计算机检测维修与数据恢复（上册）课件 子任务1 利用WinHex读取GPT磁盘参数.pptx

子任务1利用WinHex读取GPT磁盘分区参数?任务3GPT磁盘分区恢复项目6磁盘分区恢复

01利用Winhex数据解释器和直接读取保护MBR参数02利用Winhex数据解释器和直接读取GPT头主要参数03利用Winhex数据解释器和直接读取GPT头备份主要参数目录contents05利用Winhex数据解释器和直接读取GPT分区表备份主要参数04利用Winhex数据解释器和直接读取GPT分区表项主要参数

利用Winhex数据解释器和直接读取保护MBR参数01

任务实施1（一）利用Winhex数据解释器和直接读取保护MBR参数（共有2个步骤）步骤一：利用Winhex数据解释器和直接读取保护MBR参数步骤二：读取和记录GPT保护MBR分区表参数

一步骤一：附加虚拟磁盘，运行Winhex并打开它在素材文件夹中，双击“6任务3-1-1.vhd”，然后运行（Winhex），打开“HD1”，界面显示该硬盘信息，编辑窗口默认显示是扇区0保护MBR的信息。利用Winhex数据解释器和直接读取保护MBR参数步骤二：读取和记录GPT保护MBR分区表参数1.读取分区类型分区类型的偏移分别是0XC2,对应的值分别为0XEE，0XEE表示是保护分区。2.读取第一扇区号第一扇区号偏移分别是0XC6?9，对应的值分别为0X01,数据解释器解释数为第1扇区。3.读取总扇区数总扇区数的偏移分别是0XCA?D，对应的值分别为0XFFFFFFFF,数据解释器解释数为全盘扇区数。

一利用Winhex数据解释器和直接读取保护MBR参数步骤二：读取和记录GPT保护MBR分区表参数4.保护MBR分区表参数记录表得到保护MBR分区表参数记录表如表6-19所示。表6-19保护MBR参数表偏移长度值参数内容0X1BE10X00固定值0X1BF10X000X1C010X020X1C110X000X1C210XEE0X1C310XFF0X1C410XFF0X1C510XFF0X1C640X010X1CA40XFFFFFFFF

利用Winhex数据解释器和直接读取GPT头主要参数02

利用Winhex数据解释器和直接读取GPT头主要参数二、利用Winhex数据解释器和直接读取GPT头主要参数（共有2个步骤）步骤一：跳至GPT头所在扇区步骤二：读取和记录GPT头主要参数

二步骤一：附加虚拟磁盘，运行Winhex并打开它运行Winhex，从扇区0跳至扇区1，编辑窗口显示GPT头信息。如图6-44所示。利用Winhex数据解释器和直接读取GPT头主要参数图6-44Winhex编辑窗口信息（GPT头）图

二步骤二：读取和记录GPT头主要参数读取GPT头主要参数，并记录到表6-16中。按GPT头格式，逐个读取数据，填入GPT头的参数格式表的主要参数表的“值”栏，并用数据解释器读取对应解释，填入GPT头的参数格式表的“解释”栏，得到GPT头主要参数表。如表6-20所示。利用Winhex数据解释器和直接读取GPT头主要参数表6-20GPT头主要参数表主要参数偏移长度值解释GPT头所在扇区号0X1880X011扇区GPT头备份所在扇区号0X2080X31FFFFFF838860799扇区首个GPT分区第一个扇区号0X2880X2234扇区最后GPT分区最后一个扇区号0X3080X31FFFFDE838860766扇区

利用Winhex数据解释器和直接读取GPT头备份主要参数03

利用Winhex数据解释器和直接读取GPT头备份主要参数利用Winhex数据解释器和直接读取GPT头备份主要参数（共有2个步骤）步骤一：跳至GPT头备份所在扇区号（倒数1号扇区)步骤二：读取和记录GPT头备份主要参数

三步骤一：跳至GPT头备份所在扇区号（倒数1号扇区)利用Winhex数据解释器和直接读取GPT头备份主要参数在Winhex编辑窗口，GPT头备份所在的倒数1号扇区是838860799号扇区，跳至扇区838860799，编辑窗口显示备份GPT头备份的信息。如图6-45所示。图6-45Winhex编辑窗口信息（GPT头备份）图

三步骤二：读取和记录GPT头备份主要参数利用Winhex数据解释器和直接读取GPT头备份主要参数读取GPT头备份主要参数，并记录到表6-16中。按GPT头备份格式，逐个读取数据，填入GPT头备份的参数格式表的主要参数表的“值”栏，并用数据解释器读取对应解释，也填入GPT头备份的参数格式表的“解释”栏，得到GPT头备份主要参数表。如表6-21所示。表6-21GPT头备份的主要参数表主要参数偏移长度值解释GPT头备份所在扇区号0X18831FFFFFFH838860799扇区GPT头所在扇区号0X20801H1扇区首个GPT分区第一个扇区号0X28822H34扇区最后