数据恢复（3）：windows系统的MBR磁盘分区

 

1、 MBR结构：MBR扇区是整个硬盘的第一个扇区（C/H/S：001；LBA：0扇区），共512字节

（1）引导程序 前440字节（这部分具有通用性），地址在偏移0-1B7H处。（如果硬盘不是引导盘，可能没有引导程序）

（2）windows磁盘签名 1B8H-1BBH处4字节，磁盘必须有签名，windows是靠磁盘签名来识别硬盘的。如果没有签名会显示未格式化，同一系统中，不同磁盘签名是不同的，如果一样会导致同签名的无法识别。

（3）分区表 1BEH-1FDH的64字节。以16字节为一个分区表描述一个分区结构，所以一个硬盘最多4个主磁盘分区。

（4）结束标志 1FEH-1FFH的2字节 值必须为55AA。如果结束标志被破坏，将无法读到硬盘的分区表，硬盘将会为“没有初始化”状态。

2、 主磁盘分区的结构分析

红线为分区一，蓝线为分区二。

 

 

    （1）引导标志只能为00H或80H。80H为活动分区

    （2）系统分区不能跨柱面，只能是柱面容量的整数倍。

    （3）超过8.4G的分区，C/H/S填充为FEH、FFH、FFH。但是已失去意义。

    （4）偏移01C2H处表示分区类型，按值查表可知其分区类型。

    （5）开始扇区+分区扇区总数=下一个分区的开始扇区。

    （6）主磁盘分区中，每个分区的开始扇区号，都是硬盘的绝对扇区号。

 

 

 

3、 扩展分区的结构分析

    由于主磁盘分区仅能为4个，所以引入了扩展分区。

    扩展分区信息存在一个类似于MBR的扩展引导记录EBR中。也存在结束标志55AA

（1）从上个MBR图的分区表二中的类型可以得知是一个扩展分区。

（2）这个扩展分区并不是一个可用的驱动器，只是一段扩展空间的描述，在其内部进行划分具体的驱动器。（其分区总扇区数是整个扩展分区数）。叫做主扩展分区。

（3）EBR分区表的第一项描述一个逻辑驱动器，第二项指向下一个逻辑驱动器的EBR。如果第二项是空的，后面就不存在分区了。

（4）扩展分区中的扇区是相对扇区，要计算扇区的决对位置需要加上主扩展分区的“开始扇区值”。（子扩展分区中，都按相对分区计算）。