计算机检测维修与数据恢复（上册）课件 子任务1 利用WinHex读取GPT磁盘参数

子任务1

利用WinHex读取GPT磁盘分区参数 任务3GPT磁盘分区恢复项目6磁盘分区恢复01利用Winhex数据解释器和直接读取保护MBR参数02利用Winhex数据解释器和直接读取GPT头主要参数03利用Winhex数据解释器和直接读取GPT头备份主要参数目录contents05利用Winhex数据解释器和直接读取GPT分区表备份主要参数04利用Winhex数据解释器和直接读取GPT分区表项主要参数利用Winhex数据解释器和直接读取保护MBR参数01任务实施1（一）利用Winhex数据解释器和直接读取保护MBR参数（共有2个步骤）步骤一：利用Winhex数据解释器和直接读取保护MBR参数步骤二：读取和记录GPT保护MBR分区表参数一步骤一：附加虚拟磁盘，运行Winhex并打开它在素材文件夹中，双击“6任务3-1-1.vhd”，然后运行（Winhex），打开“HD1”，界面显示该硬盘信息，编辑窗口默认显示是扇区0保护MBR的信息。利用Winhex数据解释器和直接读取保护MBR参数步骤二：读取和记录GPT保护MBR分区表参数1.读取分区类型分区类型的偏移分别是0XC2,对应的值分别为0XEE，0XEE表示是保护分区。2.读取第一扇区号第一扇区号偏移分别是0XC6〜9，对应的值分别为0X01,数据解释器解释数为第1扇区。3.读取总扇区数总扇区数的偏移分别是0XCA〜D，对应的值分别为0XFFFFFFFF,数据解释器解释数为全盘扇区数。一利用Winhex数据解释器和直接读取保护MBR参数步骤二：读取和记录GPT保护MBR分区表参数4.保护MBR分区表参数记录表得到保护MBR分区表参数记录表如表6-19所示。表6-19保护MBR参数表偏移长度值参数内容0X1BE10X00固定值0X1BF10X000X1C010X020X1C110X000X1C210XEE0X1C310XFF0X1C410XFF0X1C510XFF0X1C640X010X1CA40XFFFFFFFF利用Winhex数据解释器和直接读取GPT头主要参数02利用Winhex数据解释器和直接读取GPT头主要参数二、利用Winhex数据解释器和直接读取GPT头主要参数（共有2个步骤）步骤一：跳至GPT头所在扇区步骤二：读取和记录GPT头主要参数二步骤一：附加虚拟磁盘，运行Winhex并打开它运行Winhex，从扇区0跳至扇区1，编辑窗口显示GPT头信息。如图6-44所示。利用Winhex数据解释器和直接读取GPT头主要参数图6-44Winhex编辑窗口信息（GPT头）图二步骤二：读取和记录GPT头主要参数读取GPT头主要参数，并记录到表6-16中。按GPT头格式，逐个读取数据，填入GPT头的参数格式表的主要参数表的“值”栏，并用数据解释器读取对应解释，填入GPT头的参数格式表的“解释”栏，得到GPT头主要参数表。如表6-20所示。利用Winhex数据解释器和直接读取GPT头主要参数表6-20GPT头主要参数表主要参数偏移长度值解释GPT头所在扇区号0X1880X011扇区GPT头备份所在扇区号0X2080X31FFFFFF838860799扇区首个GPT分区第一个扇区号0X2880X2234扇区最后GPT分区最后一个扇区号0X3080X31FFFFDE838860766扇区利用Winhex数据解释器和直接读取GPT头备份主要参数03利用Winhex数据解释器和直接读取GPT头备份主要参数利用Winhex数据解释器和直接读取GPT头备份主要参数（共有2个步骤）步骤一：跳至GPT头备份所在扇区号（倒数1号扇区)步骤二：读取和记录GPT头备份主要参数三步骤一：跳至GPT头备份所在扇区号（倒数1号扇区)利用Winhex数据解释器和直接读取GPT头备份主要参数在Winhex编辑窗口，GPT头备份所在的倒数1号扇区是838860799号扇区，跳至扇区838860799，编辑窗口显示备份GPT头备份的信息。如图6-45所示。图6-45Winhex编辑窗口信息（GPT头备份）图三步骤二：读取和记录GPT头备份主要参数利用Winhex数据解释器和直接读取GPT头备份主要参数读取GPT头备份主要参数，并记录到表6-16中。按GPT头备份格式，逐个读取数据，填入GPT头备份的参数格式表的主要参数表的“值”栏，并用数据解释器读取对应解释，也填入GPT头备份的参数格式表的“解释”栏，得到GPT头备份主要参数表。如表6-21所示。表6-21GPT头备份的主要参数表主要参数偏移长度值解释GPT头备份所在扇区号0X18831FFFFFFH838860799扇区GPT头所在扇区号0X20801H1扇区首个GPT分区第一个扇区号0X28822H34扇区最后GPT分区最后一个扇区号0X30831FFFFDEH838860766扇区利用Winhex数据解释器和直接读取GPT分区表项主要参数04利用Winhex数据解释器和直接读取GPT分区表项主要参数利用Winhex数据解释器和直接读取GPT分区表项主要参数（共有2个步骤）步骤一：跳至GPT分区表所在第一扇区号（2号扇区）步骤二：读取和记录GPT分区表主要参数四步骤一：跳至GPT分区表所在第一扇区号（2号扇区）利用Winhex数据解释器和直接读取GPT分区表项主要参数在Winhex编辑窗口，GPT分区表所在的2号扇区，跳至扇区2，可以找到5个分区表项的信息。如图6-46所示。图6-46Winhex编辑窗口信息（GPT分区表）图四步骤二：读取和记录GPT分区表主要参数利用Winhex数据解释器和直接读取GPT分区表项主要参数读取GPT分区表主要参数，并记录到表6-17中。按GPT分区表项格式，逐个读取其主要参数，写入GPT分区表项的主要参数表。如表6-22所示。表6-22GPT分区5个分区表项的主要参数表分区号偏移值(前4字节)分区起始扇区值(后4字节)分区末尾扇区分区号10X420〜2F0X22340X96021614433分区号20X4A0〜AF0X96226144340X9E021647201分区号30X520〜2F0X9E0226472020XC89EFFF210366463分区号40X5A0〜AF0XC89F0002103664640X1909F7FF420083711分区号50X620〜2F0X1909F8004200837120X31FFFFDE838860766利用Winhex数据解释器和直接读取GPT分区表备份主要参数05利用Winhex数据解释器和直接读取GPT分区表备份主要参数利用Winhex数据解释器和直接读取GPT分区表备份主要参数（共有2个步骤）步骤一：跳至GPT分区表备份所在扇区（倒数34号扇区)步骤二：读取和记录GPT分区表备份主要参数五步骤一：跳至GPT分区表备份所在扇区（倒数34号扇区)利用Winhex数据解释器和直接读取GPT分区表备份主要参数在Winhex编辑窗口，GPT分区表备份所在的倒数34号扇区是838,860,767号扇区，跳至扇区838,860,767，可以找到5个分区表项的信息。如图6-47所示。图6-47Winhex编辑窗口信息（GPT分区表备份）图五步骤二：读取和记录GPT分区表备份主要参数利用Winhex数据解释器和直接读取GPT分区表备份主要参数读取GPT分区表备份主要参数，并记录到表6-17中。按GPT分区表项格式，逐个读取其主要参数，写入GPT分区表项备份的主要参数表。如表6-23所示。表6-23GPT分区表项备份的主要参数表分区号偏移值(前4字节)分区起始扇区值(后4字节)分区末尾扇区分区号10XE20〜2F0X22340X96021614433分区号20XEA0〜AF0X960226144340X9E021647201