数据恢复
我们都知道误删除分区是个很麻烦的问题,尤其是分区有重要的数据。下面介绍一种数据恢复的方法。我们来模拟一个实验环境,情况如下各分区中都有一个抓图工具hysnap.exe。
原来磁盘的容量为 20 G ,并有四个分区
H: 主磁盘分区 NTFS 6G 左右
I: 逻辑分区 FAT32 3G左右
J:逻辑分区 FAT32 8G左右
K:逻辑分区 NTFS
4G左右
下面我们来恢复硬盘分区!
我们利用 winhex 打开这个磁盘 如图:
在分区表中只定义了一个分区,我们很容易知道 H 的分区之前的扇区数是 63,由于分区之间没有冗余,得知扩展分区的起始扇区后,H 分区我们可以定义出来。
H 大约所占用的柱面为 6*1024/7.84=783 ,所以扩展分区在783柱 附近
转到 750柱,然后我们利用扩展分区的起始扇区 以 55AA 结尾 这个特点 进行搜索:如图:
如图:
在 764/254/63柱winhex停止查找,下一个扇区应该是扩展分区的起始扇区 (765/0/1)
如图我们已经找到 扩展分区的起始扇区12289725但是分区表中 却是空的
我们可以根据 I 的 DBR记录 得出 I 起始和结束位置
I 的开始位置是 12289725+63=12289788
转到 I的起始扇区 如图:
20H 表示 I 的扇区大小 I 的结束位置是 18442619
所以 第二个扩展分区的开始位置是 18442620但是还是缺少 第一个扩展分区的结束位置,
经过计算后,我们转到第三个扩展分区的起始扇区如图:
最后 我们可以算出 K 的结束位置是 41929649 扇区, 第一个扩展分区的结束位置也是 41929649
接下来 我们要在 分区表中写入数据!
向分区表写入数据
转到 0 号扇区
定义 H 分区 和 第一个扩展分区,
接下来 转到第一个 扩展分区的起始 扇区
定义 I 分区 和 第二个扩展分区
接下来 转到第二个扇区 的起始扇区 如图:
定义 J 分区 和 第三个 扩展分区
转到 第三个扩展分区的起始扇区
还保留原来 的 分区表记录,k 分区 根本不用再去定义。
添加 DBR
记录
我们新添加一块硬盘 ,与 “故障”盘一摸一样
定义完成后,从新启动机器,对新的硬盘分出一个和H 分区一摸一样的分区。
如图:
重新启动 ,将新的分区格式化剩下的工作就是复制 DBR
给分区添加驱动号
查看里面的数据
有抓图工具说明我们成功了。
转载于:https://blog.51cto.com/lichao/315864