【摘要】隨著電腦網(wǎng)絡的更新?lián)Q代，知識也在不斷的更新，但同時也出現(xiàn)一系列的相關問題：系統(tǒng)漏洞、U盤中數(shù)據(jù)文件丟失、病毒、數(shù)碼相機里的照片丟失等等，一系列的問題接踵而至。這就需要找到一條保護數(shù)據(jù)不丟失，且可以失而復得的辦法。如果因為自己的一時疏忽，導致硬盤里的東西丟失，可以利用一款免費的軟件——winHex找回數(shù)據(jù)。它是以通用16進制編輯器為核心專門用來處理計算機取證、數(shù)據(jù)恢復、低級數(shù)據(jù)處理以及網(wǎng)絡安全和數(shù)據(jù)安全的一款實用工具。它主要用于檢索和恢復各種文件、恢復刪除文件還有硬盤損壞、數(shù)碼相機sd卡損壞造成的數(shù)據(jù)丟失等。還可以看到系統(tǒng)隱藏起來的文件和數(shù)據(jù)信息。

【關鍵詞】MBR;EBR;扇區(qū);55AA;4k對齊

主引導記錄（MBR）和擴展引導記錄（EBR），系統(tǒng)通過記錄在分區(qū)表中的分區(qū)信息對各個分區(qū)進行識別和管理，如果這些分區(qū)信息損壞，就會出現(xiàn)分區(qū)不可見，數(shù)據(jù)丟失等現(xiàn)象。由于用戶不同，使用需求也不同，分區(qū)的管理方式還是不同，所以出現(xiàn)了不同的分區(qū)條及體系，例如DOS分區(qū)、GPT分區(qū)、BSD分區(qū)等。目前使用最多的是DOS分區(qū)形式。適用于容量在2T以下的硬盤。隨著硬盤的不管增大，大容量的硬盤應當采用GPT分區(qū)體系。DOS分區(qū)體系的存儲器稱為主引導記錄MBR存儲器。MBR占用整個硬盤的0號扇區(qū)，使用了512字節(jié)，由引導信息、分區(qū)表、結(jié)束標識三部分組成。由此可見，若MBR損壞，則后面的操作都無法繼續(xù)，所以MBR保護和恢復極為重要，它比較脆弱，幾乎沒有自我備份恢復這樣的保護。

1. 引導信息

引導信息是存儲器上最先讀取到內(nèi)存的代碼，共占446字節(jié)，引導代碼包含指令，計算機指令訪問分區(qū)表并定位操作系統(tǒng)的位置。病毒可以嵌入到該區(qū)域，從而優(yōu)先運行。計算機完成自檢后把控制權交給引導代碼，讀取該分區(qū)的第一扇區(qū)并進入系統(tǒng)，分區(qū)第一扇區(qū)的引導代碼根據(jù)操作系統(tǒng)的不同而不同。利用引導代碼可以實現(xiàn)多系統(tǒng)引導，啟動引導代碼后，進入用戶操作系統(tǒng)選擇界面。

2. 分區(qū)表

引導信息后面的是64字節(jié)的分區(qū)表，包含4個分區(qū)表項，每個分區(qū)表項占16字節(jié)。分區(qū)表用來描述分區(qū)，最多可描述4個分區(qū)，即主分區(qū)和擴展分區(qū)總數(shù)不能超過4個。目前最常見的分區(qū)模式：1個主分區(qū)和1個擴展分區(qū)。在這里，分區(qū)表沒有順序嚴格要求，第一個分區(qū)表項不必描述第一個分區(qū)，也不要求必須先使用第一個分區(qū)表項，再使用第二個分區(qū)表項，最后依次使用后面的兩個分區(qū)表項。

3. 結(jié)束標識符

MBR有效標志是‘55AA’，占2個字節(jié)。若沒有正確的標志，則操作系統(tǒng)認為存儲器沒有初始化，會無法加載分區(qū)，也就無法進入系統(tǒng)了。下面該實際動手操作了，首先，利用winHex打開咱們設置好的虛擬硬盤，進入該界面搜索扇區(qū)偏移510字節(jié)處的‘55AA’，來尋找DBR或EBR，在63號扇區(qū)或2048號扇區(qū)（4k對齊情況下）找到第一個DBR，它通常是第一個主分區(qū)的起始位置，DBR有備份，文件系統(tǒng)的不同，備份位置也不同， FAT文件系統(tǒng)的在原DBR后面的第六個扇區(qū)，NTFS的在整個分區(qū)的最后一個扇區(qū);再繼續(xù)搜索可能找到后面的EBR扇區(qū)，這時主分區(qū)結(jié)束，擴展分區(qū)開始，依次搜索會找到邏輯分區(qū)的DBR和備份的DBR，再找到EBR，這樣進行下去;對于主分區(qū)來說，只需要找到主分區(qū)的DBR和擴展分區(qū)的EBR，分析它們的參數(shù)即可重建分區(qū)表。

準備工作：將測試用的硬盤或虛擬硬盤分區(qū)格式化后，在分區(qū)內(nèi)拷貝一些數(shù)據(jù)和文件，用winHex打開硬盤或虛擬硬盤的MBR，將MBR的數(shù)據(jù)全部清除，制造主分區(qū)表損壞的環(huán)境。溫馨提示：清除之前，強烈建議將對0號扇區(qū)的數(shù)據(jù)進行備份，即將扇區(qū)選塊內(nèi)容保存成文件或復制到硬盤后面的閑置扇區(qū)，尤其對初學者來說這絕對是一個好習慣。步驟1：用winHex打開故障硬盤，了解硬盤總扇區(qū)數(shù)，這信息可以從窗口左下角處得到。由于打開后顯示的界面就是編號為0的硬盤第一個0號的起始扇區(qū)，相信大家已經(jīng)看到全部是00，說明該硬盤MBR已經(jīng)遭到了很嚴重的破壞，必須要進行修復，不然硬盤里的數(shù)據(jù)將永久丟失。先找到一個好硬盤，打開后把MBR數(shù)據(jù)信息復制到壞硬盤里.

具體操作步驟如下：①1起始0處右鍵單擊‘選塊起始位置’，在下面扇區(qū)末尾A處右鍵單擊‘選取尾塊’，右鍵選‘編輯’選‘復制選塊’里的‘正常’拷貝到壞硬盤0號扇區(qū)起始扇區(qū)開頭，右鍵單擊‘編輯’選‘剪貼板數(shù)據(jù)’選‘寫入’根據(jù)提示把引導記錄信息復制過來就可以。②找到菜單欄‘搜索’里‘搜索16進制數(shù)值’打開對話框，填寫搜索條件55AA，加條件512=510.執(zhí)行保證在扇區(qū)的510字節(jié)處搜索.說明：搜索‘55AA’是為了找到第一分區(qū)的DBR或擴展分區(qū)的EBR，以便于找到分區(qū)結(jié)構(gòu)信息。③第一個被搜索到的是硬盤0號扇區(qū)的‘55AA’，按F3繼續(xù)，會找到第二個結(jié)束標志‘55AA’查看文本顯示內(nèi)容有NTFS或FAT32字樣，說明這是第一個主分區(qū)，在左下角標出的扇區(qū)就是該分區(qū)的起始扇區(qū)。④啟動BOOT sector NTFS模板，主要查看該分區(qū)的總扇區(qū)數(shù)和文件系統(tǒng)類型。⑤為了分析方便，繪制一個硬盤示意圖輔助分析分區(qū)情況，把搜索到的信息標注在草稿圖上根據(jù)上面分析得知第一分區(qū)是主分區(qū)，起始于63號扇區(qū)，占用41961717個扇區(qū)，分區(qū)文件系統(tǒng)類型是NTFS。⑥確定下一個分區(qū)起始扇區(qū)。下個分區(qū)一般和該分區(qū)相鄰，起始扇區(qū)編號是上個分區(qū)的起始扇區(qū)+占扇區(qū)數(shù)，即63+41961717=41961780.確定下個分區(qū)的類型（是擴展分區(qū)還是主分區(qū)，即是EBR還是DBR）。EBR與DBR區(qū)別在于：EBR前446字節(jié)全為‘00’，后面有4個分區(qū)表，僅用了1個或2個，其他全是‘00’，扇區(qū)最后是結(jié)束標志‘55AA’。DBR不可能全是‘00’，字符區(qū)上有明顯的‘FAT32’或‘NTFS’明文，扇區(qū)最后標志為‘55AA’。一般情況下，只有一個主分區(qū)，后面都分給了擴展分區(qū)，但也不能排除有多個主分區(qū)。6-1當下個分區(qū)還是主分區(qū)時，找到的是DBR扇區(qū)，NTFS的DBR前面特征已列出，使用搜索繼續(xù)查看，右側(cè)字符取明文顯示為FAT32，說明文件系統(tǒng)類型為FAT32。啟動‘查看’里‘模板管理器’中BOOT sector FAT32.記錄下該分區(qū)占扇區(qū)數(shù)，將該分區(qū)起始扇區(qū)與分區(qū)占扇區(qū)數(shù)相加，得到下一個分區(qū)的起始扇區(qū)編號，即41961780+25205985=67167765，記錄到硬盤結(jié)構(gòu)圖中。用winHex菜單導航中的‘轉(zhuǎn)到扇區(qū)’啟動轉(zhuǎn)到扇區(qū)窗口。跳轉(zhuǎn)到下個分區(qū)的起始扇區(qū)，在查看該扇區(qū)數(shù)據(jù)，分析是EBR還是DBR。若是DBR的話，還要再次確定是NTFS還是FAT32文件系統(tǒng)，再打開相應模板，查看分區(qū)占扇區(qū)數(shù)，以確定下個分區(qū)起始位置，若是EBR，按下面的步驟進行。

6-2當下個分區(qū)是擴展分區(qū)時，該分區(qū)是EBR（明顯的標志是扇區(qū)前面446字節(jié)全為‘00’，后面用了1個分區(qū)表項）扇區(qū)時，說明擴展分區(qū)中有邏輯分區(qū)，下個分區(qū)是擴展分區(qū)的EBR扇區(qū)。

記錄當前所在扇區(qū)，即擴展分區(qū)起始扇區(qū)，用EBR所在的扇區(qū)減去MBR所在的扇區(qū)就可以求出前面主分區(qū)大小，并將它與前面模板中得到的主分區(qū)大小進行對比。根據(jù)圖中顯示，分析EBR分區(qū)表，僅用了一個，說明這是最后一個邏輯分區(qū)前的EBR，其中0B代表FAT32文件系統(tǒng)類型（07代表NTFS），3F代表該分區(qū)起始扇區(qū)在63號扇區(qū)（相對于擴展分區(qū)而言）后面的2A OF7F08代表是該扇區(qū)占的扇區(qū)數(shù)，也就是該分區(qū)的大小。分析分區(qū)表項得知，邏輯分區(qū)起始于63號扇區(qū)，占用142544682個扇區(qū)，文件系統(tǒng)類型是FAT32。假設上面的EBR扇區(qū)的分區(qū)表還使用了2個，那就需要進一步分析EBR了，重復上面的EBR分析步驟，直到所有邏輯分區(qū)分析完畢，最后完成硬盤結(jié)構(gòu)圖的繪制。⑦重新建立分區(qū)表?；氐接脖P的0號扇區(qū)，通過前面的分析，知道了硬盤劃分了2個主分區(qū)和一個擴展分區(qū)。第一分區(qū)起始于63號扇區(qū)，占41961717個扇區(qū)，文件系統(tǒng)類型是NTFS，將這三組值轉(zhuǎn)換16進制寫入第一分區(qū)表項，并將活動標志設置為‘80’，若是移動存儲器則不必設置為活動扇區(qū);第二分區(qū)起始于41961780號扇區(qū)，占25205985個扇區(qū)，文件系統(tǒng)類型為FAT32，將這三組數(shù)值轉(zhuǎn)換16進制寫入第二分區(qū)表項，活動標志設置為‘00’;第三分區(qū)起始于67167765占用142544745個扇區(qū)，文件系統(tǒng)類型為FAT32。將這三組數(shù)值轉(zhuǎn)換16進制寫入第三分區(qū)表項，活動標志設置為‘00’，完成后保存到硬盤，系統(tǒng)重新加載硬盤即可正常識別分區(qū)。如圖1

4. 總結(jié)

掌握MBR分區(qū)體系，主引導記錄的結(jié)構(gòu)與恢復，F(xiàn)AT32文件系統(tǒng)的結(jié)構(gòu)，NTFS文件系統(tǒng)的結(jié)構(gòu)，期間涉及到的知識點有點多，有些晦澀難懂，一定要勤加練習。熟練掌握winHex恢復軟件，能夠真正的讓大家學到有用的知識。最后能夠靠自己獨立動手恢復硬盤數(shù)據(jù)，為保障網(wǎng)絡數(shù)據(jù)安全和信息安全做出一點貢獻。

參考文獻：

[1]羅維.網(wǎng)絡操作系統(tǒng)與網(wǎng)絡服務器的使用與管理案例教程[M].北京：高等教育出版社

[2]鄧蓓.微機原理及其應用[M].北京：機械工業(yè)出版社

作者簡介：石?。?980.5-），男，遼寧省葫蘆島市，漢族，學歷：本科，職稱：高講，主要從事網(wǎng)絡通信技術研究。