计算机检测维修与数据恢复（上册）课件 子任务2 利用WinHex恢复MBR磁盘分区

子任务2

利用WinHex恢复MBR磁盘分区任务2MBR磁盘分区恢复项目6磁盘分区恢复01恢复引导记录受破坏MBR分区02恢复仅有效扇区标志受破坏MBR分区03恢复分区表受破坏MBR分区目录contents恢复引导记录受破坏MBR分区01任务实施2（一）恢复引导记录受破坏MBR分区（共有3个步骤）步骤一：附加虚拟磁盘，运行Winhex并打开它步骤二：确认MBR分区受破坏步骤三：恢复MBR分区一步骤一：附加虚拟磁盘，运行Winhex并打开它在素材文件夹中，双击“6任务2-2-1.vhd”，然后运行Winhex，打开“HD1”。恢复引导记录受破坏MBR分区步骤二：确认MBR分区受破坏在驱动器窗口，点击起始扇区，接着在编辑窗口查看MBR信息，发现其MBR的偏移0X00〜0XBD的数据为0，而MBR分区表及有效标志正常，说明MBR的引导信息被破坏了。一步骤三：恢复MBR分区1.复制正常的MBR的引导信息用Winhex打开任意正常的MBR分区类型的硬盘，复制MBR引导信息，粘贴到6任务1-3.vhd虚拟磁盘MBR引导信息处。如图6-39所示。恢复引导记录受破坏MBR分区图6-39Winhex编辑窗口信息（修复后MBR引导信息）图一步骤三：恢复MBR分区2.保存数据

运用“保存”功能按键，完成保存数据。运用“磁盘快照”功能按键，完成磁盘快照。恢复引导记录受破坏MBR分区的操作完成。恢复引导记录受破坏MBR分区一步骤二：读取和记录MBR分区表参数（三）读取分区第一扇区1.启用“数据解释器”点击Winhex“查看”菜单，弹出下拉菜单，移动鼠标光标至“显示”，弹出其下拉菜单，光标再移到“数据解释器”，如图6-28所示。利用Winhex直接和数据解释器读取MBR分区表参数图6-28Winhex“查看”-“显示”-“数据解释器”菜单图（二）读取分区第一扇区2.修改“数据解释器”的解释方式方法若需要修改某个参数的解释方式方法，用右键点击其数值，弹出解释方式方法下拉菜单，点击选择所要的解释方式方法就可以了。比如右键点数据解释器32Bit上的数值（63）处，弹出“解释方式方法”菜单，光标移到“插入Unicode控制字符”，继续弹出下拉菜单，光标移到想要选的“LRM”,点击它就可以了，如图6-30所示。图6-30Winhex“数据解释器”解释方式方法下拉菜单恢复仅有效扇区标志受破坏MBR分区02恢复仅有效扇区标志受破坏MBR分区（二）恢复仅有效扇区标志受破坏MBR分区（共有3个步骤）步骤一：附加虚拟磁盘，运行Winhex并打开它步骤二：确认MBR分区受破坏步骤三：恢复MBR分区二步骤一：附加虚拟磁盘，运行Winhex并打开它在素材文件夹中，双击“6任务2-2-2.vhd”，然后运行（Winhex），打开“HD1”。恢复仅有效扇区标志受破坏MBR分区步骤二：确认MBR分区受破坏

在驱动器窗口，点击起始扇区，接着在编辑窗口查看MBR信息，发现其MBR的扇区有效标志数据为0，说明MBR的有效标志被破坏了。二步骤三：恢复MBR分区1.重写扇区有效标志在MBR的扇区有效标志处，偏移0XFE～FF，直接写入0X55/0XAA。如图6-40所示。恢复仅有效扇区标志受破坏MBR分区7-40Winhex编辑窗口信息（修复后MBR的有效标志）图2.保存数据完成后，保存磁盘数据后，关闭磁盘。恢复仅有效扇区标志受破坏MBR分区的操作完成。二步骤二：读取和记录EBR1分区表参数（二）EBR1分区表第2个表项如图6-36所示。利用Winhex直接和数据解释器读取EBR分区表参数图6-36Winex编辑窗口信息（EBR1分区表第2个表项）图第2个表项偏移是0XCE-0XDD。其中，它活动分区类型偏移是0XCE，值是0X00，表示是非活动分区；它分区类型的偏移是0XD2，值是0X05，表示是次扩展分区；它第一扇区号的偏移是0XD6-9，值是0XC80B1C1，数据解释器32Bit数值处解释的十进制数为209,760,705(扇区）；它扇区总数的偏移是0XDA-D，值是0XC7EB182,数据解释器32Bit数值处解释的十进制数为209629570(扇区）。EBR1分区第2个表项主要参数如表6-7所示。表6-7EBR1分区第2个表项主要参数表偏移长度值表项内容0XCE10X00活动分区类型：非活动0XD210X05分区类型：扩展分区（1)0XD6〜840XC80B1C1第一扇区：209,760,705号（主扩展分区）0XDA〜D40XC7EB182扇区总数：209629570恢复分区表受破坏MBR分区03恢复分区表受破坏MBR分区恢复分区表受破坏MBR分区（共有3个步骤）步骤一：附加虚拟磁盘，运行Winhex并打开它步骤二：确认MBR分区受破坏步骤三：恢复MBR分区三步骤一：附加虚拟磁盘，运行Winhex并打开它恢复分区表受破坏MBR分区在素材文件夹中，双击“6任务2-2-3.vhd”，资源管理器发现磁盘有问题，并弹出错误提示。运行Winhex，打开“HD1”。步骤二：确认MBR分区受破坏在驱动器窗口，但各分区还在，它们的图标变为灰色，系统已识别不到该分区，资源管理器读不了此分区数据，但各分区的数据正常。进一步查看MBR、EBR1、EBR2信息，发现他们的数据均为0，说明MBR、EBR1、EBR2表被破坏了。三步骤三：恢复MBR分区恢复分区表受破坏MBR分区1.制作各分区主要参数表，读取各分区主要参数先制作各分区主要参数（第一扇区号、BPB表的总扇区数、总扇区数）表，然后，点击各分区，接着读取各分区的第一扇区号（DBR所在的扇区号）、BPB表记录的总扇区数、推算MBR分区表项的总扇区数等参数，并把它们填入各分区主要参数表的各栏中。各分区主要参数表如表6-11表所示。表6-11各分区主要参数表分区参数/分区号分区1间隙1分区2间隙2分区3第1扇区号（DBR所在的扇区号）63209715263209715326419430526419430589BPB表记录的总扇区数209715199——209715199——419419450推算MBR分区表项的总扇区数2097152006320971520063419419451三步骤三：恢复MBR分区恢复分区表受破坏MBR分区2.填写MBR、EBR分区表项数据表根据各分区主要数据表，依照表6-1，填写MBR、EBR1、EBR2分区表项数据表。MBR、EBR1、EBR2分区表项数据表，如表6-12、13、14表所示。表6-12MBR分区表表项参数数据表分区/参数分区1（主分区）分区2（扩展分区）活动分区标志偏移0XBE0XCE直接输入0X800X00开始磁头/开始扇区/开始柱面偏移0XBF〜0XC10XCF〜0XD1直接输入0X010X/01/0X000XFE/0XFF0X/FF分区类型偏移0XC20XD2直接输入0X070X0F结束磁头/开始扇区/开始柱面偏移0XC3〜0XC50XD3〜0XD5直接输入0XFE/0XFF/0XFF0XFE/0XFF/0XFF第一扇区（第一扇区号）偏移0XC6〜80XD6〜8数据解释器输入63209715263总扇区数偏移0XCA〜D0XDA〜D数据解释器输入209715200629134777三步骤三：恢复MBR分区恢复分区表受破坏MBR分区2.填写MBR、EBR分区表项数据表根据各分区主要数据表，依照表6-1，填写MBR、EBR1、EBR2分区表项数据表。MBR、EBR1、EBR2分区表项数据表，如表6-12、13、14表所示。表6-13EBR1分区表表项参数表分区/参数分区1（逻辑分区1）分区2（次扩展分区1）活动分区标志偏移0XBE0XCE直接输入0X000X00开始磁头/开始扇区/开始柱面偏移0XBF〜0XC10XCF〜0XD1直接输入0X01/0X01/0X000XFE/0XFF/0XFF分区类型偏移0XC20XD2直接输入0X070X05结束磁头/开始扇区/开始柱面偏移0XC3〜0XC50XD3〜0XD5直接输入0XFE/0XFF/0XFF0XFE/0XFF/0XFF第一扇区（第一扇区号）偏移0XC6〜80XD6〜8数据解释器输入63209,715,263总扇区数偏移0XCA〜D0XDA〜D数据解释器输入209,715,200419,419,514三步骤三：恢复MBR分区恢复分区表受破坏MBR分区2.填写MBR、EBR分区表项数据表根据各分区主要数据表，依照表6-1，填写MBR、EBR1、EBR2分区表项数据表。MBR、EBR1、EBR2分区表项数据表，如表6-12、13、14表所示。表6-14EBR2分区表表项参数表分区/参数分区1（逻辑分区2）活动分区标志偏移0XBE直接输入0X00开始磁头/开始扇区/开始柱面偏移0XBF〜0XC1直接输入0X01/0X01/0X00分区类型偏移0XC2直接输入0X07结束磁头/开始扇区/开始柱面偏移0XC3〜0XC5直接输入0XFE/0XFF/0XFF第一扇区（第一扇区号）偏移0XC6〜8数据解释器输入63总扇区数偏移0XCA〜D数据解释器输入419,419,451三步骤三：恢复MBR分区恢复分区表受破坏MBR分区3.写入MBR、EBR1、EBR2各表项在Winhex编辑窗口，分别进入MBR、EBR1、EBR2扇区，根据MBR、EBR1、EBR2分区表项数据表，分别填写MBR、EBR1、EBR2分区各表项，完成后，保存磁盘数据后，关闭磁盘，然后又重新打开此磁盘。如图6-41、42、43所示。图6-41Winhex编辑窗口信息（修复后MBR分区表）图三