表示（LBA模式）扩展分区8初表示LINUX分区6、7、S本分区结束的磁尾号、扇区号、柱面号9、10.11.12病区三前已用了的扇区羲1芸14、15.16|:号区的总扇区数DPT中定义的分区包括主分区和扩展分区，主分区+扩展分区总共不能超过4个。所谓主分区是指DPT中包含能够被系统的磁盘分区，一个硬盘主分区至少有1个，最多4个，它是可以设置为活动的，即可以引导操作系统。一个硬盘只能有一个活动分区。扩展分区并不能被系统直接使用，它的作用是突破DPT中只能定义四个分区限制的，可以没有，最多1个。对于windows系统，一般分为一个主分区，一个扩展分区。（本文介绍的方法也是针对这种情况，对硬盘分区表进行恢复）。其做法：定义完主分区之后，将多余的容量定义为扩展分区，指定该分区的起始位置，根据起始位置指向硬盘的某一扇区，称作扩展MBR（EBR），在其中定义下一个分区表。如果只有一个分区，就定义该分区，然后结束；如果不只一个分区，就定义一个基本分区和一个扩展分区，扩展分区再指向下一个分区表，在下一个分区表中定义分区，直至结束。在扩展分区中定义的分区就是逻辑分区。扩展分区的容量=各个逻辑分区的容量之和+隐藏扇区（即EBR所占用扇区）另外EBR的结构跟MBR的结构是一样的，也是占用63个扇区。对于一个分为4个区的硬盘数据结构如下a63C盘D盘ERRE盘F盘L If扩点曲3 ）V~一♦分区2扩展分区1图中的C盘为主分区，D盘、E盘、F盘都为逻辑分区。小知识2：硬盘寻址方式编号方式表万法采用该种方式编号的对象起始编号物理扇区编号0柱面。磁头1扇区BIOS,内置中断服务程序0柱面。磁头1扇区绝对扇区编号绝募X扇区'’.复加为方便所采用的办法绝就◎扇区逻辑扁区编号逻辑半扇匹操作系统逻辑1扁区二、分区表恢复方案由于目前普遍采用LBA寻址方式，每个分区表项的16字节信息中最重要的是1、5、9、10、11、12、13、14、15、16四组信息。至于2、3、4字节，对于C盘，一般为010100，其它盘为00、、C1、FF（即0磁头、1扇区、1111111111柱面（由于柱面数一般会大于1024，因此表示柱面数的10位全为1））；6、7、8字节一般填写FE、FF、FF即可。第1字节代表引导标志，引导盘为80，其它则为00；第5字节代表分区类型，可自图中所示分区类型获得，本硬盘中，四个分区类型分别为：FAT32、FTA32、NTFS、FAT32。第9、10、11、12字节代表本分区之前已用了的扇区数，需要通过计算获得第13、14、15、16字节代表本分区的总扇区数，需要通过计算获得。通过查找EBR中的分区信息，及WinHex系统提供的信息，计算MBR中的分区信息，完成分区表的恢复。三、手工恢复硬盘分区表过程1、收集各EBR中的分区信息由于EBR的结构与MBR结构一样，即以55AA作为结束标志，因此可以搜索55AA。为加快搜索速度，设置offsetmod512=510即对512的整数倍的510、511字节进行搜索。如果是直接从MBR处开始搜索，要注意判断是否是£3区，该扇区前面、后面的几个扇区的字节一般全为00.

小技巧：由于WinHex工具本身提供的信息较全，可直接点击Partition2后，进行反向搜索。很快搜索到第一个EBR。如下图所示：第1扩展分区分区示意图在第一个扩展分区，其分区信息表如下：0001C1FF0BFEFFFF3F000000AD2CE2040000C1FF05FEFFFFEC2CE204EC2CE204再点击Partitions进行反向搜索，得到第2个EBR，如下图所示:

llndiChvvi^il+'utAtiitjifUElftMi^KAlilllndiChvvi^il+'utAtiitjifUElftMi^KAlil'■frlflHwjra£十45，'"n问 j£0均n*QTJfl.»^*csawsau卡匕筹通£lyjr］i>W・514U谢必m］产*>3\皿电驾期网TOSII 寻J卜Jl|r£Hm：Ji4.1Offa砒［gi2J1 % , ■P9*BC1EF<WtPI5EA€Ce?45：UEAQhN肥J4AQiiEJS后式口EAEEKEULUO5HA-」□IUU取C4F00tAeMCSfiCWEd"加EHD9；lDOco00HO00ocmoe0300归09w0J0000co「ciDIQD00op加QIQC00DO旗tn00g00UC!g00的啦Otlaooc00口口口电naQCDO口□tic00如co第2扩展分区分区示意图第二个扩展分区的分区信息如下:000101000BFEFFFF3F000000AD2CE2040000C1FF05FEFFFFD859C409731A6C06再点击，Partition4,进行反向搜索，得到第3个EBR,如下图所示:

，圾.日国尸IHU十ULNsnw?* ］Fitja4T*「IWtT\ |iFwtorj%叱1 由r【新即4x2 FAT391SB菊1谕a rw-91心第5途•PtL'th-K耳・曲--WEE 0123^5^709ASCDEFMadel■t*>1曲""UE折水岫二 WD疝白831Mrf。*曰”. 5:/“Ji加3%&小弘航fUndPF第wi nT«彳米冉EWC9口00 m 03 QQ 0口 00 09 OO OQ DO OQ 09 on og oc aoi日1ae值qcvnno iw ao oo 0□ oc 口口 co oo do oo go gn qq du juLEtASJ号匚［JCZ M :」如 OD CT g CID 加 00 30 CO JU □□ 我 3Q“血”匚泞ca 师皿蜘 0D QQ 0Q QQ Q0 00 ID 00 QQ OQ Q> 0DllEAEtKihODO DO OO 06 0D 00 0D OO M 00 M 0D DD OD UH OD16：Ai35CE3CO SC ：3 9C DO EC 8 CC 抗 C3 DC M M CC 30ieiA£35Ct3C： JC ：3 DO D3 CC M OC 3C C3 QC C3 ：C 03 CC 30ie£AZMK3CD 3C "D 00 DD CC 09 QC 9C 00 DC 55 Cd 03 CC 3t>7 心中虻可 ？附G5tiwtr 5煌由gadtvd； 行见F/rtlni 《启P FSttKIhG 脸f*sgi；Chs«uier^0寸i«ir hftiBrteesd^r1iiMr|中 ，注］Wfv青 1hr我d挈『曲栉 1lECAt「口 11' Ki QQ OO 00 DV DO UQ DO DO CO M 0O 00 UDDO HQ 30 砸 0Q 町。09 00 00 00 QQ CO Cfi OO OC 口口IBEAOQpg DO M DQ 00 0Q 00 00 砸 OQ 00 QO CO CO 00 QU ［口186A£INDia QQ M 00 US G0 00 00 OO OS 00 SO 00 QO 00 00 ODr^E0rW?O DO N 00 D<> GO 00 00 00 OS 00 80 00 00 00 0> MI晦AEWMJ Ou」『00 00 00 mG 00 GO 加 00 DO GO 8 00 DO 001*AE胖心打 DO i>(： W OO 00 加 00 时 00 00 DO 如 00 00 OCluaAEm弓usfl ou UE m on 00i cr oa oci oo oo oo oo do oo oc m1f€.AK3?DaO 00 IH M 00 00 00 Oft 0© OQ 00 00 OO DC 00 OC 小。1€!lA£JW?D 00或力诚03玳JJ Ct 耻CO M眦00即3口leLAij«taj co jc 第用 口」心c uj at 」口 co dq s」u 1口 跳 jj1日加现用m Jt 州戏DU雕UJ QL 00 M CJ M 00 GC」Q16iAi35tA3 C2 3c 33 g g CO Q9 QC g 3 M S OC C-3 CC g1L14PIdiri 21上UBrmk”中丫牙4厘胡式上叫Tr7LE；AE3?［=3 C：' 9C 8 M 8 tC g Gt OC 8 M ；3 m g EC QI1€6A1MMO C£ 件 CB FE FF ft 3F CO M 00 M 1A X 恒 Dt 0Q闺一吟即 00 W 00 D> M 00 00 OG M 00 10 00 M 00 00 MiF-.vast--^ 0： sc :i zc m tio 口才 cc &G oo l*c he E cr nW加产4iis^AEaftrFoicnmehiononornrnooodgsmoa与qaaIHIREAEiTdIDJL)Z<DO赤白0ft0LDOCJDOGJOHOOEC1口le？Aiy^EioDjntlJl：uuocioooidooodoc>jtaaocjoMi-1 nui-% eO0工工，上军第3扩展分区分区示意图第三个扩展分区的分区信息如下：0001C1FF0BFEFFFF3F000000341A6C062、计算C盘及扩展分区的信息对于C盘，其之前已用的扇区数，就是MBR所占用的扇区，共63个扇区，转换成16进制为3F。接下来重点计算本分区的总扇区数。实际上，C盘后紧跟第1个EBR，其是自63扇区开始，结束于第1个EBR之前的第1个扇区。通过第1扩展分区分区示意图的左下角可看到EBR位于4096570扇区，则C盘结束的扇区是40965749.因此C盘所占用扇区为40965749—63+1=40965687。转换成16进制为：2711637,则13、14、15、16字节分别为：37、16、71、02.对于第1扩展分区，其分区之前所用的扇区数，即是C盘总的扇区数及MBR之和，即40965687+63=40965750,转换成16进制，则为：2711676,则9、10、11、12字节分别为：76、16、71、02.现在需要计算第一扩展分区的总扇区。第一扩展分区的总扇区可采用两种方法计算。一种是各个逻辑分区的容量之和+隐藏扇区（即EBR所占用扇区）；另外一种是（硬盘总扇区一未分区的扇区）一MBR所点扇区一C盘所占扇区。下面分别采用这两种方法进行计算：方法一：各个逻辑分区的容量之和+隐藏扇区（即EBR所占用扇区）自各EBR得到信息，第一个逻辑分区为04E22CAD扇区，第二个逻辑分区为04E22CAD,第三个逻辑分区为066C1A34，另外，每个EBR占用3F扇区，共3个，则其和为：1030744B,则13、14、15、16字节分别为：4B、74、30、10.

方法二：（硬盘总扇区一未分区的扇区）一MBR所点扇区一C盘所占扇区（硬盘总扇区一未分区的扇区）代表了参与分区的总的扇区，本硬盘中，存在未分区的空间2.5MB,自312576705个扇区开始，也就意味着有312576705个扇区进行了分区（自0开始计算扇区），MBR所占扇区为63个，C盘所占扇区为40965687,则第一扩展分区的总扇区为：312576705—63—40965687=271610955,转换成16进制为：1030744B,与方法一结果相同。至些，完成分区表各重要参数的计算。C盘及第一个扩展分区的分区信息如下：800101000BFEFFFF3F000000371671020000C1FF0FFEFFFF761671024B7430103、编辑分区表内容根据刚计算的C盘及扩展分区的信息，编辑分区表。如下图所示：J「血曰1WTtlSS!，职cm?FAT■整且Jr-aVKSr^HTF$BiG8心皿FATXM喀*53*泌7J「血曰1WTtlSS!，职cm?FAT■整且Jr-aVKSr^HTF$BiG8心皿FATXM喀*53*泌7jlSO3UKBQOffdet0000000090onoooooosfiCQDOOOODCC0Q0Q0O0DWDGDOQOD3ECt^OGQO&DfOQQ000001WQgOOGOQiWOGOOCOD120OQOO0OO1WQQ0QQ0CI140OOOOuOOlSCCDOOOOOl600QDQCD0170OCOOQCKll^如。忙OWLOGOGOOOIACOaOOGOCIBODaDOQD01U1>oooonooin>ci>CDDO0OO1ECDaoooociFODDDO0DO2LO。口OQg支国[I口。0白0口之和00Mge12404B55IB43口。5318051D247420EE6T5SQU。口ion口。口口0D>gOQ0000000000g；34二上后罅0080E4SAS66EFF7600E口OFB900BB4175326Sm0255656800OD07B707EB078®FOF2F4E3C3496E&F锯206E616<2073796F70E500g00gFEFFOFFEFF0口OQGODO00SO00000000口D00000000000。DOGO00皿KuI-111工iniu2+r;1 。｝口-loyv*hdel*&ew'vKeuLL,*1£Mu；fmCPAd2iim>fhfbJSfSfUfh