【摘要】隨著電腦網(wǎng)絡(luò)的更新?lián)Q代，知識(shí)也在不斷的更新，但同時(shí)也出現(xiàn)一系列的相關(guān)問題：系統(tǒng)漏洞、U盤中數(shù)據(jù)文件丟失、病毒、數(shù)碼相機(jī)里的照片丟失等等，一系列的問題接踵而至。這就需要找到一條保護(hù)數(shù)據(jù)不丟失，且可以失而復(fù)得的辦法。如果因?yàn)樽约旱囊粫r(shí)疏忽，導(dǎo)致硬盤里的東西丟失，可以利用一款免費(fèi)的軟件——winHex找回?cái)?shù)據(jù)。它是以通用16進(jìn)制編輯器為核心專門用來處理計(jì)算機(jī)取證、數(shù)據(jù)恢復(fù)、低級(jí)數(shù)據(jù)處理以及網(wǎng)絡(luò)安全和數(shù)據(jù)安全的一款實(shí)用工具。它主要用于檢索和恢復(fù)各種文件、恢復(fù)刪除文件還有硬盤損壞、數(shù)碼相機(jī)sd卡損壞造成的數(shù)據(jù)丟失等。還可以看到系統(tǒng)隱藏起來的文件和數(shù)據(jù)信息。

【關(guān)鍵詞】MBR;EBR;扇區(qū);55AA;4k對(duì)齊

主引導(dǎo)記錄（MBR）和擴(kuò)展引導(dǎo)記錄（EBR），系統(tǒng)通過記錄在分區(qū)表中的分區(qū)信息對(duì)各個(gè)分區(qū)進(jìn)行識(shí)別和管理，如果這些分區(qū)信息損壞，就會(huì)出現(xiàn)分區(qū)不可見，數(shù)據(jù)丟失等現(xiàn)象。由于用戶不同，使用需求也不同，分區(qū)的管理方式還是不同，所以出現(xiàn)了不同的分區(qū)條及體系，例如DOS分區(qū)、GPT分區(qū)、BSD分區(qū)等。目前使用最多的是DOS分區(qū)形式。適用于容量在2T以下的硬盤。隨著硬盤的不管增大，大容量的硬盤應(yīng)當(dāng)采用GPT分區(qū)體系。DOS分區(qū)體系的存儲(chǔ)器稱為主引導(dǎo)記錄MBR存儲(chǔ)器。MBR占用整個(gè)硬盤的0號(hào)扇區(qū)，使用了512字節(jié)，由引導(dǎo)信息、分區(qū)表、結(jié)束標(biāo)識(shí)三部分組成。由此可見，若MBR損壞，則后面的操作都無法繼續(xù)，所以MBR保護(hù)和恢復(fù)極為重要，它比較脆弱，幾乎沒有自我備份恢復(fù)這樣的保護(hù)。

1. 引導(dǎo)信息

引導(dǎo)信息是存儲(chǔ)器上最先讀取到內(nèi)存的代碼，共占446字節(jié)，引導(dǎo)代碼包含指令，計(jì)算機(jī)指令訪問分區(qū)表并定位操作系統(tǒng)的位置。病毒可以嵌入到該區(qū)域，從而優(yōu)先運(yùn)行。計(jì)算機(jī)完成自檢后把控制權(quán)交給引導(dǎo)代碼，讀取該分區(qū)的第一扇區(qū)并進(jìn)入系統(tǒng)，分區(qū)第一扇區(qū)的引導(dǎo)代碼根據(jù)操作系統(tǒng)的不同而不同。利用引導(dǎo)代碼可以實(shí)現(xiàn)多系統(tǒng)引導(dǎo)，啟動(dòng)引導(dǎo)代碼后，進(jìn)入用戶操作系統(tǒng)選擇界面。

2. 分區(qū)表

引導(dǎo)信息后面的是64字節(jié)的分區(qū)表，包含4個(gè)分區(qū)表項(xiàng)，每個(gè)分區(qū)表項(xiàng)占16字節(jié)。分區(qū)表用來描述分區(qū)，最多可描述4個(gè)分區(qū)，即主分區(qū)和擴(kuò)展分區(qū)總數(shù)不能超過4個(gè)。目前最常見的分區(qū)模式：1個(gè)主分區(qū)和1個(gè)擴(kuò)展分區(qū)。在這里，分區(qū)表沒有順序嚴(yán)格要求，第一個(gè)分區(qū)表項(xiàng)不必描述第一個(gè)分區(qū)，也不要求必須先使用第一個(gè)分區(qū)表項(xiàng)，再使用第二個(gè)分區(qū)表項(xiàng)，最后依次使用后面的兩個(gè)分區(qū)表項(xiàng)。

3. 結(jié)束標(biāo)識(shí)符

MBR有效標(biāo)志是‘55AA’，占2個(gè)字節(jié)。若沒有正確的標(biāo)志，則操作系統(tǒng)認(rèn)為存儲(chǔ)器沒有初始化，會(huì)無法加載分區(qū)，也就無法進(jìn)入系統(tǒng)了。下面該實(shí)際動(dòng)手操作了，首先，利用winHex打開咱們?cè)O(shè)置好的虛擬硬盤，進(jìn)入該界面搜索扇區(qū)偏移510字節(jié)處的‘55AA’，來尋找DBR或EBR，在63號(hào)扇區(qū)或2048號(hào)扇區(qū)（4k對(duì)齊情況下）找到第一個(gè)DBR，它通常是第一個(gè)主分區(qū)的起始位置，DBR有備份，文件系統(tǒng)的不同，備份位置也不同， FAT文件系統(tǒng)的在原DBR后面的第六個(gè)扇區(qū)，NTFS的在整個(gè)分區(qū)的最后一個(gè)扇區(qū);再繼續(xù)搜索可能找到后面的EBR扇區(qū)，這時(shí)主分區(qū)結(jié)束，擴(kuò)展分區(qū)開始，依次搜索會(huì)找到邏輯分區(qū)的DBR和備份的DBR，再找到EBR，這樣進(jìn)行下去;對(duì)于主分區(qū)來說，只需要找到主分區(qū)的DBR和擴(kuò)展分區(qū)的EBR，分析它們的參數(shù)即可重建分區(qū)表。

準(zhǔn)備工作：將測(cè)試用的硬盤或虛擬硬盤分區(qū)格式化后，在分區(qū)內(nèi)拷貝一些數(shù)據(jù)和文件，用winHex打開硬盤或虛擬硬盤的MBR，將MBR的數(shù)據(jù)全部清除，制造主分區(qū)表損壞的環(huán)境。溫馨提示：清除之前，強(qiáng)烈建議將對(duì)0號(hào)扇區(qū)的數(shù)據(jù)進(jìn)行備份，即將扇區(qū)選塊內(nèi)容保存成文件或復(fù)制到硬盤后面的閑置扇區(qū)，尤其對(duì)初學(xué)者來說這絕對(duì)是一個(gè)好習(xí)慣。步驟1：用winHex打開故障硬盤，了解硬盤總扇區(qū)數(shù)，這信息可以從窗口左下角處得到。由于打開后顯示的界面就是編號(hào)為0的硬盤第一個(gè)0號(hào)的起始扇區(qū)，相信大家已經(jīng)看到全部是00，說明該硬盤MBR已經(jīng)遭到了很嚴(yán)重的破壞，必須要進(jìn)行修復(fù)，不然硬盤里的數(shù)據(jù)將永久丟失。先找到一個(gè)好硬盤，打開后把MBR數(shù)據(jù)信息復(fù)制到壞硬盤里.

具體操作步驟如下：①1起始0處右鍵單擊‘選塊起始位置’，在下面扇區(qū)末尾A處右鍵單擊‘選取尾塊’，右鍵選‘編輯’選‘復(fù)制選塊’里的‘正?！截惖綁挠脖P0號(hào)扇區(qū)起始扇區(qū)開頭，右鍵單擊‘編輯’選‘剪貼板數(shù)據(jù)’選‘寫入’根據(jù)提示把引導(dǎo)記錄信息復(fù)制過來就可以。②找到菜單欄‘搜索’里‘搜索16進(jìn)制數(shù)值’打開對(duì)話框，填寫搜索條件55AA，加條件512=510.執(zhí)行保證在扇區(qū)的510字節(jié)處搜索.說明：搜索‘55AA’是為了找到第一分區(qū)的DBR或擴(kuò)展分區(qū)的EBR，以便于找到分區(qū)結(jié)構(gòu)信息。③第一個(gè)被搜索到的是硬盤0號(hào)扇區(qū)的‘55AA’，按F3繼續(xù)，會(huì)找到第二個(gè)結(jié)束標(biāo)志‘55AA’查看文本顯示內(nèi)容有NTFS或FAT32字樣，說明這是第一個(gè)主分區(qū)，在左下角標(biāo)出的扇區(qū)就是該分區(qū)的起始扇區(qū)。④啟動(dòng)BOOT sector NTFS模板，主要查看該分區(qū)的總扇區(qū)數(shù)和文件系統(tǒng)類型。⑤為了分析方便，繪制一個(gè)硬盤示意圖輔助分析分區(qū)情況，把搜索到的信息標(biāo)注在草稿圖上根據(jù)上面分析得知第一分區(qū)是主分區(qū)，起始于63號(hào)扇區(qū)，占用41961717個(gè)扇區(qū)，分區(qū)文件系統(tǒng)類型是NTFS。⑥確定下一個(gè)分區(qū)起始扇區(qū)。下個(gè)分區(qū)一般和該分區(qū)相鄰，起始扇區(qū)編號(hào)是上個(gè)分區(qū)的起始扇區(qū)+占扇區(qū)數(shù)，即63+41961717=41961780.確定下個(gè)分區(qū)的類型（是擴(kuò)展分區(qū)還是主分區(qū)，即是EBR還是DBR）。EBR與DBR區(qū)別在于：EBR前446字節(jié)全為‘00’，后面有4個(gè)分區(qū)表，僅用了1個(gè)或2個(gè)，其他全是‘00’，扇區(qū)最后是結(jié)束標(biāo)志‘55AA’。DBR不可能全是‘00’，字符區(qū)上有明顯的‘FAT32’或‘NTFS’明文，扇區(qū)最后標(biāo)志為‘55AA’。一般情況下，只有一個(gè)主分區(qū)，后面都分給了擴(kuò)展分區(qū)，但也不能排除有多個(gè)主分區(qū)。6-1當(dāng)下個(gè)分區(qū)還是主分區(qū)時(shí)，找到的是DBR扇區(qū)，NTFS的DBR前面特征已列出，使用搜索繼續(xù)查看，右側(cè)字符取明文顯示為FAT32，說明文件系統(tǒng)類型為FAT32。啟動(dòng)‘查看’里‘模板管理器’中BOOT sector FAT32.記錄下該分區(qū)占扇區(qū)數(shù)，將該分區(qū)起始扇區(qū)與分區(qū)占扇區(qū)數(shù)相加，得到下一個(gè)分區(qū)的起始扇區(qū)編號(hào)，即41961780+25205985=67167765，記錄到硬盤結(jié)構(gòu)圖中。用winHex菜單導(dǎo)航中的‘轉(zhuǎn)到扇區(qū)’啟動(dòng)轉(zhuǎn)到扇區(qū)窗口。跳轉(zhuǎn)到下個(gè)分區(qū)的起始扇區(qū)，在查看該扇區(qū)數(shù)據(jù)，分析是EBR還是DBR。若是DBR的話，還要再次確定是NTFS還是FAT32文件系統(tǒng)，再打開相應(yīng)模板，查看分區(qū)占扇區(qū)數(shù)，以確定下個(gè)分區(qū)起始位置，若是EBR，按下面的步驟進(jìn)行。

6-2當(dāng)下個(gè)分區(qū)是擴(kuò)展分區(qū)時(shí)，該分區(qū)是EBR（明顯的標(biāo)志是扇區(qū)前面446字節(jié)全為‘00’，后面用了1個(gè)分區(qū)表項(xiàng)）扇區(qū)時(shí)，說明擴(kuò)展分區(qū)中有邏輯分區(qū)，下個(gè)分區(qū)是擴(kuò)展分區(qū)的EBR扇區(qū)。

記錄當(dāng)前所在扇區(qū)，即擴(kuò)展分區(qū)起始扇區(qū)，用EBR所在的扇區(qū)減去MBR所在的扇區(qū)就可以求出前面主分區(qū)大小，并將它與前面模板中得到的主分區(qū)大小進(jìn)行對(duì)比。根據(jù)圖中顯示，分析EBR分區(qū)表，僅用了一個(gè)，說明這是最后一個(gè)邏輯分區(qū)前的EBR，其中0B代表FAT32文件系統(tǒng)類型（07代表NTFS），3F代表該分區(qū)起始扇區(qū)在63號(hào)扇區(qū)（相對(duì)于擴(kuò)展分區(qū)而言）后面的2A OF7F08代表是該扇區(qū)占的扇區(qū)數(shù)，也就是該分區(qū)的大小。分析分區(qū)表項(xiàng)得知，邏輯分區(qū)起始于63號(hào)扇區(qū)，占用142544682個(gè)扇區(qū)，文件系統(tǒng)類型是FAT32。假設(shè)上面的EBR扇區(qū)的分區(qū)表還使用了2個(gè)，那就需要進(jìn)一步分析EBR了，重復(fù)上面的EBR分析步驟，直到所有邏輯分區(qū)分析完畢，最后完成硬盤結(jié)構(gòu)圖的繪制。⑦重新建立分區(qū)表?；氐接脖P的0號(hào)扇區(qū)，通過前面的分析，知道了硬盤劃分了2個(gè)主分區(qū)和一個(gè)擴(kuò)展分區(qū)。第一分區(qū)起始于63號(hào)扇區(qū)，占41961717個(gè)扇區(qū)，文件系統(tǒng)類型是NTFS，將這三組值轉(zhuǎn)換16進(jìn)制寫入第一分區(qū)表項(xiàng)，并將活動(dòng)標(biāo)志設(shè)置為‘80’，若是移動(dòng)存儲(chǔ)器則不必設(shè)置為活動(dòng)扇區(qū);第二分區(qū)起始于41961780號(hào)扇區(qū)，占25205985個(gè)扇區(qū)，文件系統(tǒng)類型為FAT32，將這三組數(shù)值轉(zhuǎn)換16進(jìn)制寫入第二分區(qū)表項(xiàng)，活動(dòng)標(biāo)志設(shè)置為‘00’;第三分區(qū)起始于67167765占用142544745個(gè)扇區(qū)，文件系統(tǒng)類型為FAT32。將這三組數(shù)值轉(zhuǎn)換16進(jìn)制寫入第三分區(qū)表項(xiàng)，活動(dòng)標(biāo)志設(shè)置為‘00’，完成后保存到硬盤，系統(tǒng)重新加載硬盤即可正常識(shí)別分區(qū)。如圖1

4. 總結(jié)

掌握MBR分區(qū)體系，主引導(dǎo)記錄的結(jié)構(gòu)與恢復(fù)，F(xiàn)AT32文件系統(tǒng)的結(jié)構(gòu)，NTFS文件系統(tǒng)的結(jié)構(gòu)，期間涉及到的知識(shí)點(diǎn)有點(diǎn)多，有些晦澀難懂，一定要勤加練習(xí)。熟練掌握winHex恢復(fù)軟件，能夠真正的讓大家學(xué)到有用的知識(shí)。最后能夠靠自己獨(dú)立動(dòng)手恢復(fù)硬盤數(shù)據(jù)，為保障網(wǎng)絡(luò)數(shù)據(jù)安全和信息安全做出一點(diǎn)貢獻(xiàn)。

參考文獻(xiàn)：

[1]羅維.網(wǎng)絡(luò)操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)器的使用與管理案例教程[M].北京：高等教育出版社

[2]鄧蓓.微機(jī)原理及其應(yīng)用[M].北京：機(jī)械工業(yè)出版社

作者簡(jiǎn)介：石健（1980.5-），男，遼寧省葫蘆島市，漢族，學(xué)歷：本科，職稱：高講，主要從事網(wǎng)絡(luò)通信技術(shù)研究。