[简洁抽象]硬盘讲座第二讲.pptVIP

引导标志 值为 80H 表示活动分区 值为 00H 表示非活动分区 本分区的起始磁头号、扇区号、柱面号 分区类型符 05H 扩展分区 本分区的结束磁头号、扇区号、柱面号 本分区之前已用了的扇区数 本分区的总扇区数 ≈251.02M 第n个分区表项 1、2、3、4 1BE：引导标志。若值为 80H 表示活动分区；若值为 00H 表示非活动分区。 1BF~1C1：本分区的起始磁头号、扇区号、柱面号 1BF：本分区的起始磁头号、1C0:起始扇区号（高2位为柱面号） 、1C1:起始柱面号（低8位 1C2：分区类型符 1C3~1C5：本分区的结束磁头号、扇区号、柱面号 1C3：本分区的结束磁头号、1C4:结束扇区号（高2位为柱面号） 、1C5:结束柱面号（低8位） 1C6~1C9：本分区之前已用了的扇区数，3F 00 00 00 00 00 00 3F =（63）10 1CA~1CD：本分区的总扇区数，82 3E 00 00 =（16002）10 00 00 3E 82 1BE：引导标志。若值为 80H 表示活动分区；若值为 00H 表示非活动分区。 1BF~1C1：本分区的起始磁头号、扇区号、柱面号 1BF：本分区的起始磁头号、1C0:起始扇区号（高2位为柱面号） 、1C1:起始柱面号（低8位） 1C2：分区类型符 1C3~1C5：本分区的结束磁头号、扇区号、柱面号 1C3：本分区的结束磁头号、1C4:结束扇区号（高2位为柱面号） 、1C5:结束柱面号（低8位） 1C6~1C9：本分区之前已用了的扇区数，3F 00 00 00 00 00 00 3F =（63）10 1DA~1DD：本分区的总扇区数，20 D8 07 00 00 07 D8 20 =（514080）10 为什么要用最后的两个字节“55 AA”（偏移1FEH～偏移1FFH）作为分区有效结束标志？ 如果“55AA”的内容丢失，计算机不能从硬盘启动，系统提示：“DISK BOOT FAILURE, INSERT SYSTEM DISK AND PRESS ENTER.”，但是我们即使从软盘启动，也没有硬盘，用FDISK/STATUS命令显示硬盘未使用。 （硬盘逻辑锁现象） 第二讲 winhex软件详讲 硬盘启动时首先由BIOS读入MBR的内容，以确定各个逻辑驱动器及其起始参数，然后调入活动分区的DBR，将控制权交给DBR，由DBR来引导系统。系统文件调入后，计算机系统就完全处于操作系统的控制下，尤其是windows xp,对系统资源统一调配，在它们的控制下，要想绕过它们直接访问硬件，几乎是不可能的，这与windows 95/98/me有着本质的区别。 此外，DBR中除了引导程序部分，还有一个很重要的BPB表，操作系统依靠BPB表中记录的一些系统参数来管理文件系统 由MBR（包括虚拟MBR，不再强调说明）至DBR的交接如上面所说，DBR中记录着保留扇区、FAT和FDT，由这些参数就可以确定各个区的入口。在FDT中，记录着根目录下文件或子目录的参数，根据这些参数，可确定文件或目录在DATA中的首簇和FAT中簇链的起始点， 然后由FAT中的簇链来跟踪文件或子目录在DATA区中的位置，直至文件或目录结束，从而找到整个文件或目录在磁盘上的存储情况。其中，文件在FAT中的登记既有从前至后，也有从后转至前，以及交叉记录等情况，这和系统在写入文件时找到空闲簇的顺序有关。 在实际使用中，系统就是这样来管理文件和目录。DATA区是一个很特殊的区域，它只有起始点和结束点，区域本身和文件或目录却没有任何关系。它只是记录数据，至于这些数据之间的关系，由FDT和FAT来解释。所以，FDT和FAT对DATA非常重要。如果FDT和FAT遭到破坏，就无法解释DATA区域中数据的实际含义。至于如何解释它们，这正是文件系统的职责。 这一节课将从MBR开始，详细介绍如何经过DBR、FDT、FAT，最后寻找到一个具体的文件在DATA中的位置。 逻辑磁盘中系统对文件的管理链 确定首簇位置和FAT中簇链起点 MBR DBR 保留扇区 FAT1 FAT2 FDT DATA 剩余扇区 定位起始扇区 利用WinHex寻找硬盘数据 利用WinHex寻找硬盘数据 WinHex简介 WinHex是目前使用最多的一款工具软件之一。该软件是Windows下的十六进制(hex)编辑软件。该软件功能非常强大，有着完善的分区管理功能和文件管理功能，能自动分析分区链和文件簇链，并能以不同的方式进行不同程度的备份，直到克隆整个硬盘。作为一款编辑软件，具有所有编辑软件具有的通用功能，如查找、替换等，同时，它与一般的文本编辑软件又有着本质区别。它能够完整