硬盘分区恢复报告.docVIP

硬盘分区恢复的报告 项目名称：硬盘分区出错的恢复 一、目的： 1、了解MBR、EBR和DBR。 2、学会恢复出错的硬盘分区。 3、了解FAT32文件系统。 二、仪器及设备 计算机、虚拟机、Winhex软件等。 三、步骤 （一）、主分区表损坏的恢复 MBR例子，通过如下步骤实现对分区错误的恢复： 首先，添加一个新的磁盘，对其进行分区： 在winhex中打开磁盘，使用Winhex对该磁盘的0扇区分区表进行备份，即主引导分区表的备份。如下图所示： 其次，将该盘的主引导扇区的分区表填充为“00”，如图所示： 对填充后的分区表进行保存，刷新磁盘可见如下图，磁盘为未被分区的状态： 再在winhex中打开该磁盘，搜索全部的“55AA”有效标志， 如下，可知该盘的第一个分区格式为FAT32， 现在已经知道磁盘的第一个分区是FAT32格式的，找到扇区的分区起始LBA地址，并将其复制给第一个分区，这样就恢复了第一个分区，如图： （分区起始LBA地址） （填充分区格式及LBA地址） 用第一个分区的大小扇区数加上63得到下一个分区的起始地址，再将其和转换为十六进制，再进行填充，如此类推来完成对剩余的分区进行恢复，如图： 最后，将磁盘驱动停用后，重新启动以刷新磁盘的分区，验证分区的恢复，如图所示： （二）、DBR损坏后的恢复 如果一个分区的DBR损坏，试图打开该分区时会提示“未格式化”，并询问是否对其进行格式化，而格式化将会向磁盘中写入代码或对某些区域进行清零操作，因此，为了尽可能地挽救其中的数据，应该禁止对其进行格式化操作。 在这里，我们以FAT32文件系统为例，进行FAT32文件系统DBR损坏后的恢复。 对于FAT32文件系统，如果只是DBR意外损坏，位于文件系统6号扇区的备份完好的情况下，可以使用备份DBR恢复主DBR；如果备份DBR也已经损坏，就需要根据分区中的数据存储情况重建其DBR来恢复其中的数据。而在此例中，我们制造的是DBR和FAT1被破坏的实验环境。 首先向磁盘1中的第一个分区里拷入一些目录和文件，以营造数据存储环境。在这里，我们在其中拷入三个目录“目录1”、“目录2”、“目录3”，每个目录下都有一个文件。 （磁盘1的第一个分区（F：）） （ F32根目录下的内容） （每个目录下的文件） 然后，我们将保留区域及FAT1中的内容全部清零，制造DBR和FAT1被破坏的实际情景。完毕后，将磁盘停用后再启用，发现该分区的卷标已经不再显示，试图打开分区时提示未格式化。 这时候，在Winhex中的逻辑磁盘内选择该分区也无法将其打开，因此，我们选择打开物理磁盘，然后在打开的物理磁盘界面中单击按钮选择该分区将其打开，如图所示。 分区打开后，我们看到分区DBR已经不存在。现在，我们开始对该分区进行分析与恢复： 进行尝试性搜索，以确定原文件系统的类型：通过搜索十六进制字节“F8FFFF”寻找FAT表，如果能找到FAT表，则说明原来的文件系统是FAT系列文件系统，然后根据FAT表的特征值进而判断是哪一种FAT类型。搜索十六进制“F8FFFF”时，设置如图所示。 很快，在10024号扇区找到一个“F8FFFF”，如图所示。 因为FAT表的起始处是“F8FFFFOF”，故这个扇区的内容是一个FAT32的FAT表，说明原来的文件系统是FAT32。 通常FAT1的起始处位于40号扇区以前，而我们搜索到的这个FAT表位置在10024号扇区，所以应该考虑它是FAT2，按F3键继续向下搜索，没有再次找到该值，说明这确实是FAT2的起始扇区。我们可以在表格中做一个简单的记录。 （在表格中做记录） （按“F3”继续向下搜索） （没有再次找到该值） 寻找根目录：寻找根目录是为了确定FAT2的大小，从而可用FAT2恢复FAT1。寻找根目录的方法有多种，第一种方法是搜索回收站，第二种方法是估算法，第三种方法是搜索卷标，第四种方法是搜索较早建立于根目录下的目录或文件名，在此，我们用第四种方法，在Winhex工具栏中单击搜索文本字符按钮，即可弹出文本搜索设置框，设置如图所示。 设置完毕后单击OK按钮即可开始搜索，最终在20016号扇区找到“目录1”。同时还可以看到其他两个目录的目录项，如图所示。 我们将根目录添加进“分析”表格中，如图所示。 现在，我们可以计算出FAT2的大小，进而算出FAT1的起始位置，如图所示。 计算每簇大小扇区数。我们知道，为子目录分配的簇空间中，第一个目录项一定是一个“.”目录项，这个目录项用以描述该子目录本身，其中有一个参数描述了它现在所处的扇区的簇号（偏移Ｏｘ１４－Ｏｘ１５为簇号的高二位，偏移Ｏｘ１Ａ－Ｏｘ１Ｂ处为簇号的低二位）。我们