計(jì)算機(jī)檢測(cè)維修與數(shù)據(jù)恢復(fù)（上冊(cè)）課件 子任務(wù)2 利用WinHex恢復(fù)MBR磁盤分區(qū)

子任務(wù)2

利用WinHex恢復(fù)MBR磁盤分區(qū)任務(wù)2MBR磁盤分區(qū)恢復(fù)項(xiàng)目6磁盤分區(qū)恢復(fù)01恢復(fù)引導(dǎo)記錄受破壞MBR分區(qū)02恢復(fù)僅有效扇區(qū)標(biāo)志受破壞MBR分區(qū)03恢復(fù)分區(qū)表受破壞MBR分區(qū)目錄contents恢復(fù)引導(dǎo)記錄受破壞MBR分區(qū)01任務(wù)實(shí)施2（一）恢復(fù)引導(dǎo)記錄受破壞MBR分區(qū)（共有3個(gè)步驟）步驟一：附加虛擬磁盤，運(yùn)行Winhex并打開它步驟二：確認(rèn)MBR分區(qū)受破壞步驟三：恢復(fù)MBR分區(qū)一步驟一：附加虛擬磁盤，運(yùn)行Winhex并打開它在素材文件夾中，雙擊“6任務(wù)2-2-1.vhd”，然后運(yùn)行Winhex，打開“HD1”?；謴?fù)引導(dǎo)記錄受破壞MBR分區(qū)步驟二：確認(rèn)MBR分區(qū)受破壞在驅(qū)動(dòng)器窗口，點(diǎn)擊起始扇區(qū)，接著在編輯窗口查看MBR信息，發(fā)現(xiàn)其MBR的偏移0X00?0XBD的數(shù)據(jù)為0，而MBR分區(qū)表及有效標(biāo)志正常，說(shuō)明MBR的引導(dǎo)信息被破壞了。一步驟三：恢復(fù)MBR分區(qū)1.復(fù)制正常的MBR的引導(dǎo)信息用Winhex打開任意正常的MBR分區(qū)類型的硬盤，復(fù)制MBR引導(dǎo)信息，粘貼到6任務(wù)1-3.vhd虛擬磁盤MBR引導(dǎo)信息處。如圖6-39所示?；謴?fù)引導(dǎo)記錄受破壞MBR分區(qū)圖6-39Winhex編輯窗口信息（修復(fù)后MBR引導(dǎo)信息）圖一步驟三：恢復(fù)MBR分區(qū)2.保存數(shù)據(jù)

運(yùn)用“保存”功能按鍵，完成保存數(shù)據(jù)。運(yùn)用“磁盤快照”功能按鍵，完成磁盤快照?；謴?fù)引導(dǎo)記錄受破壞MBR分區(qū)的操作完成?；謴?fù)引導(dǎo)記錄受破壞MBR分區(qū)一步驟二：讀取和記錄MBR分區(qū)表參數(shù)（三）讀取分區(qū)第一扇區(qū)1.啟用“數(shù)據(jù)解釋器”點(diǎn)擊Winhex“查看”菜單，彈出下拉菜單，移動(dòng)鼠標(biāo)光標(biāo)至“顯示”，彈出其下拉菜單，光標(biāo)再移到“數(shù)據(jù)解釋器”，如圖6-28所示。利用Winhex直接和數(shù)據(jù)解釋器讀取MBR分區(qū)表參數(shù)圖6-28Winhex“查看”-“顯示”-“數(shù)據(jù)解釋器”菜單圖（二）讀取分區(qū)第一扇區(qū)2.修改“數(shù)據(jù)解釋器”的解釋方式方法若需要修改某個(gè)參數(shù)的解釋方式方法，用右鍵點(diǎn)擊其數(shù)值，彈出解釋方式方法下拉菜單，點(diǎn)擊選擇所要的解釋方式方法就可以了。比如右鍵點(diǎn)數(shù)據(jù)解釋器32Bit上的數(shù)值（63）處，彈出“解釋方式方法”菜單，光標(biāo)移到“插入U(xiǎn)nicode控制字符”，繼續(xù)彈出下拉菜單，光標(biāo)移到想要選的“LRM”,點(diǎn)擊它就可以了，如圖6-30所示。圖6-30Winhex“數(shù)據(jù)解釋器”解釋方式方法下拉菜單恢復(fù)僅有效扇區(qū)標(biāo)志受破壞MBR分區(qū)02恢復(fù)僅有效扇區(qū)標(biāo)志受破壞MBR分區(qū)（二）恢復(fù)僅有效扇區(qū)標(biāo)志受破壞MBR分區(qū)（共有3個(gè)步驟）步驟一：附加虛擬磁盤，運(yùn)行Winhex并打開它步驟二：確認(rèn)MBR分區(qū)受破壞步驟三：恢復(fù)MBR分區(qū)二步驟一：附加虛擬磁盤，運(yùn)行Winhex并打開它在素材文件夾中，雙擊“6任務(wù)2-2-2.vhd”，然后運(yùn)行（Winhex），打開“HD1”?；謴?fù)僅有效扇區(qū)標(biāo)志受破壞MBR分區(qū)步驟二：確認(rèn)MBR分區(qū)受破壞

在驅(qū)動(dòng)器窗口，點(diǎn)擊起始扇區(qū)，接著在編輯窗口查看MBR信息，發(fā)現(xiàn)其MBR的扇區(qū)有效標(biāo)志數(shù)據(jù)為0，說(shuō)明MBR的有效標(biāo)志被破壞了。二步驟三：恢復(fù)MBR分區(qū)1.重寫扇區(qū)有效標(biāo)志在MBR的扇區(qū)有效標(biāo)志處，偏移0XFE～FF，直接寫入0X55/0XAA。如圖6-40所示。恢復(fù)僅有效扇區(qū)標(biāo)志受破壞MBR分區(qū)7-40Winhex編輯窗口信息（修復(fù)后MBR的有效標(biāo)志）圖2.保存數(shù)據(jù)完成后，保存磁盤數(shù)據(jù)后，關(guān)閉磁盤?；謴?fù)僅有效扇區(qū)標(biāo)志受破壞MBR分區(qū)的操作完成。二步驟二：讀取和記錄EBR1分區(qū)表參數(shù)（二）EBR1分區(qū)表第2個(gè)表項(xiàng)如圖6-36所示。利用Winhex直接和數(shù)據(jù)解釋器讀取EBR分區(qū)表參數(shù)圖6-36Winex編輯窗口信息（EBR1分區(qū)表第2個(gè)表項(xiàng)）圖第2個(gè)表項(xiàng)偏移是0XCE-0XDD。其中，它活動(dòng)分區(qū)類型偏移是0XCE，值是0X00，表示是非活動(dòng)分區(qū)；它分區(qū)類型的偏移是0XD2，值是0X05，表示是次擴(kuò)展分區(qū)；它第一扇區(qū)號(hào)的偏移是0XD6-9，值是0XC80B1C1，數(shù)據(jù)解釋器32Bit數(shù)值處解釋的十進(jìn)制數(shù)為209,760,705(扇區(qū)）；它扇區(qū)總數(shù)的偏移是0XDA-D，值是0XC7EB182,數(shù)據(jù)解釋器32Bit數(shù)值處解釋的十進(jìn)制數(shù)為209629570(扇區(qū)）。EBR1分區(qū)第2個(gè)表項(xiàng)主要參數(shù)如表6-7所示。表6-7EBR1分區(qū)第2個(gè)表項(xiàng)主要參數(shù)表偏移長(zhǎng)度值表項(xiàng)內(nèi)容0XCE10X00活動(dòng)分區(qū)類型：非活動(dòng)0XD210X05分區(qū)類型：擴(kuò)展分區(qū)（1)0XD6?840XC80B1C1第一扇區(qū)：209,760,705號(hào)（主擴(kuò)展分區(qū)）0XDA?D40XC7EB182扇區(qū)總數(shù)：209629570恢復(fù)分區(qū)表受破壞MBR分區(qū)03恢復(fù)分區(qū)表受破壞MBR分區(qū)恢復(fù)分區(qū)表受破壞MBR分區(qū)（共有3個(gè)步驟）步驟一：附加虛擬磁盤，運(yùn)行Winhex并打開它步驟二：確認(rèn)MBR分區(qū)受破壞步驟三：恢復(fù)MBR分區(qū)三步驟一：附加虛擬磁盤，運(yùn)行Winhex并打開它恢復(fù)分區(qū)表受破壞MBR分區(qū)在素材文件夾中，雙擊“6任務(wù)2-2-3.vhd”，資源管理器發(fā)現(xiàn)磁盤有問(wèn)題，并彈出錯(cuò)誤提示。運(yùn)行Winhex，打開“HD1”。步驟二：確認(rèn)MBR分區(qū)受破壞在驅(qū)動(dòng)器窗口，但各分區(qū)還在，它們的圖標(biāo)變?yōu)榛疑?，系統(tǒng)已識(shí)別不到該分區(qū)，資源管理器讀不了此分區(qū)數(shù)據(jù)，但各分區(qū)的數(shù)據(jù)正常。進(jìn)一步查看MBR、EBR1、EBR2信息，發(fā)現(xiàn)他們的數(shù)據(jù)均為0，說(shuō)明MBR、EBR1、EBR2表被破壞了。三步驟三：恢復(fù)MBR分區(qū)恢復(fù)分區(qū)表受破壞MBR分區(qū)1.制作各分區(qū)主要參數(shù)表，讀取各分區(qū)主要參數(shù)先制作各分區(qū)主要參數(shù)（第一扇區(qū)號(hào)、BPB表的總扇區(qū)數(shù)、總扇區(qū)數(shù)）表，然后，點(diǎn)擊各分區(qū)，接著讀取各分區(qū)的第一扇區(qū)號(hào)（DBR所在的扇區(qū)號(hào)）、BPB表記錄的總扇區(qū)數(shù)、推算MBR分區(qū)表項(xiàng)的總扇區(qū)數(shù)等參數(shù)，并把它們填入各分區(qū)主要參數(shù)表的各欄中。各分區(qū)主要參數(shù)表如表6-11表所示。表6-11各分區(qū)主要參數(shù)表分區(qū)參數(shù)/分區(qū)號(hào)分區(qū)1間隙1分區(qū)2間隙2分區(qū)3第1扇區(qū)號(hào)（DBR所在的扇區(qū)號(hào)）63209715263209715326419430526419430589BPB表記錄的總扇區(qū)數(shù)209715199——209715199——419419450推算MBR分區(qū)表項(xiàng)的總扇區(qū)數(shù)2097152006320971520063419419451三步驟三：恢復(fù)MBR分區(qū)恢復(fù)分區(qū)表受破壞MBR分區(qū)2.填寫MBR、EBR分區(qū)表項(xiàng)數(shù)據(jù)表根據(jù)各分區(qū)主要數(shù)據(jù)表，依照表6-1，填寫MBR、EBR1、EBR2分區(qū)表項(xiàng)數(shù)據(jù)表。MBR、EBR1、EBR2分區(qū)表項(xiàng)數(shù)據(jù)表，如表6-12、13、14表所示。表6-12MBR分區(qū)表表項(xiàng)參數(shù)數(shù)據(jù)表分區(qū)/參數(shù)分區(qū)1（主分區(qū)）分區(qū)2（擴(kuò)展分區(qū)）活動(dòng)分區(qū)標(biāo)志偏移0XBE0XCE直接輸入0X800X00開始磁頭/開始扇區(qū)/開始柱面偏移0XBF?0XC10XCF?0XD1直接輸入0X010X/01/0X000XFE/0XFF0X/FF分區(qū)類型偏移0XC20XD2直接輸入0X070X0F結(jié)束磁頭/開始扇區(qū)/開始柱面偏移0XC3?0XC50XD3?0XD5直接輸入0XFE/0XFF/0XFF0XFE/0XFF/0XFF第一扇區(qū)（第一扇區(qū)號(hào)）偏移0XC6?80XD6?8數(shù)據(jù)解釋器輸入63209715263總扇區(qū)數(shù)偏移0XCA?D0XDA?D數(shù)據(jù)解釋器輸入209715200629134777三步驟三：恢復(fù)MBR分區(qū)恢復(fù)分區(qū)表受破壞MBR分區(qū)2.填寫MBR、EBR分區(qū)表項(xiàng)數(shù)據(jù)表根據(jù)各分區(qū)主要數(shù)據(jù)表，依照表6-1，填寫MBR、EBR1、EBR2分區(qū)表項(xiàng)數(shù)據(jù)表。MBR、EBR1、EBR2分區(qū)表項(xiàng)數(shù)據(jù)表，如表6-12、13、14表所示。表6-13EBR1分區(qū)表表項(xiàng)參數(shù)表分區(qū)/參數(shù)分區(qū)1（邏輯分區(qū)1）分區(qū)2（次擴(kuò)展分區(qū)1）活動(dòng)分區(qū)標(biāo)志偏移0XBE0XCE直接輸入0X000X00開始磁頭/開始扇區(qū)/開始柱面偏移0XBF?0XC10XCF?0XD1直接輸入0X01/0X01/0X000XFE/0XFF/0XFF分區(qū)類型偏移0XC20XD2直接輸入0X070X05結(jié)束磁頭/開始扇區(qū)/開始柱面偏移0XC3?0XC50XD3?0XD5直接輸入0XFE/0XFF/0XFF0XFE/0XFF/0XFF第一扇區(qū)（第一扇區(qū)號(hào)）偏移0XC6?80XD6?8數(shù)據(jù)解釋器輸入63209,715,263總扇區(qū)數(shù)偏移0XCA?D0XDA?D數(shù)據(jù)解釋器輸入209,715,200419,419,514三步驟三：恢復(fù)MBR分區(qū)恢復(fù)分區(qū)表受破壞MBR分區(qū)2.填寫MBR、EBR分區(qū)表項(xiàng)數(shù)據(jù)表根據(jù)各分區(qū)主要數(shù)據(jù)表，依照表6-1，填寫MBR、EBR1、EBR2分區(qū)表項(xiàng)數(shù)據(jù)表。MBR、EBR1、EBR2分區(qū)表項(xiàng)數(shù)據(jù)表，如表6-12、13、14表所示。表6-14EBR2分區(qū)表表項(xiàng)參數(shù)表分區(qū)/參數(shù)分區(qū)1（邏輯分區(qū)2）活動(dòng)分區(qū)標(biāo)志偏移0XBE直接輸入0X00開始磁頭/開始扇區(qū)/開始柱面偏移0XBF?0XC1直接輸入0X01/0X01/0X00分區(qū)類型偏移0XC2直接輸入0X07結(jié)束磁頭/開始扇區(qū)/開始柱面偏移0XC3?0XC5直接輸入0XFE/0XFF/0XFF第一扇區(qū)（第一扇區(qū)號(hào)）偏移0XC6?8數(shù)據(jù)解釋器輸入63總扇區(qū)數(shù)偏移0XCA?D數(shù)據(jù)解釋器輸入419,419,451三步驟三：恢復(fù)MBR分區(qū)恢復(fù)分區(qū)表受破壞MBR分區(qū)3.寫入MBR、EBR1、EBR2各表項(xiàng)在Winhex編輯窗口，分別進(jìn)入MBR、EBR1、EBR2扇區(qū)，根據(jù)MBR、EBR1、EBR2分區(qū)表項(xiàng)數(shù)據(jù)表，分別填寫MBR、EBR1、EBR2分區(qū)各表項(xiàng)，完成后，保存磁盤數(shù)據(jù)后，關(guān)閉磁盤，然后又重新打開此磁盤。如圖6-41、42、43所示。圖6-41Winhex編輯窗口信息（修復(fù)后MBR分區(qū)表）圖三