《数据恢复技术与应用》课件——误格式化6分4硬盘结构恢复方法（未删除EBR、DBR）.pptxVIP

误格式化硬盘分区结构恢复方法(三)

误格式化硬盘分区结构恢复方法(三)误格式化硬盘分区结构故障设置内容：1.删除所有的EBR；2.删除部分DBR。

一、恢复思路

恢复思路有一块硬盘，原来有6个分区，遭破坏后，无法正常打开，被用户误格式化重新分为4个分区。同学们思考该如何进行恢复？

恢复思路1.根据分区表明确现盘所有的DBR的位置。2.跑盘找到原盘的DBR。3.从前到后分析原盘DBR信息，重构EBR，补全DBR。4.完善硬盘信息。

二、恢复流程

恢复流程1.数据保护（1）磁盘镜像（2）磁盘克隆（3）复制硬盘

恢复流程2.分析分区表（1）设计恢复记录表

（2）分析分区表提取现盘所有DBR当前扇区数主分区根据分区类型、起始、大小和主备关系计算DBR当前扇区数。其中由于分区大小是从分区表内提取的，所以注意计算备份DBR时应注意：NTFS类型：备份DBR=起始+大小-1；扩展分区，根据EBR的分区表计算主、备DBR当前扇区数。（3）跳转到DBR验证恢复流程2.分析分区表

恢复流程2.分析分区表

恢复流程（1）设置条件：搜索EB。（2）检查DBR结构：偏移量00-02位置为EB5X90；偏移量FE-FF位置为55AA。（3）对比DBR的当前扇区数。与现盘DBR当前扇区数，进行对比，如果一样为现盘无需记录，如果不一样则为原盘需要记录。（4）记录原盘DBR信息。3.跑盘

恢复流程3.跑盘

恢复流程（1）分析分区：连续两个DBR的类型、起始、大小完全一样，且满足主备关系，则为一个分区，否则为两个分区。分析前三个分区主备DRB当前扇区数：如果找到的DBR当前扇区数等于分区起为主DBR，否则为备份DBR。4.分析原盘DBR信息

恢复流程（2）计算EBR1当前扇区数：EBR1当前扇区数=第三分区起始+第三分区大小+分区类型值（NTFS为1，FTA32为0）（3）逐一计算各EBR的位置，从前往后计算。例如EBR2=EBR1+第四分区起始+第四分区大小+分区类型值（NTFS为1，FTA32为0）4.分析原盘DBR信息

恢复流程（4）根据EBR的位置，判断已记录的扩展分区DBR是主DBR还是备份DBR。如果DBR=EBR+起始，则为主DBR，否则为备份DBR。4.分析原盘DBR信息

（1）从后往前计算。（2）第一个分区表项，描述自己所携带分区信息。（3）第二个分区表项，描述链式结构。第5字节为扩展分区类型05；第9-12字节为链式结构=下一个EBR当前扇区数-EBR1当前扇区数；第13-16字节为下一EBR大小=下一个EBR所携带分区起始+大小+类型（NTFS为1，FTA32为0）。恢复流程5.计算EBR信息

恢复流程第5字节为扩展分区类型05；第9-12字节为起始，即EBR1的当前扇区数；第13-16字节为大小，用磁盘总扇区数-EBR1的当前扇区数。6.计算MBR分区表扩展分区EBR总信息

恢复流程原盘分区结构信息记录表

恢复流程（1）补全DBR（2）重构EBR（3）回填MBR分区表7.完善硬盘结构信息

三、恢复结果

恢复结果