恢复硬盘误删除分区经历
今天我拿到了一块20G的硬盘，误删除了分区而分区类型NTFS与FAT32都包括，分区大小不知道，下面我就用工具是WinHex 来恢复下。
第一步打开WinHex 并挂载硬盘 如图
选择 要恢复的硬盘
如下图所示 现在就显示只有一个分区 显然不对
我在去看下 DBR 如下图所示 点击跳转 弹出“转到扇区” 第63号
晕 什么都没有
第一分区是没办法了，只好手工查找第二个分区了 （每个分区的结束是以“55AA”）所以选择“查找16进制数值” 如下图所示 查找 “55AA” 设置偏移点 512=510
点击 确定后 查找到了第1个“55AA” 可是这个数据是没有用的
直接按F3 进行下一个“55AA”的查找
第2次 找到到的“55AA” 似乎有戏 如下图所示 找到的“55AA”在 535柱面253磁头63扇区 一般来说每个分区的结束都是在254磁头63扇区（ 记下它 535/254/63）
再次按下 F3 让工具继续找“55AA” 疑 怎么回事 在次查到的55AA竟然和第2次的“55AA”就差1扇区 ，这估计 第2分区的MBR（分区表）找到了 但是现在不肯定如果再次查找到55AA在与估计的第2分区的MBR位置的扇区+63的话就证明第2分区表就是在这写入的。 在这解释下 由微软操作系统分的每个分区是从第1磁头开始写数据的 而分区表则是在1扇区开始写入的
再次查找 “55AA” 哈哈猜的没有错 如下图所示 第2个分区的分区表是在 536柱面0磁头1扇区 赶紧在纸记上 第2个分区的分区表的位置
按F3 再次查找 “55AA” 如下图所示 感觉像是 第2分区的结束 具体是不是还得看下个55AA 是不是在0磁头1扇区 如果是的话就代表 这个是第2分区的结束
按F3 再次查找 “55AA” 哈哈 在上一步 猜想的没有错误 在上一次查找到的55AA就是 第2分区的结束 如下图所示 第3个分区的分区表还在 太幸运了
在查下分区大小就可以了
先看第二分区 如下图所示 找到第二分区的DBR里 分区大小在偏移 28 方位 BF 92 6D不过这是写个是反的 得到过来 6D 92 BF 注意这是16进制的
在看下第一个分区的大小 在前几步知道第一分区的DBR 随这误删除分区给被填充了什么都没了 幸好NTFS文件系统格式里DBR在分区的最后的扇区自动创建了备份，找到最后一个分区把第一个分区的DBR备份复制到第63号扇区里去 如下图
在DBR里 分区大小在偏移 28 方位 D8 63 83 不过这是写个反的 得到过来 则第一个分区的大小就是 83 63 D8 注意这是16进制的
通过前几步的总结 可以得出 以下数据
第一个分区是到535柱面254磁头63扇区结束 分区的大小 （0/1/1---535/254/63）
第二个分区是到982柱面254磁头63扇区结束 分区的大小 (536/1/1---982/254/63)
至于第三个分区的分区表还在，所以只需把第一个分区与第二个分区表恢复出来就好了
但是还需要知道2个条件，第一个就是如果是一个主一个扩展的话那得需要知道 这块硬盘的结束是在哪 硬盘总共是2610柱面255磁头63扇区 估计是在 2609柱面254磁头63扇区 至于是不是一会填写好了第一个分区表就知道了；第二个是在描述第二个扩展分区时得需知道第3个分区的的结束位置。
第一个估计出来了 那就看第二个问题了 选择“转到分区”983/1/1 如下图
找到第三个分区DBR的记录有分区大小 如下图 想知道第3个分区是结束到哪 起始+大小-1=结束扇区
通过 以上几步得到的数据
D： 0/1/1----535/254/63 分区大小是83 63 D8 +1
63 ------8610839
扩展分区： 536/0/1----2609/254/63
8610840-----41929649
E： 536/1/1-----982/254/63 分区大小是 6D 92 BF+1
8610903------15791894
扩展分区 ：983/0/1----1696/254/63
15791895----27262304
F: 983/1/1-----1696/254/63 分区大小是 AF 06 0B （由于是FAT32格式所以这里不需加1）
15791958------27262304
在把得到的数据填写到分区表 如下图
填写第一分区 分区表
填写第二分区 分区表
填写好了保存住 验证下 填写前就2个分区
关闭工具在开启下 在次看 如下图 四个分区都回来了 看下是不是要恢复的数据 重启机器
如 下图所示 误删除分区恢复数据 成功
