【正文】 和EBR的結(jié)構(gòu)是完全一樣的，都是占用了63個(gè)扇區(qū)，但只用了第一個(gè)扇區(qū)，其余62個(gè)扇區(qū)填零不用。再選中“十進(jìn)制”，十六進(jìn)制3F轉(zhuǎn)為十進(jìn)制等于63。 分區(qū)表64個(gè)字節(jié)，一共可以描述4個(gè)分區(qū)表項(xiàng)，每一個(gè)分區(qū)表項(xiàng)可以描述一個(gè)主分區(qū)或一個(gè)擴(kuò)展分區(qū)（比如上面的分區(qū)表，第一個(gè)分區(qū)表項(xiàng)描述主分區(qū)C盤，第二個(gè)分區(qū)表項(xiàng)描述擴(kuò)展分區(qū)，第三第四個(gè)分區(qū)表項(xiàng)填零未用）每一個(gè)分區(qū)表項(xiàng)各占16個(gè)字節(jié)，各字節(jié)含義如下：（H表示16進(jìn)制）字節(jié)位置內(nèi)容及含義第1字節(jié)引導(dǎo)標(biāo)志。（如果關(guān)閉了資源面板可以通過(guò)“察看”菜單——“顯示”命令——“詳細(xì)資源面板”來(lái)打開）。這里我們就選擇打開HD1整個(gè)硬盤。首先要安裝Winhex，安裝完了就可以啟動(dòng)winhex了，啟動(dòng)畫面如下：首先出現(xiàn)的是啟動(dòng)中心對(duì)話框。盤的數(shù)據(jù)結(jié)構(gòu)：C 盤DBRFAT1FAT2DIRDATA比如MBR和EBR各都占用63個(gè)扇區(qū)，C盤占用1435329個(gè)扇區(qū)……那么數(shù)據(jù)結(jié)構(gòu)如下表：631435329631435329631253889MBRC盤EBRD盤EBRE盤是很多病毒喜歡破壞的區(qū)域。如果引導(dǎo)代碼丟失，分區(qū)表還在，那么這個(gè)硬盤作為從盤所有分區(qū)數(shù)據(jù)都還在，只是這個(gè)硬盤自己不能夠用來(lái)啟動(dòng)進(jìn)系統(tǒng)了。數(shù)據(jù)恢復(fù)我們主要用十六進(jìn)制編輯器：Winhex （數(shù)據(jù)恢復(fù)首選軟件）我們先了解一下數(shù)據(jù)結(jié)構(gòu)：下面是一個(gè)分了三個(gè)區(qū)的整個(gè)硬盤的數(shù)據(jù)結(jié)構(gòu)MBRC盤EBRD盤EBRE盤MBR，即主引導(dǎo)紀(jì)錄，位于整個(gè)硬盤的0柱面0磁道1扇區(qū)，共占用了63個(gè)扇區(qū)，但實(shí)際只使用了1個(gè)扇區(qū)（512字節(jié)）。所謂硬恢復(fù)就是硬盤出現(xiàn)物理性損傷，比如有盤體壞道、電路板芯片燒毀、盤體異響，等故障，由此所導(dǎo)致的普通用戶不容易取出里面數(shù)據(jù)，那么我們將它修好，同時(shí)又保留里面的數(shù)據(jù)或后來(lái)恢復(fù)里面的數(shù)據(jù)，這些都叫數(shù)據(jù)恢復(fù)，只不過(guò)這些故障有容易的和困難的之分；所謂軟恢復(fù)，就是硬盤本身沒(méi)有物理?yè)p傷，而是由于人為或者病毒破壞所造成的數(shù)據(jù)丟失（比如誤格式化，誤分區(qū)），那么這樣的數(shù)據(jù)恢復(fù)就叫軟恢復(fù)。這里呢，我們主要介紹軟恢復(fù)，因?yàn)橛不謴?fù)還需要購(gòu)買一些工具設(shè)備（比如pc3000,電烙鐵，各種芯片、電路板），而且還需要懂一點(diǎn)點(diǎn)電路基礎(chǔ)，我們這里所講到的所有的知識(shí)，涉及面廣，層次深，既有數(shù)據(jù)結(jié)構(gòu)原理，為我們手工準(zhǔn)確恢復(fù)數(shù)據(jù)提供依據(jù)，又有各種數(shù)據(jù)恢復(fù)軟件的使用方法及技巧，為我們快速恢復(fù)數(shù)據(jù)提供便利，而且所有軟件均為網(wǎng)上下載，不需要我們投資一分錢。在總共512字節(jié)的主引導(dǎo)記錄中，MBR又可分為三部分：第一部分：引導(dǎo)代碼，占用了446個(gè)字節(jié)；第二部分：分區(qū)表，占用了64字節(jié)；第三部分：55AA，結(jié)束標(biāo)志，占用了兩個(gè)字節(jié)。如果要恢復(fù)引導(dǎo)代碼，可以用DOS下的命令：FDISK /MBR；這個(gè)命令只是用來(lái)恢復(fù)引導(dǎo)代碼，不會(huì)引起分區(qū)改變，丟失數(shù)據(jù)。EBR，也叫做擴(kuò)展MBR（Extended MBR）。 最上面的是菜單欄和工具欄，下面最大的窗口是工作區(qū)，現(xiàn)在看到的是硬盤的第一個(gè)扇區(qū)的內(nèi)容，以十六進(jìn)制進(jìn)行顯示，并在右邊顯示相應(yīng)的ASCII碼，右邊是詳細(xì)資源面板，分為五個(gè)部分：狀態(tài)、容量、當(dāng)前位置、窗口情況和剪貼板情況。最下面一欄是非常有用的輔助信息，如當(dāng)前扇區(qū)/總扇區(qū)數(shù)目……等若值為80H表示活動(dòng)分區(qū)；若值為00H表示非活動(dòng)分區(qū)。 第一個(gè)分區(qū)表項(xiàng)（C盤）第1字節(jié)80：表示此分區(qū)為活動(dòng)分區(qū)；第5字節(jié)0B：表示分區(qū)類型為Fat32；第112字節(jié) 系統(tǒng)隱含扇區(qū)3F 00 00 00：所謂系統(tǒng)隱含扇區(qū)就是本分區(qū)（C盤）之前已用了的扇區(qū)數(shù)，這是一個(gè)十六進(jìn)制數(shù)，但要注意：真正的隱含扇區(qū)數(shù)應(yīng)該反過(guò)來(lái)填寫（比如：隱含扇區(qū)數(shù)為3E 4D 5A 6F，則反過(guò)來(lái)就是6F 5A 4D 3E ，這才是實(shí)際的隱含扇區(qū)數(shù)）。這樣就啟動(dòng)了計(jì)算器計(jì)算器有兩種型號(hào)，我們要進(jìn)行進(jìn)制轉(zhuǎn)換，就要選擇“科學(xué)型”想一想我們前面所講的，MBR占用63個(gè)扇區(qū)，也就是C盤之前已用了的扇區(qū)數(shù)為63，第64個(gè)扇區(qū)就是C盤的第一個(gè)扇區(qū)，但要注意的是，整個(gè)硬盤的LBA地址是從零開始的，0~62的扇區(qū)為MBR。第一個(gè)扇區(qū)前446個(gè)字節(jié)都為引導(dǎo)代碼，后64個(gè)字節(jié)為分區(qū)表，最后2個(gè)字節(jié)為55AA結(jié)束標(biāo)志。第11116字節(jié)40 09 29 00：本分區(qū)的總扇區(qū)數(shù)。在LBA方式下，系統(tǒng)把所有的物理扇區(qū)都統(tǒng)一編號(hào)，按照從零到某個(gè)最大值排列，這樣只用一個(gè)序數(shù)就確定了一個(gè)唯一的物理扇區(qū)。還有興趣來(lái)分析一下D盤的EBR嗎？其實(shí)D盤的EBR和Ｅ盤的EBR我們不分析也罷，因?yàn)闊o(wú)非也是分區(qū)表，跟MBR的結(jié)構(gòu)是一樣的，但卻很容易把我們繞暈，又因?yàn)镋BR一般不容易被破壞，所以我不建議分析EBR。第11116字節(jié)C1 E6 15 00：本分區(qū)的總扇區(qū)數(shù)，也就是D盤的扇區(qū)數(shù)，先反過(guò)來(lái)排列就是00 15 E6 C1，轉(zhuǎn)為十進(jìn)制就是1435329。這里我們就不再研究了，有興趣的話可以自己多備一塊硬盤作從盤，然后自己分分區(qū)研究研究。這個(gè)鏈顯然是個(gè)開鏈結(jié)構(gòu)，如果形成一個(gè)環(huán)，系統(tǒng)本身并不會(huì)去判斷它，它只是按照這個(gè)鏈忠實(shí)的查找分區(qū)，而不進(jìn)行任何額外的檢測(cè)與處理。系統(tǒng)能夠找到C盤以外的其他邏輯盤的唯一辦法就是，沿著EBR所描述的分區(qū)鏈查找分區(qū)。我們首先將MBR所在的扇區(qū)選中。這時(shí)候就會(huì)出現(xiàn)一個(gè)提示，如果你不想存盤了就點(diǎn)取消，如果想存盤，就點(diǎn)確定，再點(diǎn)是。另外，打開窗口菜單也能看出來(lái)，當(dāng)前窗口被打上一個(gè)勾，如果想切換回原來(lái)的窗口，就點(diǎn)擊“硬盤1”。接著是第4字節(jié)（本分區(qū)起始磁頭號(hào)、扇區(qū)號(hào)、柱面號(hào)），填上：01 01 00。第112字節(jié)，本分區(qū)之前已用了的扇區(qū)數(shù)，也就是MBR所占用的扇區(qū)數(shù)，那不是63嗎？對(duì)，但是要將63轉(zhuǎn)為十六進(jìn)制數(shù)，再反過(guò)來(lái)倒著填寫上。那么如何才能找到EBR所在的第一個(gè)扇區(qū)呢？我們前面說(shuō)過(guò)，EBR的結(jié)構(gòu)和MBR是一樣的，所以，EBR的結(jié)束標(biāo)志也一定是55AA，那么，只要我們找到這個(gè)結(jié)束標(biāo)志，再看看這個(gè)扇區(qū)是不是EBR不就行了？單擊“搜索”——“查找十六進(jìn)制數(shù)值……”，然后出來(lái)一個(gè)對(duì)話框在文本框中輸入“55AA”，搜索框中選“全部”，然后選中“條件”，把偏移量設(shè)置為“512=510”。10個(gè)G大概是2000萬(wàn)個(gè)扇區(qū)，那么你可以用轉(zhuǎn)到扇區(qū)命令直接到1900萬(wàn)扇區(qū)，從那個(gè)地方再開始找不就省事多了。出現(xiàn)一個(gè)對(duì)話框，選“磁盤管理”，在右邊可以看到磁盤一的三個(gè)分區(qū)(Fat3Fat1Ntfs)全部都回來(lái)了，至此，手工恢復(fù)分區(qū)表順利完成。FAT文件系統(tǒng)下的手工數(shù)據(jù)恢復(fù)案例關(guān)鍵詞：數(shù)據(jù)恢復(fù)，數(shù)據(jù)恢復(fù)資料，數(shù)據(jù)恢復(fù)技術(shù)本文針對(duì)FAT分區(qū)。以具體事例來(lái)講，一個(gè) 7gb的fat32分區(qū)，其簇的大小是4k,相當(dāng)于8個(gè)扇區(qū)，而分區(qū)內(nèi)的存儲(chǔ)單位是4k,分區(qū)的扇區(qū)總數(shù)如果不是8的倍數(shù)，那余下來(lái)的扇區(qū)便是剩余扇區(qū)了。（dbr的參數(shù)說(shuō)明到數(shù)據(jù)恢復(fù)網(wǎng) 找找）