計(jì)算機(jī)檢測維修與數(shù)據(jù)恢復(fù)（上冊）課件 子任務(wù)1 利用WinHex讀取GPT磁盤參數(shù)

子任務(wù)1

利用WinHex讀取GPT磁盤分區(qū)參數(shù)?任務(wù)3GPT磁盤分區(qū)恢復(fù)項(xiàng)目6磁盤分區(qū)恢復(fù)01利用Winhex數(shù)據(jù)解釋器和直接讀取保護(hù)MBR參數(shù)02利用Winhex數(shù)據(jù)解釋器和直接讀取GPT頭主要參數(shù)03利用Winhex數(shù)據(jù)解釋器和直接讀取GPT頭備份主要參數(shù)目錄contents05利用Winhex數(shù)據(jù)解釋器和直接讀取GPT分區(qū)表備份主要參數(shù)04利用Winhex數(shù)據(jù)解釋器和直接讀取GPT分區(qū)表項(xiàng)主要參數(shù)利用Winhex數(shù)據(jù)解釋器和直接讀取保護(hù)MBR參數(shù)01任務(wù)實(shí)施1（一）利用Winhex數(shù)據(jù)解釋器和直接讀取保護(hù)MBR參數(shù)（共有2個(gè)步驟）步驟一：利用Winhex數(shù)據(jù)解釋器和直接讀取保護(hù)MBR參數(shù)步驟二：讀取和記錄GPT保護(hù)MBR分區(qū)表參數(shù)一步驟一：附加虛擬磁盤，運(yùn)行Winhex并打開它在素材文件夾中，雙擊“6任務(wù)3-1-1.vhd”，然后運(yùn)行（Winhex），打開“HD1”，界面顯示該硬盤信息，編輯窗口默認(rèn)顯示是扇區(qū)0保護(hù)MBR的信息。利用Winhex數(shù)據(jù)解釋器和直接讀取保護(hù)MBR參數(shù)步驟二：讀取和記錄GPT保護(hù)MBR分區(qū)表參數(shù)1.讀取分區(qū)類型分區(qū)類型的偏移分別是0XC2,對(duì)應(yīng)的值分別為0XEE，0XEE表示是保護(hù)分區(qū)。2.讀取第一扇區(qū)號(hào)第一扇區(qū)號(hào)偏移分別是0XC6?9，對(duì)應(yīng)的值分別為0X01,數(shù)據(jù)解釋器解釋數(shù)為第1扇區(qū)。3.讀取總扇區(qū)數(shù)總扇區(qū)數(shù)的偏移分別是0XCA?D，對(duì)應(yīng)的值分別為0XFFFFFFFF,數(shù)據(jù)解釋器解釋數(shù)為全盤扇區(qū)數(shù)。一利用Winhex數(shù)據(jù)解釋器和直接讀取保護(hù)MBR參數(shù)步驟二：讀取和記錄GPT保護(hù)MBR分區(qū)表參數(shù)4.保護(hù)MBR分區(qū)表參數(shù)記錄表得到保護(hù)MBR分區(qū)表參數(shù)記錄表如表6-19所示。表6-19保護(hù)MBR參數(shù)表偏移長度值參數(shù)內(nèi)容0X1BE10X00固定值0X1BF10X000X1C010X020X1C110X000X1C210XEE0X1C310XFF0X1C410XFF0X1C510XFF0X1C640X010X1CA40XFFFFFFFF利用Winhex數(shù)據(jù)解釋器和直接讀取GPT頭主要參數(shù)02利用Winhex數(shù)據(jù)解釋器和直接讀取GPT頭主要參數(shù)二、利用Winhex數(shù)據(jù)解釋器和直接讀取GPT頭主要參數(shù)（共有2個(gè)步驟）步驟一：跳至GPT頭所在扇區(qū)步驟二：讀取和記錄GPT頭主要參數(shù)二步驟一：附加虛擬磁盤，運(yùn)行Winhex并打開它運(yùn)行Winhex，從扇區(qū)0跳至扇區(qū)1，編輯窗口顯示GPT頭信息。如圖6-44所示。利用Winhex數(shù)據(jù)解釋器和直接讀取GPT頭主要參數(shù)圖6-44Winhex編輯窗口信息（GPT頭）圖二步驟二：讀取和記錄GPT頭主要參數(shù)讀取GPT頭主要參數(shù)，并記錄到表6-16中。按GPT頭格式，逐個(gè)讀取數(shù)據(jù)，填入GPT頭的參數(shù)格式表的主要參數(shù)表的“值”欄，并用數(shù)據(jù)解釋器讀取對(duì)應(yīng)解釋，填入GPT頭的參數(shù)格式表的“解釋”欄，得到GPT頭主要參數(shù)表。如表6-20所示。利用Winhex數(shù)據(jù)解釋器和直接讀取GPT頭主要參數(shù)表6-20GPT頭主要參數(shù)表主要參數(shù)偏移長度值解釋GPT頭所在扇區(qū)號(hào)0X1880X011扇區(qū)GPT頭備份所在扇區(qū)號(hào)0X2080X31FFFFFF838860799扇區(qū)首個(gè)GPT分區(qū)第一個(gè)扇區(qū)號(hào)0X2880X2234扇區(qū)最后GPT分區(qū)最后一個(gè)扇區(qū)號(hào)0X3080X31FFFFDE838860766扇區(qū)利用Winhex數(shù)據(jù)解釋器和直接讀取GPT頭備份主要參數(shù)03利用Winhex數(shù)據(jù)解釋器和直接讀取GPT頭備份主要參數(shù)利用Winhex數(shù)據(jù)解釋器和直接讀取GPT頭備份主要參數(shù)（共有2個(gè)步驟）步驟一：跳至GPT頭備份所在扇區(qū)號(hào)（倒數(shù)1號(hào)扇區(qū))步驟二：讀取和記錄GPT頭備份主要參數(shù)三步驟一：跳至GPT頭備份所在扇區(qū)號(hào)（倒數(shù)1號(hào)扇區(qū))利用Winhex數(shù)據(jù)解釋器和直接讀取GPT頭備份主要參數(shù)在Winhex編輯窗口，GPT頭備份所在的倒數(shù)1號(hào)扇區(qū)是838860799號(hào)扇區(qū)，跳至扇區(qū)838860799，編輯窗口顯示備份GPT頭備份的信息。如圖6-45所示。圖6-45Winhex編輯窗口信息（GPT頭備份）圖三步驟二：讀取和記錄GPT頭備份主要參數(shù)利用Winhex數(shù)據(jù)解釋器和直接讀取GPT頭備份主要參數(shù)讀取GPT頭備份主要參數(shù)，并記錄到表6-16中。按GPT頭備份格式，逐個(gè)讀取數(shù)據(jù)，填入GPT頭備份的參數(shù)格式表的主要參數(shù)表的“值”欄，并用數(shù)據(jù)解釋器讀取對(duì)應(yīng)解釋，也填入GPT頭備份的參數(shù)格式表的“解釋”欄，得到GPT頭備份主要參數(shù)表。如表6-21所示。表6-21GPT頭備份的主要參數(shù)表主要參數(shù)偏移長度值解釋GPT頭備份所在扇區(qū)號(hào)0X18831FFFFFFH838860799扇區(qū)GPT頭所在扇區(qū)號(hào)0X20801H1扇區(qū)首個(gè)GPT分區(qū)第一個(gè)扇區(qū)號(hào)0X28822H34扇區(qū)最后GPT分區(qū)最后一個(gè)扇區(qū)號(hào)0X30831FFFFDEH838860766扇區(qū)利用Winhex數(shù)據(jù)解釋器和直接讀取GPT分區(qū)表項(xiàng)主要參數(shù)04利用Winhex數(shù)據(jù)解釋器和直接讀取GPT分區(qū)表項(xiàng)主要參數(shù)利用Winhex數(shù)據(jù)解釋器和直接讀取GPT分區(qū)表項(xiàng)主要參數(shù)（共有2個(gè)步驟）步驟一：跳至GPT分區(qū)表所在第一扇區(qū)號(hào)（2號(hào)扇區(qū)）步驟二：讀取和記錄GPT分區(qū)表主要參數(shù)四步驟一：跳至GPT分區(qū)表所在第一扇區(qū)號(hào)（2號(hào)扇區(qū)）利用Winhex數(shù)據(jù)解釋器和直接讀取GPT分區(qū)表項(xiàng)主要參數(shù)在Winhex編輯窗口，GPT分區(qū)表所在的2號(hào)扇區(qū)，跳至扇區(qū)2，可以找到5個(gè)分區(qū)表項(xiàng)的信息。如圖6-46所示。圖6-46Winhex編輯窗口信息（GPT分區(qū)表）圖四步驟二：讀取和記錄GPT分區(qū)表主要參數(shù)利用Winhex數(shù)據(jù)解釋器和直接讀取GPT分區(qū)表項(xiàng)主要參數(shù)讀取GPT分區(qū)表主要參數(shù)，并記錄到表6-17中。按GPT分區(qū)表項(xiàng)格式，逐個(gè)讀取其主要參數(shù)，寫入GPT分區(qū)表項(xiàng)的主要參數(shù)表。如表6-22所示。表6-22GPT分區(qū)5個(gè)分區(qū)表項(xiàng)的主要參數(shù)表分區(qū)號(hào)偏移值(前4字節(jié))分區(qū)起始扇區(qū)值(后4字節(jié))分區(qū)末尾扇區(qū)分區(qū)號(hào)10X420?2F0X22340X96021614433分區(qū)號(hào)20X4A0?AF0X96226144340X9E021647201分區(qū)號(hào)30X520?2F0X9E0226472020XC89EFFF210366463分區(qū)號(hào)40X5A0?AF0XC89F0002103664640X1909F7FF420083711分區(qū)號(hào)50X620?2F0X1909F8004200837120X31FFFFDE838860766利用Winhex數(shù)據(jù)解釋器和直接讀取GPT分區(qū)表備份主要參數(shù)05利用Winhex數(shù)據(jù)解釋器和直接讀取GPT分區(qū)表備份主要參數(shù)利用Winhex數(shù)據(jù)解釋器和直接讀取GPT分區(qū)表備份主要參數(shù)（共有2個(gè)步驟）步驟一：跳至GPT分區(qū)表備份所在扇區(qū)（倒數(shù)34號(hào)扇區(qū))步驟二：讀取和記錄GPT分區(qū)表備份主要參數(shù)五步驟一：跳至GPT分區(qū)表備份所在扇區(qū)（倒數(shù)34號(hào)扇區(qū))利用Winhex數(shù)據(jù)解釋器和直接讀取GPT分區(qū)表備份主要參數(shù)在Winhex編輯窗口，GPT分區(qū)表備份所在的倒數(shù)34號(hào)扇區(qū)是838,860,767號(hào)扇區(qū)，跳至扇區(qū)838,860,767，可以找到5個(gè)分區(qū)表項(xiàng)的信息。如圖6-47所示。圖6-47Winhex編輯窗口信息（GPT分區(qū)表備份）圖五步驟二：讀取和記錄GPT分區(qū)表備份主要參數(shù)利用Winhex數(shù)據(jù)解釋器和直接讀取GPT分區(qū)表備份主要參數(shù)讀取GPT分區(qū)表備份主要參數(shù)，并記錄到表6-17中。按GPT分區(qū)表項(xiàng)格式，逐個(gè)讀取其主要參數(shù)，寫入GPT分區(qū)表項(xiàng)備份的主要參數(shù)表。如表6-23所示。表6-23GPT分區(qū)表項(xiàng)備份的主要參數(shù)表分區(qū)號(hào)偏移值(前4字節(jié))分區(qū)起始扇區(qū)值(后4字節(jié))分區(qū)末尾扇區(qū)分區(qū)號(hào)10XE20?2F0X22340X96021614433分區(qū)號(hào)20XEA0?AF0X960226144340X9E021647201