使用winhex手工恢復mbr word 文檔

1、使用使用WinHex手工恢復手工恢復MBR分類:硬盤數(shù)據(jù)恢復分類：硬恢復和軟恢復。所謂硬恢復就是硬盤出現(xiàn)物理性損傷，比如有盤體壞道、電路板芯片燒毀、盤體異響，等故障，由此所導致的普通用戶不容易取出里面數(shù)據(jù)，那么我們將它修好，同時又保留里面的數(shù)據(jù)或后來恢復里面的數(shù)據(jù)，這些都叫數(shù)據(jù)恢復，只不過這些故障有容易的和困難的之分；所謂軟恢復，就是硬盤本身沒有物理損傷，而是由于人為或者病毒破壞所造成的數(shù)據(jù)丟失（比如誤格式化，誤分區(qū)），那么這樣的數(shù)據(jù)恢

2、復就叫軟恢復。這里呢，我們主要介紹軟恢復，因為硬恢復還需要購買一些工具設(shè)備（比如pc3000電烙鐵，各種芯片、電路板），而且還需要懂一點點電路基礎(chǔ)，我們這里所講到的所有的知識，涉及面廣，層次深，既有數(shù)據(jù)結(jié)構(gòu)原理，為我們手工準確恢復數(shù)據(jù)提供依據(jù)，又有各種數(shù)據(jù)恢復軟件的使用方法及技巧，為我們快速恢復數(shù)據(jù)提供便利，而且所有軟件均為網(wǎng)上下載，不需要我們投資一分錢。數(shù)據(jù)恢復的前提：數(shù)據(jù)不能被二次破壞、覆蓋！關(guān)于數(shù)碼與碼制：關(guān)于二進制、十六進制、八

3、進制它們之間的轉(zhuǎn)換我不想多說，因為他對我們數(shù)據(jù)恢復來說幫助不大，而且很容易把我們繞暈。如果你感興趣想多了解一些，可以到百度里面去搜一下，這方面資料已經(jīng)很多了，就不需要我再多說了。數(shù)據(jù)恢復我們主要用十六進制編輯器：Winhex（數(shù)據(jù)恢復首選軟件）我們先了解一下數(shù)據(jù)結(jié)構(gòu)：下面是一個分了三個區(qū)的整個硬盤的數(shù)據(jù)結(jié)構(gòu)MBRC盤EBRD盤EBRE盤MBR，即主引導紀錄，位于整個硬盤的0柱面0磁道1扇區(qū)，共占用了63個扇區(qū)，但實際只使用了1個扇區(qū)（5

4、12字節(jié)）。在總共512字節(jié)的主引導記錄中，MBR又可分為三部分：第一部分：引導代碼，占用了446個字節(jié)；第二部分：分區(qū)表，占用了64字節(jié)；第三部分：55AA，結(jié)束標志，占用了兩個字節(jié)。后面我們要說的用winhex軟件來恢復誤分區(qū)，主要就是恢復第二部分：分區(qū)表。引導代碼的作用：就是讓硬盤具備可以引導的功能。如果引導代碼丟失，分區(qū)表還在，那么這個硬盤作為從盤所有分區(qū)數(shù)據(jù)都還在，只是這個硬盤自己不能夠用來啟動進系統(tǒng)了。如果要恢復引導代碼，可

5、以用DOS下的命令：FDISKMBR；這個命令只是用來恢復引導代碼，不會引起分區(qū)改變，丟失數(shù)據(jù)。另外，也可以用工具軟件，比如DISKGEN、WINHEX等。但分區(qū)表如果丟失，后果就是整個硬盤一個分區(qū)沒有，就好象剛買來一個新硬盤沒有分過區(qū)一樣。是很多病毒喜歡破壞的區(qū)域。BlockAddress，即扇區(qū)的邏輯塊地址)尋址方式，這種管理方式簡單高效。在LBA方式下，系統(tǒng)把所有的物理扇區(qū)都統(tǒng)一編號，按照從零到某個最大值排列，這樣只用一個序數(shù)就確

6、定了一個唯一的物理扇區(qū)。小知識：具體一個硬盤有多少個LBA(扇區(qū))不需要我們?nèi)ビ洃?，因為用各種工具軟件（如MHDDWINHEX等）都可以檢測到。我們只要知道個大概就行了：如10G的硬盤大概有2000萬個扇區(qū)；20G的硬盤大概有4000萬個扇區(qū)；40G的硬盤大概有8000萬個扇區(qū)……那么，2G的硬盤大概有400萬個扇區(qū)。那么，你可能要問了：如果要恢復分區(qū)表，這個起始磁頭號、扇區(qū)號、柱面號還有結(jié)束磁頭號、扇區(qū)號、柱面號應(yīng)該怎么填呢？簡單得很

7、，在后面恢復分區(qū)表的時候我會告訴你，直接填，都不用計算。還有興趣來分析一下D盤的EBR嗎？其實D盤的EBR和Ｅ盤的EBR我們不分析也罷，因為無非也是分區(qū)表，跟MBR的結(jié)構(gòu)是一樣的，但卻很容易把我們繞暈，又因為EBR一般不容易被破壞，所以我不建議分析EBR。但如果你一定要分析，那就分析吧。單擊“訪問”下拉按鈕——“分區(qū)二”——“分區(qū)表”，直接就到1435392扇區(qū)，即D盤的分區(qū)表EBR。第一個分區(qū)表項（D盤）：第1個字節(jié)00：表示非活動分

8、區(qū)第5個字節(jié)06：表示FAT16分區(qū)第9、10、11、12字節(jié)3F000000：本分區(qū)之前已用了的扇區(qū)數(shù)，也就是EBR的數(shù)目，63個。第13、14、15、16字節(jié)C1E61500：本分區(qū)的總扇區(qū)數(shù)，也就是D盤的扇區(qū)數(shù)，先反過來排列就是0015E6C1，轉(zhuǎn)為十進制就是1435329。第二個分區(qū)表項（D盤后面的）：第1個字節(jié)00：表示非活動分區(qū)第5個字節(jié)05：表示擴展分區(qū)第9、10、11、12字節(jié)00E71500：本分區(qū)之前已用了的扇區(qū)數(shù)，

9、也就是D盤的EBR加D盤總共的大小，631435329=1435392第13、14、15、16字節(jié)40221300：本分區(qū)的總扇區(qū)數(shù)，1253952也就是E盤的大小再加上一個EBR的數(shù)目。單擊“訪問”下拉按鈕——“分區(qū)三”——“分區(qū)表”，直接就到2870784扇區(qū)，即E盤的分區(qū)表EBR。因為E盤后面沒有分區(qū)了，所以沒有第二個分區(qū)表項。這里我們就不再研究了，有興趣的話可以自己多備一塊硬盤作從盤，然后自己分分區(qū)研究研究。通過以上的研究我們總