windows7disk重建mbr-()

windows7disk重建mbr ()

数据的逻辑操作

逻辑或：逻辑加运算，运算符： 、OR等，当满足输入变量输出有效(例如为1)。所有输入变量不符合条件(如0)，输出无效。例如0 0=0；0 1=1；1 1=1逻辑与：逻辑乘运算是指所有输入同时满足条件（如1有效），输出有效（如1），否则输出无效（0）.例如1*1=1；0*1=逻辑非：逻辑反操作。操作符是在变量上画一条横线。输入变量为1时，输出为0，输入为0，输出为1.即0的非1，1的非0。如果AB如果两个值相同，结果为0AB如果两个值不同，结果是10⊕0=0；1⊕0=1；1⊕1=0.(这种逻辑操作在RAID熟练掌握是一种非常重要的算法)

数据结构的分类

数据结构关系分类：线性结构、树结构、图结构。

数据结构分为两个层次：数据的逻辑结构和数据的物理结构

线性关系和非线性关系是数据的逻辑结构。非线性结构包括图结构和树结构。

数据的物理结构：数据逻辑结构在计算机中的表示和实现，称为数据存储结构

存储结构：顺序、链式、索引、散列。

树结构：最常用于文件系统 。

winhex窗口认识：

打开原始磁盘镜像文件，按页面浏览会产生很多不便 ，定位风扇区域和解释文件 系统等常规工作无法完成，此时需按每512字节/扇区强制处理此文件，专业工具-将镜像文件转换为磁盘

选择扇区数据：在起始位置，鼠标右击选择选块起始位置

。将数据 写入相应的位置。将数据 写入相应的位置。

粘贴与写入的区别：

粘贴：

，将另一行粘贴数据。

写入:原始数据将覆盖所选数据。

数据恢复工具包括(存储在百度网盘):

WinHex、DiskExplorer for Fat、DiskExplorer for Fat、DiskExplorer for NTFS、DiskExplorer for Linux

虚拟硬盘工具：win7 8 10 都自带。计算机右击管理VHD。计算机右击管理VHD。选择保存文件的位置。

前400字节用于引导程序：

以下是十进制的表达方式(点击偏移地址:输入399，即引导程序占用的前400字节)

以下是16进制表示方法(点击偏移地址:输入1B7，引导程序占用前400字节)

WIN磁盘标签占用引导程序后的四个字节，WIN当硬盘初始化时，系统会写入磁盘标签。

86 67 13 36

分区表：1BEH~1FDH64字节，是的MBR一个非常重要的结构。

标志结束：55 AA”1FEH~1FFH.（H表示16进制不需要偏移输入H）

总结:首先是引导程序前440字节，然后4字节是磁盘签名标签。空字节后，分区表占据64字节，最后结束标志55AA。

如果硬盘仍然是系统导盘，MBR风扇区域可以没有引导程序，但绝对不能没有磁盘签名。

磁盘签名实验结果：

删除磁盘签名后，重新挂载，WINhex工具检查磁盘签名低字节变化，高度与原始相同

原磁盘签名

磁盘签名修改后。

磁盘签名实验结果：

删除磁盘签名后，重新挂载，WINhex工具检查磁盘签名低字节变化，高度与原始相同

原磁盘签名

磁盘签名修改后。13、36是高位。再次删除磁盘签名，另一台计算机没有将硬盘写入磁盘签名，这将表明它没有初始化。

分区表的作用：

如果硬盘分区被清除或损坏，硬盘分区将丢失。

结束标志

：在执行MBR当指导程序被验证时，MBR扇区最后两个字节是否为"55 AA"，如果 是的，正常执行，否则，报错。

如果一块MBR硬盘结构完好，有分区，结束标志"55aa"；被破坏后，硬盘分区将无法读取，硬盘将成为不初始化状态。

主磁盘分区结构分析：

在标志结束前的64字节中，以16字节为分区表项描述分区结构

(80)(02 03 00)(07)(A7 20 07)(80 00 00 00)(00 E0 01 00)

(80):表示C盘为活动分区(可引导)。也就是说，系统只能从C盘活动00H和80H，

(02 03 00):C盘的起始扇区是(0柱表面 03扇区 02磁头)，注意反过来看。也就是说，系统只能从C盘活动00H和80H，(02 03 00):C盘的起始扇区是(0柱表面 03扇区 02磁头)，注意反过来看。

(07):表示C盘的文件系统是NTFS。

(A7 20 07):表示C盘的结束扇区为(柱面:07)=(00000111)2=(4 2 1)10 扇区:20=(00100000)2=(32)10 磁头:A7=(1010 0111)2=(128 32 7)10，注意反过来看。注：有一个地方加。

(80 00 00 00)：反向(00 00 00 80)16=(128)10表示C盘前有128个扇区，系统隐藏了128个扇区.以低字节的存储格式顺序保存大于1字节的值，按照习惯高位在前的方式表示(00 00 00 80)

(00 E0 01 00)：反向(00 01 E0 00)16=

07：表示NTFS .05:表示EXTENDED(扩展分区)，0B：表示FAT32格式

8位字节表示。

128(第一分区开始扇区数) 122880(第一分区总扇区)=123880(第二分区开始扇区号)

第二个分区扇区从123008开始，

点击扇区输入123008到第二扇区，

扩展分区结构分析

EBR第一个逻辑驱动器描述在中分区表中，第二个指向下一个逻辑驱动器EBR。如果没有下一个驱动器，则不需要使用第二个项目。如果没有下一个驱动器，则不需要使用第二个项目。

首先，检查0扇分区表，第一个分区表：80表示活动区，07表示NTFS。第二分区表0为非活动区，0F/05表示扩大分区.

表示下一个起始扇区位置。

查找209、719、296风扇区域，查看第一个分区表项用于管理第一个逻辑驱动器，从2048风扇区域开始。这个值不是绝对值，而是相对值，也就是说EBR以209、719、296为起始风扇区作为起始风扇区。

第二分区表，分区类型为05H，为展分区为何还有扩展分区？因为扩展分区是由链结构管理的。EBR第一个分区表项总是描述当前的逻辑驱动器，第二个分区表项链接到下一个EBR583、012、352、352。也就是说，这个值EBR以209、719、296为起始风扇区作为起始风扇区。583,012,352 209,719,296=下一个逻辑驱动器从792731648开始

2048年第一分区表为792731648扇区的相对值MBR2"792731648"；定位为起始扇区。相对值为1、163、927、552EBR1、209、719、296EBR这一点很重要，千万不要犯错。1,163,927,552 209,719,296=1373646848

搜索1373646848扇区，发现第一个分区表中只有数据，第二个分区表中没有数据，说明是主扩展分区的最后一个 一个EBR因为最后一个，所有的扇区 没有下一个扩展分区，第二个分区表自然不再使用。

总结:有四个盘，一个主磁盘区，另外三个是逻辑驱动器。

结论：共有四个磁盘，一个主磁盘区域，另外三个是逻辑驱动器。在0个区域中，主分区的格式可以从2048年开始。由于类型为0，第二分区表的描述是一个扩展分区F/05，

，这个参数非常重要，下面磁盘的绝对值应该与此值相加。找到209719296扇区后，第一个分区表是当前逻辑驱动参数，2048扇区的相对值是基于EBR1(第一逻辑驱动器)209719296作为起始扇区定位。在第二个分区表中，分区的开始位置也是相对值，加上209719296(第一个逻辑驱动器)作为起始风扇区域，得出第二个逻辑驱动器的开始风扇区域，第一个分区表的开始风扇区域作为定位。第二个分区表中的开始分区值应与第一个开始扇区相加，以获得第三个逻辑驱动器。第三个逻辑驱动器的第一个分区表，开始分区值是定位第三个逻辑驱动器的开始风扇区域。第二个分区表的开始分区值和EBR1开始增加扇区值，注意不要EBR开始扇区值。

我们需要计算每个逻辑驱动器的开始风扇区值。第一个逻辑驱动值可以从主磁盘中的第二个分区表中获得，得到第二个逻辑驱动器的开始风扇区值。从第二个逻辑驱动器的第二个分区表开始，第三个逻辑驱动器的开始扇区值与第一个逻辑驱动器的开始扇区值相加。解决了每个逻辑驱动器的开始扇区值。每个逻辑驱动器第一分区表的开始分区值为相对值，定位每个逻辑驱动器的开始风扇区

MBR及EBR被破坏的分区恢复实例

症状如下：

磁盘显示不初始化，分区丢失。硬盘可以确定MBR结构必须有问题。

故障盘的所有风扇区域都需要镜像到另一个盘中。

恢复思路和方法：

修复MBR指导程序和结束标志，MBR扇区结构由导向结构引导，WIN由磁盘签名、分区表和结束标志组成。MBR引导程序具有公共引导的特点，可以找到正常的硬盘MBR将此代码复制到风扇区域的故障板上。为了避免两个硬盘的磁盘签名相同，可以稍微修改磁盘签名的四个字节。

第三步:写入结尾标志:55 AA”1FEH~1FFH.

第四步:标志结束前64个字节。分区表：1BEH~1FDH64字节全部清零，便于分区表重建。

修复第一分区（DBR指主磁盘区，EBR指扩展分区)

跳到硬盘63号或128扇区(为什么是63或128？因为第一个开始扇区是63或128)DBR是否完好？

跳转128后，点击Boot Sector NTFS

查看这三个值:分别是分区类型，开始扇区，分区大小102399(注:这个值加1，也就是102400)该值后可填写MBR在第一个分区表中，第一个分区配备了操作系统，需要激活80，C/H/S，它已经不起作用了，你可以随意开始写作C/H/S:1/1/1，结束C/H/S:2/2/2.分区类型:07，开始扇区128，分区大小102400，第一分区修复完成。

修复第二分区：

第一分区开始位置128 分区大小102400，结果是102528，跳到102528扇区，发现是DBR,使

使 用N