计算机检测维修与数据恢复（上册）课件 任务2 MBR磁盘分区恢复

子任务1

利用WinHex读取MBR分区表参数任务2MBR磁盘分区恢复项目6磁盘分区恢复01利用Winhex直接和数据解释器读取MBR分区表参数02利用Winhex直接和数据解释器读取EBR分区表参数03利用Winex直接和数据解释器读取各分区DBR参数目录contents利用Winhex直接和数据解释器读取MBR分区表参数01任务实施1（一）利用Winhex直接和数据解释器读取MBR分区表参数（共有2个步骤）步骤一：附加虚拟磁盘，运行Winhex并打开它步骤二：读取和记录MBR分区表参数一步骤一：附加虚拟磁盘，运行Winhex并打开它在素材文件夹中，双击“6任务2-1-1.vhd”，然后转到电脑桌面，以管理员身份运行Winhex，弹出Winhex界面，点击“打开磁盘”功能按键，弹出“选择磁盘”窗口，选择物理驱动器“HD1”，点击“确定”，在驱动器窗口显示该硬盘信息，此虚拟磁盘共分有3个主分区，2个逻辑分区。如图6-25所示。利用Winhex直接和数据解释器读取MBR分区表参数图6-25Winhex驱动器窗口信息（6任务2-1-1.vhd）一步骤二：读取和记录MBR分区表参数（一）活动分区类型参数在编辑窗口中，显示的是0扇区MBR，偏移0XBE〜0XFD是MBR分区表区域。在MBR分区表中，“活动分区类型”的偏移分别是0XBE、0XCE、0XDE、0XEE,直接读取对应的值分别为0X80、0X00、0X00、0X00，0X80表示是活动分区，0X00表示是非活动分区。如图6-26所示。利用Winhex直接和数据解释器读取MBR分区表参数图6-26Winhex编辑窗口信息“活动分区类型”图一步骤二：读取和记录MBR分区表参数（二）读取分区类型参数4个分区类型的偏移分别是0XC2、0XD2、0XE2、0XF2，直接读取对应的值分别为0X07、0X07、0X0C、0X0F，0X07表示分区1、2是NTFS类型主分区，0X0C表示分区3是FAT32类型主分区，0X07表示最后一分区是扩展分区，其管理2个逻辑分区（分区4和分区5）。如图6-27所示。利用Winhex直接和数据解释器读取MBR分区表参数图6-27Winhex编辑窗口信息（分区类型）图一步骤二：读取和记录MBR分区表参数（三）读取分区第一扇区1.启用“数据解释器”点击Winhex“查看”菜单，弹出下拉菜单，移动鼠标光标至“显示”，弹出其下拉菜单，光标再移到“数据解释器”，如图6-28所示。利用Winhex直接和数据解释器读取MBR分区表参数图6-28Winhex“查看”-“显示”-“数据解释器”菜单图（二）读取分区第一扇区2.修改“数据解释器”的解释方式方法若需要修改某个参数的解释方式方法，用右键点击其数值，弹出解释方式方法下拉菜单，点击选择所要的解释方式方法就可以了。比如右键点数据解释器32Bit上的数值（63）处，弹出“解释方式方法”菜单，光标移到“插入Unicode控制字符”，继续弹出下拉菜单，光标移到想要选的“LRM”,点击它就可以了，如图6-30所示。图6-30Winhex“数据解释器”解释方式方法下拉菜单一步骤二：读取和记录MBR分区表参数（三）读取分区第一扇区3.修改“数据解释器”选项若需要增减解释选项，点击“选项”菜单，弹出下拉菜单，光标移到“数据解释器”，点击“数据解释器”，弹出“数据解释器”选项对话框，勾选所需选项，比如选定“64bit，有符号的”，如图6-31所示。利用Winhex直接和数据解释器读取MBR分区表参数图6-31Winhex“数据解释器”选项对话框（二）读取分区第一扇区4.利用数据解释器来读取各分区第一扇区4个分区分区的第一扇区（在整盘内）的偏移分别是0XC6〜9、0XD6〜9、0XE6〜9、0XF6〜9，每个占32Bit（4字节），直接读取对应的值分别为0X3F、0XC80343F、0X1900687E、0X25809CBD，这几个数是按照小端字节位存储的，高位的字节出现在低位，没有特别说明的，都是这种小端，如图6-32所示。图6-32Winhex编辑窗口信息（分区表各分区第一扇区）图一步骤二：读取和记录MBR分区表参数（三）读取分区第一扇区3.修改“数据解释器”选项若需要增减解释选项，点击“选项”菜单，弹出下拉菜单，光标移到“数据解释器”，点击“数据解释器”，弹出“数据解释器”选项对话框，勾选所需选项，比如选定“64bit，有符号的”，如图6-31所示。利用Winhex直接和数据解释器读取MBR分区表参数图6-31Winhex“数据解释器”选项对话框（二）读取分区第一扇区4.利用数据解释器来读取各分区第一扇区4个分区分区的第一扇区（在整盘内）的偏移分别是0XC6〜9、0XD6〜9、0XE6〜9、0XF6〜9，每个占32Bit（4字节），直接读取对应的值分别为0X3F、0XC80343F、0X1900687E、0X25809CBD，这几个数是按照小端字节位存储的，高位的字节出现在低位，没有特别说明的，都是这种小端，如图6-32所示。图6-32Winhex编辑窗口信息（分区表各分区第一扇区）图一步骤二：读取和记录MBR分区表参数（四）读取分区总扇区数各分区总扇区对应的偏移分别是0XCA〜D、0XDA〜D、0XEA〜D、0XFA〜D，每个占32Bit（4字节），直接读取对应的值分别为0XC803400、0XC80343F、0XC80343F、0X18FF6343，如图6-33所示。利用Winhex直接和数据解释器读取MBR分区表参数图6-33Winex编辑窗口信息（分区表各分区总扇区数）图

接着利用数据解释器来读取各分区总扇区数：偏移分别是0XCA〜D，数据解释器32Bit数值处解释的十进制数为209728512（分区1的分区总扇区数）。偏移分别是0XDA〜D，数据解释器32Bit数值处解释的十进制数为209728575（分区2的分区总扇区数）。偏移分别是0XEA〜D，数据解释器32Bit数值处解释的十进制数为209728575（分区3的分区总扇区数）。偏移分别是0XFA〜D，数据解释器32Bit数值处解释的十进制数为629185725（最后分区的总扇区数）。一步骤二：读取和记录MBR分区表参数（五）读取扇区结束标志参数扇区最后的两个字节0X55/0XAA（偏移0XEF和偏移0XFF）是扇区有效标志利用Winhex直接和数据解释器读取MBR分区表参数（六）MBR分区表主要参数记录表分区/参数分区1分区2分区3分区4活动分区标志偏移0XBE0XDE0XEE0XFE长度（字节）1111值0X800X000X000X00定义活动非活动非活动非活动分区类型偏移0XC20XD20XE20XF2长度（字节）1111值0X070X070X0C0X0F定义NTFSNTFSFAT32主扩展分区第一扇区号（在整盘内）偏移0XC6〜80XD6〜80XE6〜80XF6〜8长度（字节）4444值0X3F0XC80343F0X1900687E0X25809CBD扇区号63209728575419457150629185725总扇区数偏移0XCA〜D0XDA〜D0XEA〜D0XFA〜D长度（字节）4444值0XC8034000XC80343F0XC80343F0X18FF6343扇区数209728512209728575209728575419390275扇区有效标志0X55/0XAA0X55/0XAA0X55/0XAA0X55/0XAA表6-5MBR分区表主要参数利用Winhex直接和数据解释器读取EBR分区表参数02利用Winhex直接和数据解释器读取EBR分区表参数（二）利用Winhex直接和数据解释器读取EBR分区表参数（共有3个步骤）步骤一：附加虚拟磁盘，运行Winhex并打开它步骤二：读取和记录EBR1分区表参数步骤三：读取和记录EBR2分区参数二步骤一：附加虚拟磁盘，运行Winhex并打开它在素材文件夹中，双击“6任务2-1-1.vhd”，然后转到电脑桌面，以管理员身份运行Winhex，弹出Winhex界面，打开“HD1”，在硬盘窗口中，发现有2个分区间隙，即对应有EBR1、EBR2两个EBR。如图6-34所示。利用Winhex直接和数据解释器读取EBR分区表参数图6-34Winhex驱动器窗口信息（分区间隙）图二步骤二：读取和记录EBR1分区表参数（二）读取和记录EBR1分区第1个表项参数第1个表项的偏移是0XBE-0XCD。其中，它活动分区类型偏移是0XBE，值是0X00，表示是非活动分区；它分区类型的偏移是0XC2，值是0X07，表示是NTFS格式分区；它第一扇区（扩展分区内）的偏移是0XC6-9，值是0X3F，数据解释器32Bit数值处解释的十进制数为63（扇区）；它扇区总数的偏移是0XCA-D，值是0XC80B182,数据解释器32Bit数值处解释的十进制数为209760642。EBR1分区表第1个表项主要参数记录表如表6-6所示。利用Winhex直接和数据解释器读取EBR分区表参数偏移长度值表项内容0XBE10X00活动分区类型：非活动0XC210X07分区类型：NTFS0XC6〜840X3F第一扇区：63号（主扩展分区）0XCA〜D40XC80B182扇区总数：209760642表6-6EBR1分区第1个表项主要参数二步骤二：读取和记录EBR1分区表参数（二）EBR1分区表第2个表项如图6-36所示。利用Winhex直接和数据解释器读取EBR分区表参数图6-36Winex编辑窗口信息（EBR1分区表第2个表项）图第2个表项偏移是0XCE-0XDD。其中，它活动分区类型偏移是0XCE，值是0X00，表示是非活动分区；它分区类型的偏移是0XD2，值是0X05，表示是次扩展分区；它第一扇区号的偏移是0XD6-9，值是0XC80B1C1，数据解释器32Bit数值处解释的十进制数为209,760,705(扇区）；它扇区总数的偏移是0XDA-D，值是0XC7EB182,数据解释器32Bit数值处解释的十进制数为209629570(扇区）。EBR1分区第2个表项主要参数如表6-7所示。表6-7EBR1分区第2个表项主要参数表偏移长度值表项内容0XCE10X00活动分区类型：非活动0XD210X05分区类型：扩展分区（1)0XD6〜840XC80B1C1第一扇区：209,760,705号（主扩展分区）0XDA〜D40XC7EB182扇区总数：209629570二步骤三：读取和记录EBR2分区参数（一）确定EBR2扇区所在位置在硬盘窗口中，点击进入第二个分区间隙，找到EBR2分区表，在分区4之后，分区5之前，它所在扇区，即第一扇区是838946430号扇区。利用Winhex直接和数据解释器读取EBR分区表参数（二）读取和记录EBR2分区第1个分区表项参数第1个表项偏移是0XBE-0XCD。其中，它活动分区类型偏移是0XBE，值是0X00，表示是非活动分区；它分区类型的偏移是0XC2，值是0X07，表示是NTFS格式分区；它第一扇区号的偏移是0XC6-9，值是0X3F，数据解释器32Bit数值处解释的十进制数为63(扇区）；它扇区总数的偏移是0XCA-D，值是0XC7EB143,数据解释器32Bit数值处解释的十进制数为209629507(扇区）。EBR2分区第1个表项主要参数如表6-8所示。表6-8EBR2分区第1个表项主要参数表偏移长度值表项内容0XBE10X00活动分区类型：非活动0XC210X07分区类型：NTFS0XC6〜840X3F第一扇区：63号（在扩展分区1内）0XCA〜D40XC7EB143扇区总数：209629507利用Winex直接和数据解释器读取各分区DBR参数03利用Winex直接和数据解释器读取各分区DBR参数利用Winex直接和数据解释器读取各分区DBR参数（共有5个步骤）步骤一：附加虚拟磁盘，运行Winhex并打开它步骤二：读取和记录FAT32分区DBR的BPB主要参数三步骤一：附加虚拟磁盘，运行Winhex并打开它读取FAT32分区DBR的BPB与有关分区的2个参数在素材文件夹中，双击“6任务2-1-1.vd”，然后运行（Winex），打开“D1”，在硬盘窗口找到FAT32分区（分区3），点出打开它，进入FAT32分区的DBR。（一）读取FAT32分区DBR的BPB与有关分区的2个参数三步骤二：读取和记录FAT32分区DBR的BPB主要参数读取FAT32分区DBR的BPB与有关分区的2个参数1.确定FAT32分区DBR的BPB偏移FAT32分区DBR的BPB偏移0X0B〜0X52。如图6-37所示。图6-37Winex编辑窗口信息（FAT32分区DBR的BPB表）图（一）读取FAT32分区DBR的BPB与有关分区的2个参数三步骤二：读取和记录FAT32分区DBR的BPB主要参数读取FAT32分区DBR的BPB与有关分区的2个参数2.读取FAT32分区DBR的BPB7个主要参数根据表6-3中各参数的偏移，移动光标到对应位置，用Winex数据解释器逐个读取FAT32分区DBR的BPB参数，记录到表6-3，得到FAT32分区DBR与分区有关的2个参数表如表6-9所示。表6-9FAT32分区DBR的BPB与分区有关的2个参数表参数偏移量长度值参数内容分区第1扇区0x1C40X1900687E419457150扇区分区总扇区数0x2040XC80343F209728575扇区（一）读取FAT32分区DBR的BPB与有关分区的2个参数三步骤一：附加虚拟磁盘，运行Winhex并打开它读取FAT32分区DBR的BPB与有关分区的2个参数在素材文件夹中，双击“6任务2-1-1.vd”，然后运行Winex，打开“D1”，在硬盘窗口找到NTFS分区（分区1，因NTFS分区有多个，在此仅以分区1为例），点出打开它，进入NTFS分区的DBR。（二）读取NTFS分区DBR的BPB有关分区的2个参数三步骤二：读取和记录NTFS分区DBR的BPB主要参数读取FAT32分区DBR的BPB与有关分区的2个参数1.确定NTFS分区DBR的BPB偏移NTFS分区DBR的BPB偏移0X0B〜0X52。如图6-38所示。（二）读取NTFS分区DBR的BPB有关分区的2个参数三步骤二：读取和记录NTFS分区DBR的BPB主要参数读取FAT32分区DBR的BPB与有关分区的2个参数2.读取NTFS分区DBR的BPB5个主要参数根据表6-4中各参数的偏移，移动光标到对应位置，用Winex数据解释器逐个读取NTFS分区DBR的BPB参数，记录到表6-4，得到NTFS分区DBR与分区有关的2个参数表如表6-10所示。（二）读取NTFS分区DBR的BPB有关分区的2个参数表6-10NTFS分区DBR的BPB与分区有关的2个参数表参数偏移量长度值定义或解释分区第一扇区号0x1C40X3F63号扇区分区总扇区数0x2880XC8033FF209728511扇区感谢观看THANKSFORWATCHING子任务2

利用WinHex恢复MBR磁盘分区任务2MBR磁盘分区恢复项目6磁盘分区恢复01恢复引导记录受破坏MBR分区02恢复仅有效扇区标志受破坏MBR分区03恢复分区表受破坏MBR分区目录contents恢复引导记录受破坏MBR分区01任务实施2（一）恢复引导记录受破坏MBR分区（共有3个步骤）步骤一：附加虚拟磁盘，运行Winhex并打开它步骤二：确认MBR分区受破坏步骤三：恢复MBR分区一步骤一：附加虚拟磁盘，运行Winhex并打开它在素材文件夹中，双击“6任务2-2-1.vhd”，然后运行Winhex，打开“HD1”。恢复引导记录受破坏MBR分区步骤二：确认MBR分区受破坏在驱动器窗口，点击起始扇区，接着在编辑窗口查看MBR信息，发现其MBR的偏移0X00〜0XBD的数据为0，而MBR分区表及有效标志正常，说明MBR的引导信息被破坏了。一步骤三：恢复MBR分区1.复制正常的MBR的引导信息用Winhex打开任意正常的MBR分区类型的硬盘，复制MBR引导信息，粘贴到6任务1-3.vhd虚拟磁盘MBR引导信息处。如图6-39所示。恢复引导记录受破坏MBR分区图6-39Winhex编辑窗口信息（修复后MBR引导信息）图一步骤三：恢复MBR分区2.保存数据

运用“保存”功能按键，完成保存数据。运用“磁盘快照”功能按键，完成磁盘快照。恢复引导记录受破坏MBR分区的操作完成。恢复引导记录受破坏MBR分区一步骤二：读取和记录MBR分区表参数（三）读取分区第一扇区1.启用“数据解释器”点击Winhex“查看”菜单，弹出下拉菜单，移动鼠标光标至“显示”，弹出其下拉菜单，光标再移到“数据解释器”，如图6-28所示。利用Winhex直接和数据解释器读取MBR分区表参数图6-28Winhex“查看”-“显示”-“数据解释器”菜单图（二）读取分区第一扇区2.修改“数据解释器”的解释方式方法若需要修改某个参数的解释方式方法，用右键点击其数值，弹出解释方式方法下拉菜单，点击选择所要的解释方式方法就可以了。比如右键点数据解释器32Bit上的数值（63）处，弹出“解释方式方法”菜单，光标移到“插入Unicode控制字符”，继续弹出下拉菜单，光标移到想要选的“LRM”,点击它就可以了，如图6-30所示。图6-30Winhex“数据解释器”解释方式方法下拉菜单恢复仅有效扇区标志受破坏MBR分区02恢复仅有效扇区标志受破坏MBR分区（二）恢复仅有效扇区标志受破坏MBR分区（共有3个步骤）步骤一：附加虚拟磁盘，运行Winhex并打开它步骤二：确认MBR分区受破坏步骤三：恢复MBR分区二步骤一：附加虚拟磁盘，运行Winhex并打开它在素材文件夹中，双击“6任务2-2-2.vhd”，然后运行（Winhex），打开“HD1”。恢复仅有效扇区标志受破坏MBR分区步骤二：确认MBR分区受破坏

在驱动器窗口，点击起始扇区，接着在编辑窗口查看MBR信息，发现其MBR的扇区有效标志数据为0，说明MBR的有效标志被破坏了。二步骤三：恢复MBR分区1.重写扇区有效标志在MBR的扇区有效标志处，偏移0XFE～FF，直接写入0X55/0XAA。如图6-40所示。恢复仅有效扇区标志受破坏MBR分区7-40Winhex编辑窗口信息（修复后MBR的有效标志）图2.保存数据完成后，保存磁盘数据后，关闭磁盘。恢复仅有效扇区标志受破坏MBR分区的操作完成。二步骤二：读取和记录EBR1分区表参数（二）EBR1分区表第2个表项如图6-36所示。利用Winhex直接和数据解释器读取EBR分区表参数图6-36Winex编辑窗口信息（EBR1分区表第2个表项）图第2个表项偏移是0XCE-0XDD。其中，它活动分区类型偏移是0XCE，值是0X00，表示是非活动分区；它分区类型的偏移是0XD2，值是0X05，表示是次扩展分区；它第一扇区号的偏移是0XD6-9，值是0XC80B1C1，数据解释器32Bit数值处解释的十进制数为209,760,705(扇区）；它扇区总数的偏移是0XDA-D，值是0XC7EB182,数据解释器32Bit数值处解释的十进制数为209629570(扇区）。EBR1分区第2个表项主要参数如表6-7所示。表6-7EBR1分区第2个表项主要参数表偏移长度值表项内容0XCE10X00活动分区类型：非活动0XD210X05分区类型：扩展分区（1)0XD6〜840XC80B1C1第一扇区：209,760,705号（主扩展分区）0XDA〜D40XC7EB182扇区总数：209629570恢复分区表受破坏MBR分区03恢复分区表受破坏MBR分区恢复分区表受破坏MBR分区（共有3个步骤）步骤一：附加虚拟磁盘，运行Winhex并打开它步骤二：确认MBR分区受破坏步骤三：恢复MBR分区三步骤一：附加虚拟磁盘，运行Winhex并打开它恢复分区表受破坏MBR分区在素材文件夹中，双击“6任务2-2-3.vhd”，资源管理器发现磁盘有问题，并弹出错误提示。运行Winhex，打开“HD1”。步骤二：确认MBR分区受破坏在驱动器窗口，但各分区还在，它们的图标变为灰色，系统已识别不到该分区，资源管理器读不了此分区数据，但各分区的数据正常。进一步查看MBR、EBR1、EBR2信息，发现他们的数据均为0，说明MBR、EBR1、EBR2表被破坏了。三步骤三：恢复MBR分区恢复分区表受破坏MBR分区1.制作各分区主要参数表，读取各分区主要参数先制作各分区主要参数（第一扇区号、BPB表的总扇区数、总扇区数）表，然后，点击各分区，接着读取各分区的第一扇区号（DBR所在的扇区号）、BPB表记录的总扇区数、推算MBR分区表项的总扇区数等参数，并把它们填入各分区主要参数表的各栏中。各分区主要参数表如表6-11表所示。表6-11各分区主要参数表分区参数/分区号分区1间隙1分区2间隙2分区3第1扇区号（DBR所在的扇区号）63209715263209715326419430526419430589BPB表记录的总扇区数209715199——209715199——419419450推算MBR分区表项的总扇区数2097152006320971520063419419451三步骤三：恢复MBR分区恢复分区表受破坏MBR分区2.填写MBR、EBR分区表项数据表根据各分区主要数据表，依照表6-1，填写MBR、EBR1、EBR2分区表项数据表。MBR、EBR1、EBR2分区表项数据表，如表6-12、13、14表所示。表6-12MBR分区表表项参数数据表分区/参数分区1（主分区）分区2（扩展分区）活动分区标志偏移0XBE0XCE直接输入0X800X00开始磁头/开始扇区/开始柱面偏移0XBF〜0XC10XCF〜0XD1直接输入0X010X/01/0X000XFE/0XFF0X/FF分区类型偏移0XC20XD2直接输入0X070X0F结束磁头/开始扇区/开始柱面偏移0XC3〜0XC50XD3〜0XD5直接输入0XFE/0XFF/0XFF0XFE/0XFF/0XFF第一扇区（第一扇区号）偏移0XC6〜80XD6〜8数据解释器输入63209715263总扇区数偏移0XCA〜D0XDA〜D数据解释器输入209715200629134777三步骤三：恢复MBR分区恢复分区表受破坏MBR分区2.填写MBR、EBR分区表项数据表根据各分区主要数据表，依照表6-1，填写MBR、EBR1、EBR2分区表项数据表。MBR、EBR1、EBR2分区表项数据表，如表6-12、13、14表所示。表6-13EBR1分区表表项参数表分区/参数分区1（逻辑分区1）分区2（次扩展分区1）活动分区标