MBR、EBR与DBR详解

原文链接:https://blog.csdn.net/hilavergil/article/details/79270379

先看一张硬盘图片(一个盘面):

MBR

主引导记录(MBR,Main Boot Record)是位于磁盘最前边的一段引导(Loader)代码。它负责磁盘操作系统(DOS)对磁盘进行读写时分区合法性的判别、分区引导信息的定位,它由磁盘操作系统(DOS)在对硬盘进行初始化时产生的。              --摘自百度百科

MBR扇区位于物理硬盘的0柱面,0磁头,1扇区,也就是整个硬盘的第一个扇区(偏移量为0),共占512个字节(即一个扇区),每个物理硬盘只有一个MBR扇区。

MBR扇区由三部分构成:第一部分是446字节的引导代码,也就是上面提到的MBR;第二部分是DPT(Disk Partition Table,硬盘分区表),包含4个表项,每个表项16字节,共占用64字节;第三部分是2个字节的结束标志,0x55AA。其结构如下图:

 

DBR

分区引导扇区也称DBR(DOS BOOT RECORD),是由FORMAT高级格式化命令写到该扇区的内容,DBR是由硬盘的MBR装载的程序段。DBR装入内存后,即开始执行该引导程序段,其主要功能是完成操作系统的自举并将控制权交给操作系统。每个分区都有引导扇区,但只有被设为活动分区才会被MBR装的DBR入内存运行。                 --摘自百度百科

在对硬盘分区之后,每一个分区均有一个DBR与之对应。DBR位于每个分区的第一个扇区,大小为512字节

DBR的结构与分区格式有关,NTFS与FAT32的DBR格式是不同的。

EBR

EBR(Extended Boot Record)是与MBR相对应的一个概念。前边已经讲过,MBR里有一个DPT的区域,它一共是64字节,按每16个字节作为一个分区表项,它最多只能容纳4个分区。能够在MBR的DPT里进行说明的分区称为主分区。如果我们想分区多于4个的时候,MBR的DPT里就会容纳不下来,于是微软就想出了另一个解决方案,在MBR里,只放不多于三个主分区,剩下的分区,则由与MBR结构很相像的另一种分区结构(EBR,也就是扩展分区引导记录)进行说明。一个EBR不够用时,可以增加另一个EBR,如此像一根链条一样地接下去,直到够用为止。                --又摘自百度百科

实际上,EBR中有用的部分仅为其DPT的前两个表项,第一个表项记录了本扩展分区的逻辑偏移地址和扇区个数,第二个表项记录了下一个扩展分区的必要信息,本质上是一个链表的结点。

实例分析

下面给出我的一个Windows7虚拟机的分区结构图(所有的分区文件系统格式均为NTFS):


在Winhex下读取到的硬盘信息如下:

其中MBR、DBR和EBR的位置如下图:

从上图可以看到,整个物理硬盘被分成了6个分区,其中C、E和F是主分区,G、H和I是扩展分区。写代码获得各个分区的信息如下:

 

MBR扇区数据分析

读取MBR如下(在硬盘偏移量为0处读取512个字节),找到其中64个字节的DPT数据:

提取出来如下:

80  20 21 00 07  FE FF FF  00 08 00 00 00 F0 3F 06

00  FE FF FF 07  FE FF FF  00 F8 3F 06 00 F8 7F 02

00  FE FF FF 07  FE FF FF  00 F0 BF 08 00 00 40 02

00  FE FF FF 0F  FE FF FF  00 F0 FF 0A 00 08 40 00

上面四个表项分别指向分区CEFG

刚刚已经提到,DPT中最多包含4个表项,每个表项16字节,每个表项的结构如下:

[cpp]  view plain  copy
  1. //DPT表项  
  2.   
  3. typedefstruct_PartTableEntry {  
  4.     BYTE bootSignature;//引导标志  
  5.     BYTE startHead;//CHS寻址方式,起始磁头  
  6.     BYTE startSector;//起始扇区,本字节低六位  
  7.     BYTE startCylinder;//起始磁道(柱面),startSector高二位和本字节  
  8.     BYTE systemSignature;//文件系统类型标志  
  9.     BYTE endHead;//终止磁头  
  10.     BYTE endSector;//终止扇区  
  11.     BYTE endCylinder;//终止磁道  
  12.     unsignedint startSectorNo;//LBA寻址,起始扇区号  
  13.     unsignedint totalSectorsNum;//该分区扇区总数  
  14. }PartTableEntry,*pPartTableEntry;  


先看第一个表项:

80  20 21 00 07  FE FF FF  00 08 00 00 00 F0 3F 06

第一个字节为引导标志,0x80表示活动分区,0x00表示非活动分区。接下来三个字节用来表示CHS寻址方式的起始地址,具体含义已经在上面结构体中给出。接下来一个字节表示分区文件系统的类型,0x07表示NTFS(参考最后的附表)。接下来的三个字节表示CHS寻址方式的终止地址(0xFEFFFF表示该字段无效,因为3个字节最大的寻址能力为2^(3*8)个扇区,即8GB。当分区大小超过8GB时该字段无效)。再后面的四个字节表示LBA(Logical Block Address)寻址方式的起始扇区(可以计算出最大支持2TB的硬盘),要注意小端字节序(数据存储时低字节在前),也就是说C盘的起始扇区为00 00 08 00。最后四个字节表示该分区的扇区数量,同样是小端模式,即C盘共0x063FF000个扇区。

接下来让我们跳转到C盘的起始扇区(00 00 08 00),读取该处512字节的数据如下:

你会看到熟悉的结束标志0x55AA,实际上这是C盘的DBR扇区。DBR扇区各个字段的含义在后面展开。

EBR扇区分析

MBR扇区的硬盘分区表的第二和第三个表项与第一个类似,这里不再展开,我们主要来看一下第四个表项:

00  FE FF FF 0F  FE FF FF  00 F0 FF 0A 00 08 40 00

第一个字节表示非活动分区,CHS寻址无效,第五个字节分区类型为0x0F,表示扩展分区。LBA寻址的起始扇区为0x0AFFF000,包含扇区个数为0x00400800。跳转到该扩展分区的起始扇区0x0AFFF000处读取512字节数据:

最后两个字节是结束标志0x55AA又看到了这512字节实际上是一个EBR扇区,其结构与MBR扇区相同,但有用的部分仅为DPT的前两个表项,数据如下:

00  FE FF FF 07  FE FF FF  00 08 00 00 00 90 21 00

00  FE FF FF 05  FE FF FF  00 98 21 00 00 70 1E 00

第一个表项表示本扩展分区(逻辑驱动器G)的起始地址和扇区数量,其中LBA寻址的起始扇区为00 00 08 00,但是该地址为相对偏移,实际的起始扇区为本扇区的实际地址加上相对偏移量,即0x0AFFF000 + 0x00000800 = 0x0AFFF800。读取0x0AFFF800扇区的数据如下:

这个扇区实际上是逻辑驱动器G的DBR扇区,记录了G盘的基本信息。

第二个表项记录了下一个扩展分区(逻辑驱动器H)的EBR扇区的起始地址和扇区总数量。其中,EBR扇区的起始地址为00 21 98 00,同样是一个相对地址,实际扇区为0x0AFFF000 + 0x00219800 = 0x0B218800,读取0x0B218800扇区的数据如下:

这512字节是逻辑驱动器H的EBR扇区,同样提取DPT的前两个表项:

00  FE FF FF 07  FE FF FF  00 08 00 00 00 B8 0B 00

00  FE FF FF 05  FE FF FF  00 58 2D 00 00 B0 12 00

与上一个EBR扇区类似,第一个表项的LBA寻址的起始扇区(00 00 08 00)仍是一个相对偏移,指向本扩展分区的起始地址,其实际扇区为:0x0B218800 + 0x00000800 = 0x0B219000,实际字节偏移为0x0B219000 *512字节每扇区 = 0x1643200000,从该字节处读取512字节数据可以得到分区H的DBR扇区,这里就不再截图。第二个表项的LBA寻址起始扇区(00 2D 58 00)同样是一个相对偏移,指向下一个扩展分区(I:)的EBR扇区,其实际扇区为MBR扇区DPT第四个表项的起始扇区加上该相对偏移,即0x0AFFF000 + 0x002D5800 = 0x0B2D4800。该扇区的数据为:

在该EBR扇区中,DPT的第一个表项仍使用相对偏移指出本扩展分区(I:)的起始扇区,这个扇区就是分区I:的DBR扇区。第二个表项全0,表示该扩展分区即是最后一个扩展分区。

总结一下,在Windows系统下如果采用MBR的引导方式,当分区个数大于等于4的时候,一般情况下系统会将前三个分区设为主分区,第四个及其之后的分区作为扩展分区。MBR扇区的DPT中前三个表项可以直接定位前三个主分区的DBR扇区,第四个表项指向第一个扩展分区的EBR扇区,根据EBR中的DPT前两个表项分别可以定位本扩展分区的DBR扇区和下一个扩展分区的EBR扇区,由此扩展分区链接成一条链进行管理。

DBR扇区分析

下面给出NTFS和FAT32的DBR扇区格式,注意一点:NTFS下的备份DBR在分区的最后一个扇区,FAT32下的备份DBR一般在第六个扇区。

[cpp]  view plain  copy
  1. //NTFS DBR扇区  
  2.   
  3. typedefstruct_NTFSDBR {  
  4.     BYTE JMP[3]; //跳转指令  
  5.     BYTE FsID[8]; //文件系统ID  
  6.     unsignedshortint bytePerSector;  //每扇区字节数  
  7.     BYTE secPerCluster;       //每簇扇区数  
  8.     BYTE reservedBytes[2];    //2个保留字节  
  9.     BYTE zeroBytes[3];    //三个0字节  
  10.     BYTE unusedBytes1[2]; //2个未用字节  
  11.     BYTE mediaType;//媒体类型  
  12.     BYTE unusedBytes2[2]; //2个未用字节  
  13.     unsignedshortint secPerTrack;    //每磁道扇区数  
  14.     unsignedshortint Heads; //磁头数  
  15.     unsignedint hideSectors; //隐藏扇区数  
  16.     BYTE unusedBytes3[4]; //4个未用字节  
  17.     BYTE usedBytes[4];    //4个固定字节  
  18.     unsigned__int64 totalSectors; //总扇区数  
  19.     unsigned__int64 MFT; //MFT文件起始簇号  
  20.     unsigned__int64 MFTMirror;    //MFTMirror文件起始簇号  
  21.     char fileRecord;  //文件记录  
  22.     BYTE unusedBytes4[3]; //3个未用字节  
  23.     char indexSize;   //索引缓冲区大小  
  24.     BYTE unusedBytes5[3]; //未用字节  
  25.     BYTEvolumeSerialID64[8]; //卷序列号  
  26.     unsignedint checkSum;    //校验和  
  27.     BYTE bootCode[426];   //引导代码  
  28.     BYTE endSignature[2]; //结束标志  
  29. }NTFSDBR,*pNTFSDBR;  

[cpp]  view plain  copy
  1. typedefstruct_FAT32_Sector{  
  2.     unsignedint   Sectors_per_FAT_FAT32;    //FAT32每个FAT表占用扇区数  
  3.     unsignedshortint Extend_Flag;    //0-3位表示活动FAT数,7位:0表示在运行时FAT映射到所有FAT 1表示只有一个FAT是活动的,其他位保留  
  4.     unsignedshortint FS_Version;  //文件系统版本,高字节表示主要修订号,低直接表示次要修订号  
  5.     unsignedint   Root_Cluster_Number;                              //根目录簇号,一般取值为2  
  6.     unsignedshortint FS_Info_Sector;                                //文件系统扇区号,一般取1  
  7.     unsignedshortint Backup_Sector;                                 //备份引导扇区,一般取值为6  
  8.     BYTE   Reserved_Sector[12];        //保留扇区    
  9. }FAT32_Sector, *pFAT32_Sector;  
  10. typedefstruct_Basic_BPB{  
  11.     unsignedshortint    Bytes_per_Sector;                  //每个扇区字节数,可取512,1024,2048,4096,通常取512  
  12.     BYTE     Sectors_per_Cluster;   //每簇扇区数,可取1,2,4,8,16,32,64,128,FAT32最多跟踪268,435,445个簇  
  13.     unsignedshortint    Reserved_Sector;                   //保留扇区,表示第一个FAT前的扇区数,通常取32  
  14.     BYTE     FATs;                                   //FAT表个数,通常取2  
  15.     unsignedshortint    RootEntry;                             //根目录项数,对FAT32,取值必为0  
  16.     unsignedshortint    SmallSector;                       //小扇区数,对FAT32,取值必为0  
  17.     BYTE     Media;                                 //存储介质描述,F8表示硬盘,F0表示3.5软盘  
  18.     unsignedshortint    Sector_per_FAT_FAT16;              //针对FAT12/16的每个FAT扇区数,对FAT32,取值为0  
  19.     unsignedshortint    Sector_per_Track;                  //每道扇区数,描述磁盘物理结构  
  20.     unsignedshortint    Heads;                                 //磁头数  
  21.     unsignedint      Hidden_Sector;                         //该块硬盘前用于存放引导代码及分区表的扇区数  
  22.     unsignedint      Large_Sector;      //总扇区数,若SmallSector为0,此处表示分区上扇区总数  
  23.                                      //可用扇区数 = 总扇区数-保留扇区-FAT表占用扇区  
  24.     _FAT32_Sector     Fat32_Sector;                      //FAT32文件系统扇区信息                  
  25. }Basic_BPB, *pBasic_BPB;  
  26. typedef  struct_FAT32_Extend_BPB{  
  27.     BYTE Physical_Drive;                            //物理驱动器号,0x80表示物理硬盘,0x00表示软盘驱动器  
  28.     BYTE Reserved;                                       //保留  
  29.     BYTE Extend_Singure;                            //0x28或0x29以供Windows NT识别  
  30.     unsignedint  Vol_Serial;                                //卷序列号,由格式化时随机获得  
  31.     BYTE Vol_Label[11];            //卷标示  
  32.     BYTE System_ID[8];                 //系统ID,根据格式化的格式为FAT32,FAT16等  
  33. }FAT32_Extend_BPB, *pFAT32_Extend_BPB;  
  34.   
  35. //FAT32 DBR扇区  
  36. typedefstruct_FAT32_DBR{  
  37.     BYTE     JumpInstrction[3]; //0x00,跳转指令,通常为EB5890,其中58指示了,跳转位置,在X86中,58+2就代表跳转到5A处  
  38.     BYTE     OEMID[8];                 //0x03,厂商标示和OS版本信息  
  39.     _Basic_BPB            BPB;                               //0x0B  
  40.     _FAT32_Extend_BPB Extend_BPB;                            //0x40  
  41.     BYTE Boot_Strap[420];              //文件系统引导代码                              //0x5A,引导区代码  
  42.     BYTE endSignature[2];                  //0x01FE,结束标示  
  43. }FAT32_DBR, *pFAT32_DBR;  


下面是一个FAT32分区的DBR扇区数据,具体含义在上述结构体中已做声明,这里就不再展开:

下面是一张以前的FAT32分区DBR扇区的数据,部分字段含义做了解释:


附-磁盘分区类型标志表:

评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值