任務(wù)3 分區(qū)表恢復

1、學習情境4 硬盤數(shù)據(jù)恢復,任務(wù)3 分區(qū)表恢復,一、案例描述,客戶經(jīng)理接到客戶的報修電話，告知其計算機無法啟動。數(shù)據(jù)恢復工程師檢查后發(fā)現(xiàn)硬盤可以識別但不能啟動系統(tǒng)，丟失分區(qū)信息。請幫助客戶恢復分區(qū)表信息，恢復出硬盤數(shù)據(jù)，解決問題后將過程記錄存檔并提交工作報告。,二、工作任務(wù),通過案例描述，要求完成如下任務(wù):分析硬盤分區(qū)表故障原因計劃分區(qū)表故障的解決方案使用磁盤編輯工具手工恢復分區(qū)表使用其他磁盤工具修復分區(qū)表檢查分區(qū)信息是

2、否恢復撰寫總結(jié)報告,,三、分組討論,,分區(qū)表損壞有哪些現(xiàn)象？,,,如何分析硬盤分區(qū)情況？,,,如何修復分區(qū)表？,1,2,3,四、相關(guān)知識點 – 操作系統(tǒng)啟動流程,1.系統(tǒng)自檢，加載硬盤主引導扇區(qū),2.主引導記錄(MBR)執(zhí)行引導功能,3.遍歷分區(qū)表，尋找啟動分區(qū),4.加載啟動分區(qū)的引導扇區(qū),5.在本分區(qū)中加載操作系統(tǒng),,四、相關(guān)知識點 – 主引導扇區(qū),主引導扇區(qū)位于0柱0面1扇區(qū)，也就是硬盤的邏輯0扇區(qū)，它是計算機訪問硬盤時最先讀取的

3、位置。主引導扇區(qū)由三個部分組成：主引導記錄（MBR）：偏移0-1BDH硬盤分區(qū)表（DPT）：偏移1BEH-1FDH結(jié)束標識（“55 AA”）：偏移1FEH-1FFH注：偏移是指當前位置相對于某處的距離長度。,四、相關(guān)知識點 – 主引導扇區(qū)圖示,MBR,DPT,,,結(jié)束標志,,,四、相關(guān)知識點 – 分區(qū)引導扇區(qū),任何分區(qū)的0扇區(qū)都是引導扇區(qū)，它起著引導系統(tǒng)、記錄分區(qū)基本參數(shù)的作用，它由BPB（BIOS參數(shù)塊）、DBR（磁盤引

4、導記錄）和“55 AA”結(jié)束標志組成，俗稱DBR扇區(qū)。BPB在格式化的時候形成，它記錄了分區(qū)的基本參數(shù)信息，一旦被破壞則分區(qū)不能被正常訪問，不同類型和版本的BPB格式有所區(qū)別，其中重要的參數(shù)有：分區(qū)總扇區(qū)數(shù)（分區(qū)大小）每簇扇區(qū)數(shù)（簇大小）根目錄起始位置（查找數(shù)據(jù)的入口）文件系統(tǒng)標識,四、相關(guān)知識點 – 分析故障現(xiàn)象,引導扇區(qū)被破壞的原因可能有：病毒破壞、黑客攻擊、誤操作分區(qū)工具、安裝的硬盤還原或保護軟件出錯等等。當計算機

5、出現(xiàn)無法啟動、啟動異常、啟動時出現(xiàn)文字提示時，可能是引導記錄或分區(qū)表被破壞導致的。需要檢查并修復MBR、DBR或DPT來解決。如果發(fā)現(xiàn)分區(qū)丟失、分區(qū)錯亂等情況，就需要修復分區(qū)表了。,四、相關(guān)知識點 – 分區(qū)表結(jié)構(gòu),磁盤分區(qū)表位于主引導扇區(qū)的偏移1BEH處，占64個字節(jié)，分為4項，每項16字節(jié)，用于標識一個主分區(qū)。DPT只有4項，最多只能標識4個主分區(qū)，如果想增加分區(qū)數(shù)，就必須使用擴展分區(qū)。一般情況下使用微軟系統(tǒng)時分區(qū)表只用了兩項

6、，即一個主分區(qū)加擴展分區(qū)。,,,,,,,四、相關(guān)知識點 – 分區(qū)表結(jié)構(gòu),四、相關(guān)知識點 – 常見分區(qū)類型,四、相關(guān)知識點 – 擴展分區(qū),擴展分區(qū)內(nèi)部由若干個邏輯分區(qū)組成，它們之間通過鏈表方式管理，每個分區(qū)的前面都有一個虛擬的分區(qū)表，這個扇區(qū)稱為虛擬MBR。虛擬MBR通常位于某柱面0磁頭1扇區(qū)（標準分區(qū)法），其后的第63扇區(qū)（1磁頭1扇區(qū)）為該分區(qū)的引導扇區(qū)。虛擬MBR的引導記錄部分全為0，只有分區(qū)表和結(jié)束標識，且分區(qū)表只有兩項，

7、其中第一項指向當前分區(qū)，第二項指向下一分區(qū)的虛擬MBR。,四、相關(guān)知識點 – 擴展分區(qū)組織圖,,,C盤,,D盤,E盤,F盤,擴展分區(qū)中的虛擬MBR鏈表,D,E,F,,,,,,,,,MBR扇區(qū),62個保留扇區(qū),四、相關(guān)知識點 – 分區(qū)表恢復思想,硬盤被重新分區(qū)后（或分區(qū)表丟失），只要沒有破壞到原分區(qū)的文件系統(tǒng)信息數(shù)據(jù)，就可以將原分區(qū)找回，同時還能保留里面的數(shù)據(jù)，因此速度快而且效果好。新分區(qū)的文件系統(tǒng)信息部分仍可能會覆蓋掉老分

8、區(qū)的某些數(shù)據(jù)。,分區(qū)1,分區(qū)2,分區(qū)3,分區(qū)4,分區(qū)1,分區(qū)2,分區(qū)3,分區(qū)4,新分區(qū)情況,原分區(qū)情況,四、相關(guān)知識點 – 查找分區(qū),我們在搜尋分區(qū)信息的時候，需要找到每個分區(qū)的起始位置。凡是引導扇區(qū)或是MBR，其最后兩個字節(jié)均為結(jié)束標志“55 AA”，我們先查找出扇區(qū)末尾是結(jié)束標志的，再對結(jié)果進行分析。硬盤分區(qū)時，通常會以柱面為邊界，這是標準分區(qū)方式，便于我們快速查找分區(qū)。我們也可以手工修改分區(qū)位置為非標準值，但會給以后的分區(qū)恢復帶

9、來困難。,,,,55 AA,Harddisk,五、分析故障，制定解決方案,分析故障情況,修復引導記錄,搜尋原分區(qū)信息 分析分區(qū)組織 重建分區(qū)表,,,六、修復引導記錄 - MBR,如果以前有備份主引導扇區(qū)的話，那么是很容易修復的，直接復制回來即可。如果沒有備份的話，就需要分別對MBR和DPT做檢查并處理了。MBR是一組用來引導操作系統(tǒng)的程序，由于功能比較單一，因此幾乎成了“模板”，修復方式也較簡單。有許多分區(qū)工具、殺毒軟件和

10、硬盤修復工具都帶有MBR修復功能，常見的方式有：在DOS環(huán)境下使用命令：FDISK /MBR使用DISKGEN的修復MBR功能,六、修復引導記錄 - DBR,每個分區(qū)的引導扇區(qū)一般都有自動備份，F(xiàn)AT32分區(qū)的DBR備份在第6扇區(qū)，NTFS分區(qū)的DBR備份到下一個分區(qū)的前一個扇區(qū)，如果下一個分區(qū)的情況為：主分區(qū)：保存到該分區(qū)起始前一個扇區(qū)。邏輯分區(qū)：保存到該分區(qū)的虛擬MBR的前一個扇區(qū)。無：保存到本分區(qū)結(jié)束后的一個扇區(qū)。

11、最好的方式就是，找到備份DBR扇區(qū)，復制回來，否則就只有手動對比填寫數(shù)據(jù)了。,七、修復分區(qū)表 – 查找分區(qū),在DPT中，硬盤的CHS參數(shù)中磁頭數(shù)總為255，每磁道扇區(qū)數(shù)總為63（也可查看Winhex面板信息），則可計算出每柱面大小為255×63×512＝8225280（字節(jié)），則搜索引導扇區(qū)可使用如下參數(shù)：,塊內(nèi)偏移,搜索塊大小,搜索數(shù)值,七、修復分區(qū)表 – 分析結(jié)構(gòu),七、修復分區(qū)表 – 重建分區(qū)表,組織好數(shù)據(jù)后，就

12、可以重建分區(qū)表了。通常情況下分區(qū)表只需要寫兩條記錄，第一個主分區(qū)和第二個擴展分區(qū)，按照格式寫入相應的數(shù)據(jù)即可。在標準情況下，MBR和虛擬MBR都位于0磁頭1扇區(qū)，而主分區(qū)或邏輯分區(qū)的DBR則位于1磁頭1扇區(qū)，這就為我們查找分區(qū)提供了方便。例如：主引導扇區(qū)位于0柱0頭1扇第一個分區(qū)位于0柱1頭1扇最關(guān)鍵的就是判斷出擴展分區(qū)的起始位置和大小。,八、零磁道損壞的修復,0磁道是硬盤最前方的磁道，主引導扇區(qū)、第一個分區(qū)均位于

13、0磁道，如果0磁道損壞，則無法識別硬盤或啟動系統(tǒng)。只要檢查出主引導扇區(qū)未損壞，則可以通過手工修改第一個主分區(qū)的起始位置來避開對0磁道的使用，比如修改為3柱面1磁頭1扇區(qū)。修改分區(qū)表后需重新格式化分區(qū)后再使用。但要注意使用分區(qū)工具的時候會提示分區(qū)表有錯誤，千萬不要使用自動糾正功能。,分區(qū)1,分區(qū)2,分區(qū)3,分區(qū)4,未使用,,,九、評估總結(jié),將硬盤接到工作機上檢查是否修復記錄引導扇區(qū)和分區(qū)表恢復過程總結(jié)任務(wù)心得,十、任務(wù)評價,引導扇