《数据恢复技术与应用》课件——磁盘分区表破坏恢复方法.pptxVIP

知识回顾一、分区表破坏需要恢复的关键数据二、分区引导扇区DBR程序代码

1、第5个字节：表示分区类型。07表示NTFS，0B或0C表示FAT32，05表示为扩展分区。2、第9、10、11、12字节：表示本分区的起始扇区。3、第13、14、15、16字节：表示本分区的总扇区数（扇区大小）。知识回顾分区表每一行：

知识回顾一、分区表破坏需要恢复的关键数据二、分区引导扇区DBR程序代码

知识回顾DBR程序代码（FAT32为例）：

磁盘分区表破坏恢复方法

磁盘分区表破坏恢复方法把分区表所有数据破坏，都改成0保存数据

刷新磁盘

问题提出：此类故障如何恢复？磁盘分区表破坏恢复方法

磁盘分区表破坏恢复方法已知：分区表破坏需要恢复的关键数据1、第5个字节：表示分区类型。07表示NTFS，0B或0C表示FAT32，05表示为扩展分区。2、第9、10、11、12字节：表示本分区的起始扇区。3、第13、14、15、16字节：表示本分区的总扇区数（分区大小）。关键数据去哪里找？

磁盘分区表破坏恢复方法DBR中有我们需要的关键数据：

磁盘分区表破坏恢复方法DBR数据特点：1、EB开头；2、55AA结束；3、有分区类型、起始扇区、扇区大小数据怎么找DBR？搜索十六进制数EB，找到DBR

磁盘分区表破坏恢复方法一个分区，有2个DBR；例如：一个盘分3个区，就有个DBR；需6次搜索EB搜索到一个EB，对应一个DBR我们能搜到多少个DBR？

磁盘分区表破坏恢复方法搜索EB次数，对应到DBR顺序搜索EB次数对应DBR11分区主DBR21分区备份DBR32分区主DBR42分区备份DBR53分区主DBR63分区备份DBR按照分区号主备依次排序

磁盘分区表破坏恢复方法分区类型、起始扇区、扇区大小数据DBR中什么位置可以找到关键数据？

磁盘分区表破坏恢复方法1、分区类型位置

磁盘分区表破坏恢复方法2、分区起始扇区位置

磁盘分区表破坏恢复方法3、扇区大小位置

FAT32关键数据在DBR中位置类型：位置偏移量：00-02EB5890——FAT32——类型代码0B/0C——分区表第5字节数据0B/0CEB5290——NTFS——类型代码07——分区表第5字节数据07起始扇区：位置偏移量：1C——1F利用数据解释器读取操作方法：光标点击1C偏移量数据，读取数据解释器数据扇区大小：位置偏移量：20——23利用数据解释器读取操作方法：光标点击20偏移量数据，读取数据解释器数据磁盘分区表破坏恢复方法推出重要结论

NTFS关键数据在DBR中位置类型：位置偏移量：00-02EB5890——FAT32——类型代码0B/0C——分区表第5字节数据0B/0CEB5290——NTFS——类型代码07——分区表第5字节数据07起始扇区：位置偏移量：1C——1F利用数据解释器读取操作方法：光标点击1C偏移量数据，读取数据解释器数据扇区大小：位置偏移量：28——2B利用数据解释器读取操作方法：光标点击28偏移量数据，读取数据解释器数据磁盘分区表破坏恢复方法同理推出重要结论

磁盘分区表破坏恢复方法找到关键数据数据回填分区表，就能恢复磁盘分区找到的类型代码，回填到0扇区MBR分区表第5字节找到的起始扇区数，回填到0扇区MBR分区表9-12字节找到的扇区大小数，回填到0扇区MBR分区表13-16字节

总结找到DBR：方法为搜索EB找到类型代码（00-02）找起始扇区（1C-1F）找到扇区大小FAT32：偏移量20-23NTFS：偏移量28-2B回填分区表分区表数据破坏恢复方法步骤

总结这样的恢复方法，只适用于主分区扩展分区恢复方法后续讲解注意

磁盘分区表破坏恢复方法主讲老师：李玉文