模拟题B_解析

分区解析

本分区共有3个分区，3个NTFS。

分区一

此分区为NTFS文件系统

向下搜索!00，发现大片乱码，且DBR被删。

继续向下搜索!00，发现MFT。

向下跳12个扇区，并没有跳到mitmap。从MFT往上16个扇区，到达分区起始位置。

从此处往下跳6291456扇区，到达MFT备份。

记下必要数据，算出每簇扇区数。

从MFT备份往下12个扇区，到达Bitmap备份。

记下必要数据。

算出分区大小。

准备修复DBR。

修复完成后打开此分区发现无文件，跳入下一分区。

从DBR往下跳分区大小跳到下一分区。

分区二

跳到下一分区，显示为大片FF。

往下搜!00，搜到MFT。

记下数据，发现T2无数据。MFT的簇号为12286，MFTmir的簇号为1，MFTmir的具体位置在204802560扇区，但是无法算出每簇扇区数和分区起始位置。

假设在此分区往上16个扇区为分区起始位置。

在此扇区往下跳转6291456扇区，发现大量类似MFT格式的扇区，发现已经到分区末尾，也证实了此分区起始位置为错误的。

所以往上几百个扇区，往下搜索!00，跳到MFT。

发现此MFT还是无法算出每簇扇区数，但是可以知道此MFT的具体位置为211093504。用MFT的扇区数减去MFTmirr扇区数204802560，得到数据6290944。再用MFT的簇号12,286减去MFTmirr的簇号1，得到数据12285。接着用6290944/12285，算出512.0833537，取近似值算出每簇扇区数为512。最后得到分区起始位置在204802048扇区。

从MFT向下偏移12个扇区，来到Bitmap。算出分区大小。

修复DBR。回到MFT，向下搜索提出的文件名字。

去到他的文件缩影，读取文件的位置和大小将其手动提出，提出后从DBR往下跳分区大小，去到下一个分区。

分区三

来到下一个分区的DBR。

从DBR向下6291456扇区，到达MFT备份，算出他的每簇扇区数。

从MFT备份往下跳12扇区，到达Bitmap，读取数据。

算出分区大小，开盘。