恢复硬盘分区表

最近刚把数据恢复的课结束,老师布置了作业,给了一块虚拟硬盘

文件,任务就是把里面的数据恢复出来.

我们可以看到硬盘的分区表已经不存在了

这块硬盘的数据可能还存在，所以我们只要把分区表重建一下，数据应该可以回来。硬盘的第一个扇区是 MBR ，里面有引导程序、分区表、 55AA 结束标志，分区表非常重要，所以前 62 个扇区不存放别的记录。我们跳到 63 扇区看一下，这是第一个分区的 DBR ，

在 DBR 中记录了分区的扇区数，如果是 NTFS 的分区应该在偏移 28H ，如果是 FAT 分区则在 20H, 我们可以判定是 FAT 分区并且能够确定它的大小：用 LBA 描述是从 63 扇区到 4096574 扇区，用 C/H/S 描述是 0/1/1 ----254/254/63

第一个分区确定了，应该从 4096575 扇区开始就是下一个分区

这个分区的 DBR 在 28H 有记录说明它是个 NTFS 分区，并且到小我们也是知道的， (LBA)4096575---14346044 、 (C/H/S)255/0/1---892/254/63, 这样第二个分区我们也就确定了，跳到 14346045 扇区应该是第三个分区，

怎么没有 DBR 记录呢，有可能是扩展分区，我们跳过 63 个扇区，如果有 DBR 记录说明这是一个扩展分区

果然是一个扩展分区，并且是个 NTFS 的逻辑分区，记录的大小不是从第二个分区结束，而是从隔开的 63 个扇区开始，所以我们又找出了第三个分区，（ LBA ）

14346108----26635769,(C/H/S)893/1/1---1657/254/63, 下面应该是下一个分区，

没错的话这又是一个扩展分区，跳过 63 个扇区去看一下

居然没有记录，硬盘还有差不多 1000 个扇区，应该还有分区我们来搜索一下 55AA, 这是 DBR 的结束标志，

搜到两个看样子都不是我们要找的

这个看样子是我们所需要的

这与 FAT32 的备份有点像隔了 6 个扇区，我们可以判定这个分区的大小了

(LBA)26635833---41929649 (C/H/S)1658/1/1---2609/254/63

我们来总结一下各个分区的起始和大小

我们把这些数据转换成 16 进制并写入分区表

写入主分区表

保存然后重新启动

本文出自 “Fight For Free & Union” 博客，谢绝转载！