《计算机检测维修与数据恢复》（下册） 课件 任务1 子任务 1  利用 WinHex 数据解释器和直接写入功能来恢复MBR分区

子任务1 利用WinHex数据解释器和直接写入功能来恢复MBR分区 任务1 MBR磁盘分区恢复项目6磁盘分区恢复01恢复受破坏MBR（EBR）分区表及DBR的MBR分区02恢复分区格式化MBR分区目录contents恢复受破坏MBR（EBR）分区表及DBR的MBR分区01恢复受破坏MBR（EBR）分区表及DBR的MBR分区一步骤一：附加虚拟磁盘，运行Winex并打开虚拟磁盘步骤二：确认MBR（EBR）分区表及DBR受破坏一、恢复受破坏MBR（EBR）分区表及DBR的MBR分区（共有3个步骤）步骤三：恢复MBR分区恢复受破坏MBR（EBR）分区表及DBR的MBR分区一步骤一：附加虚拟磁盘，运行Winex并打开虚拟磁盘

在素材文件夹中，双击“6任务1-1-1.vd”，资源管理器发现磁盘有问题，并弹出错误提示。运行Winex，打开“D1”。步骤二：确认MBR（EBR）分区表及DBR受破坏在硬盘窗口，只见未分区空间，说明MBR分区表及DBR被破坏了。如图6-1所示。图6-1Winex驱动器窗口信息（6任务1-2-1.vd）图恢复受破坏MBR（EBR）分区表及DBR的MBR分区一步骤三：恢复MBR分区

1.搜索DBR备份，读取DBR的BPB与分区有关的2个参数点击“查找十六进制数值”功能按键，弹出查找十六进制数值操作界面，在“搜索下列十六进制数据”框内填入“55AA”(一定在英文输入法状态下输入)，在“搜索”框内选择方向为“向下”，在“条件：偏移计算”框内填入“512=510”，其它项选默认值，然后点击“确定”键，弹出确认窗口，点击“确定”，程序进入搜索状态。当搜索到每一个“55AA”值时（键盘“F3”是搜索到下一个“55AA”值的快捷键），把其所在的扇区填入各分区数据表的“备份所在扇区号”栏中，接着把各分区的BPB的总扇区数填入各分区数据表的“BPB的总扇区数”栏中，然后按公式计算，把结果填入各分区数据表的“第一扇区号”和“总扇区数”栏中。各分区DBR的BPB与分区有关的2个参数表，如表6-2所示。表6-2各分区DBR的BPB与分区有关的2个参数表分区参数分区1分区2分区3分区第一扇区63209715326419430589分区总扇区数209715199209715199419419450恢复受破坏MBR（EBR）分区表及DBR的MBR分区一步骤三：恢复MBR分区

经计算，分区1与分区2之间尚有63扇区的未分区空间，分区2与分区3之间尚有63扇区的未分区空间，分区3后还有5.3MB的未分区空间。根据在整个磁盘中，各分区及间隙主要数据的关系式（分区的第1扇区号减去前一个分区的第1扇区号差值等于前一个分区的总扇区数）和每一个分区容量必须大于8.4GB，可以判断出，有分区间隙1，分区间隙2，残余空间等，得各分区MBR（EBR）分区表的主要参数表，如表6-3所示。表6-3各分区主要参数表分区参数分区1间隙1分区2间隙2分区3分区第1扇区63209715263209715326419430526419430589分区总扇区数2097152006320971520063419419451恢复受破坏MBR（EBR）分区表及DBR的MBR分区一步骤三：恢复MBR分区

2.复制各分区DBR备份到它们第一扇区

点击Winex的“跳至扇区”功能按键，弹出跳至扇区操作界面，在“LBA:扇区”框内填入“209715262”，其它项选默认值，然后点击“确定”键，光标跳至分区1DBR备份扇区，如图6-2所示。图6-2Winex编辑窗口信息（分区1DBR）图恢复受破坏MBR（EBR）分区表及DBR的MBR分区一步骤三：恢复MBR分区

全选整个扇区，用快捷键“CTRL+C”(或点右键，弹出编辑菜单，点“编辑”，弹出“编辑”对话框，光标移到“复制选块”菜单，弹出它下拉菜单，点击“正常”复制选项）。点击Winex的“跳至扇区”功能按键，弹出跳至扇区操作界面，在“LBA:扇区”框内填入“63”，其它项选默认值，然后点击“确定”键，光标跳至分区1DBR原所在扇区，用快捷键“CTRL+B”，完成复制分区1的备份到原位置的操作任务。

同样操作，完成复制分区2、分区3的备份到原位置的操作任务。恢复受破坏MBR（EBR）分区表及DBR的MBR分区一步骤三：恢复MBR分区

3.记录MBR、EBR分区表项主要参数表读取各分区DBR的第一扇区号、分区总扇区，制成MBR（EBR）分区表参数表，如表6-4、5、6所示表6-4MBR分区表参数数据表分区/参数分区1（主分区）分区2（扩展分区）活动分区标志偏移0XBE0XCE值0X800X00开始磁头/开始扇区/开始柱面偏移0XBF〜0XC10XCF〜0XD1值0X01/0X01/0X000XFE/0XFF/0XFF分区类型偏移0XC20XD2值0X070X0F结束磁头/开始扇区/开始柱面偏移0XC3〜0XC50XD3〜0XD5值0XFE/0XFF/0XFF0XFE/0XFF/0XFF第一扇区（第一扇区号）偏移0XC6〜80XD6〜8扇区63209715263总扇区数偏移0XCA〜D0XDA〜D扇区数209715200629134777恢复受破坏MBR（EBR）分区表及DBR的MBR分区一步骤三：恢复MBR分区

3.记录MBR、EBR分区表项主要参数表读取各分区DBR的第一扇区号、分区总扇区，制成MBR（EBR）分区表参数表，如表6-4、5、6所示表6-5EBR1分区表参数表分区/参数分区1（逻辑分区1）分区2（次扩展分区1）活动分区标志偏移0XBE0XDE值0000开始磁头/开始扇区/开始柱面偏移0XBF〜0XC10XCF〜0XD1值01/01/00FE/FF/FF分区类型偏移0XC20XD2值0705结束磁头/开始扇区/开始柱面偏移0XC3〜0XC50XD3〜0XD5值FE/FF/FFFE/FF/FF第一扇区（第一扇区号）偏移0XC6〜80XD6〜8扇区号63209715263总扇区数偏移0XCA〜D0XDA〜D扇区数209715200419419514恢复受破坏MBR（EBR）分区表及DBR的MBR分区一步骤三：恢复MBR分区

3.记录MBR、EBR分区表项主要参数表读取各分区DBR的第一扇区号、分区总扇区，制成MBR（EBR）分区表参数表，如表6-4、5、6所示表6-6EBR2分区表参数表分区/参数分区1（逻辑分区2）活动分区标志偏移0XBE值00开始磁头/开始扇区/开始柱面偏移0XBF〜0XC1值01/01/00分区类型偏移0XC2值07结束磁头/开始扇区/开始柱面偏移0XC3〜0XC5值FE/FF/FF第一扇区（第一扇区号）偏移0XC6〜8扇区号63总扇区数偏移0XCA〜D扇区数419419451恢复受破坏MBR（EBR）分区表及DBR的MBR分区一步骤三：恢复MBR分区

4.利用MBR模板分别写入MBR（EBR）分区表项，然后保存数据和重新打开磁盘在Winex编辑窗口，根据表6-20数据，跳转到MBR、EBR1、EBR2所在扇区，同时，根据表6-21、22、23数据，利用直接输入和数据解释器分别输入MBR、EBR1、EBR2分区表项，完成后，保存磁盘数据后，关闭磁盘，然后又重新打开此磁盘。如图6-3所示。图6-3Winex驱动窗口信息图恢复分区格式化MBR分区02恢复分区格式化MBR分区二二、恢复分区格式化MBR分区（共有3个步骤）步骤一：附加虚拟磁盘，运行Winex并打开虚拟磁盘步骤二：确认MBR（EBR）分区表及DBR受破坏步骤三：恢复MBR分区二步骤一：附加虚拟磁盘，运行Winex并打开虚拟磁盘在素材文件夹中，双击“6任务1-1-2.vd”，在资源管理中，发现各分区全是空的。运行Winex，打开“D1”。恢复分区格式化MBR分区在编辑窗口，跳转至MBR、EBR分区表及DBR所在扇区，发现它们数据被修改，且各分区都没有用户的内容，说明此盘已被重新分区格式化了。步骤二：确认MBR（EBR）分区表及DBR受破坏步骤三：恢复MBR分区1.删除无效MB