【正文】 文件也不一定正確。（不明白嗎？想想原理，努力消化一下）接著將找到的簇復(fù)制〉定位到現(xiàn)在的根目錄〉寫入。 表當(dāng)前所在目錄，39。,再根據(jù)相關(guān)特征確定。如果我們要恢復(fù)的文件全部位于一個子目錄當(dāng)中。不過，既然是被格式化，那一定沒有fat表和根目錄的備份（廢話！?。。?。如果格式化以后，當(dāng)然可以用現(xiàn)成的數(shù)據(jù)恢復(fù)軟件來恢復(fù)，但軟件畢竟是軟件，并不能應(yīng)對多變的復(fù)雜的情況。先說分區(qū)內(nèi)的扇區(qū)：描述磁盤容量的單位是扇區(qū)，分區(qū)內(nèi)部又是采用簇來管理的。不要忘了把最后的結(jié)束標(biāo)志55AA填上，這樣，MBR就全恢復(fù)完了，最后，保存，再重新啟動……啟動完畢，迫不及待的打開我的電腦，發(fā)現(xiàn)三個分區(qū)全部又回來了，并且里面的數(shù)據(jù)完好無損。畫面如下：首先找到第一個“55AA”，我們看到，個扇區(qū)在第63個扇區(qū)上，并不是我們要找的EBR，再按F3繼續(xù)查找又找到好幾個扇區(qū)，都不是，那么下面這個扇區(qū)是不是？前面我們說過，EBR的結(jié)構(gòu)和MBR的結(jié)構(gòu)是一樣的，所以在倒數(shù)第五行倒數(shù)第二個字節(jié)應(yīng)該是00 01，并且前446個字節(jié)應(yīng)該是0，顯然這也不是EBR，繼續(xù)按F3查找……終于找到了真正的EBR，在1435392扇區(qū)。那么，如果你不知道C盤是什么格式怎么辦呢？你會說問問客戶呀，那么如果他也不知道呢？別著急，后面在說恢復(fù)DBR的時候我會教你怎么分辨分區(qū)的格式。我現(xiàn)在的機器上不是掛著兩個硬盤嗎？一個邁拓2G，一個西數(shù)40G，西數(shù)40G是我的系統(tǒng)盤，那就從這個盤上復(fù)制就行了。注意，如果扇區(qū)數(shù)據(jù)被修改了而沒有存盤就會變?yōu)閯e的顏色。明白了其結(jié)構(gòu)原理，解決這個問題就簡單了，目前有很多種方法解決這個問題，后面我們還會講到。單擊“訪問”下拉按鈕——“分區(qū)三”——“分區(qū)表”，直接就到2870784扇區(qū)，即E盤的分區(qū)表EBR。我們只要知道個大概就行了：如10G的硬盤大概有2000萬個扇區(qū)；20G的硬盤大概有4000萬個扇區(qū)；40G的硬盤大概有8000萬個扇區(qū)……那么，2G的硬盤大概有400萬個扇區(qū)。還有另一種方法直接找到D盤的EBR，單擊“訪問”下拉按鈕——“分區(qū)二”——“分區(qū)表”，直接就到1435392扇區(qū).這樣，分區(qū)表中的第一個分區(qū)表項共十六個字節(jié)分析完畢，下面我們再來看看第二個分區(qū)表項（擴展分區(qū)）。比如我們要將十六進制3F轉(zhuǎn)換為十進制，就要先選中“十六進制”，然后輸入3F 此硬盤的第一分區(qū)表（即MBR）分析如下：另外，在其上單擊鼠標(biāo)右鍵，可以將詳細資源面板與窗口對換位置，或關(guān)閉資源面板。 WinhexWinhex是使用最多的一款工具軟件，是在Windows下運行的十六進制編輯軟件，此軟件功能非常強大，有完善的分區(qū)管理功能和文件管理功能，能自動分析分區(qū)鏈和文件簇鏈，能對硬盤進行不同方式不同程度的備份，甚至克隆整個硬盤；它能夠編輯任何一種文件類型的二進制內(nèi)容（用十六進制顯示）其磁盤編輯器可以編輯物理磁盤或邏輯磁盤的任意扇區(qū)，是手工恢復(fù)數(shù)據(jù)的首選工具軟件。MBR、EBR是分區(qū)產(chǎn)生的。引導(dǎo)代碼的作用：就是讓硬盤具備可以引導(dǎo)的功能。.. . . ..winhex教程 winhex 數(shù)據(jù)恢復(fù)分類：硬恢復(fù)和軟恢復(fù)。后面我們要說的用winhex軟件來恢復(fù)誤分區(qū)，主要就是恢復(fù)第二部分：分區(qū)表。因為主引導(dǎo)記錄MBR最多只能描述4個分區(qū)項，如果想要在一個硬盤上分多于4個區(qū)，就要采用擴展MBR的辦法。 這些情況對把握整個硬盤的情況非常有幫助。第4字節(jié)本分區(qū)的起始磁頭號、扇區(qū)號、柱面號第5字節(jié)分區(qū)類型符：00H——表示該分區(qū)未用06H——FAT16基本分區(qū)0BH——FAT32基本分區(qū)05H——擴展分區(qū)07H——NTFS分區(qū)0FH——（LBA模式）擴展分區(qū)83H—— Linux分區(qū)第8字節(jié)本分區(qū)的結(jié)束磁頭號、扇區(qū)號、柱面號第112字節(jié)本分區(qū)之前已用了的扇區(qū)數(shù)第11116字節(jié)本分區(qū)的總扇區(qū)數(shù)因為EBR不是活動分區(qū)，不需要引導(dǎo)代碼，所以前446個字節(jié)為零。小知識：具體一個硬盤有多少個LBA(扇區(qū))不需要我們?nèi)ビ洃?，因為用各種工具軟件（如MHDD WINHEX等）都可以檢測到。第二個分區(qū)表項（D盤后面的）：第1個字節(jié)00：表示非活動分區(qū)第5個字節(jié)05：表示擴展分區(qū)第112字節(jié)00 E7 15 00：本分區(qū)之前已用了的扇區(qū)數(shù)，也就是D盤的EBR加D盤總共的大小， 63+1435329=1435392第11116字節(jié)40 22 13 00：本分區(qū)的總扇區(qū)數(shù)，1253952,也就是E盤的大小再加上一個EBR的數(shù)目。所謂硬盤邏輯鎖，就是讓分區(qū)鏈形成一個環(huán)，這樣系統(tǒng)在啟動時就在分區(qū)表內(nèi)循環(huán)，表現(xiàn)為系統(tǒng)無法引導(dǎo)，就是從軟盤啟動，也不能進入硬盤。鼠標(biāo)指向第一個字節(jié)，單擊右鍵，選擇“選塊開始”然后鼠標(biāo)指向MBR的最后一個字節(jié)，單擊右鍵，選擇“選塊結(jié)尾”然后我們在選區(qū)內(nèi)部單擊鼠標(biāo)右鍵，選擇“編輯”這樣就有出來一個菜單然后我們選“填充選塊”，這樣就出來一個填充選塊對話框在“用十六進制填充”的輸入框中輸入“00”，再點“確定”這樣MBR所在扇區(qū)全部被我們填充為“00”如果想取消選區(qū)，那就用鼠標(biāo)拖動隨便選中一塊區(qū)域，那么原來的選區(qū)就會取消。再打開Winhex發(fā)現(xiàn)MBR全部為零了，下面我們就著手開始手工恢復(fù)分區(qū)表首先恢復(fù)引導(dǎo)代碼，這最簡單了，只要用Winhex到別的系統(tǒng)盤把引導(dǎo)代碼復(fù)制過來就行了。第5字節(jié)是分區(qū)類型符，因為原先C盤是Fat32格式，所以填上：0B。再單擊“確定”。這樣，第二個分區(qū)表項就填寫完了。使用工具：winhex（非數(shù)據(jù)恢復(fù)專用）磁盤的具體存儲原理，這里我解釋一下：剩余扇區(qū)是什么：剩余扇區(qū)有分區(qū)內(nèi)的剩余扇區(qū)和整個磁盤的剩余扇區(qū)。下面我們進入實戰(zhàn)：第一種情況，分區(qū)被格式化。那么，只要將dbr初始化，恢復(fù)fat表和根目錄即可完全恢復(fù)數(shù)據(jù)。windows的磁盤文件格式是tree型的，格式化只是將tree的根折，在根折斷以后，其實就象生成了多顆tree（想想數(shù)據(jù)結(jié)構(gòu)）。sjhfnet txt39。.39。文件目錄項的映射與實際地址便正確的結(jié)合了。打開winhex,使用它的目錄模板跳轉(zhuǎn)到文件的存儲區(qū)，從當(dāng)前簇復(fù)制大小為文件大小的一塊連續(xù)數(shù)據(jù)，寫入新文件中（記得寫在其他分區(qū)中），即可！當(dāng)然，如果簇數(shù)較少，可直接在fat1中改動。這是有目錄項的情況。如果是文本文件，可通過在磁盤內(nèi)查找特征字串的方法來找到。刪除位置不是以000H，002H， 004H，006H，008H結(jié)尾的文件頭標(biāo)志（因為扇區(qū)容量512B=200HB)。剩下的，不用說了吧！將每一對頭尾地址之間的數(shù)據(jù)保存即可。用一些事情，總會看清一些人。學(xué)習(xí)