楼主: ijcl - 

使用winhex手工恢复已覆盖的主分区表和第一虚拟mbr

  [复制链接]

该用户从未签到

4

主题

50

回帖

137

积分

[INTOHARD]班长

Rank: 2

积分
137
发表于 2010-6-23 11:09:21 | 显示全部楼层
5个分区都是什么分区?是逻辑分区还是主分区,这个一定要搞清楚。

该用户从未签到

11

主题

277

回帖

320

积分

[INTOHARD]排长

Rank: 3Rank: 3

积分
320
发表于 2010-6-23 11:34:01 | 显示全部楼层
支持,谢谢LZ

该用户从未签到

0

主题

71

回帖

123

积分

[INTOHARD]班长

Rank: 2

积分
123
发表于 2010-6-23 13:54:36 | 显示全部楼层
支持下,谢谢LZ

该用户从未签到

7

主题

888

回帖

484

积分

[INTOHARD]排长

Rank: 3Rank: 3

积分
484
发表于 2010-6-24 09:56:50 | 显示全部楼层
好是好 就是不值钱...........................

该用户从未签到

0

主题

211

回帖

195

积分

[INTOHARD]班长

Rank: 2

积分
195
发表于 2010-6-24 10:08:01 | 显示全部楼层
江老师也来基地了~~~欢迎哦~~~

该用户从未签到

0

主题

90

回帖

122

积分

[INTOHARD]班长

Rank: 2

积分
122
发表于 2010-7-10 18:43:00 | 显示全部楼层
回复 1# ijcl

该用户从未签到

3

主题

36

回帖

97

积分

[INTOHARD]班长

Rank: 2

积分
97
发表于 2010-7-10 22:24:01 | 显示全部楼层
很厉害啊,不得了

该用户从未签到

1

主题

371

回帖

452

积分

[INTOHARD]排长

Rank: 3Rank: 3

积分
452
发表于 2010-7-11 17:29:35 | 显示全部楼层
谢谢分享!!

该用户从未签到

0

主题

90

回帖

122

积分

[INTOHARD]班长

Rank: 2

积分
122
发表于 2010-7-18 10:29:45 | 显示全部楼层
一客户,160GB硬盘,分成5个区,其中c盘10GB左右,一日,用ghost重做系统,结果变成一个区,并向桌面拷贝入10GB左右的文件,现要求恢复d,e,f,g中的数据。
用diskman扫描出两个逻辑分区,进入winpe确认内容完好,下面进行剩余分区的恢复。
首先介绍分区表原理
以一个主分区,其余扩展分区为例
主mbr:
63(隐藏扇区)                       A(本分区扇区数)
63+A(本分区之前的隐藏扇区)      整个硬盘扇区-A
第一虚拟mbr 的位置在63+A 处,数据为:
63                         B(逻辑第一分区扇区数)
63+B                      63+C(逻辑第二分区扇区数)     
第二虚拟mbr的位置在63+A+63+B处,数据为:
63        C
63*2+B+C                  63+D (第三分区大小)
用winhex打开后显示:
分区1(149GB)
分区2(37.3GB)  起始扇区97675263
分区3(37.3GB)   起始扇区175815423
分区4(28GB)     起始扇区253955583
整个硬盘扇区数为:312581808

分区1显然是错误分区,分区2和分区4的内容完好。
从分区2的位置看,前面还有46GB左右空间,应该为原来的c盘和d盘。
那么分区2实际为扩展分区的第二个逻辑分区,初步判断主mbr和第一虚拟mbr破坏。
第二虚拟mbr的位置在97675263-63=97675200处;
数据为            
         
由前面公式:
C=(4a852c1)H= 78140097
63*2+B+C=(950a600)H=156280320
可得B=78140097
由于第二虚拟mbr的位置在63+A+63+B处
所以63+A+63+B=97675200
所以A=19534977




根据主分区的公式为
63(隐藏扇区)                       A(本分区扇区数)
63+A(本分区之前的隐藏扇区)      63*n+B+C+D+…
所以其数据为:
63        19534977
19535040               312581808-19534977=293046831
转换为十六进制:
0000003F                        012A1481     
012A14C0                        11778A2F
用winhex修改主mbr如下图:










第一虚拟mbr的位置在63+A处,也就是19535040,其公式为:
63                         B(逻辑第一分区扇区数)
63+B                      63+C(逻辑第二分区扇区数)
对应数据:
63                         78140097
78140160                   78140160
转换为十六进制:
0000003F                   04A852C1
04A85300                   04A85300

修改,重启后效果:

该用户从未签到

1

主题

173

回帖

306

积分

[INTOHARD]排长

Rank: 3Rank: 3

积分
306
发表于 2010-7-19 10:17:49 | 显示全部楼层
呵呵。支持一下了
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表