EBR修复

2017年2月18日12:43:35 发表评论 1,967 views

EBR修复

正常的分区状态,我现在来破坏他EBR

破坏后

EBR修复

可以看出,主扩展分区是正常的,因为MBR没有被破坏,所以两个主分区是可以正常使用的,然而逻辑分区的内容就不见了,现在我就用这块硬盘来试试修复DBR

 

 

一下步骤发现分区有错,我在填写NTFS分区是标识的写05,把那里改成07就行了。如下图,4个分区表都是那一处需要改。

EBR修复

1、  使用WinHex打开硬盘。

EBR修复

2、在0扇区看见MBR的分区表,有三项内容,一二是主分区的分区表项,三是第一个扩展分区表分区表项。其中 00 18 00 05 是他的位子,我们就跳转到它所在的扇区:83892224

EBR修复

EBR修复

1、  跳转到此扇区你会看到要么是没数据要么就是全是0。要怎么知道第一个扇区是多呢。那么我们就得着DBRDBR一般是在分区表后的63扇区或者2048扇区(才接触数据恢复,目前我所知道的就是这两个)。我根据此扇区向下的2048扇区找了EBR1DBR

 

3、根据DBR中的BPB得到,隐藏上去数是2048,总扇区数是:92274687,格式NTFS,所以总扇区数加192274688

EBR修复

根据上表的信息跳回EBR1,填写分区信息。

EBR修复

由于只找到第一个EBR所以不知道第二个EBR的大小所以这个分区表的第二个分区项需要等会回来填写。根据第一个EBR知道第二个EBR的位子在哪里,以及EBR2DBR在哪里。

EBR2=00 08 00 00 + 00 00 80 05
= 00 08 80 05 = 92276736
扇区。这只是相对扇区,这个数值还的加上第一个EBR扇区所在的数值176168960+92276736=176168960。跳转到此扇区。当然也是损坏了的,此此扇区的上一个扇区,可以看到是个DBR,这个DBR是上个分区的备份DBR。如果上一个扇区有备份DBR,那么我们这个扇区就正是EBR。跟我们刚才一样,我们需要找EBR2DBR,所以在此扇区像下的2048个扇区就是EBR2DBR

EBR修复

根据BPB的信息填写分区表,以及上个一分区也完整了。上一个扩展分区表未填写的地方的数值:第二个分区表的起始位置,和第二个分区的大小求和=92276736

EBR修复

然后这个分区表里面的第二个分区表的起始位置=这个分区表的相对位子+这个分区的大小+隐藏扇区数=184553472

 

第三个扩展分区的绝对位子=184553472+83892224=268445696

跳转到这个位子:

EBR修复

可以看到上面是一个DBR,那么我们这个位置是正确的,是一个EBR。在向下2048的扇区是DBR,找找DBR里面的信息。

EBR修复

根据信息填入扩展分区表EBR3

EBR修复

这样EBR2未填写的信息就知道了,如下图1+2的数值就是了。下图是EBR3

EBR修复

现在看看看3的数值是怎么得到的。3数值,是上一个分区表的3的位置以及未填写地方的数值得到的。

 

 

现在回到176168960扇区,填写那个未填写的数值:92276736

 

现在已经填完了EBR1EBR2 。准备找个EBR4,最后一个分区。

最后一个分区的绝对位置是:下图的这个值加上第一个扩展分区位置的值:83892224=360722432

EBR修复

EBR4

正确找到EBR4后,再向下的2048个扇区的BPB信息,填写到这个分区表中。

我就直接填写这个分区表了,

EBR修复

最后一个表只填写一项,然后就是返回EBR3。填写剩下没填写的。

那个,那个只等于这个表的1+2的数值。

 

这样反复的来回跳很麻烦,最好还是自己先分析了,然后用个文档记录,什么算好了,在一次性填写进去。比如我就做好了这个记录的

EBR修复

都搞定了,保存数据,重新连接硬盘。

EBR修复

又回来了,里面的数据这些都是还是正常的。

点击下载原文档

历史上的今天:


欢迎来到菜鸟头头的个人博客
本文章百度已收录,若发现本站有任何侵犯您利益的内容,请及时邮件或留言联系,我会第一时间删除所有相关内容。

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: