Winhex查看MBR以及MBR内容结构的介绍

1、一、硬盘( U 盘、移动硬盘) MBR 、DBR 简介 一、几个概念BIOS ( Basic Input/Output System)基本输入输出系统，全称是 ROM BIOS ，是只读存储器基本输入输出系统的简写，它实际是一组被固 化到电脑中，为电脑提供最低级最直接的硬件控制的程序。CMOS ( Complementary Metal Oxide Semiconductor)本意是指互补金属氧化物半导体，一种大规模应用于集成电路芯片制造的原料，在计算机领域， CMOS 常 指保存计算机基本启动信息 (如日期、时间、启动设置等 ) 的芯片。CMOS 的功耗很低， 计算机主板上一个纽扣电池就可以

2、给它长时间地提供电力，即使系统掉电，信息也不会丢失。 而 当主板电池供电不足时 CMOS 的信息会丢失，此时启动机器会有一些特殊的现象，如启动时提 示 CMOS 参数丢失需重新设置，甚至机器黑屏，不能启动，更换主板上的纽扣电池即恢复正常。有时人们会把 CMOS 和 BIOS 混称，其实 CMOS 是主板上的一块可读写的 RAM 芯片，是用来保存 BIOS 的硬件配置和用户对某些参数的设定。 而对 CMOS 中各项参数的设定要通过专门的程序， 现在多数厂家将 CMOS 设置程序做到了 BIOS 芯片中，在开机时通过按下某个特定键就可进入 CMOS 设置程序而非常方便 地对系统进行设置，因此这种

3、CMOS 设置又通常被叫做 BIOS 设置。ESCD ( Extended System Configuration Data)扩展系统配置数据， ESCD 是系统 BIOS 用来与操作系统交换硬件配置信息的一种手段，这些数据被存放 在 CMOS (一小块特殊的 RAM ，由主板上的电池来供电)之中，通常 ESCD 数据只在系统硬件配置发生 改变后才会更新扇区( Sector ) 硬盘划分的最小单位，一个扇区固定为 512 个字节( Byte )MBR ( master boot record ) 即主引导记录，有时也称主引导扇区。位于整个硬盘的 0 扇区( 硬盘的 062 即前 63 个扇区

4、为保留扇 区，目前只有 MBR 占用其中的第一个或前几个扇区 )，可以看作是硬盘的第一个扇区，通常只占用这一 个扇区，如 XP 的 MBR ，grub4dos 占用 017 共 18 个扇区DBR ( DOS boot record )即操作系统引导记录区，也称分区的主启动代码，位于分区的第 0 扇区，通常只占用这一个扇区，特殊情 况也要占用其它保留扇区，而 grub4dos 如果是写入硬盘 MBR 方式则不修改也不使用 DBR以 H 结尾或以 0x 开头的数字表示该数字为十六进制数二、主机启动过程1. 内部电源打开，初始化，等待一小段时间用来产生稳定的电流。如果主板芯片和 CPU 收到了不符

5、合规 定的电流，将自动产生一个 RESET 信号。在主板没有收到电源的Power Good 信号之前，重复步骤 12. 执行 BIOS 中 0FFF0h 处的代码。这里只有一条 JMP 指令，将跳转到真正的 BIOS 启动程序处3. BIOS 开始加电自检( Power-On Self Test, POST )，如果出现错误，启动停止4. BIOS 开始寻找显卡，找到的话将执行显卡的BIOS ，接着显卡初始化，将显示一段显卡信息，我们开机看到的第一屏就是它5. BIOS 开始执行所有其他设备的 BIOS ，包括软驱，硬盘、光驱等6. BIOS 显示启动信息7. BIOS 开始额外的检测。一般有

6、内存检测，如果内存有问题，将显示错误消息8. BIOS 探测所有的硬件，将显示如硬盘、光驱信息等9. BIOS给出一个已知硬件的列表10. BIOS 更新 ESCDMBR，如果找不到驱动器，系统80H ），然后读取并执行这个活动10. BIOS按照设置的驱动器顺序找驱动器，如果驱动器存在的话继续找 显示错误信息并停止11. MBR从分区表中找到第一个活动分区（分区描述中第一个字节为 分区的分区引导记录，而分区引导记录将负责引导系统（如XP）步骤11中若为grub4dos MBR则依次查找各个分区的根目录是否有grub4dos的启动文件（通常为grldr，写入 MBR时可以指定此文件名），也就是

7、说若是grub4dos MBR 可以不设置活动分区上面是打开电源开关（或按Reset键）进行冷启动时的过程，在DOS下按Ctrl + Alt + Del组合键（或从Windows中选择重新启动计算机）来进行热启动时将从步骤8开始三、硬盘（U盘、移动硬盘） MBR简介这里用到一个强大的磁盘查看编辑工具WinHex，可以手动保存和恢复 MBR、DBRHHcki HTS541612T9S GB）KingstonDairaveler 2.0 （7.6 駆 USB）Q12屋辑驱动器 與匹叨 取消迪运行 WinHex，选择工具-打开磁盘，如图Ok盘盘盎其中HD0为本机硬盘，RM1为U盘，选择 HD0，确定

8、"丈件tp建丈査霽朝 r*a）書业工旦 昨如 砸口即 釉園®口耳口够聘 她疇8& 乳息负驚兴 +也4出'总韦np 曲4卜口越舷o55爸:丽e 匸 11 gwa- ” z -fef+snirits'丈件犬小丄测運时佩I歸曲阖滋阿时冈坪解第IJWX分即FAT16+7rQ«e63NTF5血gR抽旳0NTFSJQ0G6300时93NTFS61 7GBIQH527OS31.5 KB83006930315WB1049584531.6 KBG25 MB2344365i50 F fs« t0t23q567e9A8cDEF< li皇弓 Mii

9、achzHTSSf SlSJgSAOCOOOOODOOOO|3CD»EDCBCCO7CFB50075CIFFCBEIB7C弘ID，|DP口应Se；D61&4JW8UEoooaaoooioEFIB时5057B9E501F3A4CEBDEE07Bl04L. .PW*a.o>£B&Dt?4PataOOGD0O2G33日E007C09751363C5IDE2网C&10SEF56n J , u F 1AHUS.耳»OQOOOQDD3Q83C6104勺74ig3B2C74F6A0B507B407SBl.It.8,tc垠省唄搭裡式000000004

10、0F0AC3COC”FCBB0700附OECDHlEEF296d<.tU> +oooaooo'so4E!EB460073ZAFE46L0807E040B7AOB«.6f.S>FI許购孑朝0oaaaQDOocnca7E4oc74G52£6Q775D2304&02ObS3Ct, ThiVaQQQQQQQ7Q养W06S35&300E321QQ芳A0BE07EBF.IV.1.OOOOOOOOflOECBl3EF£7D55圈?斗OB前7E1000?4C6AO11206DOOOQQQOE77反B阳SBFCIE57SBF5CBBf05D

11、OSA56.eOiu.wi1 ?Or034j 23/0c：oooao ooao0DB4OScri1 j7J?3dCl243F§8&hPE站FC,4-r#iA尊酬IZ事书諛5Uoooooocoso43F?E3BBDI86WBl0G02EE42F7E26曲#禺宙病区.5103oaaoooco0A77237205394$OS73LCBB0102SBno7C.w#r 9F s*1OOQQOCCDOSB4E02日E5&00CD1373514F744E32E4A1K.IV. t.s(相对JB巨号OOQQOOOEOS600CD13ESE4&A匪00&BBBAA554

12、41CDV.I.aAIV.DOOOODOOFG13723601FBssAA7530F&c 1DI742B6160t&IQUu (k喷点十丸谨制ooooaooioo6A00&k00FF760AFF76oa6A00&3OO7C吕直j -J-yv.yvTfTJR.SI ASCIIODOOaODllOCl&A10B442SBF1CD1361730£4F7-306,j . rBlaI+；十犬遊剎«3lTYit；27x14=4 32000000012032E4&A5«00CD13EBD6feiF?C3的6E7fe612blV.t

13、,&0e00000001306C69&42C70617274的7469&F6EZO261lid partn洋荊舸口 隹口麹ST阳100000140626C65ao4572726F72206C6F6L646S6EbleErrorGQOOaCO150£720BF7C6S72&!7469&E672073737374S dperatirBIB®TOaOOQODltO656004D69737369&£&7206F706572filem ”Ml 5. j nt酉萍文烷实DU000001707465&E672073

14、沖7371&56P0000OUDD00ting syst:UME «1 dmuvlOCW.3 11T p mpDQOQOOL«C00QQ0OOCDQ000DOQQ00O00OQOC00OQOQdOOlQ0QDQOoc000000口口CD叩00Qao00QQ If 申 * 耶 w *1OOOOOOfllAO000Q00ocCO0000000000CO0000oo0000帛匡m力444応代0=61丽大小上方为硬盘的分区情况，下方为硬盘的内容，打开是默认位置在0扇区，即上方的起始扇区"，点击上方的分区即可切换到各分区的起始扇区 完整的0扇区（XP的MBR ）如下

15、起巔亡31 5hfiKUS 丈件丈小艾ittn竇素坯 ©5（E）査看峯 rfiQ5哥业工国 *J3（Q-）国口Cp解助（H）u目日爭eg於 临罔 畳 摊2幫苫：拭-* -B吕为苗q卜口回 <别:蛙叩戻023443654525 MS«?QG星畐 Hi19C!1 IHTE641&12J9&UJC 序阳.SeXlEJJSi'E酬t砒哥SBDOC74P日u&ATAOffsetEJL23 呻83 A B C D E FMOSH：C应腐J®林rVa启容:112G6f 21X03,123.?7fl西扁叵芋羊四51251C3<1丰柿埶M

16、J SJ ASCII1W區地址i亦曲刖揶丙字节對3 516=538当丽專口£訝口总艺.1nr®晋帝文件齐9 9 OB空魚CUH * 1 tadmirOCALS*-1 IT ampoooooocco oaooaooo10 ooaono?o M30DQQ30 OOOOOOOC4C CQ00UUQQ50 anoaoDDOio 0000000070 OOOnOOOOBO OOGDaOD ocaatJOQCAO aOOQOOOOEO ooooooooco QOOflOnOBD OOOOOOQEO ooooaoooFo ooaooioc OQOoaoono 0000000120 000

17、00130 OQaOOKD OOQQOOI50 oooaaooio 0000000170 DOOQQQQieO oaoaQQo POOWOOlAO OOOOOOOIEO Gnoaoboirn DOQOOOlDCi bODDOOOlEO OOOaODiFO33cnBEDCBCao7CFBBFIB065C5769E501396E007C?75138363C6XO4 <4* mr74X?轉2CFCJAC3Cac7斗FC074EID詡牖OD73FEso7Euc刊asAOB64609Q&旳56您曲ES£C313EFE7DS5AA74E707EBQBFC!IE57(B408CD13

18、7223SA43F7C3BEDI朋D&BlOA7723720539恥08-3E(J28E56QOCD13弱CD13E6E4SA5613723601FB55g75i5A&AOCfT76QAFF01IDB4428BF4凹32期&AS6ODCD13EH6C69&42070617274626C65nn斗弓氏726F672Q6F7C65?z&174656DDO4&697373j口74S3&E6720737573OG口口00QO00ao吨西00OQ00dCoaaa闻00帕00OO0000GO0000an00DO2C446301 00DEFE3F眄3F

19、QO01 DE07FEFFFFS&7SFr FFGFFEFFFT32闘50B7 5 3F& ACB40ELQSU75P2仙aa7T.呷243F冲EEieB6El4X別呵F6C1006A61&1已7HZ06C&E67&7Z0&56D刖000000007 50 m ce10 E26 7 IB B4-020316 3 3CO770 0 6 30 3 7 16 9 Z 9 ED 6 7 6 6lrBDE斗閃CD7t30OS10旺90AA01073C36F206F0000000B7oo on oo oc oo oo do ooFCE1E CD07 ED 0

20、44& AO 00358AF7024ti557463OE4' +6E617373 oa 犯 oo00oa oi BF37ODBEIB7C07Bl0*IB8BF5E4Q7日日EfiF3yCB7T兀020603B607EB7 4ceAODOSASGDE6AFCE239SGBB007C22E46AF441CD2B616C007C6A4F74OBBE766120”61546忏7勺73657261DOOC00ocQQQOQD00oa0000OJOD.DD01OUOG0300FEGA0000OD55AAlAlDM.AP.6n l j u. J A 怔.ll0心 £亠斗tu>

21、 阳昶hpFF-W.W W胪吃I -.eSluKHlfJW .w#r-5F*e ibi.iv.l .st V.kealV,t6IuU*uOc j J.yv.yv .j. bitii.； 2alV_t.e0«Lid part 11 hle-En-org apsr&t11 eta .Mlssi de ting systt* rDc£- 如".+ . , yylst. yy yyhA.oaooaoo20f oo oo od oo oo oa oo od oo ao qo oo aa oo oo ac 鰐坤址o=ei asg尢小：其中0x0000OxOIFF即为硬

22、盘的0扇区，这个扇区的内容分为3部分第1部分（0x00000X01BD ）446个字节为完整的 XP MBR，选中这部分内容保存到文件即可作为MBR的备份，将此备份内容写入硬盘的0x00000X01BD 位置即可恢复 XP MBR，其中左边可读的部分即为MBR找不到活动分区时的错误信息，使用 Paragon Partition Manager 、PTDD磁盘分区表医生等工具均可将硬盘的 MBR恢复为（写入）XP MBR第2部分（0x01BE0x01FD ） 64个字节为硬盘的分区表（Disk Partition Table, DPT ），每16个字节描述一个主分区，所以一个硬盘最多可以有4个主

23、分区分区表的每一分区的第 1个字节是活动标志，其值为 80H时，表示该分区是当前活动分区，可引导，其值为00H时，表示该分区不可引导第3部分（0x0仆E0X01FF ） 2个字节“55 AA是分区有效结束标志下图为grub4dos MBR的第一个扇区其他扇区内容请参考附件Offseto'23456739 AEcDEFOOOODQODEB5E8362039FFFF 000DO0000D00ao91. 9yy000000100001oo00ooDOoo00ooQQoooooooo00ao000000200000Q000co 0DO0 0 o0000ooOQD00QinU000003000c

24、oo00oo00000000000000oo0000盘000000400D0000ooooDO0000000000oooo0Doo oCOQOOOEO00c00Q0oo0Q00oo1 IU000000 00oo 0C0000060E?oc005B81EB6300ClEB048CC801C33E合lee .Ae.lE,00000070DB536A75CB6B002017EC00go31C951BAtlSjuEh.11OQOODOBOGD00B408E8C8DO531&077215B0El3FF91".eE.X. -r 2C000009074OF91B40?99C531DS41E

25、3B2007202FE八-lillJAe2 .1OOOOODAODCOEIF9C31F631FFE9EF00FCF3A5BEFCij. >1 ldlyiB.uo000000BQIF66BSns4DCB936639077503E8FEIEEA.MEIF9.U削coaooocoC400002016IF66刃 7742D6660BE0E13OOOOOODQ00S3F93F7718EQ1133Cl7612BF0300B4.lu?.0.8Av.£iCOOOCOEOn?9勺BB0002BL02E38500730275Fl66&L1妙士.总f .s *uTCOOOOOFO39077S

26、52E9DBIB9D723S0EIFAE86EGfg.uReO. IrG .COOOOIOOAD8勺Cl243F741729E343F6D6BF03OOB4aooooiio02eeDOQD0731DBE35500730375FlF9E8.h. . .uTCOOOQ12Q5611OF87B3LBS3C6OCsiFEFE0172cc77V ，II £.吐 QdOOOOQ13Q16BEB231B4DS9952E31400S872059991.sl IRs._Xr.C0000140243F74341EBC5BE8B01E337OOEBFEIE$?t 典百壷每【Z a0000015006525

27、65755F9CD135D5F5E5A07IFC3FA.RWUtit .80000160B8OC203EDOECDC8FFB6&6107IFEEB7&0C0000170E8DCFF6173096031COE8D3FF614FF9C3J lA0ya(00000180B4ECD102EAC咒0 075F6C30DOA4E6S73-.I .<iidA +0000015073&5&E67204D42522D68656C7065722Esing MBR-lielpJIOOOOIAO00OCOODO00 00oa D00no00OO0000rioOOOOD1EO0DO

28、CDO0000 0000EAEBD4CA000080DI&&OE.cooooico01ocOBFEFFDB3F00 000CO37F200OODO冈D?直7,OOOOD1DO00 00000OOaoDO00000000000000noDO1100001ED00oc00000000oo oo00ocoo00000COODOIFO00ocDO0000aoDO00ao000000000055其中0x0003处一个字节为启动时等待按键的延时，图中为 0x06就是6秒四、硬盘（U盘、移动硬盘）DBR简介没有深入研究 DBR到底占用几个扇区，对于ntldr的DBR，用WinHex查看时可以

29、看到 ntfs分区的前7个扇区有内容，fat32前3个扇区有内容，不同的分区软件可能会有不同，有兴趣者可以试试先将 有内容的前几个扇区保存为文件，然后清除第1个扇区（分区的0扇区）之外的其他扇区的内容（用 0填充，可以用 U盘或者光盘启动 PE再用 WinHex恢复），若能正常启动表示只用第1个扇区即可，否则后面的内容也是有效内容NTBOOT.EXE （ #1附件中有）可以修复 ntldr的DBRBootsect.exe （好像vista安装盘中有，没有使用过）可以修复 bootmgr和ntldr的DBR，微软官方说法：Bootsect.exe更新硬盘分区的主启动代码以在BOOTMGR和NTL

30、DR之间切换。可以使用此工具还原计算机上的启动扇区。此工具会替换FixFAT和FixNTFS这两个工具都是只能修改 DBR，而不能修改 MBR下面是ntfs分区中ntldr DBR 的第一个扇区（用 XP做的分区）OffsetD12345678gABCEEFZJ0CQ2F10C00EE52904E54465320202020000208OC00eRIOTFSOC02F1QC1000QDoo000F800003F00FFDOS6780100ra. . ?1QC02F10C2000OC000080 80004BFOBF0300 0DO00.,.1 J .K&e.O00ZF1QC300D00

31、DC0OO 0DO00100000DO000000000002F10C40F6 COD 001 00000D77884空A584E4666 x|a¥lOC02F10C5000OC0000FA33COBEDOEC0070FBB8CO07|认0002F10C608ED6E81600B800OD8ECO33DBC6D6OE00104lA30E.0002F1QC70IDE85306600DD686A02CB8A1624DOB4,&S.h.hj.ElOB02-F10C&D08cr137305B9FFFFBAFl66OFreC64C56OC02F10C90OFDI80E23FF7

32、E286CDCOED064166OF.Wld?-fll tAi 丿CQ2F10CA0B7C966F7El66A32000C3B441EBAA5S8AEC-df£ 总保OD02F1QCBO162400CD1372DF81FB55AA75叮F6Cl01.$.1 .r. IWuOQ2F10CC07404FE0614 C3S 66DIE06G6Al10OC66t . . .nSf , , £ 1 ,OC02F1OCDO03OC006&3B0620Q0OF823A00IE666A n FkdA 11！<i0C02F10CEO0066500653&663100Q0

33、100603E140000+ fp.sfh T.,i>.OC02F10CF0OF85OC00E0B3FF8D3E140000OF048100I“yi.ID02F1OD00吕4423A1624 0IF8SF4CD1366565E07bi. leif-f；C02F10D1066586658IFEB2D6633D266OFB7OE1800fXFX.e-f30f,*,OC02F10D2066F7FlFEC29ACA£68BEQ66ClEA10F736OC02F1QD301AOCR'jre8A1&24OOSAE3COE406OACCB0.101.IAa.DB02F1DD4

34、C0102CD13OF9219008CCO0520009ECOBG.t,.1.1A. .10002F10D50FF061000F?EDE00F656FFF07IF6661y.歹. < * 1oy.,0OO2F1OQ6OC3ACFS01E80900A0FB01ES0300FEEEFEA 0. e . . £l . iUCD2F10D70E401SBFOAC3C0074E4OEEB0700CD10* 14 J t冷0002F10D80EEF2C30DOA41206469736B2U72656154ebX. .A diskC02F10D90206572727220GF&363

35、7S721264DOerror oacurr0C02F1ODAO0DOA4E544C44S2206973206D69737359MILD卫.is mi£OC02F1ODBO6E6700D0A4E別4C445220697320&36Eng. . *NTLE»R is0002F10DCOGD7C72庚7373656400ODOASO72657373mpressed.Pr0C02F1ODDOZO4374726CZB彰6C74ZB41656C20746FCtrl+Alt十DelDS02F10BEO2072657374Bl72740DOA00000000DC00restart

36、0002F10DFC00UCOUW0000UO00S3AOC900005勺AA1SE.,其中左边可读的部分即为DBR在分区根目录找不到 ntldr文件时的错误信息，最后两个字节“55 AA是分区有效结束标志下面是fat32 分区中 ntldr DBR 的第一个扇区（用 Paragon Partition Manager 做的分区）Offset0"T2'3456739ABCDEF1O0OOO7EQO58904D5357494E342E310002C82000sXIMSWIK4. :Ln00007E1002DO0000oaF300003F00FF003F00000 .010000

37、07E20CO37Y200703C00000000000002000000A7d OOODD7EOQIDO06o0 000000000000000000000ODDOOO7E4OeoDO29DI076B3D4E4F204E414D4520201 . )N.k=NO NAM1D00007E5D20ZO苴415电333220202033C9asDIBCF4FAT 睨3Elf000007E&07E8ECl8ED9BD007C884ED28A564084 8lAltm. | IU. IVC000007E7DCD137305B?FFFF6AFl66OFB6C640龙OFI ,s. "y

38、yliif .1UECDOQO7E8DDI80E23FE7E286CDCOED064166FB7Wlfli?alIAi ,AiQQ00D7E90C9F7El6b8946FSS37E16oo7533S37EOOOO7EAO2AGO77326&8B461C6&83COocBE0080B9*,w2fiF.fIA.»OOOOD7EBO0100E82B03E94803A0FA7DB47D8BFOAC.e+.eH. d'lDOOO7ECO94CO74173CFF74D9E4DEBE07ODCD10EBlAt. <yt000007EDOEEAOFB7DEBE5AOF9

39、7DEBEO98CD16CD19i u )-ea n &,! I000007EE066SO663B46F9OF824A00666A00665006f' ffj i000007EF053666S100301CO607E0200OFB52000B4Efh广1OODOO7FaO41BBAA5S3A5S40CD13DF821C0081FS55A5>UiVi . . H J000007F10AAOF851403F6Cl01OF64OEOOFE4602B4沢t盘F . .pl00007F20420A56408BF4CD13B0F966586658S658BIVl6IafX£

40、5000007F30665SEB2A66331)266OFB7北1&66F7FlFEDD007F40C28ACA8BDO6&ClEA10F7781A86D68AQ00007F505G400AESCOE4060ACCB00102CD136661诧1自阳I,江000007F&QOF0254FFaiC30002664049OF8571FFC3.ITylA. .fiai. k0D0007F7D4E544C445220202020202CODOA4E544CfcTTLDRt00D007F804452206973206D697373696E67FFDABR is missing!0D0007F904469736B23657272£F72FFODOA507265Disk errory. ”1OOOOD7FAO737320616E79206B657920746F20726Fss any key to000007FB0737