winhex超全圖文使用教程-免費(fèi)閱讀
【正文】 4. 歲月是無情的，假如你丟給它的是一片空白，它還給你的也是一片空白。只好一視同仁了。通常情況下，word文檔的大小不可能太大。Office文檔的實(shí)際構(gòu)成總是以“00000000 D0 CF 11 E0 A1 B1 1A E1 00 00 00 00 00 00 00 00 ??.......”開頭，以下列二進(jìn)制特征為尾：00148940 FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF00148950 FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF00148960 FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF00148970 FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF00148980 FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF00148990 FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF001489A0 FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF001489B0 FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF001489C0 FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF001489D0 FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF001489E0 FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF001489F0 FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF00148A00 01 00 FE FF 03 0A 00 00 FF FF FF FF 06 09 02 00 ..?....????....00148A10 00 00 00 00 C0 00 00 00 00 00 00 46 18 00 00 00 ....?.....F....00148A20 4D 69 63 72 6F 73 6F 66 74 20 57 6F 72 64 20 44 Microsoft Word D00148A30 6F 63 75 6D 65 6E 74 00 0A 00 00 00 4D 53 57 6F ocument.....MSWo00148A40 72 64 44 6F 63 00 10 00 00 00 57 6F 72 64 2E 44 rdDoc.....00148A50 6F 63 75 6D 65 6E 74 2E 38 00 F4 39 B2 71 00 00 .?瞦..(這是在winhex中顯示的情況，此部分內(nèi)容是最后扇區(qū)的中間部分的內(nèi)容＃既然文件頭尾標(biāo)志已確定，即可在磁盤中搜索了。或者你要恢復(fù)的數(shù)據(jù)本來就很少（若干源代碼，或是若干論文，若干小的數(shù)據(jù)庫，或是確認(rèn)在數(shù)據(jù)丟失前正好做了磁盤碎片整理），不值得采用我上面采用的方法。不過，工作量嗎？。其實(shí)，如果要恢復(fù)的文件大小都在1簇范圍內(nèi)，可在win98下運(yùn)行磁盤掃描程序，在出現(xiàn)修復(fù)的提示時(shí)選相應(yīng)的選象修復(fù)即可（別選“刪除涉及到的文件”選項(xiàng)，另外，win2000下不行，掃描程序會(huì)直接刪除文件的）。在winhex中格式化后的磁盤可清楚的列出當(dāng)前簇的簇號(hào)，可比較一下（可能需要16進(jìn)制與10進(jìn)制的轉(zhuǎn)換）。目錄來推測原分區(qū)的一些特性，主要是dbr中的bpb參數(shù)，如保留扇區(qū)的數(shù)目。接著我們在分區(qū)中尋找相關(guān)的字符串來確定此子樹的39。再說fat表，fat表的丟失對交叉存儲(chǔ)的文件來說是幾乎毀滅的災(zāi)難。對于fat格式的分區(qū)（包括fat16)，format命令會(huì)重建dbr扇區(qū)，清空兩個(gè)fat表，清空分區(qū)的第一個(gè)簇（存放原根目錄）。整個(gè)磁盤的剩余扇區(qū)與上述原理相似，不同的是，每個(gè)分區(qū)的結(jié)束必須以254頭，63扇為結(jié)束（也應(yīng)該是老的磁盤管理模式留下的弊端吧！雖然分區(qū)內(nèi)是以線性邏輯扇區(qū)為首要參數(shù)的）也就是說，如果磁盤的總?cè)萘空梅植粌粢粋€(gè)柱面的容量(1*254*63*512b=8193024b),那么，剩下的容量便是整個(gè)磁盤的剩余扇區(qū)了。手工恢復(fù)數(shù)據(jù)恢復(fù)成功率比較高，而且比較有趣味和挑戰(zhàn)性，能找回許多傻瓜似的軟件所找不回來的文件，但是要求工程師一定要有耐性，而且一定要保持清醒，清楚自己正在操作什么，操作完了會(huì)有什么后果，能不能退回到上一步狀態(tài)。用1435392減去63，得到1435329，再轉(zhuǎn)為16進(jìn)制，就是15E6C1，將他倒轉(zhuǎn)過來就是C1E61500，這就是C盤的大小。還記得怎么用計(jì)算器嗎？將63轉(zhuǎn)為十六進(jìn)制數(shù)是3F，不夠四個(gè)字節(jié)前面加零，也就是00 00 00 3F，再將此數(shù)從右向左依次序反過來就是3F 00 00 00。首先選中系統(tǒng)盤的引導(dǎo)代碼然后在選區(qū)中單擊鼠標(biāo)右鍵，選“編輯”又出來一個(gè)菜單，然后我們選“復(fù)制選塊”——“正?！比缓笪覀兦袚Q回硬盤1窗口，在零扇區(qū)的第一個(gè)字節(jié)處單擊鼠標(biāo)右鍵，選“編輯”然后選“剪貼板數(shù)據(jù)”——“寫入……”出現(xiàn)一個(gè)窗口提示，點(diǎn)“確定”這樣，我們就把一個(gè)正常系統(tǒng)盤上的引導(dǎo)代碼復(fù)制過來了。好，這樣就存盤了，扇區(qū)被修改的數(shù)據(jù)又變?yōu)楹谏?。其?shí)，通常情況下EBR是不會(huì)被破壞的，或者破壞的幾率極低極低，通常情況下，都是只有MBR被破壞，那么這種情況下，我們只要把MBR的分區(qū)表64個(gè)字節(jié)復(fù)原，其他的分區(qū)順著分區(qū)表所提供的鏈自然而然就出來了。通過以上的研究我們總結(jié)一下，MBR在定義分區(qū)的時(shí)候，將多余的容量定義為擴(kuò)展分區(qū)，指定該擴(kuò)展分區(qū)的起止位置，根據(jù)起始位置指向硬盤的某一個(gè)扇區(qū)，作為下一個(gè)分區(qū)表項(xiàng)，接著在該扇區(qū)繼續(xù)定義分區(qū)，如果只有一個(gè)分區(qū)，就定義該分區(qū)，然后結(jié)束；如果不止一個(gè)分區(qū)，就定義一個(gè)基本分區(qū)和一個(gè)擴(kuò)展分區(qū)，擴(kuò)展分區(qū)再指向下一個(gè)分區(qū)描述扇區(qū)，在該分區(qū)上按照上述原則繼續(xù)定義分區(qū)，直至分區(qū)定義結(jié)束。但如果你一定要分析，那就分析吧。也就是擴(kuò)展分區(qū)的總扇區(qū)數(shù)。第11116字節(jié)本分區(qū)總扇區(qū)數(shù)(當(dāng)然，這也就是C盤的大小)：C1 E6 15 00，同樣，實(shí)際的十六進(jìn)制數(shù)也要反過來才對，也就是00 15 E6 C1，將它轉(zhuǎn)換成十六進(jìn)制數(shù)是143
職業(yè)教育相關(guān)推薦
鄂ICP備17016276號(hào)-1