课堂数据恢复实战
                                           
对扇区的定位有两种方法:其一是C/H/S;其二是LBA,即扇区的编号。操作系统一般用LBA来计算,更适合计算机的使用。
C/H/S 相对比较直观,但是计算复杂或者说有的时候用C/H/S表示不出来,这时必须采用LBA,它的特点是计算简单,但是相对不直观,下面对这两种对分区的定位进行分析一下。
首先,一个转化关系必须清晰:
1柱面=255个盘片=255个磁道
1扇区=512字节
1磁道=63个扇区
利用C/H/S计算,磁头从0到254磁头,扇区从1到63扇区;但是利用LBA计算的话,扇区从0开始计算,这是需要注意的地方。
另一种方法:软件扫描:打开深山红叶,单击ms-dos工具箱dos 7.10.
误删除分区实际上只是修改了扇区的MBR,对数据影响不大。只要分区的起始扇区和结束扇区确定后,分区表即可确定,一般情况下,硬盘的第一个扇区都是从63扇区开始,如果用C/H/S表示即从0磁头,1扇区,1柱面开始,结束于254磁头,63扇区。
我用分区表数据分析工具winhex,打开winhex,转到第一个分区的起始扇区,带扩展分区和逻辑分区的磁盘结构如下:每个分区的起始都有一个63扇区,且第一个扩展分区和第二个扩展分区的表示如下。
 
转到第一个分区的起始扇区,在28H位置记录的分区的大小,根据分区起始扇区+分区大小-1就可以得到分区的结束扇区。
我认为定义分区为L,M,N.
 
 
先看L分区,
起始63扇区,结束扇区=63+1388AFC-1,注意:如果是NTFS分区,那么在28H位置记录的大小要比实际大小少一。所以实际大小是1388AFC,并且是按照分区表倒过来读的。
L:C/H/S: 0/1/1—1274/254/63  LBA: 63---20482874  
扩展1:1275/0/1—2609/254/63  20482875—41929649
于是手写分区表为:
00 01 01 00 07 FE FF FA
3F 00 00 00 FC 8A 38 01
这是L分区的分区表。
 
 
 
转到扇区。
 
 
 

分析M分区。
C/H/S:1275/1/1—2039/254/63   LBA:20482938—32772599
扩展2.32772600—41929649
M的分区表为:
00 01 C1 FF 07 FE FF FF
7A 8B 38 01 7D 86 BB 00
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 

分析N分区:
C/H/S:2040/1/1—2609/254/63     LBA:32772663-41929649
分区表:
00 01 C1 FF 07 FE FF FF
37 12 F4 01 7A B9 8B 00
 
 
 
 
 
 
 
 
 
 
 
 
 
 

手写分区表后,恢复数据为“易我”,三个分区都正常。
 
 
 
下面是软件扫描的方式。选择第二项。
 
 
 
选择一块硬盘。
 
 
输入diskgen。
 
 
进入磁盘分析界面。选择我们要恢复的硬盘,然后点击工具---重建分区表,出现如下界面,点击继续。
 
 
这里选择交互方式
 

这里找到一个10G的分区,很可能是我们要找的,选择保留。

这里找到一个0M的分区,显然不是要恢复的内容,因为我们的分区中有内容的。选择跳过。
 
 
接下来又找到一个6G的分区,我选择保留。
 
 
 
最后又找到一个4G的分区,选择保留。
 
 

最后提示分区表重建完毕,点击确定。
 
提示是否更新分区表,点是。
 
 
最后存盘。重新启动。
 
重新启动后,还需要为刚扫描的分区指定盘符。假如是L.M.N三个分区。
 
打开相应的盘符,找到里面的数据是“易我”数据恢复工具。
 
 
 
 
实战到此结束。