数据恢复技术-手动修复MBR-/NTFS分区

前言

                           本文只作为本人学习笔记，不做他用，转载请注明原处谢谢！

        本文教大家如何手工修复MBR引导分区，找回丢失的数据，先附加题目镜像（右键我的电脑或win标，选择管理/磁盘管理---操作---附加VHD，test3.vhd）

题目附加完成，打开winhex软件加载磁盘。

加载磁盘完成后界面显示如图（我屏幕分辨率太高）

修复分区1

       首先查看到，这个题目是有四个分区的，但是在资源管理器和磁盘管理器中都没有显示，根据题目类型，先修复其实分区表。

查看整个起始分区表的16进制内容，发现结尾缺少数值55AA，先补上。

     然后开始分析，发现起始分区表中没有数据，开始尝试修复，找到C0/2字段，开始填入数据，模板为：

分区格式+分区位置+分区大小

       首先，判断分区格式，点击分区1，到达分区一的起始区，分区1的位置一般是2048，所以直接在数据解释器中填入2048即可。

也可以使用快捷键ctrl+G跳转。在分区1的起始头中开始找我们需要的数据。

首先是找到了数据中显示有NTFS字样，判断其为NTFS格式分区，NTFS格式分区的代码为07 ，顺便附上分区格式代码表（Windows）

附1，分区格式代码表

NTFS	07
EXFAT	07
FAT32	0C
拓展分区	05 或 0F

        接下来是分区大小的数值查找，NTFS的扇区总数（扇区大小）数值在20/8-20/F字段中，将光标从20/F拉到20/8，光标停在20/8数值上。20/8==x坐标20，y坐标8

附2分区大小数值位置表

NTFS	20/8-20/F	分区大小回填需+1
EXFAT	40/8-40/F
扩展分区	10/C-10/F

复制数据解释器中的32Bit后面的数值

62,916,607

       回到起始分区，现在我们已经有了分区格式，分区位置，分区大小，开始修复分区1。第一个分区表起始位置是C0/2开始，前面四位不管。

根据填写公式：分区格式+分区位置+分区大小

1，分区格式：

2，分区位置，从右往左选后光标停在C0/6左边数字（因为数据是从后往前读的，所以得反写）

数据解释器32Bit数值后填写分区位置2048

3，分区大小，来到分区1起始头，反选20/F-20/8的数值，光标停在20/8左边数值上，复制数据解释器32Bit后边的数值。

回填起始扇区，光标落在C0/A，在数据解释器32Bit数值中填入回填值62,916,607+1=6291608  后，回车写入或者ctrl+b（NTFS格式要+1回填）

修复完成，保存刷新磁盘试试。（ctrl+s）

成功修复，修复下一个分区方式也是以此类推，不再详细解答。

修复分区2

下一个起始分区位置计算公式

起始分区位置计算公式：分区起始数值+分区大小数值=下一个分区起始数值

分区2位置：

62920704

分区2的格式：

07 00 00 00

分区2的大小：

104,859,647

开始回填：

分区格式数值回填，跟在第一分区数值后面

分区位置数值回填

分区大小数值回填（32Bit数值+1回填）

保存刷新查看是否修复完成。

里面的数据也是没问题的：

以此类推修好分区3，4

修复分区3

分区格式

分区位置

分区大小（NTFS格式要+1回填）

---------------------------------------------------------------------------------------------------------------------------------

回填

分区格式

分区位置

分区大小（NTFS格式要+1回填）

保存刷新查看：

修复分区4

分区格式

分区位置

分区大小（NTFS格式要+1回填）

回填

分区格式

分区位置

分区大小

保存刷新查看

至此四个分区全部修复完成。