《数据恢复技术与应用》课件-硬盘扩展分区结构

3分2硬盘结构恢复实操回顾回顾磁盘镜像数据备份创建数据记录表格查看MBR并记录当前2分区分区表类型、起始、大小信息搜索EB找到全部DBR记录关键数据3分2数据恢复主要步骤回顾DBR组队分离原、现盘DBRDBR查漏补缺恢复分区表恢复DBR3分2数据恢复主要步骤硬盘扩展分区结构为什么要使用扩展分区目录扩展分区结构分析EBR结构破坏EBR结构后现象分析一、分析各EBR结构一、分析各EBR结构扩展分区概念：所谓扩展分区，严格地讲它不是⼀个实际意义的分区，它仅仅是⼀个指向下⼀个分区的指针，这种指针结构将形成⼀个单向链表。扩展分区是硬盘磁盘分区的⼀种。MBR下的硬盘分区有三种：主磁盘分区、扩展磁盘分区、逻辑分区。⼀个硬盘主分区⾄少有1个，最多4个；扩展分区可以没有，最多1个。且主分区+扩展分区总共不能超过4个；逻辑分区可以有若⼲个。扩展分区由若干个逻辑分区组成。硬盘的容量=主分区的容量+扩展分区的容量扩展分区的容量=各个逻辑分区的容量之和一、分析各EBR结构为什么要使用扩展分区？分区表4行，每一行代表一个分区信息，最多可以定义4个分区，但4个无法满足使用需求，为此分区体系中引入了“扩展分区”的概念，以便达到将一个磁盘划分为超过4个分区的目的。把分区表最后一行作为扩展分区的信息。二、扩展分区结构二、扩展分区结构扩展分区内部由若干个逻辑分区组成，它们之间通过链表方式管理，每个分区的前面都有一个虚拟的分区表，这个扇区称为虚拟MBR，简称EBR。EBR通常位于某柱面0磁头1扇区（标准分区法），扩展分区每个逻辑分区有128保留扇区，所以128扇区为，扩展分区主DBR位置，所以逻辑分区起始扇区为128。二、扩展分区结构EBR的引导记录部分全为0，只有分区表和结束标识，且分区表只有两项，其中第一项指向当前分区，第二项指向下一分区的虚拟MBR。二、扩展分区结构扩展分区EBR分区表占用2行，结束标志55AA，其余位置都没有数据。逻辑分区1的EBR称为EBR1，如图所示。分区表第一行描述该EBR所携带逻辑驱动器信息，即所携带的分区信息。分区表第二行描述，下一个EBR距离EBR1的链路信息。三、分析EBR结构三、分析EBR结构

EBR结构分为两种，非最后一个扩展分区和最后一个扩展分区。（1）非最后一个扩展分区的EBR，分区表占用两行：分区表第一行描述该EBR所携带逻辑驱动器信息，即所携带的分区信息。分区表第二行描述，下一个EBR距离EBR1的链路信息。1.EBR结构三、分析EBR结构（2）最后一个扩展分区的EBR，分区表占用一行：只描述该EBR所携带逻辑驱动器信息，即所携带的分区信息。因为没有下一个扩展分区，就不用描述逻辑关系啦。1.EBR结构三、分析EBR结构1.EBR结构三、分析EBR结构第1行关键数据第5字节类型代码，当前扇区类型FAT32类型代码0C或0B，NTFS类型代码07；9-12字节当前扇区的起始为128，13-16字节当前扇区大小。2.非最后一个扩展分区的EBR结构三、分析EBR结构第2行数据：2.非最后一个扩展分区的EBR结构三、分析EBR结构EBR结构：只占用分区表第一行，描述该EBR所携带的DBR信息，也就是当前分区的信息。3.最后一个EBR结构四、破坏EBR结构后现象分析四、破坏EBR结构后现象分析6分区为例：3个主分区，1个扩展分区，扩展分区包含3个逻辑分区四、破坏EBR结构后现象分析分区起始=上一个分区起始+上一个分区大小EBR1也是整个扩展分区的起始四、破坏EBR结构后现象分析分区表第1行分区表第2行结束标志破坏每个EBR的3部分观察现象1.EBR1破坏四、破坏EBR结构后现象分析分区表项1（1）EBR1分区表项1破坏破坏现象逻辑分区1的EBR1破坏分区表项1：当前逻辑分区（逻辑分区1）被破坏四、破坏EBR结构后现象分析分区表项2（2）EBR1分区表项2破坏破坏现象逻辑分区1的EBR1破坏分区表项2：后边的分区全部破坏四、破坏EBR结构后现象分析结束标志（3）EBR1结束标志55AA破坏破坏现象EBR1破坏结束标志55AA：扩展分区全部破坏四、破坏EBR结构后现象分析（1）分区表项1破坏现象：当前逻辑分区（逻辑分区2）被破坏（2）分区表项2破坏现象：后边的分区全部破坏（3）结束标志55AA破坏：扩展分区全部破坏2.EBR2破坏四、破坏EBR结构后现象分析（1）分区表项1破坏现象：当前逻辑分区（逻辑分区3）被破坏（2）结束标志55AA破坏：扩展分区全部破坏3.EBR3破坏（最后一个分区EBR没