MBR分区的恢复 - 数据恢复

一、适用场景 —— Windows下的物理盘 MBR分区被破坏

Windows下的物理盘 MBR分区被破坏，即需要恢复第0扇区的数据。

场景1：在使用移动硬盘时，发现无法识别硬盘，将移动硬盘正常断开在重新连接至计算机，提示用户未初始化，移动硬盘无法访问。

场景2：我们使用电脑时，可能因突然的断电、或是在浏览器中下载的绿色软件让电脑中毒，导致电脑无法识别磁盘分区，常见的有电脑无法启动（系统分区）、丢了某个盘。

二、使用工具

WinHex 【一款Windows下运行的十六进制（hex）专业磁盘编辑工具】

官方下载：http://www.x-ways.net 第三方下载：请自行百度

三、解决步骤

1.加载故障磁盘，发现磁盘没有初始化。用winhex打开磁盘，发现第0扇区数据区为全0。

2.由于MBR磁盘第0扇区为引导程序、磁盘标识、分区信息、结束标志等构成，且MBR引导程序具有公共引导特性，所以首先复制一个正常的磁盘MBR引导程序，粘贴到被破坏的磁盘第0扇区。

3.然后搜索DBR区域，分析出该磁盘的分区表信息。

步骤和结果

1. 加载故障磁盘，显示磁盘没有初始化。用winhex打开磁盘发现第0扇区数据区为全0，如下图：（磁盘号为2）

2. 新建1个临时的磁盘，用MBR格式初始化。复制第0扇区信息。

注意，不要选择磁盘2，因为磁盘2是我们要恢复的，磁盘3是临时的。

复制以上区域，其中“AF 3B B8 1A”为该临时磁盘的ID（一个系统下挂载的每个磁盘 ID是唯一的）。

粘贴在磁盘1的第0扇区，并修改磁盘ID为“AF 3B B8 2A”，如图：

3. 搜索“EB”区域，如图：

可以找到6个区域，每个DBR区域都有一个DBR备份区域，所以该磁盘有3个分区。

4. 选中第1条查询结果，如图：

第1个分区为NTFS分区，NTFS分区的最后一个扇区是分区DBR区域的数据备份。起始扇区：128

5. 选中第2条查询结果，如图：

第1个分区的结束扇区为：614527。总共扇区数=614527-128+1=614400扇区

=0x00 09 60 00扇区（正序）

6. 同样分析其它结果数据，完成如下表格：

第2分区为FAT32分区，FAT32分区的DBR区域的备份区域一般在DBR区域的后面第6个扇区的位置。所以不能像第1个分区那样分析结束扇区。请问怎么分析结束扇区？

起始扇区：614528，结束扇区：1228927，总共扇区数=1228927-614528+1=614400扇区=0x00 09 60 00扇区。

第3分区为NTFS分区，起始扇区：1228928，结束扇区：2091135，总共扇区数=2091135-1228928+1=862208扇区=0x 00 0D 28 00扇区。

分区名称	分区类型	分区起始位置	分区起始位置（16进制）	分区总扇区数	分区总扇区数（16进制）
分区1	NTFS（07）	128	0x00 00 00 80	614400	00 09 60 00
分区2	FAT32（0C）	614528	0x00 09 60 80	614400	00 09 60 00
分区3	NTFS（07）	1228928	0x00 12 C0 80	862208	00 0D 28 00

7. 根据分区表项含义，第1个分区应该填入的内容：

偏移地址	00	01	02	03	04	05	06	07	08	09	0A	0B	0C	0D	0E	0F
含义	引导标志	分区起始CHS地址			分区类型	结束CHS地址			分区起始扇区号（倒序写入）				总扇区数（倒序写入）
16进制值	00	02	03	00	07	40	1A	26	80	00	00	00	00	60	09	00

● 起始CHS地址确定办法：（CHS地址读取顺序依次为：磁头扇区柱面）

① 选择命令：跳转到扇区---输入 128---确认。再选择跳转到扇区，可以看到

柱面号：0

磁头号：2

扇区号：3

② CHS地址的二进制形式应该为：“0000 0010 0000 0011 0000 0000”。蓝色区域是磁头号，红色区域是扇区号，黑色区域是柱面号。所以填入 02 03 00。

● 结束CHS地址确定办法：

① 选择命令：跳转到扇区跳转到扇区---输入 614527---确认。再选择跳转到扇区，可以看到

柱面号：38

磁头号：64

扇区号：26

② CHS地址的二进制形式应该为：“0100 0000 0001 1010 0010 0110”。蓝色区域是磁头号，红色区域是扇区号，黑色区域是柱面号。所以填入 40 1A 26。

8. 根据P117页分区表项含义，第2个分区应该填入的内容：

偏移地址	00	01	02	03	04	05	06	07	08	09	0A	0B	0C	0D	0E	0F
含义	引导标志	分区起始CHS地址			分区类型	结束CHS地址			分区起始扇区号				总扇区数
16进制值	00	40	1B	26	0C	7E	32	4C	80	60	09	00	00	60	09	00

● 起始CHS地址确定办法：

① 选择命令：跳转到扇区---输入614528---确认。再选择跳转到扇区，可以看到

柱面号：26

磁头号：40

扇区号：1B

② CHS地址的二进制形式应该为：“0000 0000 0000 0000 0000 0000”。蓝色区域是磁头号，红色区域是扇区号，黑色区域是柱面号。所以填入 40 1B 26。

● 结束CHS地址确定办法：

① 选择命令：跳转到扇区跳转到扇区---输入1228927---确认。再选择跳转到扇区，可以看到

柱面号：4C

磁头号：7E

扇区号：32

② CHS地址的二进制形式应该为：“0000 0000 0000 0000 0000 0000”。蓝色区域是磁头号，红色区域是扇区号，黑色区域是柱面号。所以填入7E 32 4A。

9. 根据P117页分区表项含义，第3个分区应该填入的内容：

偏移地址	00	01	02	03	04	05	06	07	08	09	0A	0B	0C	0D	0E	0F
含义	引导标志	分区起始CHS地址			分区类型	结束CHS地址			分区起始扇区号				总扇区数
16进制值	00	7E	33	4C	07	2A	28	82	80	C0	12	00	00	28	0D	00

● 起始CHS地址确定办法：

① 选择命令：跳转到扇区---输入1228928---确认。再选择跳转到扇区，可以看到

柱面号：4C

磁头号：7E

扇区号：33

② CHS地址的二进制形式应该为：“0000 0000 0000 0000 0000 0000”。蓝色区域是磁头号，红色区域是扇区号，黑色区域是柱面号。所以填入 7E 33 4C。

● 结束CHS地址确定办法：

① 选择命令：跳转到扇区跳转到扇区---输入2091135---确认。再选择跳转到扇区，可以看到

柱面号：82

磁头号：2A

扇区号：28

② CHS地址的二进制形式应该为：“0000 0000 0000 0000 0000 0000”。蓝色区域是磁头号，红色区域是扇区号，黑色区域是柱面号。所以填入2A 28 82。

10. 最后第0扇区应该具有如下数据：

将3个分区记录全部写入0扇区，保存。

0002030007401A268000000000600900

00401B260C7E324C0860090000600900

007E334C072A288280C0120000280D00

Windows资源管理器显示新增3个分区，分区系统分别为：NTFS、FAT32、NTFS，恢复成功。