任务3 分区表恢复

学习情境4硬盘数据恢复,任务3分区表恢复,一、案例描述,客户经理接到客户的报修电话，告知其计算机无法启动。数据恢复工程师检查后发现硬盘可以识别但不能启动系统，丢失分区信息。请帮助客户恢复分区表信息，恢复出硬盘数据，解决问题后将过程记录存档并提交工作报告。,二、工作任务,通过案例描述，要求完成如下任务:分析硬盘分区表故障原因计划分区表故障的解决方案使用磁盘编辑工具手工恢复分区表使用其他磁盘工具修复分区表检查分区信息是否恢复撰写总结报告,三、分组讨论,分区表损坏有哪些现象？,如何分析硬盘分区情况？,如何修复分区表？,1,2,3,四、相关知识点操作系统启动流程,1.系统自检，加载硬盘主引导扇区,2.主引导记录(MBR)执行引导功能,3.遍历分区表，寻找启动分区,4.加载启动分区的引导扇区,5.在本分区中加载操作系统,四、相关知识点主引导扇区,主引导扇区位于0柱0面1扇区，也就是硬盘的逻辑0扇区，它是计算机访问硬盘时最先读取的位置。主引导扇区由三个部分组成：主引导记录（MBR）：偏移0-1BDH硬盘分区表（DPT）：偏移1BEH-1FDH结束标识（“55AA”）：偏移1FEH-1FFH注：偏移是指当前位置相对于某处的距离长度。,四、相关知识点主引导扇区图示,MBR,DPT,结束标志,四、相关知识点分区引导扇区,任何分区的0扇区都是引导扇区，它起着引导系统、记录分区基本参数的作用，它由BPB（BIOS参数块）、DBR（磁盘引导记录）和“55AA”结束标志组成，俗称DBR扇区。BPB在格式化的时候形成，它记录了分区的基本参数信息，一旦被破坏则分区不能被正常访问，不同类型和版本的BPB格式有所区别，其中重要的参数有：分区总扇区数（分区大小）每簇扇区数（簇大小）根目录起始位置（查找数据的入口）文件系统标识,四、相关知识点分析故障现象,引导扇区被破坏的原因可能有：病毒破坏、黑客攻击、误操作分区工具、安装的硬盘还原或保护软件出错等等。当计算机出现无法启动、启动异常、启动时出现文字提示时，可能是引导记录或分区表被破坏导致的。需要检查并修复MBR、DBR或DPT来解决。如果发现分区丢失、分区错乱等情况，就需要修复分区表了。,四、相关知识点分区表结构,磁盘分区表位于主引导扇区的偏移1BEH处，占64个字节，分为4项，每项16字节，用于标识一个主分区。DPT只有4项，最多只能标识4个主分区，如果想增加分区数，就必须使用扩展分区。一般情况下使用微软系统时分区表只用了两项，即一个主分区加扩展分区。,四、相关知识点分区表结构,四、相关知识点常见分区类型,四、相关知识点扩展分区,扩展分区内部由若干个逻辑分区组成，它们之间通过链表方式管理，每个分区的前面都有一个虚拟的分区表，这个扇区称为虚拟MBR。虚拟MBR通常位于某柱面0磁头1扇区（标准分区法），其后的第63扇区（1磁头1扇区）为该分区的引导扇区。虚拟MBR的引导记录部分全为0，只有分区表和结束标识，且分区表只有两项，其中第一项指向当前分区，第二项指向下一分区的虚拟MBR。,四、相关知识点扩展分区组织图,C盘,D盘,E盘,F盘,扩展分区中的虚拟MBR链表,D,E,F,MBR扇区,62个保留扇区,四、相关知识点分区表恢复思想,硬盘被重新分区后（或分区表丢失），只要没有破坏到原分区的文件系统信息数据，就可以将原分区找回，同时还能保留里面的数据，因此速度快而且效果好。新分区的文件系统信息部分仍可能会覆盖掉老分区的某些数据。,分区1,分区2,分区3,分区4,分区1,分区2,分区3,分区4,新分区情况,原分区情况,四、相关知识点查找分区,我们在搜寻分区信息的时候，需要找到每个分区的起始位置。凡是引导扇区或是MBR，其最后两个字节均为结束标志“55AA”，我们先查找出扇区末尾是结束标志的，再对结果进行分析。硬盘分区时，通常会以柱面为边界，这是标准分区方式，便于我们快速查找分区。我们也可以手工修改分区位置为非标准值，但会给以后的分区恢复带来困难。,55AA,Harddisk,五、分析故障，制定解决方案,分析故障情况,修复引导记录,搜寻原分区信息分析分区组织重建分区表,六、修复引导记录-MBR,如果以前有备份主引导扇区的话，那么是很容易修复的，直接复制回来即可。如果没有备份的话，就需要分别对MBR和DPT做检查并处理了。MBR是一组用来引导操作系统的程序，由于功能比较单一，因此几乎成了“模板”，修复方式也较简单。有许多分区工具、杀毒软件和硬盘修复工具都带有MBR修复功能，常见的方式有：在DOS环境下使用命令：FDISK/MBR使用DISKGEN的修复MBR功能,六、修复引导记录-DBR,每个分区的引导扇区一般都有自动备份，FAT32分区的DBR备份在第6扇区，NTFS分区的DBR备份到下一个分区的前一个扇区，如果下一个分区的情况为：主分区：保存到该分区起始前一个扇区。逻辑分区：保存到该分区的虚拟MBR的前一个扇区。无：保存到本分区结束后的一个扇区。最好的方式就是，找到备份DBR扇区，复制回来，否则就只有手动对比填写数据了。,七、修复分区表查找分区,在DPT中，硬盘的CHS参数中磁头数总为255，每磁道扇区数总为63（也可查看Winhex面板信息），则可计算出每柱面大小为255635128225280（字节），则搜索引导扇区可使用如下参数：,块内偏移,搜索块大小,搜索数值,七、修复分区表分析结构,七、修复分区表重建分区表,组织好数据后，就可以重建分区表了。通常情况下分区表只需要写两条记录，第一个主分区和第二个扩展分区，按照格式写入相应的数据即可。在标准情况下，MBR和虚拟MBR都位于0磁头1扇区，而主分区或逻辑分区的DBR则位于1磁头1扇区，这就为我们查找分区提供了方便。例如：主引导扇区位于0柱0头1扇第一个分区位于0柱1头1扇最关键的就是判断出扩展分区的起始位置和大小。,八、零磁道损坏的修复,0磁道是硬盘最前方的磁道，主引导扇区、第一个分区均位于0磁道，如果0磁道损坏，则无法识别硬盘或启动系统。只要检查出主引导扇区未损坏，则可以通过手工修改第一个主分区的起始位置来避开对0磁道的使用，比如修改为3柱面1磁头1扇区。修改分区表后需重新格式化分区后再使用。但要注意使用分区工具的时候会提示分区表有错误，千万不要