计算机检测维修与数据恢复（上册）课件 子任务2 利用WinHex恢复MBR磁盘分区.pptx

子任务2利用WinHex恢复MBR磁盘分区任务2MBR磁盘分区恢复项目6磁盘分区恢复

01恢复引导记录受破坏MBR分区02恢复仅有效扇区标志受破坏MBR分区03恢复分区表受破坏MBR分区目录contents

恢复引导记录受破坏MBR分区01

任务实施2（一）恢复引导记录受破坏MBR分区（共有3个步骤）步骤一：附加虚拟磁盘，运行Winhex并打开它步骤二：确认MBR分区受破坏步骤三：恢复MBR分区

一步骤一：附加虚拟磁盘，运行Winhex并打开它在素材文件夹中，双击“6任务2-2-1.vhd”，然后运行Winhex，打开“HD1”。恢复引导记录受破坏MBR分区步骤二：确认MBR分区受破坏在驱动器窗口，点击起始扇区，接着在编辑窗口查看MBR信息，发现其MBR的偏移0X00?0XBD的数据为0，而MBR分区表及有效标志正常，说明MBR的引导信息被破坏了。

一步骤三：恢复MBR分区1.复制正常的MBR的引导信息用Winhex打开任意正常的MBR分区类型的硬盘，复制MBR引导信息，粘贴到6任务1-3.vhd虚拟磁盘MBR引导信息处。如图6-39所示。恢复引导记录受破坏MBR分区图6-39Winhex编辑窗口信息（修复后MBR引导信息）图

一步骤三：恢复MBR分区2.保存数据运用“保存”功能按键，完成保存数据。运用“磁盘快照”功能按键，完成磁盘快照。恢复引导记录受破坏MBR分区的操作完成。恢复引导记录受破坏MBR分区

一步骤二：读取和记录MBR分区表参数（三）读取分区第一扇区1.启用“数据解释器”点击Winhex“查看”菜单，弹出下拉菜单，移动鼠标光标至“显示”，弹出其下拉菜单，光标再移到“数据解释器”，如图6-28所示。利用Winhex直接和数据解释器读取MBR分区表参数图6-28Winhex“查看”-“显示”-“数据解释器”菜单图（二）读取分区第一扇区2.修改“数据解释器”的解释方式方法若需要修改某个参数的解释方式方法，用右键点击其数值，弹出解释方式方法下拉菜单，点击选择所要的解释方式方法就可以了。比如右键点数据解释器32Bit上的数值（63）处，弹出“解释方式方法”菜单，光标移到“插入Unicode控制字符”，继续弹出下拉菜单，光标移到想要选的“LRM”,点击它就可以了，如图6-30所示。图6-30Winhex“数据解释器”解释方式方法下拉菜单

恢复仅有效扇区标志受破坏MBR分区02

恢复仅有效扇区标志受破坏MBR分区（二）恢复仅有效扇区标志受破坏MBR分区（共有3个步骤）步骤一：附加虚拟磁盘，运行Winhex并打开它步骤二：确认MBR分区受破坏步骤三：恢复MBR分区

二步骤一：附加虚拟磁盘，运行Winhex并打开它在素材文件夹中，双击“6任务2-2-2.vhd”，然后运行（Winhex），打开“HD1”。恢复仅有效扇区标志受破坏MBR分区步骤二：确认MBR分区受破坏在驱动器窗口，点击起始扇区，接着在编辑窗口查看MBR信息，发现其MBR的扇区有效标志数据为0，说明MBR的有效标志被破坏了。

二步骤三：恢复MBR分区1.重写扇区有效标志在MBR的扇区有效标志处，偏移0XFE～FF，直接写入0X55/0XAA。如图6-40所示。恢复仅有效扇区标志受破坏MBR分区7-40Winhex编辑窗口信息（修复后MBR的有效标志）图2.保存数据完成后，保存磁盘数据后，关闭磁盘。恢复仅有效扇区标志受破坏MBR分区的操作完成。

二步骤二：读取和记录EBR1分区表参数（二）EBR1分区表第2个表项如图6-36所示。利用Winhex直接和数据解释器读取EBR分区表参数图6-36Winex编辑窗口信息（EBR1分区表第2个表项）图第2个表项偏移是0XCE-0XDD。其中，它活动分区类型偏移是0XCE，值是0X00，表示是非活动分区；它分区类型的偏移是0XD2，值是0X05，表示是次扩展分区；它第一扇区号的偏移是0XD6-9，值是0XC80B1C1，数据解释器32Bit数值处解释的十进制数为209,760,705(扇区）；它扇区总数的偏移是0XDA-D，值是0XC7EB182,数据解释器32Bit数值处解释的十进制数为209629570(扇区）。EBR1分区第2个表项主要参数如表6-7所示。表6-7EBR1分区第2个表项主要参数表偏移长度值表项内容0XCE10X00活动分区类型：非活动0XD210X05分区类型：扩展分区（1)0XD6?840XC80B1C1第一扇区：209,760,705号（主扩展分区）0XDA?D40XC7EB182扇区总数：209629570

恢复分区表受破坏MBR分区03

恢复分区表受破坏MBR分区恢复分区表受破坏MBR分区（共有3个步骤）步骤一：附加虚拟磁盘，运行Win