《数据恢复技术与应用》课件-MBR扇区分区表破坏现象分析

数据恢复技术与应用知识回顾MBR扇区数据破坏故障现象分析1.创建VHD步骤对MBR数据的影响打开磁盘管理创建VHD（MBR数据都是0）VHD初始化（MBR数据主引导程序代码和结束标志改变）分区（MBR分区表数据依次改变）知识回顾MBR扇区数据破坏故障现象分析2.

MBR数据破环现象主引导程序代码：破坏不影响使用结束标志：55AA破坏故障现象为

未初始化、未分区part01MBR扇区分区表破坏故障现象分析MBR扇区分区表破坏故障现象分析MBR结构：创建第一个分区后分区表1-16字节，为分区表第一行MBR扇区分区表破坏故障现象分析MBR结构：创建第二个分区后分区表17-32字节，为分区表第二行MBR扇区分区表破坏故障现象分析MBR结构：创建第三个分区后分区表33-48字节，为分区表第三行MBR扇区分区表破坏故障现象分析MBR结构：创建第四个分区后分区表49-64字节，为分区表第四行，扩展分区推出结论：1、磁盘第1个分区影响分区表第1——16个字节数据（分区表第1行）；2、磁盘第2个分区影响分区表第17——32个字节数据（分区表第2行）；3、磁盘第3个分区影响分区表第33——48个字节数据（分区表第3行）；4、磁盘第4个分区影响分区表第49——64个字节数据（分区表第4行）。问题提出：分区表数据变化会不会影响磁盘分区？？试一试：观察：MBR扇区分区表数据破坏会不会影响磁盘分区？？破坏MBR扇区分区表MBR扇区分区表破坏故障现象分析一分区：大小50MB，格式NTFS二分区：大小100MB，格式FAT32三分区：大小80MB，格式FAT32四分区：剩余大小，格式NTFS大小：300MB分区数：4个MBR扇区分区表破坏故障现象分析MBR扇区分区表破坏故障现象分析MBR扇区分区表破坏故障现象分析用Winhex软件打开磁盘2，找到分区表红色区域——分区表第1行蓝色区域——分区表第2行橙色区域——分区表第3行绿色区域——分区表第4行分区表每行每位数据所代表的意思：引导标志柱面数扇区数结束磁头号扇区号柱面号分区起始扇区数分区总扇区数磁头数分区类型文件系统类型0BH—FAT3207H—NTFSMBR扇区分区表破坏故障现象分析MBR扇区分区表破坏故障现象分析破坏分区表第1行第1个字节数据（引导标志），将00改为其他任意数据，例如：33MBR扇区分区表破坏故障现象分析点击保存，到磁盘管理刷新结论：“引导标志”遭到破坏不影响使用，如果破坏不需要恢复。MBR扇区分区表破坏故障现象分析第2个字节，磁头数破坏为00MBR扇区分区表破坏故障现象分析第3-4个字节，柱面数03和扇区数00，分别破坏为00和33破坏MBR扇区分区表破坏故障现象分析第5个字节，分区类型07，代表NTFS，破坏为00破坏MBR扇区分区表破坏故障现象分析第6-8字节，结束磁头号61、扇区号1B和柱面号06，分别都破坏为00。破坏MBR扇区分区表破坏故障现象分析第9-12字节，分区起始扇区80000000，分别都破坏为AAAAAAAA。破坏MBR扇区分区表破坏故障现象分析第9-12字节，分区起始扇区80000000，分别都破坏为AAAAAAAA。破坏破坏前破坏后MBR扇区分区表破坏故障现象分析第13-16字节，分区总扇区数00900100，分别都破坏为BBBBBBBB。破坏破坏前破坏后结论：1、第5个字节：表示分区类型。07表示NTFS，0B或0C表示FAT32，05表示为扩展分区。2、第9、10、11、12字节：表示本分区的起始扇区。3、第13、14、15、16字节：表示本分区的总扇区数（分区大小）。分区表最关键的是三个位置数据：MBR扇区分区表破坏故障现象分析重复操作，破坏分区表第2-4行，得出结论一致，关键数据还是第5、9-12、13-16字节的数据。小结一、分区表并不是所有数据破坏都影响磁盘使用，如果破坏，除关键数据都不需要恢复。小结1、第5个字节：表示分区类型。07表示NTFS，0B或0C表示FAT32，05表示为扩展分区。2、第9、10、11、12字节：表示本分区的起始扇区。3、第13、14、15、16字节：表示本分区的总扇区数（分区大小）。二、分区表破坏需要恢复的关键数据练一练：第1分区，120M，格式FAT32

第2分区，60M，格式FAT32

第3分区，约80M，格式NTFS第4分区，剩余大小，格式NTFS