《计算机检测维修与数据恢复》（下册） 课件 任务 2  GPT 磁盘分区恢复

子任务1 利用WinHex模板读取GPT分区表参数任务2 GPT磁盘分区恢复项目6磁盘分区恢复01利用GPT模板读取保护MBR主要参数02利用GPT模板读取GPT头主要参数03利用GPT头备份模板读取GPT头备份主要参数目录contents04利用GPT模板读取GPT分区表主要参数05利用GPT分区表备份模板读取GPT分区表备份主要参数利用GPT模板读取保护MBR主要参数01利用GPT模板读取保护MBR主要参数一一、

利用GPT模板读取保护MBR主要参数（共有2个步骤）步骤一：附加虚拟磁盘，并用Winex打开它步骤二：利用GPT模板读取保护MBR分区表参数利用GPT模板读取保护MBR主要参数一步骤一：附加虚拟磁盘，并用Winex打开它

在素材文件夹中，双击“6任务2-1-1.vd”，然后运行Winex，打开“D1”，操作界面显示该硬盘信息，目录浏览器显示如图6-17所示。图6-17Winex驱动器窗口信息（6任务2-1-1.vd）图利用GPT模板读取保护MBR主要参数一步骤二：利用GPT模板读取保护MBR分区表参数

1.打开保护MBR打开扇区0，保护MBR分区表信息如图6-18所示。图6-18Winex编辑窗口信息（保护MBR分区表）图利用GPT模板读取保护MBR主要参数一步骤二：利用GPT模板读取保护MBR分区表参数

2.打开GPT模板，找到保护MBR信息表打开GPT模板，得到保护MBR分区表信息，如图6-19所示。图6-19Winex模板“GPT保护MBR分区表”信息图利用GPT模板读取保护MBR主要参数一步骤二：利用GPT模板读取保护MBR分区表参数

3.读取保护MBR分区表参数从图6-19上读出保护MBR分区表的主要参数，制成保护MBR分区表参数表，如表6-16所示。表6-16保护MBR主要参数表偏移长度值参数内容0X1BE10X00固定值0X1BF10X000X1C010X020X1C110X000X1C210XEE0X1C310XFF0X1C410XFF0X1C510XFF0X1C610X010X1CA40XFFFFFFFF利用GPT保护MBR模板读取保护MBR主要参数的操作完成。利用GPT模板读取GPT头主要参数02利用Winex的MBR模板读取EBR分区表主要参数二二、利用Winex的MBR模板读取EBR分区表主要参数（共有3个步骤）步骤一：光标跳至GPT头所在扇区步骤二：利用GPT模板读取GPT头主要参数步骤三：读取GPT头参数利用GPT模板读取GPT头主要参数二步骤一：光标跳至GPT头所在扇区运行Winex，从扇区0跳至扇区1，编辑窗口显示GPT头信息。如图6-20所示。图6-20Winex编辑窗口信息（GPT头）图利用GPT模板读取GPT头主要参数二步骤二：利用GPT模板读取GPT头主要参数1.打开GPT模板，找到GPT头信息表打开GPT模板，得到GPT头信息表，如图6-21所示。图6-21Winex模板“GPT头”信息图利用GPT模板读取GPT头主要参数二步骤三：读取GPT头参数1.打开GPT模板，找到GPT头信息表从图6-21上读出GPT头的参数，制成GPT头参数表，如表6-17所示。表6-17GPT头参数表主要参数偏移长度值解释GPT头所在扇区号0X1880X01扇区1GPT头备份所在扇区号0X2080X31FFFFFF扇区838860799首个GPT分区第一个扇区号0X2880X22扇区34最后GPT分区最后一个扇区号0X3080X31FFFFDE扇区838860766利用GPT头备份模板读取GPT头备份主要参数03利用GPT头备份模板读取GPT头备份主要参数三三、利用GPT头备份模板读取GPT头备份主要参数（共有2个步骤）步骤一：光标跳至GPT头备份所在扇区号（倒数1号扇区)步骤二：利用GPT模板读取GPT头备份主要参数利用GPT头备份模板读取GPT头备份主要参数三步骤一：光标跳至GPT头备份所在扇区号（倒数1号扇区)

在Winex编辑窗口，跳至扇区838860799，此扇区为GPT头备份所在扇区，如图6-22所示。图6-22Winex编辑窗口信息（GPT头备份）图利用GPT头备份模板读取GPT头备份主要参数三步骤二：利用GPT模板读取GPT头备份主要参数

1.打开GPT头备份模板打开GPT头备份模板，找到GPT头备份信息表，如图6-23所示。图6-23Winex模板“GPT头备份”信息图利用GPT头备份模板读取GPT头备份主要参数三步骤二：利用GPT模板读取GPT头备份主要参数

2.读取GPT头备份主要参数从图6-23上读出GPT头备份的参数，制成到GPT头备份参数表，如表6-18所示。表6-18GPT头备份主要参数表主要参数起始字节长度值解释GPT头所在扇区号0X188字节0X31FFFFFF扇区838860799GPT头备份所在扇区号0X208字节0X01扇区1首个GPT分区第一个扇区号0X288字节0X22扇区34最后GPT分区最后一个扇区号0X308字节0X31FFFFDE扇区838860766利用GPT模板读取GPT分区表主要参数04利用GPT模板读取GPT分区表主要参数四四、利用GPT模板读取GPT分区表主要参数（共有2个步骤）步骤一：光标跳至GPT分区表所在第一扇区2步骤二：利用GPT模板读取GPT分区表主要参数利用GPT模板读取GPT分区表主要参数四步骤一：光标跳至GPT分区表所在第一扇区2在Winex编辑窗口，GPT分区备份所在的扇区2，跳至扇区2，可以找到5个分区表项的信息。如图6-24所示。图6-24Winex编辑窗口信息（GPT分区表）图利用GPT模板读取GPT分区表主要参数四步骤二：利用GPT模板读取GPT分区表主要参数1.打开GPT分区表模板，找到GPT分区项信息表打开GPT分区表模板，找到GPT各分区项信息表，如图6-25所示。图6-25Winex模板“GPT分区表”信息图利用GPT模板读取GPT分区表主要参数四步骤二：利用GPT模板读取GPT分区表主要参数2.读取GPT分区表主要参数从图6-25上读出GPT分区表的参数，制成GPT分区表主要参数表，如表6-19所示。表6-19GPT分区5个分区表表项主要参数表分区偏移值(前8字节）分区起始扇区值(后8字节）分区末尾扇区分区名字分区10X420〜2F0X22340X96021614433EFI引导分区20X4A0〜AF0X96226144340X9E021647201微软备份分区30X520〜2F0X9E0226472020XC89EFFF210366463数据分区40X5A0〜AF0XC89F0002103664640X1909F7FF420083711数据分区50X620〜2F0X1909F8004200837120X31FFFFDE838860766数据利用GPT分区表备份模板读取GPT分区表备份主要参数05利用GPT分区表备份模板读取GPT分区表备份主要参数五五、利用GPT分区表备份模板读取GPT分区表备份主要参数（共有2个步骤）步骤一：跳至GPT分区表备份所在扇区（倒数34号扇区)步骤二：打开GPT分区表模板，找到GPT各分区项信息表步骤三：读取GPT分区表备份参数利用GPT分区表备份模板读取GPT分区表备份主要参数五步骤一：跳至GPT分区表备份所在扇区（倒数34号扇区)

在Winex编辑窗口，GPT分区备份所在的倒数34号扇区是838,860,767号扇区，跳至扇区838,860,767，可以找到5个分区表项的信息。如图6-26所示。图6-26Winex编辑窗口信息（GPT分区表备份）图利用GPT分区表备份模板读取GPT分区表备份主要参数五步骤二：打开GPT分区表模板，找到GPT各分区项信息表

打开GPT分区表模板，找到GPT各分区项信息表，如图6-27所示。图6-27Winex模板（GPT分区表备份）信息图利用GPT分区表备份模板读取GPT分区表备份主要参数五步骤三：读取GPT分区表备份参数

从图6-27上读出GPT分区表备份主要参数，制成GPT分区表备份主要参数表，如表6-20所示。表6-20GPT分区表备份的主要参数表分区偏移值(前8字节）分区起始扇区值(后8字节）分区末尾扇区分区名字分区10X420〜2F0X22340X96021614433EFI引导分区20X4A0〜AF0X96226144340X9E021647,201微软备份分区30X520〜2F0X9E0226472020XC89EFFF210366463数据分区40X5A0〜AF0XC89F0002103664640X1909F7FF420083711数据分区50X620〜2F0X1909F8004200837120X31FFFFDE838860766数据感谢观看THANKSFORWATCHING子任务2 利用WinHex手动把MBR分区转换成GPT分区任务2 GPT磁盘分区恢复项目6磁盘分区恢复一步骤一：附加虚拟磁盘，并用Winex打开它

在素材文件夹中，双击“6任务2-2-1.vd”，然后运行Winex，打开“D1”，界面显示该硬盘信息，编辑窗口默认显示是MBR扇区的信息。利用Winex手动把MBR分区类型转换成GPT分区类型

1.删除EBR。从扇区0跳至扇区419430526，给整个扇区（EBR2）填充0X00；跳至扇区209715263，给整个扇区（EBR1）填充0X00。

2.删除C区。跳至扇区63，给整个扇区（DBR)填充0X00；跳至扇区209715262，给整个扇区（DBR备份)填充0X00。

3.删除MBR。跳至扇区0，选定整个扇区（MBR），填充0X00。步骤二：删除原MBR、C分区、EBR一步骤三：把MBR第一个分区项改成GPT保护MBR分区项

光标移至偏移0XC2，写入0XEE；光标移至偏移0XC6～0XC9，写入对应的值分别为0X01;光标移至偏移0XCA～0XCD，写入对应的值为0XFFFFFFFF。利用Winex手动把MBR分区类型转换成GPT分区类型

跳至扇区1，若此扇区有数据，就填充0X00。根据GTP头格式及其主要参数，制成GPT头参数表，如表6-210所示。步骤四：建立GPT头一利用Winex手动把MBR分区类型转换成GPT分区类型步骤四：建立GPT头表6-21GPT头参数表起始字节长度值内容0X008字节0X5452415020494645签名(“EFIPART”）0X084字节0X010000修订1.0版0X0C4字节0X5C分区表头的大小：92字节0X104字节0X56940C84CRC32校验0X144字节0X00保留，必须是00X188字节0X011扇区0X208字节0X31FFFFFF838860799扇区0X288字节0X2234扇区0X308字节0X31FFFFDE838860767扇区0X3816字节0X41EB49A13BB41B63硬盘GUID（在UNIX系统中也叫UUID）0X488字节0X02分区表的起始LBA（在主分区表中是2）0X504字节0X80分区表项的数量(128个）0X544字节0X80一个分区表项的大小（128字节）0X584字节0X348AFD36分区串行的CRC32校验0X5C*0保留，剩余的字节必须是0（对于512字节LBA的硬盘即是120个字节）一利用Winex手动把MBR分区类型转换成GPT分区类型

把参数逐个写入GPT头。其中0X10～0X13校验数值，还需校验后有变化。如图6-28所示。步骤四：建立GPT头图6-28GPT头（转换后重建）一利用Winex手动把MBR分区类型转换成GPT分区类型

跳至扇区2，选定区，扇区2～扇区33，然后对此区填充“00”。根据GTP分区表项格式及其主要参数，制成GPT分区表项主要参数表，如表6-22所示。步骤五：建立GPT分区表项表6-22GPT分区表项参数表EFI系统分区参数起始字节长度值内容0X016字节固定值分区类型GUID0X1016字节固定值分区GUID0X208字节0X22扇区340X288字节0X096021扇区6144330X308字节0X80“80”属性标签0X3872字节固定值EFI系统分区一利用Winex手动把MBR分区类型转换成GPT分区类型步骤五：建立GPT分区表项表6-22GPT分区表项参数表微软保留分区（MSR）参数起始字节长度值内容0X016字节固定值分区类型GUID0X1016字节固定值分区GUID0X208字节0X096022614434扇区0X288字节0X09E0216881357扇区0X308字节0X00“00”属性标签”）0X3872字节固定值MSR分区微软保留分区（MSR）参数起始字节长度值内容0X016字节固定值分区类型GUID0X1016字节固定值分区GUID0X208字节0X096022614434扇区0X288字节0X09E0216881357扇区0X308字节0X00“00”属性标签”）0X3872字节固定值MSR分区一利用Winex手动把MBR分区类型转换成GPT分区类型步骤五：建立GPT分区表项表6-22GPT分区表项参数表数据分区（系统）参数起始字节长度值内容0X016字节固定值分区类型GUID0X1016字节固定值分区GUID0X208字节0X09E0226881358扇区0X288字节0X0C80003E209715262扇区0X308字节0X00“00”属性标签”）0X3872字节固定值数据区数据分区（用户保留）参数起始字节长度值内容0X016字节固定值分区类型GUID0X1016字节固定值分区GUID0X208字节0X0C80007E209715326扇区0X288字节0X1900007D419430526扇区0X308字节0X00“00”属性标签”）0X3872字节固定值数据区一利用Winex手动把MBR分区类型转换成GPT分区类型步骤五：建立GPT分区表项表6-22GPT分区表项参数表数据分区（用户保留）参数起始字节长度值内容0X016字节固定值分区类型GUID0X1016字节固定值分区GUID0X208字节0X190000BD41