数据恢复

 

            

数据恢复

       我们都知道误删除分区是个很麻烦的问题，尤其是分区有重要的数据。下面介绍一种数据恢复的方法。我们来模拟一个实验环境，情况如下各分区中都有一个抓图工具hysnap.exe。

        原来磁盘的容量为 20 G ,并有四个分区

        H: 主磁盘分区 NTFS 6G 左右

        I: 逻辑分区 FAT32 3G左右

        J:逻辑分区 FAT32 8G左右

        K:逻辑分区 NTFS    4G左右

 

        下面我们来恢复硬盘分区！

        我们利用 winhex 打开这个磁盘 如图：

在分区表中只定义了一个分区,我们很容易知道 H 的分区之前的扇区数是 63，由于分区之间没有冗余，得知扩展分区的起始扇区后，H 分区我们可以定义出来。

 H 大约所占用的柱面为 6*1024/7.84=783 ，所以扩展分区在783柱 附近

  转到 750柱,然后我们利用扩展分区的起始扇区 以 55AA 结尾 这个特点 进行搜索：如图：

如图：

在 764/254/63柱winhex停止查找，下一个扇区应该是扩展分区的起始扇区 （765/0/1）

如图我们已经找到 扩展分区的起始扇区12289725但是分区表中 却是空的

我们可以根据 I 的 DBR记录 得出 I 起始和结束位置

I 的开始位置是 12289725+63=12289788

转到 I的起始扇区 如图：

20H 表示 I 的扇区大小 I 的结束位置是 18442619

所以 第二个扩展分区的开始位置是 18442620但是还是缺少 第一个扩展分区的结束位置，

经过计算后，我们转到第三个扩展分区的起始扇区如图：

最后 我们可以算出 K 的结束位置是 41929649 扇区， 第一个扩展分区的结束位置也是 41929649

接下来 我们要在 分区表中写入数据！

向分区表写入数据

转到 0 号扇区

定义 H 分区 和 第一个扩展分区，

接下来 转到第一个 扩展分区的起始 扇区

定义 I 分区 和 第二个扩展分区

接下来 转到第二个扇区 的起始扇区 如图：

定义 J 分区 和 第三个 扩展分区

 

转到 第三个扩展分区的起始扇区

还保留原来 的 分区表记录，k 分区 根本不用再去定义。

  添加 DBR 记录

我们新添加一块硬盘 ，与 “故障”盘一摸一样

 定义完成后，从新启动机器，对新的硬盘分出一个和H 分区一摸一样的分区。

如图：

 

重新启动 ，将新的分区格式化剩下的工作就是复制 DBR

给分区添加驱动号

 

查看里面的数据

 有抓图工具说明我们成功了。