任務(wù)3 分區(qū)表恢復(fù)

1、學(xué)習(xí)情境4 硬盤數(shù)據(jù)恢復(fù),任務(wù)3 分區(qū)表恢復(fù),一、案例描述,客戶經(jīng)理接到客戶的報(bào)修電話，告知其計(jì)算機(jī)無(wú)法啟動(dòng)。數(shù)據(jù)恢復(fù)工程師檢查后發(fā)現(xiàn)硬盤可以識(shí)別但不能啟動(dòng)系統(tǒng)，丟失分區(qū)信息。請(qǐng)幫助客戶恢復(fù)分區(qū)表信息，恢復(fù)出硬盤數(shù)據(jù)，解決問(wèn)題后將過(guò)程記錄存檔并提交工作報(bào)告。,二、工作任務(wù),通過(guò)案例描述，要求完成如下任務(wù):分析硬盤分區(qū)表故障原因計(jì)劃分區(qū)表故障的解決方案使用磁盤編輯工具手工恢復(fù)分區(qū)表使用其他磁盤工具修復(fù)分區(qū)表檢查分區(qū)信息是

2、否恢復(fù)撰寫(xiě)總結(jié)報(bào)告,,三、分組討論,,分區(qū)表?yè)p壞有哪些現(xiàn)象？,,,如何分析硬盤分區(qū)情況？,,,如何修復(fù)分區(qū)表？,1,2,3,四、相關(guān)知識(shí)點(diǎn) – 操作系統(tǒng)啟動(dòng)流程,1.系統(tǒng)自檢，加載硬盤主引導(dǎo)扇區(qū),2.主引導(dǎo)記錄(MBR)執(zhí)行引導(dǎo)功能,3.遍歷分區(qū)表，尋找啟動(dòng)分區(qū),4.加載啟動(dòng)分區(qū)的引導(dǎo)扇區(qū),5.在本分區(qū)中加載操作系統(tǒng),,四、相關(guān)知識(shí)點(diǎn) – 主引導(dǎo)扇區(qū),主引導(dǎo)扇區(qū)位于0柱0面1扇區(qū)，也就是硬盤的邏輯0扇區(qū)，它是計(jì)算機(jī)訪問(wèn)硬盤時(shí)最先讀取的

3、位置。主引導(dǎo)扇區(qū)由三個(gè)部分組成：主引導(dǎo)記錄（MBR）：偏移0-1BDH硬盤分區(qū)表（DPT）：偏移1BEH-1FDH結(jié)束標(biāo)識(shí)（“55 AA”）：偏移1FEH-1FFH注：偏移是指當(dāng)前位置相對(duì)于某處的距離長(zhǎng)度。,四、相關(guān)知識(shí)點(diǎn) – 主引導(dǎo)扇區(qū)圖示,MBR,DPT,,,結(jié)束標(biāo)志,,,四、相關(guān)知識(shí)點(diǎn) – 分區(qū)引導(dǎo)扇區(qū),任何分區(qū)的0扇區(qū)都是引導(dǎo)扇區(qū)，它起著引導(dǎo)系統(tǒng)、記錄分區(qū)基本參數(shù)的作用，它由BPB（BIOS參數(shù)塊）、DBR（磁盤引

4、導(dǎo)記錄）和“55 AA”結(jié)束標(biāo)志組成，俗稱DBR扇區(qū)。BPB在格式化的時(shí)候形成，它記錄了分區(qū)的基本參數(shù)信息，一旦被破壞則分區(qū)不能被正常訪問(wèn)，不同類型和版本的BPB格式有所區(qū)別，其中重要的參數(shù)有：分區(qū)總扇區(qū)數(shù)（分區(qū)大?。┟看厣葏^(qū)數(shù)（簇大小）根目錄起始位置（查找數(shù)據(jù)的入口）文件系統(tǒng)標(biāo)識(shí),四、相關(guān)知識(shí)點(diǎn) – 分析故障現(xiàn)象,引導(dǎo)扇區(qū)被破壞的原因可能有：病毒破壞、黑客攻擊、誤操作分區(qū)工具、安裝的硬盤還原或保護(hù)軟件出錯(cuò)等等。當(dāng)計(jì)算機(jī)

5、出現(xiàn)無(wú)法啟動(dòng)、啟動(dòng)異常、啟動(dòng)時(shí)出現(xiàn)文字提示時(shí)，可能是引導(dǎo)記錄或分區(qū)表被破壞導(dǎo)致的。需要檢查并修復(fù)MBR、DBR或DPT來(lái)解決。如果發(fā)現(xiàn)分區(qū)丟失、分區(qū)錯(cuò)亂等情況，就需要修復(fù)分區(qū)表了。,四、相關(guān)知識(shí)點(diǎn) – 分區(qū)表結(jié)構(gòu),磁盤分區(qū)表位于主引導(dǎo)扇區(qū)的偏移1BEH處，占64個(gè)字節(jié)，分為4項(xiàng)，每項(xiàng)16字節(jié)，用于標(biāo)識(shí)一個(gè)主分區(qū)。DPT只有4項(xiàng)，最多只能標(biāo)識(shí)4個(gè)主分區(qū)，如果想增加分區(qū)數(shù)，就必須使用擴(kuò)展分區(qū)。一般情況下使用微軟系統(tǒng)時(shí)分區(qū)表只用了兩項(xiàng)

6、，即一個(gè)主分區(qū)加擴(kuò)展分區(qū)。,,,,,,,四、相關(guān)知識(shí)點(diǎn) – 分區(qū)表結(jié)構(gòu),四、相關(guān)知識(shí)點(diǎn) – 常見(jiàn)分區(qū)類型,四、相關(guān)知識(shí)點(diǎn) – 擴(kuò)展分區(qū),擴(kuò)展分區(qū)內(nèi)部由若干個(gè)邏輯分區(qū)組成，它們之間通過(guò)鏈表方式管理，每個(gè)分區(qū)的前面都有一個(gè)虛擬的分區(qū)表，這個(gè)扇區(qū)稱為虛擬MBR。虛擬MBR通常位于某柱面0磁頭1扇區(qū)（標(biāo)準(zhǔn)分區(qū)法），其后的第63扇區(qū)（1磁頭1扇區(qū)）為該分區(qū)的引導(dǎo)扇區(qū)。虛擬MBR的引導(dǎo)記錄部分全為0，只有分區(qū)表和結(jié)束標(biāo)識(shí)，且分區(qū)表只有兩項(xiàng)，

7、其中第一項(xiàng)指向當(dāng)前分區(qū)，第二項(xiàng)指向下一分區(qū)的虛擬MBR。,四、相關(guān)知識(shí)點(diǎn) – 擴(kuò)展分區(qū)組織圖,,,C盤,,D盤,E盤,F盤,擴(kuò)展分區(qū)中的虛擬MBR鏈表,D,E,F,,,,,,,,,MBR扇區(qū),62個(gè)保留扇區(qū),四、相關(guān)知識(shí)點(diǎn) – 分區(qū)表恢復(fù)思想,硬盤被重新分區(qū)后（或分區(qū)表丟失），只要沒(méi)有破壞到原分區(qū)的文件系統(tǒng)信息數(shù)據(jù)，就可以將原分區(qū)找回，同時(shí)還能保留里面的數(shù)據(jù)，因此速度快而且效果好。新分區(qū)的文件系統(tǒng)信息部分仍可能會(huì)覆蓋掉老分

8、區(qū)的某些數(shù)據(jù)。,分區(qū)1,分區(qū)2,分區(qū)3,分區(qū)4,分區(qū)1,分區(qū)2,分區(qū)3,分區(qū)4,新分區(qū)情況,原分區(qū)情況,四、相關(guān)知識(shí)點(diǎn) – 查找分區(qū),我們?cè)谒褜し謪^(qū)信息的時(shí)候，需要找到每個(gè)分區(qū)的起始位置。凡是引導(dǎo)扇區(qū)或是MBR，其最后兩個(gè)字節(jié)均為結(jié)束標(biāo)志“55 AA”，我們先查找出扇區(qū)末尾是結(jié)束標(biāo)志的，再對(duì)結(jié)果進(jìn)行分析。硬盤分區(qū)時(shí)，通常會(huì)以柱面為邊界，這是標(biāo)準(zhǔn)分區(qū)方式，便于我們快速查找分區(qū)。我們也可以手工修改分區(qū)位置為非標(biāo)準(zhǔn)值，但會(huì)給以后的分區(qū)恢復(fù)帶

9、來(lái)困難。,,,,55 AA,Harddisk,五、分析故障，制定解決方案,分析故障情況,修復(fù)引導(dǎo)記錄,搜尋原分區(qū)信息 分析分區(qū)組織 重建分區(qū)表,,,六、修復(fù)引導(dǎo)記錄 - MBR,如果以前有備份主引導(dǎo)扇區(qū)的話，那么是很容易修復(fù)的，直接復(fù)制回來(lái)即可。如果沒(méi)有備份的話，就需要分別對(duì)MBR和DPT做檢查并處理了。MBR是一組用來(lái)引導(dǎo)操作系統(tǒng)的程序，由于功能比較單一，因此幾乎成了“模板”，修復(fù)方式也較簡(jiǎn)單。有許多分區(qū)工具、殺毒軟件和

10、硬盤修復(fù)工具都帶有MBR修復(fù)功能，常見(jiàn)的方式有：在DOS環(huán)境下使用命令：FDISK /MBR使用DISKGEN的修復(fù)MBR功能,六、修復(fù)引導(dǎo)記錄 - DBR,每個(gè)分區(qū)的引導(dǎo)扇區(qū)一般都有自動(dòng)備份，F(xiàn)AT32分區(qū)的DBR備份在第6扇區(qū)，NTFS分區(qū)的DBR備份到下一個(gè)分區(qū)的前一個(gè)扇區(qū)，如果下一個(gè)分區(qū)的情況為：主分區(qū)：保存到該分區(qū)起始前一個(gè)扇區(qū)。邏輯分區(qū)：保存到該分區(qū)的虛擬MBR的前一個(gè)扇區(qū)。無(wú)：保存到本分區(qū)結(jié)束后的一個(gè)扇區(qū)。

11、最好的方式就是，找到備份DBR扇區(qū)，復(fù)制回來(lái)，否則就只有手動(dòng)對(duì)比填寫(xiě)數(shù)據(jù)了。,七、修復(fù)分區(qū)表 – 查找分區(qū),在DPT中，硬盤的CHS參數(shù)中磁頭數(shù)總為255，每磁道扇區(qū)數(shù)總為63（也可查看Winhex面板信息），則可計(jì)算出每柱面大小為255×63×512＝8225280（字節(jié)），則搜索引導(dǎo)扇區(qū)可使用如下參數(shù)：,塊內(nèi)偏移,搜索塊大小,搜索數(shù)值,七、修復(fù)分區(qū)表 – 分析結(jié)構(gòu),七、修復(fù)分區(qū)表 – 重建分區(qū)表,組織好數(shù)據(jù)后，就

12、可以重建分區(qū)表了。通常情況下分區(qū)表只需要寫(xiě)兩條記錄，第一個(gè)主分區(qū)和第二個(gè)擴(kuò)展分區(qū)，按照格式寫(xiě)入相應(yīng)的數(shù)據(jù)即可。在標(biāo)準(zhǔn)情況下，MBR和虛擬MBR都位于0磁頭1扇區(qū)，而主分區(qū)或邏輯分區(qū)的DBR則位于1磁頭1扇區(qū)，這就為我們查找分區(qū)提供了方便。例如：主引導(dǎo)扇區(qū)位于0柱0頭1扇第一個(gè)分區(qū)位于0柱1頭1扇最關(guān)鍵的就是判斷出擴(kuò)展分區(qū)的起始位置和大小。,八、零磁道損壞的修復(fù),0磁道是硬盤最前方的磁道，主引導(dǎo)扇區(qū)、第一個(gè)分區(qū)均位于

13、0磁道，如果0磁道損壞，則無(wú)法識(shí)別硬盤或啟動(dòng)系統(tǒng)。只要檢查出主引導(dǎo)扇區(qū)未損壞，則可以通過(guò)手工修改第一個(gè)主分區(qū)的起始位置來(lái)避開(kāi)對(duì)0磁道的使用，比如修改為3柱面1磁頭1扇區(qū)。修改分區(qū)表后需重新格式化分區(qū)后再使用。但要注意使用分區(qū)工具的時(shí)候會(huì)提示分區(qū)表有錯(cuò)誤，千萬(wàn)不要使用自動(dòng)糾正功能。,分區(qū)1,分區(qū)2,分區(qū)3,分區(qū)4,未使用,,,九、評(píng)估總結(jié),將硬盤接到工作機(jī)上檢查是否修復(fù)記錄引導(dǎo)扇區(qū)和分區(qū)表恢復(fù)過(guò)程總結(jié)任務(wù)心得,十、任務(wù)評(píng)價(jià),引導(dǎo)扇