【正文】 和EBR的結(jié)構(gòu)是完全一樣的，都是占用了63個扇區(qū)，但只用了第一個扇區(qū)，其余62個扇區(qū)填零不用。再選中“十進制”，十六進制3F轉(zhuǎn)為十進制等于63。 分區(qū)表64個字節(jié)，一共可以描述4個分區(qū)表項，每一個分區(qū)表項可以描述一個主分區(qū)或一個擴展分區(qū)（比如上面的分區(qū)表，第一個分區(qū)表項描述主分區(qū)C盤，第二個分區(qū)表項描述擴展分區(qū)，第三第四個分區(qū)表項填零未用）每一個分區(qū)表項各占16個字節(jié)，各字節(jié)含義如下：（H表示16進制）字節(jié)位置內(nèi)容及含義第1字節(jié)引導(dǎo)標志。（如果關(guān)閉了資源面板可以通過“察看”菜單——“顯示”命令——“詳細資源面板”來打開）。這里我們就選擇打開HD1整個硬盤。首先要安裝Winhex，安裝完了就可以啟動winhex了，啟動畫面如下：首先出現(xiàn)的是啟動中心對話框。盤的數(shù)據(jù)結(jié)構(gòu)：C 盤DBRFAT1FAT2DIRDATA比如MBR和EBR各都占用63個扇區(qū)，C盤占用1435329個扇區(qū)……那么數(shù)據(jù)結(jié)構(gòu)如下表：631435329631435329631253889MBRC盤EBRD盤EBRE盤是很多病毒喜歡破壞的區(qū)域。如果引導(dǎo)代碼丟失，分區(qū)表還在，那么這個硬盤作為從盤所有分區(qū)數(shù)據(jù)都還在，只是這個硬盤自己不能夠用來啟動進系統(tǒng)了。數(shù)據(jù)恢復(fù)我們主要用十六進制編輯器：Winhex （數(shù)據(jù)恢復(fù)首選軟件）我們先了解一下數(shù)據(jù)結(jié)構(gòu)：下面是一個分了三個區(qū)的整個硬盤的數(shù)據(jù)結(jié)構(gòu)MBRC盤EBRD盤EBRE盤MBR，即主引導(dǎo)紀錄，位于整個硬盤的0柱面0磁道1扇區(qū)，共占用了63個扇區(qū)，但實際只使用了1個扇區(qū)（512字節(jié)）。所謂硬恢復(fù)就是硬盤出現(xiàn)物理性損傷，比如有盤體壞道、電路板芯片燒毀、盤體異響，等故障，由此所導(dǎo)致的普通用戶不容易取出里面數(shù)據(jù)，那么我們將它修好，同時又保留里面的數(shù)據(jù)或后來恢復(fù)里面的數(shù)據(jù)，這些都叫數(shù)據(jù)恢復(fù)，只不過這些故障有容易的和困難的之分；所謂軟恢復(fù)，就是硬盤本身沒有物理損傷，而是由于人為或者病毒破壞所造成的數(shù)據(jù)丟失（比如誤格式化，誤分區(qū)），那么這樣的數(shù)據(jù)恢復(fù)就叫軟恢復(fù)。這里呢，我們主要介紹軟恢復(fù)，因為硬恢復(fù)還需要購買一些工具設(shè)備（比如pc3000,電烙鐵，各種芯片、電路板），而且還需要懂一點點電路基礎(chǔ)，我們這里所講到的所有的知識，涉及面廣，層次深，既有數(shù)據(jù)結(jié)構(gòu)原理，為我們手工準確恢復(fù)數(shù)據(jù)提供依據(jù)，又有各種數(shù)據(jù)恢復(fù)軟件的使用方法及技巧，為我們快速恢復(fù)數(shù)據(jù)提供便利，而且所有軟件均為網(wǎng)上下載，不需要我們投資一分錢。在總共512字節(jié)的主引導(dǎo)記錄中，MBR又可分為三部分：第一部分：引導(dǎo)代碼，占用了446個字節(jié)；第二部分：分區(qū)表，占用了64字節(jié)；第三部分：55AA，結(jié)束標志，占用了兩個字節(jié)。如果要恢復(fù)引導(dǎo)代碼，可以用DOS下的命令：FDISK /MBR；這個命令只是用來恢復(fù)引導(dǎo)代碼，不會引起分區(qū)改變，丟失數(shù)據(jù)。EBR，也叫做擴展MBR（Extended MBR）。 最上面的是菜單欄和工具欄，下面最大的窗口是工作區(qū)，現(xiàn)在看到的是硬盤的第一個扇區(qū)的內(nèi)容，以十六進制進行顯示，并在右邊顯示相應(yīng)的ASCII碼，右邊是詳細資源面板，分為五個部分：狀態(tài)、容量、當前位置、窗口情況和剪貼板情況。最下面一欄是非常有用的輔助信息，如當前扇區(qū)/總扇區(qū)數(shù)目……等若值為80H表示活動分區(qū)；若值為00H表示非活動分區(qū)。 第一個分區(qū)表項（C盤）第1字節(jié)80：表示此分區(qū)為活動分區(qū)；第5字節(jié)0B：表示分區(qū)類型為Fat32；第112字節(jié) 系統(tǒng)隱含扇區(qū)3F 00 00 00：所謂系統(tǒng)隱含扇區(qū)就是本分區(qū)（C盤）之前已用了的扇區(qū)數(shù)，這是一個十六進制數(shù)，但要注意：真正的隱含扇區(qū)數(shù)應(yīng)該反過來填寫（比如：隱含扇區(qū)數(shù)為3E 4D 5A 6F，則反過來就是6F 5A 4D 3E ，這才是實際的隱含扇區(qū)數(shù)）。這樣就啟動了計算器計算器有兩種型號，我們要進行進制轉(zhuǎn)換，就要選擇“科學型”想一想我們前面所講的，MBR占用63個扇區(qū)，也就是C盤之前已用了的扇區(qū)數(shù)為63，第64個扇區(qū)就是C盤的第一個扇區(qū)，但要注意的是，整個硬盤的LBA地址是從零開始的，0~62的扇區(qū)為MBR。第一個扇區(qū)前446個字節(jié)都為引導(dǎo)代碼，后64個字節(jié)為分區(qū)表，最后2個字節(jié)為55AA結(jié)束標志。第11116字節(jié)40 09 29 00：本分區(qū)的總扇區(qū)數(shù)。在LBA方式下，系統(tǒng)把所有的物理扇區(qū)都統(tǒng)一編號，按照從零到某個最大值排列，這樣只用一個序數(shù)就確定了一個唯一的物理扇區(qū)。還有興趣來分析一下D盤的EBR嗎？其實D盤的EBR和Ｅ盤的EBR我們不分析也罷，因為無非也是分區(qū)表，跟MBR的結(jié)構(gòu)是一樣的，但卻很容易把我們繞暈，又因為EBR一般不容易被破壞，所以我不建議分析EBR。第11116字節(jié)C1 E6 15 00：本分區(qū)的總扇區(qū)數(shù)，也就是D盤的扇區(qū)數(shù)，先反過來排列就是00 15 E6 C1，轉(zhuǎn)為十進制就是1435329。這里我們就不再研究了，有興趣的話可以自己多備一塊硬盤作從盤，然后自己分分區(qū)研究研究。這個鏈顯然是個開鏈結(jié)構(gòu)，如果形成一個環(huán)，系統(tǒng)本身并不會去判斷它，它只是按照這個鏈忠實的查找分區(qū)，而不進行任何額外的檢測與處理。系統(tǒng)能夠找到C盤以外的其他邏輯盤的唯一辦法就是，沿著EBR所描述的分區(qū)鏈查找分區(qū)。我們首先將MBR所在的扇區(qū)選中。這時候就會出現(xiàn)一個提示，如果你不想存盤了就點取消，如果想存盤，就點確定，再點是。另外，打開窗口菜單也能看出來，當前窗口被打上一個勾，如果想切換回原來的窗口，就點擊“硬盤1”。接著是第4字節(jié)（本分區(qū)起始磁頭號、扇區(qū)號、柱面號），填上：01 01 00。第112字節(jié)，本分區(qū)之前已用了的扇區(qū)數(shù)，也就是MBR所占用的扇區(qū)數(shù)，那不是63嗎？對，但是要將63轉(zhuǎn)為十六進制數(shù)，再反過來倒著填寫上。那么如何才能找到EBR所在的第一個扇區(qū)呢？我們前面說過，EBR的結(jié)構(gòu)和MBR是一樣的，所以，EBR的結(jié)束標志也一定是55AA，那么，只要我們找到這個結(jié)束標志，再看看這個扇區(qū)是不是EBR不就行了？單擊“搜索”——“查找十六進制數(shù)值……”，然后出來一個對話框在文本框中輸入“55AA”，搜索框中選“全部”，然后選中“條件”，把偏移量設(shè)置為“512=510”。10個G大概是2000萬個扇區(qū)，那么你可以用轉(zhuǎn)到扇區(qū)命令直接到1900萬扇區(qū)，從那個地方再開始找不就省事多了。出現(xiàn)一個對話框，選“磁盤管理”，在右邊可以看到磁盤一的三個分區(qū)(Fat3Fat1Ntfs)全部都回來了，至此，手工恢復(fù)分區(qū)表順利完成。FAT文件系統(tǒng)下的手工數(shù)據(jù)恢復(fù)案例關(guān)鍵詞：數(shù)據(jù)恢復(fù)，數(shù)據(jù)恢復(fù)資料，數(shù)據(jù)恢復(fù)技術(shù)本文針對FAT分區(qū)。以具體事例來講，一個 7gb的fat32分區(qū)，其簇的大小是4k,相當于8個扇區(qū)，而分區(qū)內(nèi)的存儲單位是4k,分區(qū)的扇區(qū)總數(shù)如果不是8的倍數(shù)，那余下來的扇區(qū)便是剩余扇區(qū)了。（dbr的參數(shù)說明到數(shù)據(jù)恢復(fù)網(wǎng) 找找）