《数据恢复技术与应用》课件-磁盘分区表破坏恢复方法

知识回顾一、分区表破坏需要恢复的关键数据二、分区引导扇区DBR程序代码1、第5个字节：表示分区类型。07表示NTFS，0B或0C表示FAT32，05表示为扩展分区。2、第9、10、11、12字节：表示本分区的起始扇区。3、第13、14、15、16字节：表示本分区的总扇区数（扇区大小）。知识回顾分区表每一行：知识回顾一、分区表破坏需要恢复的关键数据二、分区引导扇区DBR程序代码知识回顾DBR程序代码（FAT32为例）：磁盘分区表破坏恢复方法磁盘分区表破坏恢复方法把分区表所有数据破坏，都改成0保存数据

刷新磁盘问题提出：此类故障如何恢复？磁盘分区表破坏恢复方法磁盘分区表破坏恢复方法已知：分区表破坏需要恢复的关键数据1、第5个字节：表示分区类型。07表示NTFS，0B或0C表示FAT32，05表示为扩展分区。2、第9、10、11、12字节：表示本分区的起始扇区。3、第13、14、15、16字节：表示本分区的总扇区数（分区大小）。关键数据去哪里找？磁盘分区表破坏恢复方法DBR中有我们需要的关键数据：磁盘分区表破坏恢复方法DBR数据特点：1、EB开头；2、55AA结束；3、有分区类型、起始扇区、扇区大小数据怎么找DBR？搜索十六进制数EB，找到DBR磁盘分区表破坏恢复方法一个分区，有2个DBR；例如：一个盘分3个区，就有个DBR；需6次搜索EB搜索到一个EB，对应一个DBR我们能搜到多少个DBR？磁盘分区表破坏恢复方法搜索EB次数，对应到DBR顺序搜索EB次数对应DBR11分区主DBR21分区备份DBR32分区主DBR42分区备份DBR53分区主DBR63分区备份DBR按照分区号主备依次排序磁盘分区表破坏恢复方法分区类型、起始扇区、扇区大小数据DBR中什么位置可以找到关键数据？磁盘分区表破坏恢复方法1、分区类型位置磁盘分区表破坏恢复方法2、分区起始扇区位置磁盘分区表破坏恢复方法3、扇区大小位置FAT32关键数据在DBR中位置类型：位置偏移量：00-02EB5890——FAT32——类型代码0B/0C——分区表第5字节数据0B/0CEB5290——NTFS——类型代码07——分区表第5字节数据07起始扇区：位置偏移量：1C——1F

利用数据解释器读取

操作方法：光标点击1C偏移量数据，读取数据解释器数据扇区大小：位置偏移量：20——23

利用数据解释器读取操作方法：光标点击20偏移量数据，读取数据解释器数据磁盘分区表破坏恢复方法推出重要结论NTFS关键数据在DBR中位置类型：位置偏移量：00-02EB5890——FAT32——类型代码0B/0C——分区表第5字节数据0B/0CEB5290——NTFS——类型代码07——分区表第5字节数据07起始扇区：位置偏移量：1C——1F

利用数据解释器读取操作方法：光标点击1C偏移量数据，读取数据解释器数据扇区大小：位置偏移量：28——2B

利用数据解释器读取

操作方法：光标点击28偏移量数据，读取数据解释器数据磁盘分区表破坏恢复方法同理推出重要结论磁盘分区表破坏恢复方法找到关键数据数据回填分区表，就能恢复磁盘分区找到的类型代码，回填到0扇区MBR分区表第5字节找到的起始扇区数，回填到0扇区MBR分区表9-12字节找到的扇区大小数，回填到0扇区MBR分区表13-16字节总结找到DBR：方法为搜索EB找到类型代码（00-02）找起始扇区（1C-1F）找到扇区大小FAT32