数据恢复一
文章主要内容，
一介绍一下最最基本的东西
二 winhex的使用简介
三 主引导记录破坏后的恢复
四 误删除磁盘分区的三种恢复方法
鉴于菜鸟水平，所以这里恳请大虾们多多批评
一、我们需要掌握的基础
硬盘分区有三种，主磁盘分区、扩展磁盘分区、逻辑分区。
一个硬盘可以有一个主分区，一个扩展分区，也可以只有一个主分区没有扩展分区。逻辑分区可以若干。
主分区是硬盘的启动分区，他是独立的，也是硬盘的第一个分区，正常分的话就是C驱。
分出主分区后，其余的部分可以分成扩展分区，一般是剩下的部分全部分成扩展分区，也可以不全分，那剩的部分就浪费了。
但扩展分区是不能直接用的，他是以逻辑分区的方式来使用的，所以说扩展分区可分成若干逻辑分区。他们的关系是包含的关系，所有的逻辑分区都是扩展分区的一部分 ]
硬盘的容量＝主分区的容量＋扩展分区的容量
扩展分区的容量＝各个逻辑分区的容量之和
主分区也可成为“引导分区”，会被操作系统和主板认定为这个硬盘的第一个分区。（A,B）系统为软驱预留的，但现在虽然软驱已经基本不再使用，但C盘却依然是排在所有磁盘分区的第一的位置上。
除去主分区所占用的容量以外，剩下的容量被认定为扩展分区。通俗的讲就是主分区是硬盘的主人，而扩展分区是这个硬盘上的仆人，主分区和扩展分区为主从关系。
扩展分区如果不再进行分区了，那么扩展分区就是逻辑分区了。如果还需要进行分区操作的话，则所谓的逻辑分区只能从扩展分区上操作。就相当于在仆人中（扩展分区上）进行细分类，分成（D盘）、（E盘）、（F盘）等等。
所以扩展分区和逻辑分区的关系相当于再分类关系。
主分区和扩展分区属于同一级别，而逻辑分区是扩展分区的下一级。每个磁盘最多可以创建四个主分区，但是之后不能再创建扩展分区了，也可以不创建主分区。但是如果要安装系统进行引导启动则必须有一个主分区并且是激活的，否则无法从硬盘启动计算机。
主分区，也称为主磁盘分区，和扩展分区、逻辑分区一样，是一种分区类型。主分区中不能再划分其他类型的分区，因此每个主分区都相当于一个逻辑磁盘（在这一点上主分区和逻辑分区很相似，但主分区是直接在硬盘上划分的，逻辑分区则必须建立于扩展分区中）。
实际上在早期的硬盘分区中并没有主分区、扩展分区和逻辑分区的概念，每个分区的类型都是现在所称的主分区。由于硬盘仅仅为分区表保留了64个字节的存储空间，而每个分区的参数占据16个字节，故主引导扇区中总计只能存储4个分区的数据。也就是说，一块物理硬盘只能划分为4个逻辑磁盘。在具体的应用中，4个逻辑磁盘往往不能满足实际需求。为了建立更多的逻辑磁盘供操作系统使用，引入了扩展分区和逻辑分区，并把原来的分区类型称为主分区。
分区表拓展阅读
硬盘存储拓展阅读
进制转换
没什么把握得还是用计算器吧
上面用了很多的篇幅介绍主分区，扩展分区，逻辑分区，说的有点罗嗦了，但我觉得还是有必要复习一下，加深了解
下面就简单的说说Winhex的使用
数据恢复一_职场
执行 winhex.exe
数据恢复一_休闲_02
选择工具上的磁盘编辑器
数据恢复一_休闲_03
选择0号磁盘，当前我的系统只有一块硬盘，一个分区
数据恢复一_数据恢复_04
数据恢复一_数据恢复_05数据恢复一_数据恢复_06
选择常规我们来，消除这个错误
数据恢复一_数据恢复_07数据恢复一_职场_08
选择是
数据恢复一_休闲_09
同样的方法
数据恢复一_职场_10
是
数据恢复一_职场_11数据恢复一_职场_12
关闭再打开，顺便我们给软件注册一下
数据恢复一_职场_13
双击
数据恢复一_职场_14
名字和地址随意填写
算出注册信息后我们复制所有的内容
数据恢复一_职场_15
选择，帮助下的注册
数据恢复一_休闲_16
粘贴刚刚复制的内容
数据恢复一_数据恢复_17
选择是
数据恢复一_休闲_18
这里我们需要了解的是
现在的硬盘一般都支持逻辑块寻址(LBA)和柱面磁头扇区寻址(CHS),
LBA(Logical Block Addressing)逻辑块寻址模式。
Cylinder/Head/Sector :柱面／磁头／扇区
柱面编号从0开始，每个柱面有255个磁头，编号从0到254，每磁道有63个扇区，编号从1到63。当然这些只是理论上设计的，便于计算的说法
事实上硬盘上有个地址翻译器，能将真实的C/H/S翻译成理论的C/H/S
这里我们需要将磁盘理解为一个圆柱形，而不是一个圆盘
每个扇区是128×2的2次方＝512字节
每个柱面的大小是 255磁头×63扇区×512字节＝7.8M
分区表在硬盘的第一个扇区，0柱面0磁头1扇区，这个扇区也被称为MBR，主引导记录。MBR有512个字节，分为三部分内容，第一部分是个引导程序，446字节；第二部分是分区表，64字节；第三部分是结束标志，内容是55AA，2字节。绿色部分以上的就是MBR的内容，绿色部分为分区表。
我们注意绿色区域的部分（就是刚才大图的部分）
是值得我们注意的
数据恢复一_数据恢复_19
在图示中，第一个分区是有记录的，因为我的环境中只有一块硬盘，并且这块硬盘只有一个分区，
今天就说说重写MBR记录
先破坏一下硬盘上的主引导记录
数据恢复一_休闲_20
我选中80以上的主引导记录
数据恢复一_休闲_21 数据恢复一_数据恢复_22
我们全部写入0
选择是
数据恢复一_数据恢复_23
关闭选择保存
数据恢复一_职场_24
继续选择是
数据恢复一_数据恢复_25
是
数据恢复一_职场_26
重启一下系统
不出意外的话 ，应该是起不来的
数据恢复一_休闲_27
我们会发现系统现在已经找不到了
，
我们挂载windows server 2003 sp1 enterprise 32bit的安装光盘，（我的系统是2003 sp1）
数据恢复一_数据恢复_28
重启系统，选择从光驱启动
数据恢复一_数据恢复_29
选择用修复台修复windows
输入R
数据恢复一_数据恢复_30
输入1
回车
数据恢复一_职场_31
这里要输入管理员口令的，
键入 fixmbr
回车
数据恢复一_数据恢复_32
输入
Y
数据恢复一_休闲_33
输入exit退出
系统 自动重启
数据恢复一_职场_34数据恢复一_数据恢复_35
输入管理员口令
数据恢复一_休闲_36系统回来了
Ok
当然实际的工作中我们的硬盘不可能是只有C盘的，当然还有别的盘
如果别的盘被误删除了怎么办呢
数据恢复一_数据恢复_37 数据恢复一_职场_38
我新挂了一块硬盘，
分成了三个区
分别是E F G
下面我们来分析一下这块硬盘的分区表
数据恢复一_职场_39
我们选择挂载到1号硬盘
数据恢复一_数据恢复_40
我们现在可以清楚地看到现在是0柱面0磁头 1扇区
数据恢复一_数据恢复_41
这是分区表的详细信息，我们注意这里的55AA结束标志
我们看到的绿色部分的四行，就是第1号硬盘的分区表信息
前文已经提过，分区表一共有64个字节，每个分区就是16个字节
最后一个呢因为我之后三个分区
下面 我们分别来解释一下，分区表里面的数值的含义
00 01 01 00 07 FE 7F 7E 3F 00 00 00 80 E2 5D 00
前八个字节是C/H/S的表示方法
分别是00 不可引导，01 一磁头 ，01 一扇区 ，00 代表0柱面，通常我们称之为0柱面一磁头，一扇区，07代表分区类型类型NTFS，最后的三个字节，表示结束的磁头扇区柱面
FE表示结束磁头是254 十六进制换算成十进制
7F 表示扇区编号，我们知道每个磁道有63个扇区，63的二进制就是111111，因此这里第七位上的数值，只采用了六位二进制数，7F换算成二进制是1111111 ,最前面的那个1 借给第八位的柱面，准确的说是高两位，这里也应该是01，因为柱面有时候两位往往是不够用的，第七位这里也就只有111111就是63了
7E 第八位的7E 现在借了第七位一个01，因此现在就是 （01）7E
换算成十进制就是382
现在我们就明白了，
第一个分区开始在0柱面1磁头1扇区，结束在382柱面254磁头63扇区
表示为 0/1/1 ~382/254/63
红色部分是LBA的表示方法
3F 00 00 00 80 E2 5D 00
前四位是表示分区之前扇区数的，后四位表示分区大小
注意这里有个高地位互换
高地位互换就是00 00 00 3F 转换为十进制就是63 意思是从硬盘的63扇区开始的
这里需要注意的就是LBA 是从0开始表示扇区的
后四位是表示分区大小的
80 E2 5D 00 高地位互换就是表示为 5D E2 80
现在我们想知道的就是分区的结束为止，起始位置我们已经知道了，分区大小我们也已经知道了。我们用起始+大小-1算出分区的结束为止
十进制的63+5DE280-1=6152894
数据恢复一_职场_42
看看我们的柱面号是不是和我们算的是一致的，
数据恢复一_数据恢复_43
我们接着来分析，第二个分区
00 00 41 7F 07 FE BF 7D BF E2 5D 00 3F 82 3E 00
00 表示不可引导，00 表示0磁头 ，41的二进制为1000001 低六位就是1表示1扇区，7F 实际值为17F 换算成十进制为383 ，07表示NTFS ，FE 表示结束磁头为254扇区，BF换算成二进制就是10111111 我们只取第六位111111=十进制的63即扇区编号 ;7D实际值为27D =637柱面
好磁盘二就是开始位置就是383柱面/0磁头/1扇区
结束在637柱面/254磁头/63扇区
BF E2 5D 00 3F 82 3E 00
BF E2 5D 高地位互换就是5D E2 BF = 6152895
3F 82 3E 00 高地位互换就是3E 82 3F= 4096575
起始+大小-1= 6152895+4096575-1=10249469
数据恢复一_休闲_44
数据恢复一_职场_45
00 00 81 7E 07 FE FF FF FE 64 9C 00 16 86 63 00
我们在来分析第三个分区
00 不可引导； 00 0磁头；81表示扇区，10000001取六位就是000001=1即一扇区
；7E 实际值为27E =638柱面；07NTFE类型;FE 254磁头；FF=11111111取六位即111111=63扇区；FF 实际值为3FF=1023柱面
即 第三个分区从 638柱面/0磁头/1扇区到 1023柱面254磁头63扇区的
这里需要说明的就是如果你的硬盘很大的话C/H/S这种方式已近基本不起作用了，主要看LBA 即可
FE 64 9C 00 16 86 63 00
FE 64 9C 00高地位互换就是 9C64 FE = 10249470，起始
16 86 63 00 高地位互换就是 63 86 16 = 6522390 大小
起始+大小-1= 16771859
数据恢复一_休闲_46
数据恢复一_数据恢复_47
我们现在删除磁盘1上的所有分区
数据恢复一_职场_48
我们试着恢复一下试试
打开 winhex
数据恢复一_休闲_49
我们知道第一个分区肯定是从63扇区开始的，我们转到63扇区，查找28偏移，图示中的7F E2 5D 就是分区的大小-1
我们知道了分区的起始 ，知道了分区的大小，那么分区的结束位置就是大小-起始+1了
高地位互换就是 5D E2 7F =6152831 +63 => 6152894
转到这个分区
数据恢复一_职场_50
我们就可以推算出 该分区从0/1/1 到 382/254/63
LBA 的起始根据63扇区，大小就是5D E2 7F +1=5DE280
高地位互换一下就是80 E2 5D
00 00 00 00 07 00 00 00 00 00 00 00 00 00 00 00
加入说我们最初可以确定的分区表数值是这样的
那么现在就可以写出
00 01 01 00 07 00 00 00 3F 00 00 00 80 E2 5D00
蓝色部分也就是第六七八位我们另起一行描述 第一个00 表示磁头即254=FE
再说第三个00 表示柱面 382 柱面，382的十六进制为17E，但是我们这里只有两位只能填写7E
第二个00 表示扇区编号，63扇区的二进制为111111十六进制为3F 在高位上在加一个1
就是1111111=>十六进制=7F
=>
00 01 01 00 07 FE 7F 7E 3F 00 00 00 80 E2 5D00
补充一下 我们知道了第一个分区的起始扇区 63 大小5DE280 =>结束位置为起始+大小-1=6152894
还有我们开可以推算出，下一个分区的起始位置肯定是383/0/1 或者说是 6152894+1=6152895
数据恢复一_职场_51数据恢复一_休闲_52数据恢复一_休闲_53
找到28 偏移位置
我们知道了第二块硬盘的起始位置6152895 知道了大小-1=3E 82 3E =>结束为止为6152895 + 3E823E =10249469=9C64FD数据恢复一_休闲_54
我们转到这个扇区 验证一下
Ok
没错
我们现在已经可以知道第二个分区的起始位置为383/0/1 结束位置为637/254/63
LBA 的起始为6152895 =5DE2BF结束为10249469=9C64FD 大小= 3E823E+1=3E823F
383的十六进制为17F 前面的1 借的第三个00所以原先第三位上写01就可以了，现在要表示成01000001换算成十六进制就是41
现在的分区表我们可以如下填写了
00 00 00 00 07 00 00 00 00 00 00 00 00 00 00 00
00 00 41 7F 07
00 00 41 7F 07 FE
637=十六进制的27D
63=十六进制的3F =二进制的111111，加上上面借的高位2就变成10111111=十六进制的BF
00 00 41 7F 07 FE BF 7D
00 00 41 7F 07 FE BF 7D BF E2 5D 00 3F 82 3E 00
下面我们可以继续推算第三个分区了
现在我们可以确定的是第三个分区的起始位置是在638/0/1 用 LBA 表示就是10249470=9C64FE扇区
数据恢复一_休闲_55
LBA起始知道了 大小知道了 起始加大小-1不就是结束吗16771859=FFEB13
用C/H/S 表示为1043/254/63
00 00 00 00 07 00 00 00 00 00 00 00 00 00 00 00
00 00 00 00 07 00 00 00 FE 64 9C 00 16 86 63 00
00 00 00 00 07 00 00 00
638的十六进制为27E
10000001=十六进制的81
00 00 81 7E
00 00 81 7E 07
00 00 81 7E 07 FE
00 00 81 7E 07 FE FF FF FE 64 9C 00 16 86 63 00
蓝色部分解释 ，超过1023柱之后，C/H/S 就表示不了了。只能用FF 表示
00 01 01 00 07 FE 7F 7E 3F 00 00 00 80 E2 5D00
00 00 41 7F 07 FE BF 7D BF E2 5D 00 3F 82 3E 00
00 00 81 7E 07 FE FF FF FE 64 9C 00 16 86 63 00
现在我们的分区表已经算出来了
要做的就是往里面填写了
数据恢复一_职场_56
转到0扇区
填写分区表信息
数据恢复一_休闲_57数据恢复一_职场_58数据恢复一_职场_59
保存关闭后从启一下计算机
数据恢复一_职场_60
打开设备管理器。我们需要对这几个盘添加盘符
数据恢复一_职场_61数据恢复一_休闲_62
看看里面的数据还在不在吧
下面在介绍一种方法
数据恢复一_职场_63
我挂上深山叶的工具盘
光启计算机
选择第二项
数据恢复一_数据恢复_64
数据恢复一_休闲_65
输入 diskgen
数据恢复一_休闲_66
硬盘下选择第二块硬盘
数据恢复一_职场_67
工具下的 重建分区表
继续
数据恢复一_数据恢复_68
交互方式
数据恢复一_数据恢复_69
选择保留
数据恢复一_休闲_70
保留
数据恢复一_职场_71
保留
数据恢复一_数据恢复_72
确定
数据恢复一_职场_73
选择硬盘下的存盘，或者按F8
是
数据恢复一_休闲_74数据恢复一_数据恢复_75
硬盘下退出
选择重新启动
数据恢复一_休闲_76
数据恢复一_休闲_77
数据恢复一_职场_78
添加驱动器号
数据恢复一_休闲_79
数据还在
，我们在找个软件 看看有没有类似的方法可以解决的
数据恢复一_数据恢复_80
双击
数据恢复一_数据恢复_81
选择第二块硬盘，搜索分区
数据恢复一_数据恢复_82
开始搜素
数据恢复一_休闲_83
保留
数据恢复一_数据恢复_84
保留
数据恢复一_职场_85
保留
数据恢复一_职场_86
确定
数据恢复一_数据恢复_87
我直接可以再软件里面看到恢复出来的硬盘里面的内容
数据恢复一_职场_88
点选 ，应用更改
数据恢复一_职场_89
确定 ，关闭软件
数据恢复一_职场_90
相对于深山红叶的工具盘来说
这个不用重启
操作也相对简单
效果么 ，看起来还不错
软件有3.71M 名字叫做diskgenius
有兴趣的可以网上找一下
找了个不一样版本的下载地址
哈哈