RUNTIMESDISKEXPLORER解讀硬盤0扇區(qū)

1、runtimes diskexplorer解讀硬盤0扇區(qū)runtimes diskexplorer是一款功能非常強大的磁盤編輯軟件，并帶有數(shù)據(jù)恢復的功能。runtimes diskexplorer對硬盤分區(qū)表的編輯非常容易，它把分區(qū)表信息抽象成可讀的參數(shù)，即分區(qū)類型、分區(qū)起始扇區(qū)、分區(qū)大小等。以往人們對硬盤分區(qū)表的編輯大都在十六進制模式下進行的，非常典型的例子就是用winhex磁盤編輯軟件在十六進制模式下對分區(qū)表進行更改，這種情況需要對硬盤主引導記錄非常了解才能做到，你必須知道哪些字節(jié)是存放分區(qū)表信息，哪些字節(jié)代表分區(qū)類型，哪些字節(jié)代表分區(qū)起始點，哪些字節(jié)代表分區(qū)大小等等。在十六進制模式下，對

2、分區(qū)表的理解和編輯是非常復雜的。runtimes diskexplorer對分區(qū)表的編輯真正實現(xiàn)了分區(qū)表的可視化編輯，分區(qū)表展示在用戶面前真正變成了一張表格，根據(jù)表格字段的含義填入相應的參數(shù)即可。 注意：本文講解的分區(qū)表知識是指微軟操作系統(tǒng)環(huán)境下的硬盤分區(qū)，包括dos、windows兩種操作系統(tǒng)平臺，分區(qū)類型為fat、ntfs。所講的知識不適合unix、linx、mac、novell等非microsoft平臺操作系統(tǒng)雖然其它操作系統(tǒng)或者部分內容和以下所講的有些是一樣的或者類似的。 runtimes diskexplorer對硬盤的讀寫是基于lba (邏輯塊地址)方式，我們不需要去理解以前的ch

3、s尋址方式，有關lba (邏輯塊地址)更詳細的信息請在互聯(lián)網(wǎng)上搜索。這里簡單的理解一下lba、扇區(qū)（sector）、字節(jié)(byte)、kb、mb、gb、tb的關系： 當你用runtimes diskexplorer去查看、編輯硬盤的時候，你看到的是硬盤的實實在在的物理扇區(qū)，你可以看到一個硬盤有多少個扇區(qū)，你可以隨意編輯任何一個扇區(qū)，簡單的理解為：1 sector = 1 lba ，1 sector = 512 byte ，1 kb = 2 sector，1 mb = 1024 kb，1 gb = 1024 mb，1 tb = 1024 gb。runtimes diskexplorer以前版本對

4、大于1tb的硬盤（當然現(xiàn)在還沒有大于1tb的單個硬盤，大于1tb的硬盤大都是配置好的磁盤陣列），v3.03版本已經(jīng)解決了這一問題。 runtimes diskexplorer界面介紹： 你可以從/ 站點下載diskexplorer for fat v3.03和diskexplorer for ntfs v3.03安裝程序，安裝到計算機上后運行該程序。界面如下：（這時候runtimes diskexplorer打開了計算機上的第一塊硬盤，一般情況下就是該計算機裝有正在運行當前操作系統(tǒng)的硬盤。通常情況下我們不要去更改系統(tǒng)盤相關信息，我們需要編輯的是掛接在計

5、算機上的第二塊盤或者第二塊以上的硬盤信息。） 硬盤在runtimes diskexplorer上的編號是hd128、hd129、hd130依次類推，hd128是指計算機上的第一塊硬盤，hd129是計算機上的第二塊硬盤依次類推。下圖是打開選擇某個硬盤的界面。physical drives下列出所有計算機上能正常識別到的物理硬盤，并列出每個硬盤的分區(qū)信息。runtimes diskexplorer早期的版本只能列出前8塊硬盤，如果計算機上掛接多于8塊硬盤，那后面的硬盤就沒法看到。新版本v3.03已經(jīng)沒有硬盤數(shù)量的限制了。 按照上圖，我們選擇2nd hard drive ，雙擊鼠標進去以后，顯示如下

6、圖：（如果該硬盤主引導扇區(qū)正常，即0扇區(qū)沒有被破壞，runtimes diskexplorer自動顯示partition table瀏覽界面。如果0扇區(qū)不符合主引導記錄-mbr格式，則顯示hex即十六進制瀏覽界面。）partition tanle界面圖: runtimes diskexplorer有多種瀏覽顯示界面，這我們先看一下hex（按f3）、partition tanle（按f9）、boot record（按f10）三種界面，可以通過快捷鍵切換，也可以通過對程序界面中間單擊右鍵view來選擇進入哪種顯示模式（如下圖）。 hex顯示界面即十六進制界面圖 boot record即boot扇區(qū)

7、顯示界面圖 runtimes diskexplorer十六進制模式下的分區(qū)表信息 簡單的理解硬盤分區(qū)信息：假設我們計算機上的硬盤分了4個分區(qū)c、d、e、f，分區(qū)表的作用就是給這4個分區(qū)作定義。具體如下：c盤分區(qū)定義：分區(qū)類型為ntfs，起始扇區(qū)（boot扇區(qū)）是63 sec（扇區(qū)），大小為10000000 sec（扇區(qū)）； d盤分區(qū)定義：分區(qū)類型為fat32，起始扇區(qū)是10000001 sec（扇區(qū)），大小為10000000 sec（扇區(qū)）； e盤分區(qū)定義：分區(qū)類型為ntfs，起始扇區(qū)是20000001 sec（扇區(qū)），大小為10000000 sec（扇區(qū)）； f盤分區(qū)定義：分區(qū)類型為ntfs

8、，起始扇區(qū)是30000001 sec（扇區(qū)），大小為10000000 sec（扇區(qū)）； 假如f盤分區(qū)表壞了，分區(qū)類型、起始扇區(qū)、分區(qū)大小都沒有了，如果這個分區(qū)中的數(shù)據(jù)沒有被破壞，那么我可以重新建立f盤的分區(qū)表，前提是我必須先找到它的分區(qū)類型、起始扇區(qū)、分區(qū)大小三個參數(shù)，用runtimes diskexplorer可以把這3個參數(shù)填寫出正確的分區(qū)表，f盤就正常了。 對硬盤分區(qū)表的理解一直是初學者的一個較難的問題，以往的網(wǎng)上搜索得到的關于硬盤分區(qū)表的文章寫得比較難懂，需要理解的專業(yè)詞匯太多。 下面主要用runtimes diskexplorer來解釋分區(qū)表結構，runtimes diskexplo

9、rer對分區(qū)表的可視化操作使得手工填寫分區(qū)表變得非常容易。 （以下截圖均來自runtimes diskexplorer for ntfs軟件，視圖模式為十六進制，內容硬盤的第0扇區(qū)。） 如果十六進制模式去學習分區(qū)表，你需要理解以下相關內容： 硬盤主引導記錄（mbr）：mbr是英文master boot record的縮寫，中文意為主引導記錄。硬盤的0磁道的第一個扇區(qū)稱為mbr，它的大小是512字節(jié)。 主引導記錄可以分為三個部分。 第一部分：pre-boot區(qū)（預啟動區(qū)），占446字節(jié)； 第二部分：partition table區(qū)（分區(qū)表），占64個字節(jié)。 第三部分：結束標志占2字節(jié)（55 aa

10、） 如果分區(qū)表信息的活動分區(qū)表損壞，用這個硬盤來引導系統(tǒng)的時候會報錯： invalid partition table. error loading operating system. missing operating system。如果預啟動區(qū)是空的沒有任何數(shù)據(jù)或者不是正確的mbr格式的數(shù)據(jù)，用這個硬盤來引導，會提示找不到可以用來啟動的設備： reboot and select proper boot device or insert boot media in selected boot device and press a key。下面試圖用十六進制編輯模式去理解分區(qū)表信息，以便和ru

11、ntimes diskexplorer可視化編輯分區(qū)表做對比。 下圖標記選擇部分是mbr的pre-boot區(qū)，即硬盤0扇區(qū)前 446字節(jié)。注意：不需要去理解每個字節(jié)的含義，因為這部分數(shù)據(jù)一旦被破壞，我們可以從正常的硬盤中copy相應數(shù)據(jù)覆蓋就可以正常使用，或者通過重新初始化該硬盤也可以使其正常。需要指出的是，在非microsoft平臺下使用的硬盤，這部分數(shù)據(jù)有的不符合主引導記錄（mbr）格式，我們不需要去更改它，否則正常的數(shù)據(jù)會被破壞掉！ 下圖標記選擇部分是mbr的partition table區(qū)（分區(qū)表，共占64個字節(jié)，每個分區(qū)表占用16字節(jié)） 下圖標記選擇部分是mbr的結束標志（共占2個字

12、節(jié)） 結束標志55 aa兩個字節(jié)是主引導記錄（mbr）和每個boot扇區(qū)的特有標記，如果沒有55 aa字符作為結束標志，主引導記錄（mbr）和每個boot扇區(qū)都是不正常的。 下圖標記選擇部分是硬盤第1個分區(qū)表信息（共16個字節(jié)） 解讀第一個分區(qū)表： 80 01 01 00 07 ef ff ff 3f 00 00 00 61 e7 85 01 每個分區(qū)表都有3個非常重要的參數(shù)：分區(qū)類型、分區(qū)起始扇區(qū)、分區(qū)大小，其中還有一個參數(shù)標記這個分區(qū)是否為活動分區(qū)，活動分區(qū)一般一個硬盤中只允許有一個。 80 - 活動分區(qū)標志 07 - 分區(qū)類型，07表示該分區(qū)為ntfs格式 ，3f 00 00 00 -

13、該分區(qū)的起始扇區(qū)，為十六進制：0000003f（十進制是63） 61 e7 85 01 - 該分區(qū)的大小，單位是扇區(qū)，為十六進制：0185e761 （十進制是25552737） 注意：起始扇區(qū)和分區(qū)大小分別占用4個字節(jié)，61 e7 85 01是反過來兩位兩位取值，即0185e761是真正的數(shù)字，十六進制和十進制之間的換算可以用計算器科學計數(shù)模式換算。要更改某個字節(jié)數(shù)據(jù)，鼠標單擊該字節(jié)，就可以就可以輸入新的數(shù)據(jù)。需要在runtimes diskexplorer做一下設置toolsoption默認情況下自動選擇read only，沒法編輯。我們選擇virtual選項，一般不建議選擇direct r

14、ead/write選項。如下圖： 下圖標記選擇部分是硬盤第2個分區(qū)表信息（共16個字節(jié)） 00 69 c1 ff 07 e0 ff ff 77 01 86 01 78 b1 d4 01 ， 00 - 正常分區(qū)，不是活動分區(qū)，如果該字節(jié)不是00也不是80，那該分區(qū)是不正常的， 07 - 分區(qū)類型，07表示該分區(qū)為ntfs格式， 77 01 86 01 - 該分區(qū)的起始扇區(qū)，為十六進制：01860177（十進制是25559415） 78 b1 d4 01 - 該分區(qū)的大小，單位是扇區(qū)，為十六進制：01d4b178（十進制是30716280）下圖標記選擇部分是硬盤第3個分區(qū)表信息（共16個字節(jié)） 00 00 c1 ff 07 ef ff ff a0 b6 5a 03 70 7d 9e 0a ， 00 - 正常分區(qū)，不是活動分區(qū)，如果該字節(jié)不是00也不是80，那該分區(qū)是不正常的， 07 - 分區(qū)類型，07表示該分區(qū)為ntfs格式 ，a0 b6 5a 03 - 該分區(qū)的起始扇區(qū)，為十六進制：035ab6a0（十進制是56276640），70 7d 9e 0a - 該分區(qū)