计算机检测维修与数据恢复（上册）课件 项目6 磁盘分区恢复

任务1虚拟磁盘应用项目6磁盘分区恢复子任务1利用Windows10磁盘管理创建、附加及分离虚拟磁盘01利用Windows10磁盘管理创建虚拟磁盘02利用Windows10磁盘管理附加虚拟磁盘03利用Windows10磁盘管理分离虚拟磁盘目录contents利用Windows10磁盘管理创建虚拟磁盘01任务实施1一、利用Windows10的磁盘管理创建虚拟磁盘（共有3个步骤）步骤一：打开管理器步骤二：打开磁盘管理器步骤三：创建虚拟磁盘一步骤一：打开管理器在电脑桌面右键单击“此电脑”，在下拉菜单中单击“管理”菜单，进入计算机管理界面。利用Windows10磁盘管理创建虚拟磁盘一步骤二：打开磁盘管理器在计算机管理界面中，找到存储下“磁盘管理”菜单，并单击它，打开“磁盘管理”窗口。如图6-1所示。利用Windows10磁盘管理创建虚拟磁盘图6-1“磁盘管理”菜单图一利用Windows10磁盘管理创建虚拟磁盘图6-2磁盘管理“创建VHD”菜单图步骤三：创建虚拟磁盘1.运行“创建VHD”程序右键单击“磁盘管理”，在下拉菜单中找到“创建VHD”菜单，如图6-2所示。单击它，进入创建虚拟磁盘界面。一利用Windows10磁盘管理创建虚拟磁盘2.设置虚拟磁盘参数在创建虚拟磁盘界面的“位置”栏，点击“浏览”按键，弹出要创建虚拟磁盘文件的保存路径，选择桌面路径，键入“6任务1-1-1.vhd”。在“虚拟磁盘大小”栏选择单位为“GB”,键入“16”。在“虚拟磁盘格式”栏选择默认的“VHD”格式。在“虚拟磁盘类型”栏选择“动态扩展”。输入以上参数，即为创建虚拟磁盘参数。如图6-3所示。一利用Windows10磁盘管理创建虚拟磁盘图6-3磁盘管理创建虚拟磁盘界面图一利用Windows10磁盘管理创建虚拟磁盘3.创建虚拟磁盘在创建虚拟磁盘界面上点击“确定”键，程序进入创建虚拟磁盘进程，且很快完成。在“磁盘管理”窗口出现磁盘1，即为创建的虚拟磁盘。同时，在浏览电脑桌面，出现“6任务1-1-1.vhd”文件，即为创建虚拟磁盘文件，创建虚拟磁盘操作完成。利用Winhex直接和数据解释器读取EBR分区表参数02任务实施1一、利用Windows10的磁盘管理附加虚拟磁盘（共有3个步骤）步骤一：打开管理器步骤二：打开磁盘管理器步骤三：附加虚拟磁盘二步骤一：打开管理器在电脑桌面右键单击“此电脑”，在下拉菜单中单击“管理”菜单，进入计算机管理界面。利用Windows10磁盘管理附加虚拟磁盘二步骤二：打开磁盘管理器在计算机管理界面中，找到存储下“磁盘管理”菜单，并单击它，打开“磁盘管理”窗口。利用Windows10磁盘管理附加虚拟磁盘二利用Windows10磁盘管理附加虚拟磁盘图6-4磁盘管理“附加VHD”菜单图步骤三：附加虚拟磁盘1.运行“附加VHD”程序右键单击存储下“磁盘管理”菜单，在下拉菜单中找到“附加VHD”菜单，如图6-4所示。单击它，弹出附加虚拟磁盘界面。二利用Windows10磁盘管理附加虚拟磁盘2.选择附加虚拟磁盘文件路径及名称在附加虚拟磁盘界面的“位置”栏，点击“浏览”按键，弹出存放虚拟磁盘文件的保存路径，选择桌面路径，选择打开“6任务1-1-1.vhd”。如图6-5所示。图6-5磁盘管理附加虚拟磁盘界面图二利用Windows10磁盘管理附加虚拟磁盘3.附加虚拟磁盘在附加虚拟磁盘界面上点击“确定”键，程序进入附加虚拟磁盘进程，且很快完成。在“磁盘管理”窗口出现磁盘2，即为需附加的虚拟磁盘。对于Windows10系统，可通过双击虚拟磁盘文件的办法来附加虚拟磁盘。在此不再描述。附加虚拟磁盘完成。利用Windows10磁盘管理分离虚拟磁盘03任务实施1一、利用Windows10的磁盘管理分离虚拟磁盘（共有3个步骤）步骤一：打开管理器步骤二：打开磁盘管理器步骤三：分离虚拟磁盘三步骤一：打开管理器在电脑桌面右键单击“此电脑”，在下拉菜单中单击“管理”菜单，进入计算机管理界面。利用Windows10磁盘管理分离虚拟磁盘三步骤二：打开磁盘管理器在计算机管理界面中，找到存储下“磁盘管理”菜单，并单击它，打开“磁盘管理”窗口。利用Windows10磁盘管理分离虚拟磁盘三利用Windows10磁盘管理分离虚拟磁盘步骤三：分离虚拟磁盘1.找到要分离虚拟磁盘在硬盘管理的硬盘窗口中，找到要分离的虚拟磁盘是磁盘1。三利用Windows10磁盘管理分离虚拟磁盘步骤三：分离虚拟磁盘1.找到要分离虚拟磁盘在硬盘管理的硬盘窗口中，找到要分离的虚拟磁盘是磁盘1。三利用Windows10磁盘管理分离虚拟磁盘2.执行“分离VDH”程序右键单击磁盘1的标头，弹出下拉菜单在下拉菜单中，找到“分离VHD”功能菜单，然后，点击“分离VHD”菜单，弹出分离虚拟磁盘提示窗口，点击“确定”，完成分离虚拟磁盘任务。如图6-6所示。图6-6磁盘管理“分离VHD”菜单图感谢观看THANKSFORWATCHING任务1虚拟磁盘应用项目6磁盘分区恢复子任务2利用Windows10磁盘管理初始化（GPT）虚拟磁盘01利用Winhex查看硬盘被初始化前有无参数02利用Windows10磁盘管理初始化（GPT分区形式）虚拟磁盘03利用Winhex查看虚拟磁盘被初始后有无参数目录contents利用Winhex查看硬盘被初始化前有无参数01任务实施2利用Windows10磁盘管理初始化（GPT）虚拟磁盘一、利用Windows10的磁盘管理创建虚拟磁盘（共有3个步骤）步骤一：附加虚拟磁盘步骤二：启动Winhex，并打开虚拟磁盘步骤三：查看虚拟磁盘有无参数一步骤一：附加虚拟磁盘在资源管理器中，双击素材文件夹中“6任务1-2-1.VHD”虚拟磁盘（尚未初始化）。也可用Windows10磁盘管理器完成附加。利用Winhex查看硬盘被初始化前有无参数一步骤二：启动Winhex，并打开虚拟磁盘在电脑桌面右键点击运行Winhex，弹出菜单，点击“以管理员身份运行”，弹出Winhex界面，点击工具栏的“打开磁盘”功能按键，弹出“选择磁盘”对话框，选择物理驱动器“HD1”。如图6-7、8所示。利用Winhex查看硬盘被初始化前有无参数图6-7Winhex“打开磁盘”功能按键图图6-8Winhex“选择磁盘”对话框图一利用Winhex查看硬盘被初始化前有无参数图6-9Winhex编辑窗口信息（6任务1-2-1.VHD）图步骤三：查看虚拟磁盘有无参数点击“确定”，完成HD1调入，编辑窗口显示HD1信息，在“分区类型”栏中显示“问号”，说明硬盘未分区，在Winhex工作窗口，第0扇区全部数据为“0”，说明硬盘未写入引导程序和分区表，无参数。如图6-9所示。一利用Winhex查看硬盘被初始化前有无参数图6-10Winhex编驱动器窗口信息（“关闭”对话框）图步骤三：查看虚拟磁盘有无参数右键点击Winhex状态窗口上的“硬盘1”，弹出“关闭”对话框，如图6-10所示。点击“关闭”，完成关闭磁盘操作。一利用Winhex查看硬盘被初始化前有无参数关闭并分离虚拟磁盘，在素材文件夹中复制“6任务1-2-1.VHD”，得到一个副本，把副本改名为“6任务1-2-2.VHD”，为下一个任务提供素材。利用Windows10磁盘管理初始化（GPT分区形式）虚拟磁盘02任务实施2利用Windows10磁盘管理初始化（GPT）虚拟磁盘二、利用Windows10磁盘管理初始化（GPT）虚拟磁盘（共有2个步骤）步骤一：附加虚拟磁盘步骤二：初始化虚拟磁盘二步骤一：附加虚拟磁盘在资源管理器中，双击素材文件夹中的“6任务1-2-2.VHD”虚拟磁盘，附加虚拟磁盘完成。也可用磁盘管理器完成附加。利用Windows10磁盘管理初始化（GPT分区形式）虚拟磁盘二利用Windows10磁盘管理初始化（GPT分区形式）虚拟磁盘步骤二：初始化虚拟磁盘1.找到需要初始化的虚拟磁盘打开磁盘管理，在“磁盘管理”窗口中找到需要初始化的“磁盘1”。状态为“无联机”。二利用Windows10磁盘管理初始化（GPT分区形式）虚拟磁盘图6-10磁盘管理“初始化磁盘”菜单图2.运行初始化程序右键单击需要初始化的虚拟磁盘“磁盘1”的盘符，在下拉菜单中找到“初始化磁盘”菜单并点击它，如图6-10所示。二利用Windows10磁盘管理初始化（GPT分区形式）虚拟磁盘3.设置初始化参数弹出初始化磁盘界面，在选择硬盘栏的“磁盘1”前打钩。“为所选磁盘使用以下磁盘分区形式”栏的默认是“GPT”，不更改。。如图6-11所示。图6-11磁盘管理初始化磁盘界面二利用Windows10磁盘管理初始化（GPT分区形式）虚拟磁盘4.完成初始化点击“确定”，磁盘状态暂时变为“正在初始化”，然后变为“联机”状态，此硬盘被初始成GPT硬盘，尚未建成系统分区和用户分区，磁盘管理器提示“未分配”。利用Winhex查看虚拟磁盘被初始后有无参数03任务实施2利用Windows10磁盘管理初始化（GPT）虚拟磁盘三、利用Winhex查看虚拟磁盘被初始后有无参数（共有3个步骤）步骤一：附加虚拟磁盘步骤二：启动Winhex，并打开虚拟磁盘步骤三：查看虚拟磁盘有无参数三步骤一：附加虚拟磁盘在资源管理器中，双击素材文件夹中“6任务1-2-2.VHD”虚拟磁盘（已初始化）。也可用磁盘管理器完成附加。利用Winhex查看虚拟磁盘被初始后有无参数三步骤二：启动Winhex，并打开虚拟磁盘启动Winhex，点击工具栏的“打开磁盘”功能按键，弹出“选择磁盘”窗口，选择物理驱动器“HD1”，点击“确定”，完成HD1调入。利用Winhex查看虚拟磁盘被初始后有无参数三利用Winhex查看虚拟磁盘被初始后有无参数步骤三：分离虚拟磁盘1.找到要分离虚拟磁盘在硬盘管理的硬盘窗口中，找到要分离的虚拟磁盘是磁盘1。三利用Winhex查看虚拟磁盘被初始后有无参数步骤三：查看虚拟磁盘有无参数根据GPT分区类型结构特点，一旦初始化为GPT，将建成一个MSR（保留分区，在格式化前是空分区，无数据），硬盘的0、1、2及倒数1、33号扇区有数据。一利用Windows10磁盘管理分离虚拟磁盘在Winhex编辑窗口显示HD1信息，“分区类型”栏显示“GPT”，说明硬盘初始化GPT类型，硬盘的0、1、2及倒数1、33号扇区都有数据。如图6-12所示。图6-12Winhex编辑窗口信息图一利用Windows10磁盘管理分离虚拟磁盘确认初始化后硬盘建立了相关参数，有了数据。关闭并分离虚拟磁盘，在素材文件夹中复制“6任务1-2-2.VHD”，得到一个副本，把副本改名为“6任务1-3-1.VHD”，为下一个任务提供素材。感谢观看THANKSFORWATCHING任务1虚拟磁盘应用项目6磁盘分区恢复子任务3利用DG分区格式化虚拟磁盘01利用Winhex查看硬盘被初始化前有无参数02利用Windows10磁盘管理初始化（GPT分区形式）虚拟磁盘03利用Winhex查看虚拟磁盘被初始后有无参数目录contents利用Winhex查看硬盘被初始化前有无参数01任务实施3利用DG分区格式化虚拟磁盘一、利用DG分区软件对虚拟磁盘进行分区（共有5个步骤）步骤一：附加虚拟磁盘步骤二：启动DG分区软件，选定需要分区的虚拟磁盘步骤三：建立ESP分区步骤四：建立GPT分区步骤五：保存更改，但不格式化分区一步骤一：附加虚拟磁盘在资源管理器中，双击素材文件夹中“6任务1-3-1.VHD”虚拟磁盘（已初始化成GPT，未分区格式化），也可用磁盘管理器完成附加。利用DG分区软件对虚拟磁盘进行分区一步骤二：启动DG分区软件，选定需要分区的虚拟磁盘盘运行DG分区软件，磁盘窗口中，单击选定需要分区的虚拟磁盘HD1。利用DG分区软件对虚拟磁盘进行分区一利用DG分区软件对虚拟磁盘进行分区图6-13DG“建立ESP、MSR”分区界面图步骤三：建立ESP分区在DG功能按键菜单栏中，找到“新建分区”功能按键。单击“新建分区”功能按键，弹出“建立ESP、MSR”分区界面。如图6-13所示。一利用DG分区软件对虚拟磁盘进行分区步骤三：查看虚拟磁盘有无参数找到“在建立新分区之前，是否先建立下列ESP、MSR分区？”设置栏，在“建立ESP分区”前打钩，选默认值300M，“建立MSR分区”不可选，去掉“对齐到下列扇区数的整数倍”前的“勾”。点击“确定”，软件进入建立ESP分区进程。一利用DG分区软件对虚拟磁盘进行分区图6-14DG“建立新分区”界面图步骤四：建立GPT分区建立ESP分区进程完成后，弹出“建立新分区”界面。如图6-14所示。一利用DG分区软件对虚拟磁盘进行分区步骤四：建立GPT分区在“请选择分区类型”栏，选定“主磁盘分区”。在“请选择文件系统类型”栏，选定“NTFS”。在“新分区大小”栏，输入“100”，单位是“GB”。去掉“对齐到下列扇区数的整数倍”栏前的“勾”。点击“确定”键，程序进入建立分区进程，并很快完成。一利用DG分区软件对虚拟磁盘进行分区图6-15DG分区界面图步骤四：建立GPT分区磁盘状态栏出现3个分区：ESP分区、MSR分区和1个未格式化分区，如图6-15所示。一利用DG分区软件对虚拟磁盘进行分区步骤四：建立GPT分区这个未格式化分区是主分区，也称GPT主分区，GPT没有逻辑分区，分区格式化类型是“NTFS”,状态是“未格式化”，说明尚未格式化。一利用DG分区软件对虚拟磁盘进行分区图6-16DG“保存更改”对话框图步骤五：保存更改，但不格式化分区单击DG功能按键菜单栏的功能按键“保存更改”。弹出确认对话框，点击“是”。如图6-16所示。弹出格式化对话框，点击“否”。如图6任务1-3-7所示。图6-17DG“格式化”对话框图一利用DG分区软件对虚拟磁盘进行分区图6-16DG“保存更改”对话框图DG软件自动对各区参数保存，保存成功标志是分区出现红边框，最后红边框停在最后一个分区。“NTFS”变成“MSBasicDataPartition”,分区头部颜色显示是橙色变成灰色，表示“NTFS”及分区类型，还需进一步格式化确定。如图6-18所示。一利用DG分区软件对虚拟磁盘进行分区步骤五：保存更改，但不格式化分区关闭并分离虚拟磁盘，在素材文件夹中复制“6任务1-3-1.VHD”，得到一个副本，把副本改名为“6任务1-3-2.VHD”，为下一个任务提供素材。用Winhex查看虚拟磁盘被分区后各分区有无参数02任务实施3利用DG分区格式化虚拟磁盘二、用Winhex查看虚拟磁盘被分区后各分区有无参数（共有3个步骤）步骤一：附加虚拟磁盘步骤二：初始化虚拟磁盘步骤三：查看虚拟磁盘有无参数二步骤一：附加虚拟磁盘在资源管理器中，双击素材文件夹中“6任务1-3-2.VHD”虚拟磁盘（未格式化），也可用磁盘管理器完成附加。用Winhex查看虚拟磁盘被分区后各分区有无参数二用Winhex查看虚拟磁盘被分区后各分区有无参数启动Winhex，点击工具栏的“打开磁盘”功能按键，弹出“选择磁盘”窗口，选择物理驱动器“HD1”，点击“确定”，完成HD1调入。在Winhex编辑窗口显示HD1信息，在分区状态窗口内见到了3个分区，其中：“分区1”是MSR分区；“分区2”是ESP分区，“分区3”是系统及用户分区。如图6-19所示。图6-19Winhex编驱动器窗口信息（6任务1-3-2.VHD）图步骤二：启动Winhex，并打开虚拟磁盘二利用DG分区软件对虚拟磁盘各分区进行格式化点击各分区，在编辑窗口看到它们的数据全部为“0”，说明没有数据。保存，然后关闭并分离虚拟磁盘。。步骤三：查看虚拟磁盘有无参数利用Winhex查看虚拟磁盘被初始后有无参数03任务实施2利用Windows10磁盘管理初始化（GPT）虚拟磁盘三、利用DG分区软件对虚拟磁盘各分区进行格式化（共有3个步骤）步骤一：附加虚拟磁盘步骤二：启动DG分区软件，选定需要分区的虚拟磁盘步骤三：格式化各分区三步骤一：附加虚拟磁盘在资源管理器中，双击素材文件夹中“6任务1-3-2.VHD”虚拟磁盘（未格式化），也可用磁盘管理器完成附加。利用DG分区软件对虚拟磁盘各分区进行格式化三运行DG分区软件，磁盘窗口中，单击选定需要分区的虚拟磁盘HD1。利用DG分区软件对虚拟磁盘各分区进行格式化步骤二：启动DG分区软件，选定需要分区的虚拟磁盘三利用DG分区软件对虚拟磁盘各分区进行格式化步骤三：保存更改，但不格式化分区点击分区1（ESP），单击“格式化”键，弹出“格式化分区”界面。在“文件系统”栏，选定“FAT32”。点击“格式化”确认键，弹出“格式化确认”窗口，点击“是”，软件对该分区进行格式化，格式化完成后，系统文件由“FAT16”变成“FAT32”。如图6-20所示。1.格式化分区1（ESP）分区图6-20DG“格式化分区”界面（ESP分区）图三利用DG分区软件对虚拟磁盘各分区进行格式化步骤三：分离虚拟磁盘2.格式化分区2（MSR）分区分区2（MSR）是空分区，无需格式化。三利用DG分区软件对虚拟磁盘各分区进行格式化步骤三：保存更改，但不格式化分区点击分区3（D），在菜单栏中，左键单击“格式化”键，弹出“格式化分区”界面。在“文件系统”栏，选定“NTFS”。其他栏，由软件默认选定。如图6-21所示。3.格式化分区3（D）分区图6-21DG“格式化分区”界面（分区D）图三利用DG分区软件对虚拟磁盘各分区进行格式化步骤三：保存更改，但不格式化分区点击“是”键，软件对该分区进行格式化，格式化完成后，系统文件由“MSBasicDataPartition”变成“NTFS”,分区状态由“未格式化”变成本地磁盘（卷标），分区头部颜色显示由灰色变成橙色，表示是GPT主分区。如图6-22所示。点击“格式化”按钮，弹出“格式化确认”窗口。图6-22DG分区名称及颜色标志（分区D）图三利用DG分区软件对虚拟磁盘各分区进行格式化步骤三：保存更改，但不格式化分区关闭并分离虚拟磁盘，在素材文件夹中复制“6任务1-3-2.VHD”，得到一个副本，把副本改名为“6任务1-3-3.VHD”，为下一个任务提供素材。利用Winhex查看虚拟磁盘各分区被格式化后有无参数04任务实施3利用DG分区格式化虚拟磁盘四、利用Winhex查看虚拟磁盘各分区被格式化后有无参数（共有3个步骤）步骤一：附加虚拟磁盘步骤二：启动Winhex，并打开虚拟磁盘步骤三：查看虚拟磁盘各分区有无参数四步骤一：附加虚拟磁盘在资源管理器中，双击素材文件夹中“6任务1-3-3.VHD”虚拟磁盘（已格式化），也可用磁盘管理器完成附加利用Winhex查看虚拟磁盘各分区被格式化后有无参数四利用Winhex查看虚拟磁盘各分区被格式化后有无参数启动Winhex，点击工具栏的“打开磁盘”功能按键，弹出“选择磁盘”窗口，选择物理驱动器“HD1”，点击“确定”，完成HD1调入。在Winhex编辑窗口显示HD1信息。步骤二：启动Winhex，并打开虚拟磁盘四利用Winhex查看虚拟磁盘各分区被格式化后有无参数1.查看分区1有无参数步骤三：查看虚拟磁盘各分区有无参数“分区1”是MSR分区，是空区，点击查看，发现没有数据。四利用Winhex查看虚拟磁盘各分区被格式化后有无参数2.查看分区2有无参数步骤三：查看虚拟磁盘各分区有无参数“分区2”是ESP分区，FAT32文件系统，双击打开分区，发现根目录下有文件，有FAT32分区类型标志。如图6-23所示。图6-23Winhex编辑窗口（格式化后的ESP区）图四利用Winhex查看虚拟磁盘各分区被格式化后有无参数3.查看分区3有无参数步骤三：查看虚拟磁盘各分区有无参数“分区3”是系统及用户分区，NTFS文件系统，双击打开分区，发现根目录下有文件，有NTFS分区类型标志。如图6-24所示。图6-24Winhex编辑窗口（格式化后的分区D）图四利用Winhex查看虚拟磁盘各分区被格式化后有无参数综上所述，分区已有参数，能正常使用。由于在分区类型MBR或GPT中，文件系统的结构是一样的，因此，把各个文件系统结构搞清楚就可以了。对于各文件系统结构、文件的具体参数及恢复，将在项目7以后学习。感谢观看THANKSFORWATCHING子任务1

利用WinHex读取MBR分区表参数任务2MBR磁盘分区恢复项目6磁盘分区恢复01利用Winhex直接和数据解释器读取MBR分区表参数02利用Winhex直接和数据解释器读取EBR分区表参数03利用Winex直接和数据解释器读取各分区DBR参数目录contents利用Winhex直接和数据解释器读取MBR分区表参数01任务实施1（一）利用Winhex直接和数据解释器读取MBR分区表参数（共有2个步骤）步骤一：附加虚拟磁盘，运行Winhex并打开它步骤二：读取和记录MBR分区表参数一步骤一：附加虚拟磁盘，运行Winhex并打开它在素材文件夹中，双击“6任务2-1-1.vhd”，然后转到电脑桌面，以管理员身份运行Winhex，弹出Winhex界面，点击“打开磁盘”功能按键，弹出“选择磁盘”窗口，选择物理驱动器“HD1”，点击“确定”，在驱动器窗口显示该硬盘信息，此虚拟磁盘共分有3个主分区，2个逻辑分区。如图6-25所示。利用Winhex直接和数据解释器读取MBR分区表参数图6-25Winhex驱动器窗口信息（6任务2-1-1.vhd）一步骤二：读取和记录MBR分区表参数（一）活动分区类型参数在编辑窗口中，显示的是0扇区MBR，偏移0XBE〜0XFD是MBR分区表区域。在MBR分区表中，“活动分区类型”的偏移分别是0XBE、0XCE、0XDE、0XEE,直接读取对应的值分别为0X80、0X00、0X00、0X00，0X80表示是活动分区，0X00表示是非活动分区。如图6-26所示。利用Winhex直接和数据解释器读取MBR分区表参数图6-26Winhex编辑窗口信息“活动分区类型”图一步骤二：读取和记录MBR分区表参数（二）读取分区类型参数4个分区类型的偏移分别是0XC2、0XD2、0XE2、0XF2，直接读取对应的值分别为0X07、0X07、0X0C、0X0F，0X07表示分区1、2是NTFS类型主分区，0X0C表示分区3是FAT32类型主分区，0X07表示最后一分区是扩展分区，其管理2个逻辑分区（分区4和分区5）。如图6-27所示。利用Winhex直接和数据解释器读取MBR分区表参数图6-27Winhex编辑窗口信息（分区类型）图一步骤二：读取和记录MBR分区表参数（三）读取分区第一扇区1.启用“数据解释器”点击Winhex“查看”菜单，弹出下拉菜单，移动鼠标光标至“显示”，弹出其下拉菜单，光标再移到“数据解释器”，如图6-28所示。利用Winhex直接和数据解释器读取MBR分区表参数图6-28Winhex“查看”-“显示”-“数据解释器”菜单图（二）读取分区第一扇区2.修改“数据解释器”的解释方式方法若需要修改某个参数的解释方式方法，用右键点击其数值，弹出解释方式方法下拉菜单，点击选择所要的解释方式方法就可以了。比如右键点数据解释器32Bit上的数值（63）处，弹出“解释方式方法”菜单，光标移到“插入Unicode控制字符”，继续弹出下拉菜单，光标移到想要选的“LRM”,点击它就可以了，如图6-30所示。图6-30Winhex“数据解释器”解释方式方法下拉菜单一步骤二：读取和记录MBR分区表参数（三）读取分区第一扇区3.修改“数据解释器”选项若需要增减解释选项，点击“选项”菜单，弹出下拉菜单，光标移到“数据解释器”，点击“数据解释器”，弹出“数据解释器”选项对话框，勾选所需选项，比如选定“64bit，有符号的”，如图6-31所示。利用Winhex直接和数据解释器读取MBR分区表参数图6-31Winhex“数据解释器”选项对话框（二）读取分区第一扇区4.利用数据解释器来读取各分区第一扇区4个分区分区的第一扇区（在整盘内）的偏移分别是0XC6〜9、0XD6〜9、0XE6〜9、0XF6〜9，每个占32Bit（4字节），直接读取对应的值分别为0X3F、0XC80343F、0X1900687E、0X25809CBD，这几个数是按照小端字节位存储的，高位的字节出现在低位，没有特别说明的，都是这种小端，如图6-32所示。图6-32Winhex编辑窗口信息（分区表各分区第一扇区）图一步骤二：读取和记录MBR分区表参数（三）读取分区第一扇区3.修改“数据解释器”选项若需要增减解释选项，点击“选项”菜单，弹出下拉菜单，光标移到“数据解释器”，点击“数据解释器”，弹出“数据解释器”选项对话框，勾选所需选项，比如选定“64bit，有符号的”，如图6-31所示。利用Winhex直接和数据解释器读取MBR分区表参数图6-31Winhex“数据解释器”选项对话框（二）读取分区第一扇区4.利用数据解释器来读取各分区第一扇区4个分区分区的第一扇区（在整盘内）的偏移分别是0XC6〜9、0XD6〜9、0XE6〜9、0XF6〜9，每个占32Bit（4字节），直接读取对应的值分别为0X3F、0XC80343F、0X1900687E、0X25809CBD，这几个数是按照小端字节位存储的，高位的字节出现在低位，没有特别说明的，都是这种小端，如图6-32所示。图6-32Winhex编辑窗口信息（分区表各分区第一扇区）图一步骤二：读取和记录MBR分区表参数（四）读取分区总扇区数各分区总扇区对应的偏移分别是0XCA〜D、0XDA〜D、0XEA〜D、0XFA〜D，每个占32Bit（4字节），直接读取对应的值分别为0XC803400、0XC80343F、0XC80343F、0X18FF6343，如图6-33所示。利用Winhex直接和数据解释器读取MBR分区表参数图6-33Winex编辑窗口信息（分区表各分区总扇区数）图

接着利用数据解释器来读取各分区总扇区数：偏移分别是0XCA〜D，数据解释器32Bit数值处解释的十进制数为209728512（分区1的分区总扇区数）。偏移分别是0XDA〜D，数据解释器32Bit数值处解释的十进制数为209728575（分区2的分区总扇区数）。偏移分别是0XEA〜D，数据解释器32Bit数值处解释的十进制数为209728575（分区3的分区总扇区数）。偏移分别是0XFA〜D，数据解释器32Bit数值处解释的十进制数为629185725（最后分区的总扇区数）。一步骤二：读取和记录MBR分区表参数（五）读取扇区结束标志参数扇区最后的两个字节0X55/0XAA（偏移0XEF和偏移0XFF）是扇区有效标志利用Winhex直接和数据解释器读取MBR分区表参数（六）MBR分区表主要参数记录表分区/参数分区1分区2分区3分区4活动分区标志偏移0XBE0XDE0XEE0XFE长度（字节）1111值0X800X000X000X00定义活动非活动非活动非活动分区类型偏移0XC20XD20XE20XF2长度（字节）1111值0X070X070X0C0X0F定义NTFSNTFSFAT32主扩展分区第一扇区号（在整盘内）偏移0XC6〜80XD6〜80XE6〜80XF6〜8长度（字节）4444值0X3F0XC80343F0X1900687E0X25809CBD扇区号63209728575419457150629185725总扇区数偏移0XCA〜D0XDA〜D0XEA〜D0XFA〜D长度（字节）4444值0XC8034000XC80343F0XC80343F0X18FF6343扇区数209728512209728575209728575419390275扇区有效标志0X55/0XAA0X55/0XAA0X55/0XAA0X55/0XAA表6-5MBR分区表主要参数利用Winhex直接和数据解释器读取EBR分区表参数02利用Winhex直接和数据解释器读取EBR分区表参数（二）利用Winhex直接和数据解释器读取EBR分区表参数（共有3个步骤）步骤一：附加虚拟磁盘，运行Winhex并打开它步骤二：读取和记录EBR1分区表参数步骤三：读取和记录EBR2分区参数二步骤一：附加虚拟磁盘，运行Winhex并打开它在素材文件夹中，双击“6任务2-1-1.vhd”，然后转到电脑桌面，以管理员身份运行Winhex，弹出Winhex界面，打开“HD1”，在硬盘窗口中，发现有2个分区间隙，即对应有EBR1、EBR2两个EBR。如图6-34所示。利用Winhex直接和数据解释器读取EBR分区表参数图6-34Winhex驱动器窗口信息（分区间隙）图二步骤二：读取和记录EBR1分区表参数（二）读取和记录EBR1分区第1个表项参数第1个表项的偏移是0XBE-0XCD。其中，它活动分区类型偏移是0XBE，值是0X00，表示是非活动分区；它分区类型的偏移是0XC2，值是0X07，表示是NTFS格式分区；它第一扇区（扩展分区内）的偏移是0XC6-9，值是0X3F，数据解释器32Bit数值处解释的十进制数为63（扇区）；它扇区总数的偏移是0XCA-D，值是0XC80B182,数据解释器32Bit数值处解释的十进制数为209760642。EBR1分区表第1个表项主要参数记录表如表6-6所示。利用Winhex直接和数据解释器读取EBR分区表参数偏移长度值表项内容0XBE10X00活动分区类型：非活动0XC210X07分区类型：NTFS0XC6〜840X3F第一扇区：63号（主扩展分区）0XCA〜D40XC80B182扇区总数：209760642表6-6EBR1分区第1个表项主要参数二步骤二：读取和记录EBR1分区表参数（二）EBR1分区表第2个表项如图6-36所示。利用Winhex直接和数据解释器读取EBR分区表参数图6-36Winex编辑窗口信息（EBR1分区表第2个表项）图第2个表项偏移是0XCE-0XDD。其中，它活动分区类型偏移是0XCE，值是0X00，表示是非活动分区；它分区类型的偏移是0XD2，值是0X05，表示是次扩展分区；它第一扇区号的偏移是0XD6-9，值是0XC80B1C1，数据解释器32Bit数值处解释的十进制数为209,760,705(扇区）；它扇区总数的偏移是0XDA-D，值是0XC7EB182,数据解释器32Bit数值处解释的十进制数为209629570(扇区）。EBR1分区第2个表项主要参数如表6-7所示。表6-7EBR1分区第2个表项主要参数表偏移长度值表项内容0XCE10X00活动分区类型：非活动0XD210X05分区类型：扩展分区（1)0XD6〜840XC80B1C1第一扇区：209,760,705号（主扩展分区）0XDA〜D40XC7EB182扇区总数：209629570二步骤三：读取和记录EBR2分区参数（一）确定EBR2扇区所在位置在硬盘窗口中，点击进入第二个分区间隙，找到EBR2分区表，在分区4之后，分区5之前，它所在扇区，即第一扇区是838946430号扇区。利用Winhex直接和数据解释器读取EBR分区表参数（二）读取和记录EBR2分区第1个分区表项参数第1个表项偏移是0XBE-0XCD。其中，它活动分区类型偏移是0XBE，值是0X00，表示是非活动分区；它分区类型的偏移是0XC2，值是0X07，表示是NTFS格式分区；它第一扇区号的偏移是0XC6-9，值是0X3F，数据解释器32Bit数值处解释的十进制数为63(扇区）；它扇区总数的偏移是0XCA-D，值是0XC7EB143,数据解释器32Bit数值处解释的十进制数为209629507(扇区）。EBR2分区第1个表项主要参数如表6-8所示。表6-8EBR2分区第1个表项主要参数表偏移长度值表项内容0XBE10X00活动分区类型：非活动0XC210X07分区类型：NTFS0XC6〜840X3F第一扇区：63号（在扩展分区1内）0XCA〜D40XC7EB143扇区总数：209629507利用Winex直接和数据解释器读取各分区DBR参数03利用Winex直接和数据解释器读取各分区DBR参数利用Winex直接和数据解释器读取各分区DBR参数（共有5个步骤）步骤一：附加虚拟磁盘，运行Winhex并打开它步骤二：读取和记录FAT32分区DBR的BPB主要参数三步骤一：附加虚拟磁盘，运行Winhex并打开它读取FAT32分区DBR的BPB与有关分区的2个参数在素材文件夹中，双击“6任务2-1-1.vd”，然后运行（Winex），打开“D1”，在硬盘窗口找到FAT32分区（分区3），点出打开它，进入FAT32分区的DBR。（一）读取FAT32分区DBR的BPB与有关分区的2个参数三步骤二：读取和记录FAT32分区DBR的BPB主要参数读取FAT32分区DBR的BPB与有关分区的2个参数1.确定FAT32分区DBR的BPB偏移FAT32分区DBR的BPB偏移0X0B〜0X52。如图6-37所示。图6-37Winex编辑窗口信息（FAT32分区DBR的BPB表）图（一）读取FAT32分区DBR的BPB与有关分区的2个参数三步骤二：读取和记录FAT32分区DBR的BPB主要参数读取FAT32分区DBR的BPB与有关分区的2个参数2.读取FAT32分区DBR的BPB7个主要参数根据表6-3中各参数的偏移，移动光标到对应位置，用Winex数据解释器逐个读取FAT32分区DBR的BPB参数，记录到表6-3，得到FAT32分区DBR与分区有关的2个参数表如表6-9所示。表6-9FAT32分区DBR的BPB与分区有关的2个参数表参数偏移量长度值参数内容分区第1扇区0x1C40X1900687E419457150扇区分区总扇区数0x2040XC80343F209728575扇区（一）读取FAT32分区DBR的BPB与有关分区的2个参数三步骤一：附加虚拟磁盘，运行Winhex并打开它读取FAT32分区DBR的BPB与有关分区的2个参数在素材文件夹中，双击“6任务2-1-1.vd”，然后运行Winex，打开“D1”，在硬盘窗口找到NTFS分区（分区1，因NTFS分区有多个，在此仅以分区1为例），点出打开它，进入NTFS分区的DBR。（二）读取NTFS分区DBR的BPB有关分区的2个参数三步骤二：读取和记录NTFS分区DBR的BPB主要参数读取FAT32分区DBR的BPB与有关分区的2个参数1.确定NTFS分区DBR的BPB偏移NTFS分区DBR的BPB偏移0X0B〜0X52。如图6-38所示。（二）读取NTFS分区DBR的BPB有关分区的2个参数三步骤二：读取和记录NTFS分区DBR的BPB主要参数读取FAT32分区DBR的BPB与有关分区的2个参数2.读取NTFS分区DBR的BPB5个主要参数根据表6-4中各参数的偏移，移动光标到对应位置，用Winex数据解释器逐个读取NTFS分区DBR的BPB参数，记录到表6-4，得到NTFS分区DBR与分区有关的2个参数表如表6-10所示。（二）读取NTFS分区DBR的BPB有关分区的2个参数表6-10NTFS分区DBR的BPB与分区有关的2个参数表参数偏移量长度值定义或解释分区第一扇区号0x1C40X3F63号扇区分区总扇区数0x2880XC8033FF209728511扇区感谢观看THANKSFORWATCHING子任务2

利用WinHex恢复MBR磁盘分区任务2MBR磁盘分区恢复项目6磁盘分区恢复01恢复引导记录受破坏MBR分区02恢复仅有效扇区标志受破坏MBR分区03恢复分区表受破坏MBR分区目录contents恢复引导记录受破坏MBR分区01任务实施2（一）恢复引导记录受破坏MBR分区（共有3个步骤）步骤一：附加虚拟磁盘，运行Winhex并打开它步骤二：确认MBR分区受破坏步骤三：恢复MBR分区一步骤一：附加虚拟磁盘，运行Winhex并打开它在素材文件夹中，双击“6任务2-2-1.vhd”，然后运行Winhex，打开“HD1”。恢复引导记录受破坏MBR分区步骤二：确认MBR分区受破坏在驱动器窗口，点击起始扇区，接着在编辑窗口查看MBR信息，发现其MBR的偏移0X00〜0XBD的数据为0，而MBR分区表及有效标志正常，说明MBR的引导信息被破坏了。一步骤三：恢复MBR分区1.复制正常的MBR的引导信息用Winhex打开任意正常的MBR分区类型的硬盘，复制MBR引导信息，粘贴到6任务1-3.vhd虚拟磁盘MBR引导信息处。如图6-39所示。恢复引导记录受破坏MBR分区图6-39Winhex编辑窗口信息（修复后MBR引导信息）图一步骤三：恢复MBR分区2.保存数据

运用“保存”功能按键，完成保存数据。运用“磁盘快照”功能按键，完成磁盘快照。恢复引导记录受破坏MBR分区的操作完成。恢复引导记录受破坏MBR分区一步骤二：读取和记录MBR分区表参数（三）读取分区第一扇区1.启用“数据解释器”点击Winhex“查看”菜单，弹出下拉菜单，移动鼠标光标至“显示”，弹出其下拉菜单，光标再移到“数据解释器”，如图6-28所示。利用Winhex直接和数据解释器读取MBR分区表参数图6-28Winhex“查看”-“显示”-“数据解释器”菜单图（二）读取分区第一扇区2.修改“数据解释器”的解释方式方法若需要修改某个参数的解释方式方法，用右键点击其数值，弹出解释方式方法下拉菜单，点击选择所要的解释方式方法就可以了。比如右键点数据解释器32Bit上的数值（63）处，弹出“解释方式方法”菜单，光标移到“插入Unicode控制字符”，继续弹出下拉菜单，光标移到想要选的“LRM”,点击它就可以了，如图6-30所示。图6-30Winhex“数据解释器”解释方式方法下拉菜单恢复仅有效扇区标志受破坏MBR分区02恢复仅有效扇区标志受破坏MBR分区（二）恢复仅有效扇区标志受破坏MBR分区（共有3个步骤）步骤一：附加虚拟磁盘，运行Winhex并打开它步骤二：确认MBR分区受破坏步骤三：恢复MBR分区二步骤一：附加虚拟磁盘，运行Winhex并打开它在素材文件夹中，双击“6任务2-2-2.vhd”，然后运行（Winhex），打开“HD1”。恢复仅有效扇区标志受破坏MBR分区步骤二：确认MBR分区受破坏

在驱动器窗口，点击起始扇区，接着在编辑窗口查看MBR信息，发现其MBR的扇区有效标志数据为0，说明MBR的有效标志被破坏了。二步骤三：恢复MBR分区1.重写扇区有效标志在MBR的扇区有效标志处，偏移0XFE～FF，直接写入0X55/0XAA。如图6-40所示。恢复仅有效扇区标志受破坏MBR分区7-40Winhex编辑窗口信息（修复后MBR的有效标志）图2.保存数据完成后，保存磁盘数据后，关闭磁盘。恢复仅有效扇区标志受破坏MBR分区的操作完成。二步骤二：读取和记录EBR1分区表参数（二）EBR1分区表第2个表项如图6-36所示。利用Winhex直接和数据解释器读取EBR分区表参数图6-36Winex编辑窗口信息（EBR1分区表第2个表项）图第2个表项偏移是0XCE-0XDD。其中，它活动分区类型偏移是0XCE，值是0X00，表示是非活动分区；它分区类型的偏移是0XD2，值是0X05，表示是次扩展分区；它第一扇区号的偏移是0XD6-9，值是0XC80B1C1，数据解释器32Bit数值处解释的十进制数为209,760,705(扇区）；它扇区总数的偏移是0XDA-D，值是0XC7EB182,数据解释器32Bit数值处解释的十进制数为209629570(扇区）。EBR1分区第2个表项主要参数如表6-7所示。表6-7EBR1分区第2个表项主要参数表偏移长度值表项内容0XCE10X00活动分区类型：非活动0XD210X05分区类型：扩展分区（1)0XD6〜840XC80B1C1第一扇区：209,760,705号（主扩展分区）0XDA〜D40XC7EB182扇区总数：209629570恢复分区表受破坏MBR分区03恢复分区表受破坏MBR分区恢复分区表受破坏MBR分区（共有3个步骤）步骤一：附加虚拟磁盘，运行Winhex并打开它步骤二：确认MBR分区受破坏步骤三：恢复MBR分区三步骤一：附加虚拟磁盘，运行Winhex并打开它恢复分区表受破坏MBR分区在素材文件夹中，双击“6任务2-2-3.vhd”，资源管理器发现磁盘有问题，并弹出错误提示。运行Winhex，打开“HD1”。步骤二：确认MBR分区受破坏在驱动器窗口，但各分区还在，它们的图标变为灰色，系统已识别不到该分区，资源管理器读不了此分区数据，但各分区的数据正常。进一步查看MBR、EBR1、EBR2信息，发现他们的数据均为0，说明MBR、EBR1、EBR2表被破坏了。三步骤三：恢复MBR分区恢复分区表受破坏MBR分区1.制作各分区主要参数表，读取各分区主要参数先制作各分区主要参数（第一扇区号、BPB表的总扇区数、总扇区数）表，然后，点击各分区，接着读取各分区的第一扇区号（DBR所在的扇区号）、BPB表记录的总扇区数、推算MBR分区表项的总扇区数等参数，并把它们填入各分区主要参数表的各栏中。各分区主要参数表如表6-11表所示。表6-11各分区主要参数表分区参数/分区号分区1间隙1分区2间隙2分区3第1扇区号（DBR所在的扇区号）63209715263209715326419430526419430589BPB表记录的总扇区数209715199——209715199——419419450推算MBR分区表项的总扇区数2097152006320971520063419419451三步骤三：恢复MBR分区恢复分区表受破坏MBR分区2.填写MBR、EBR分区表项数据表根据各分区主要数据表，依照表6-1，填写MBR、EBR1、EBR2分区表项数据表。MBR、EBR1、EBR2分区表项数据表，如表6-12、13、14表所示。表6-12MBR分区表表项参数数据表分区/参数分区1（主分区）分区2（扩展分区）活动分区标志偏移0XBE0XCE直接输入0X800X00开始磁头/开始扇区/开始柱面偏移0XBF〜0XC10XCF〜0XD1直接输入0X010X/01/0X000XFE/0XFF0X/FF分区类型偏移0XC20XD2直接输入0X070X0F结束磁头/开始扇区/开始柱面偏移0XC3〜0XC50XD3〜0XD5直接输入0XFE/0XFF/0XFF0XFE/0XFF/0XFF第一扇区（第一扇区号）偏移0XC6〜80XD6〜8数据解释器输入63209715263总扇区数偏移0XCA〜D0XDA〜D数据解释器输入209715200629134777三步骤三：恢复MBR分区恢复分区表受破坏MBR分区2.填写MBR、EBR分区表项数据表根据各分区主要数据表，依照表6-1，填写MBR、EBR1、EBR2分区表项数据表。MBR、EBR1、EBR2分区表项数据表，如表6-12、13、14表所示。表6-13EBR1分区表表项参数表分区/参数分区1（逻辑分区1）分区2（次扩展分区1）活动分区标志偏移0XBE0XCE直接输入0X000X00开始磁头/开始扇区/开始柱面偏移0XBF〜0XC10XCF〜0XD1直接输入0X01/0X01/0X000XFE/0XFF/0XFF分区类型偏移0XC20XD2直接输入0X070X05结束磁头/开始扇区/开始柱面偏移0XC3〜0XC50XD3〜0XD5直接输入0XFE/0XFF/0XFF0XFE/0XFF/0XFF第一扇区（第一扇区号）偏移0XC6〜80XD6〜8数据解释器输入63209,715,263总扇区数偏移0XCA〜D0XDA〜D数据解释器输入209,715,200419,419,514三步骤三：恢复MBR分区恢复分区表受破坏MBR分区2.填写MBR、EBR分区表项数据表根据各分区主要数据表，依照表6-1，填写MBR、EBR1、EBR2分区表项数据表。MBR、EBR1、EBR2分区表项数据表，如表6-12、13、14表所示。表6-14EBR2分区表表项参数表分区/参数分区1（逻辑分区2）活动分区标志偏移0XBE直接输入0X00开始磁头/开始扇区/开始柱面偏移0XBF〜0XC1直接输入0X01/0X01/0X00分区类型偏移0XC2直接输入0X07结束磁头/开始扇区/开始柱面偏移0XC3〜0XC5直接输入0XFE/0XFF/0XFF第一扇区（第一扇区号）偏移0XC6〜8数据解释器输入63总扇区数偏移0XCA〜D数据解释器输入419,419,451三步骤三：恢复MBR分区恢复分区表受破坏MBR分区3.写入MBR、EBR1、EBR2各表项在Winhex编辑窗口，分别进入MBR、EBR1、EBR2扇区，根据MBR、EBR1、EBR2分区表项数据表，分别填写MBR、EBR1、EBR2分区各表项，完成后，保存磁盘数据后，关闭磁盘，然后又重新打开此磁盘。如图6-41、42、43所示。图6-41Winhex编辑窗口信息（修复后MBR分区表）图三步骤三：恢复MBR分区恢复分区表受破坏MBR分区3.写入MBR、EBR1、EBR2各表项在Winhex编辑窗口，分别进入MBR、EBR1、EBR2扇区，根据MBR、EBR1、EBR2分区表项数据表，分别填写MBR、EBR1、EBR2分区各表项，完成后，保存磁盘数据后，关闭磁盘，然后又重新打开此磁盘。如图6-41、42、43所示。图6-42Winhex编辑窗口信息（修复后EBR1分区表）图感谢观看THANKSFORWATCHING子任务1

利用WinHex读取GPT磁盘分区参数 任务3GPT磁盘分区恢复项目6磁盘分区恢复01利用Winhex数据解释器和直接读取保护MBR参数02利用Winhex数据解释器和直接读取GPT头主要参数03利用Winhex数据解释器和直接读取GPT头备份主要参数目录contents05利用Winhex数据解释器和直接读取GPT分区表备份主要参数04利用Winhex数据解释器和直接读取GPT分区表项主要参数利用Winhex数据解释器和直接读取保护MBR参数01任务实施1（一）利用Winhex数据解释器和直接读取保护MBR参数（共有2个步骤）步骤一：利用Winhex数据解释器和直接读取保护MBR参数步骤二：读取和记录GPT保护MBR分区表参数一步骤一：附加虚拟磁盘，运行Winhex并打开它在素材文件夹中，双击“6任务3-1-1.vhd”，然后运行（Winhex），打开“HD1”，界面显示该硬盘信息，编辑窗口默认显示是扇区0保护MBR的信息。利用Winhex数据解释器和直接读取保护MBR参数步骤二：读取和记录GPT保护MBR分区表参数1.读取分区类型分区类型的偏移分别是0XC2,对应的值分别为0XEE，0XEE表示是保护分区。2.读取第一扇区号第一扇区号偏移分别是0XC6〜9，对应的值分别为0X01,数据解释器解释数为第1扇区。3.读取总扇区数总扇区数的偏移分别是0XCA〜D，对应的值分别为0XFFFFFFFF,数据解释器解释数为全盘扇区数。一利用Winhex数据解释器和直接读取保护MBR参数步骤二：读取和记录GPT保护MBR分区表参数4.保护MBR分区表参数记录表得到保护MBR分区表参数记录表如表6-19所示。表6-19保护MBR参数表偏移长度值参数内容0X1BE10X00固定值0X1BF10X000X1C010X020X1C110X000X1C210XEE0X1C310XFF0X1C410XFF0X1C510XFF0X1C640X010X1CA40XFFFFFFFF利用Winhex数据解释器和直接读取GPT头主要参数02利用Winhex数据解释器和直接读取GPT头主要参数二、利用Winhex数据解释器和直接读取GPT头主要参数（共有2个步骤）步骤一：跳至GPT头所在扇区步骤二：读取和记录GPT头主要参数二步骤一：附加虚拟磁盘，运行Winhex并打开它运行Winhex，从扇区0跳至扇区1，编辑窗口显示GPT头信息。如图6-44所示。利用Winhex数据解释器和直接读取GPT头主要参数图6-44Winhex编辑窗口信息（GPT头）图二步骤二：读取和记录GPT头主要参数读取GPT头主要参数，并记录到表6-16中。按GPT头格式，逐个读取数据，填入GPT头的参数格式表的主要参数表的“值”栏，并用数据解释器读取对应解释，填入GPT头的参数格式表的“解释”栏，得到GPT头主要参数表。如表6-20所示。利用Winhex数据解释器和直接读取GPT头主要参数表6-20GPT头主要参数表主要参数偏移长度值解释GPT头所在扇区号0X1880X011扇区GPT头备份所在扇区号0X2080X31FFFFFF838860799扇区首个GPT分区第一个扇区号0X2880X2234扇区最后GPT分区最后一个扇区号0X3080X31FFFFDE838860766扇区利用Winhex数据解释器和直接读取GPT头备份主要参数03利用Winhex数据解释器和直接读取GPT头备份主要参数利用Winhex数据解释器和直接读取GPT头备份主要参数（共有2个步骤）步骤一：跳至GPT头备份所在扇区号（倒数1号扇区)步骤二：读取和记录GPT头备份主要参数三步骤一：跳至GPT头备份所在扇区号（倒数1号扇区)利用Winhex数据解释器和直接读取GPT头备份主要参数在Winhex编辑窗口，GPT头备份所在的倒数1号扇区是838860799号扇区，跳至扇区838860799，编辑窗口显示备份GPT头备份的信息。如图6-45所示。图6-45Winhex编辑窗口信息（GPT头备份）图三步骤二：读取和记录GPT头备份主要参数利用Winhex数据解释器和直接读取GPT头备份主要参数读取GPT头备份主要参数，并记录到表6-16中。按GPT头备份格式，逐个读取数据，填入GPT头备份的参数格式表的主要参数表的“值”栏，并用数据解释器读取对应解释，也填入GPT头备份的参数格式表的“解释”栏，得到GPT头备份主要参数表。如表6-21所示。表6-21GPT头备份的主要参数表主要参数偏移长度值解释GPT头备份所在扇区号0X18831FFFFFFH838860799扇区GPT头所在扇区号0X20801H1扇区首个GPT分区第一个扇区号0X28822H34扇区最后GPT分区最后一个扇区号0X30831FFFFDEH838860766扇区利用Winhex数据解释器和直接读取GPT分区表项主要参数04利用Winhex数据解释器和直接读取GPT分区表项主要参数利用Winhex数据解释器和直接读取GPT分区表项主要参数（共有2个步骤）步骤一：跳至GPT分区表所在第一扇区号（2号扇区）步骤二：读取和记录GPT分区表主要参数四步骤一：跳至GPT分区表所在第一扇区号（2号扇区）利用Winhex数据解释器和直接读取GPT分区表项主要参数在Winhex编辑窗口，GPT分区表所在的2号扇区，跳至扇区2，可以找到5个分区表项的信息。如图6-46所示。图6-46Winhex编辑窗口信息（GPT分区表）图四步骤二：读取和记录GPT分