数据恢复

数据恢复

今天岳老师给啦我们一个要恢复的虚拟的硬盘让我们把它给恢复过来,我心里还是没什么把握只能硬着头皮去试试啦!

首先用winhex打开要恢复的硬盘如下图：

我们首先要对硬盘进行分析。

我们知道每个硬盘的前63个扇区是保留给系统用的，所以我们应该从63开始进行搜索如下图所示；

我们在ch28的地方看到有数据，这样可以确定2方面的信息；第一说明是NTFS分区；第二说明该分区分区的大小（这里大小是减去1的大小，实际大小是在此基础上加1）我们这样就能算出第一个分区在哪结束啦！

第一个分区：（0/1/1-- ;63— ）

我们通过起始+大小-1能算出第一个分区在哪里结束：

我们转到5124734扇区看看是不是

不错对这呢是这。第一个分区我们确定下来啦；（0/1/1—318/254/63;63—5124734）！！

这样的话我们就知道下个分区在哪开始啦，有可能是在(319/0/1--- ;5124735--- )

我们去看看是不是这样的

就是这里啦我们看到在ch20的开头有数据我们就能确定是FAT分区，这里记录的就是分区的实际大小。通过计算我们可以确定第二个分区的结束位置。

我们转到这个扇区看看是不是

不错对，是这个地方这样我就算出第二个分区结束的位置(319/0/1--- 471/254/63 ;5124735---7582679 )

同理我们也就知道第三个分区从哪里开始啦！！（472/0/1--- ;7582680--- ）

我们进去看看：

对着呢是这里啦，我们看到是在ch28的地方有数据，我们可以确定是NTFS分区啦!也知道啦大小，同理我们就能算出结束的位置在哪里啦！

472/0/1---777/254/63 ;7582680---12498569 ）

我们现在分析出啦分区的个数和大小，现在我们把分区表创建出来就成啦！！

第一个分区；（0/1/1—318/254/63;63—5124734）！！

第二个分区；(319/0/1--- 471/254/63 ;5124735---7582679 )

第三个分区：472/0/1---777/254/63 ;7582680---12498569 ）

第一个分区表

00 01 01 00 07 FE 7F 3F 3F 00 00 00 40 32 4E 00

第二个分区表

00 00 41 3F 06 FE 7F D7 7F 32 4E 00 59 81 25 00

第三个分区表

00 00 41 D8 07 FE FF 09 D8 B3 73 00 B2 02 4B 00

现在我们来重建分区表

重启计算机后我们看到分区回来啦！！

我们看看里面的数据能看吗！！！

再看一个分区！！

好的，大功告成！！O(∩_∩)O~O(∩_∩)O哈哈~