【正文】 的，0~62的扇區(qū)為MBR。 第一個(gè)分區(qū)表項(xiàng)（C盤(pán)）第1字節(jié)80：表示此分區(qū)為活動(dòng)分區(qū)；第5字節(jié)0B：表示分區(qū)類(lèi)型為Fat32；第112字節(jié) 系統(tǒng)隱含扇區(qū)3F 00 00 00：所謂系統(tǒng)隱含扇區(qū)就是本分區(qū)（C盤(pán)）之前已用了的扇區(qū)數(shù)，這是一個(gè)十六進(jìn)制數(shù)，但要注意：真正的隱含扇區(qū)數(shù)應(yīng)該反過(guò)來(lái)填寫(xiě)（比如：隱含扇區(qū)數(shù)為3E 4D 5A 6F，則反過(guò)來(lái)就是6F 5A 4D 3E ，這才是實(shí)際的隱含扇區(qū)數(shù)）。最下面一欄是非常有用的輔助信息，如當(dāng)前扇區(qū)/總扇區(qū)數(shù)目……等 如果要恢復(fù)引導(dǎo)代碼，可以用DOS下的命令：FDISK /MBR；這個(gè)命令只是用來(lái)恢復(fù)引導(dǎo)代碼，不會(huì)引起分區(qū)改變，丟失數(shù)據(jù)。這里呢，我們主要介紹軟恢復(fù)，因?yàn)橛不謴?fù)還需要購(gòu)買(mǎi)一些工具設(shè)備（比如pc3000,電烙鐵，各種芯片、電路板），而且還需要懂一點(diǎn)點(diǎn)電路基礎(chǔ)，我們這里所講到的所有的知識(shí)，涉及面廣，層次深，既有數(shù)據(jù)結(jié)構(gòu)原理，為我們手工準(zhǔn)確恢復(fù)數(shù)據(jù)提供依據(jù)，又有各種數(shù)據(jù)恢復(fù)軟件的使用方法及技巧，為我們快速恢復(fù)數(shù)據(jù)提供便利，而且所有軟件均為網(wǎng)上下載，不需要我們投資一分錢(qián)。數(shù)據(jù)恢復(fù)我們主要用十六進(jìn)制編輯器：Winhex （數(shù)據(jù)恢復(fù)首選軟件）我們先了解一下數(shù)據(jù)結(jié)構(gòu)：下面是一個(gè)分了三個(gè)區(qū)的整個(gè)硬盤(pán)的數(shù)據(jù)結(jié)構(gòu)MBRC盤(pán)EBRD盤(pán)EBRE盤(pán)MBR，即主引導(dǎo)紀(jì)錄，位于整個(gè)硬盤(pán)的0柱面0磁道1扇區(qū)，共占用了63個(gè)扇區(qū)，但實(shí)際只使用了1個(gè)扇區(qū)（512字節(jié)）。是很多病毒喜歡破壞的區(qū)域。盤(pán)的數(shù)據(jù)結(jié)構(gòu)：C 盤(pán)DBRFAT1FAT2DIRDATA這里我們就選擇打開(kāi)HD1整個(gè)硬盤(pán)。分區(qū)表64個(gè)字節(jié)，一共可以描述4個(gè)分區(qū)表項(xiàng)，每一個(gè)分區(qū)表項(xiàng)可以描述一個(gè)主分區(qū)或一個(gè)擴(kuò)展分區(qū)（比如上面的分區(qū)表，第一個(gè)分區(qū)表項(xiàng)描述主分區(qū)C盤(pán)，第二個(gè)分區(qū)表項(xiàng)描述擴(kuò)展分區(qū)，第三第四個(gè)分區(qū)表項(xiàng)填零未用）每一個(gè)分區(qū)表項(xiàng)各占16個(gè)字節(jié)，各字節(jié)含義如下：（H表示16進(jìn)制）字節(jié)位置內(nèi)容及含義第1字節(jié)引導(dǎo)標(biāo)志。 我們來(lái)看看對(duì)不對(duì)，單擊工具欄上的“轉(zhuǎn)到扇區(qū)”按鈕，出現(xiàn)一個(gè)“轉(zhuǎn)到扇區(qū)”對(duì)話(huà)框然后輸入1435392，再點(diǎn)“確定”，就到了1435392扇區(qū)了（你可以使用它再轉(zhuǎn)回到0扇區(qū)）這個(gè)就是D盤(pán)的EBR，也就是D盤(pán)的分區(qū)表了，怎么知道的呢？因?yàn)镸BR和EBR的結(jié)構(gòu)是完全一樣的，都是占用了63個(gè)扇區(qū)，但只用了第一個(gè)扇區(qū)，其余62個(gè)扇區(qū)填零不用。想一想，用這個(gè)數(shù)加上前面的1435392，不正好是整個(gè)硬盤(pán)的總扇區(qū)數(shù)4124736嗎？這樣，如果分區(qū)表被破壞，我們只要把這些數(shù)值都計(jì)算出來(lái)并填上，分區(qū)表不就恢復(fù)了？那么，這里我們?yōu)槭裁床环治龅?字節(jié)（本分區(qū)的起始磁頭號(hào)、扇區(qū)號(hào)、柱面號(hào)）和第8字節(jié)（本分區(qū)的結(jié)束磁頭號(hào)、扇區(qū)號(hào)、柱面號(hào)）呢？這是因?yàn)镃/H/S(柱面/磁頭/扇區(qū))是老式硬盤(pán)的尋址方式，這種尋址方式來(lái)管理硬盤(pán)效率很低；而現(xiàn)在幾乎所有的硬盤(pán)都支持LBA(全稱(chēng)是Logic Block Address，即扇區(qū)的邏輯塊地址)尋址方式，這種管理方式簡(jiǎn)單高效。第一個(gè)分區(qū)表項(xiàng)（D盤(pán)）：第1個(gè)字節(jié)00：表示非活動(dòng)分區(qū)第5個(gè)字節(jié)06：表示FAT16分區(qū)第112字節(jié)3F 00 00 00：本分區(qū)之前已用了的扇區(qū)數(shù)，也就是EBR的數(shù)目，63個(gè)。系統(tǒng)在啟動(dòng)時(shí)按照分區(qū)鏈的連接順序查找分區(qū)，直至找出所有分區(qū)。下面我們就來(lái)模仿分區(qū)表被病毒破壞的情況，將MBR全部填零?，F(xiàn)在，我們關(guān)閉所有程序?qū)㈦娔X重新啟動(dòng)……經(jīng)過(guò)不長(zhǎng)時(shí)間的等待，電腦啟動(dòng)起來(lái)了，我們打開(kāi)我的電腦看看，發(fā)現(xiàn)F 、G 、H三個(gè)分區(qū)不見(jiàn)了。首先，在第1個(gè)字節(jié)處（0扇區(qū)倒數(shù)第五行，倒數(shù)第二個(gè)字節(jié)）填上分區(qū)引導(dǎo)標(biāo)志，因?yàn)镃盤(pán)是活動(dòng)分區(qū)，所以填上80。因?yàn)镃盤(pán)是從第63個(gè)扇區(qū)開(kāi)始，而C盤(pán)后面緊接著的是EBR，所以用EBR所在的第一個(gè)扇區(qū)數(shù)減去63就是C盤(pán)的大小。第二個(gè)分區(qū)表第1個(gè)字節(jié)：因?yàn)槭欠腔顒?dòng)分區(qū)，所以寫(xiě)00第4字節(jié)，填寫(xiě)01 01 00（通用的）第5字節(jié)：因?yàn)槭菙U(kuò)展分區(qū)，所以填寫(xiě)0F第8字節(jié)：填寫(xiě)FE FF FF(通用)第112字節(jié)是本分區(qū)之前已用了的扇區(qū)數(shù)，應(yīng)該就是C盤(pán)大小加63，也就是1435392，前面剛計(jì)算出來(lái)的，轉(zhuǎn)為十六進(jìn)制數(shù)再反過(guò)來(lái)就是00 E7 15 00第11116字節(jié)是本分區(qū)的總扇區(qū)數(shù)，也就是擴(kuò)展分區(qū)的總扇區(qū)數(shù)，也就是用整個(gè)硬盤(pán)的大小減去C盤(pán)的大小再減去63，即4124736143532963=2689344，轉(zhuǎn)為十六進(jìn)制就是290940，反過(guò)來(lái)就是40092900。再說(shuō)完了使用Winhex手工恢復(fù)數(shù)據(jù)之后，我們會(huì)說(shuō)到一些數(shù)據(jù)恢復(fù)軟件，結(jié)合數(shù)據(jù)恢復(fù)軟件會(huì)使數(shù)據(jù)恢復(fù)成功率大大提高，但有一些軟件在掃描過(guò)程中會(huì)對(duì)原盤(pán)破壞數(shù)據(jù)，在使用中一定要謹(jǐn)慎?。?！而且同一個(gè)軟件，一個(gè)新手用和一個(gè)老手用數(shù)據(jù)恢復(fù)成功率絕對(duì)是不一樣的，這些軟件我們會(huì)免費(fèi)贈(zèng)送，絕對(duì)不會(huì)讓你學(xué)習(xí)了資料卻找不到軟件的。（簡(jiǎn)圖并未畫(huà)出整個(gè)磁盤(pán)的剩余扇區(qū)，大家理解吧!)對(duì)于fat32的保留扇區(qū)的數(shù)目，一般來(lái)說(shuō)是32個(gè)，但也不肯定是，有時(shí)候可能會(huì)是38個(gè)或其他數(shù)目，當(dāng)然也可以在dbr中的bpb（bios parameter block）參數(shù)表中更改，后面要講到在數(shù)據(jù)恢復(fù)中了解他的重要性。對(duì)于dbr，分區(qū)只要正確格式化就會(huì)生成正確的dbr,故而重點(diǎn)是fat表和原根目錄（如果原根目錄大于一個(gè)簇，這僅僅是第一個(gè)簇，為了方便，以后就以原根目錄稱(chēng)）的問(wèn)題。但一般如要恢復(fù)的文件較小或分區(qū)并未經(jīng)過(guò)頻繁的文件刪增的話(huà)， 還是有希望的。位置。.39。計(jì)算一下相差的簇的數(shù)目，然后在本分區(qū)dbr扇區(qū)的0eh~0fh作相應(yīng)增減，是保留扇區(qū)的數(shù)目回到原來(lái)的數(shù)目。那如何在這種情況下恢復(fù)大于1個(gè)簇的文件呢？一是你可以寫(xiě)一個(gè)小的程序來(lái)實(shí)現(xiàn)涉及到的簇的連續(xù)。如果有多個(gè)目錄的數(shù)據(jù)要恢復(fù)，可用同樣的方法替換根目錄（第一個(gè)數(shù)據(jù)簇），也可以采用手動(dòng)建立根目錄的方法，不過(guò)，別在資源管理器中進(jìn)行，手動(dòng)在winhex中做吧！還有，要是恢復(fù)的目錄中有多個(gè)簇，再用同樣的方法，查找，作為根目錄。看過(guò)《反黑行動(dòng)之?dāng)?shù)據(jù)恢復(fù)》（風(fēng)般的男人著）應(yīng)該可以知道，文件在磁盤(pán)內(nèi)至少是以扇區(qū)為單位的，也就是說(shuō)，每個(gè)文件在磁盤(pán)內(nèi)實(shí)際存儲(chǔ)的開(kāi)始，一定是某扇區(qū)的開(kāi)始。在搜索特定的尾標(biāo)志，保存其位置。所以，看一下成對(duì)的頭尾標(biāo)志其偏移是否合邏輯。2. 若不是心寬似海，哪有人生風(fēng)平浪靜。你必須努力，當(dāng)有一天驀然回首時(shí)，你的回憶里才會(huì)多一些色彩斑斕，少一些蒼白無(wú)力。既糾結(jié)了自己，又打擾了別人。其實(shí)大多數(shù)文件都有特征標(biāo)志，可參看相關(guān)資料或自己研究。再刪除多出來(lái)的頭或尾標(biāo)志。（還是使用winhex吧！硬盤(pán)速度可以的話(huà)，應(yīng)該查找1G的空間不超過(guò)1分鐘)我們來(lái)通過(guò)具體的例子看一看已加密或無(wú)明顯特征字串的情況（這是最通常的情況）。假如你的磁盤(pán)已經(jīng)被xxx破壞的一塌糊涂。要看當(dāng)初文件的存儲(chǔ)是否連續(xù)了？如果恢復(fù)后的文件不能用，那。打開(kāi)“資源管理器“，瀏覽，出