【正文】 要懂一點點電路基礎，我們這里所講到的所有的知識，涉及面廣，層次深，既有數(shù)據(jù)結構原理，為我們手工準確恢復數(shù)據(jù)提供依據(jù)，又有各種數(shù)據(jù)恢復軟件的使用方法及技巧，為我們快速恢復數(shù)據(jù)提供便利，而且所有軟件均為網(wǎng)上下載，不需要我們投資一分錢。.. . . ..winhex教程 winhex 數(shù)據(jù)恢復分類：硬恢復和軟恢復。所謂硬恢復就是硬盤出現(xiàn)物理性損傷，比如有盤體壞道、電路板芯片燒毀、盤體異響，等故障，由此所導致的普通用戶不容易取出里面數(shù)據(jù)，那么我們將它修好，同時又保留里面的數(shù)據(jù)或后來恢復里面的數(shù)據(jù)，這些都叫數(shù)據(jù)恢復，只不過這些故障有容易的和困難的之分；所謂軟恢復，就是硬盤本身沒有物理損傷，而是由于人為或者病毒破壞所造成的數(shù)據(jù)丟失（比如誤格式化，誤分區(qū)），那么這樣的數(shù)據(jù)恢復就叫軟恢復。數(shù)據(jù)恢復的前提：數(shù)據(jù)不能被二次破壞、覆蓋！關于數(shù)碼與碼制：關于二進制、十六進制、八進制它們之間的轉(zhuǎn)換我不想多說，因為他對我們數(shù)據(jù)恢復來說幫助不大，而且很容易把我們繞暈。數(shù)據(jù)恢復我們主要用十六進制編輯器：Winhex （數(shù)據(jù)恢復首選軟件）我們先了解一下數(shù)據(jù)結構：下面是一個分了三個區(qū)的整個硬盤的數(shù)據(jù)結構MBRC盤EBRD盤EBRE盤MBR，即主引導紀錄，位于整個硬盤的0柱面0磁道1扇區(qū)，共占用了63個扇區(qū)，但實際只使用了1個扇區(qū)（512字節(jié)）。后面我們要說的用winhex軟件來恢復誤分區(qū)，主要就是恢復第二部分：分區(qū)表。如果引導代碼丟失，分區(qū)表還在，那么這個硬盤作為從盤所有分區(qū)數(shù)據(jù)都還在，只是這個硬盤自己不能夠用來啟動進系統(tǒng)了。另外，也可以用工具軟件，比如DISKGEN、WINHEX等。是很多病毒喜歡破壞的區(qū)域。因為主引導記錄MBR最多只能描述4個分區(qū)項，如果想要在一個硬盤上分多于4個區(qū)，就要采用擴展MBR的辦法。比如MBR和EBR各都占用63個扇區(qū)，C盤占用1435329個扇區(qū)……那么數(shù)據(jù)結構如下表：631435329631435329631253889MBRC盤EBRD盤EBRE盤 擴展分區(qū)盤的數(shù)據(jù)結構：C 盤DBRFAT1FAT2DIRDATA 首先要安裝Winhex，安裝完了就可以啟動winhex了，啟動畫面如下：首先出現(xiàn)的是啟動中心對話框。 這里我們就選擇打開HD1整個硬盤。這些情況對把握整個硬盤的情況非常有幫助。（如果關閉了資源面板可以通過“察看”菜單——“顯示”命令——“詳細資源面板”來打開）。向下拉拉滾動條，可以看到一個灰色的橫杠，每到一個橫杠為一個扇區(qū)，一個扇區(qū)共512字節(jié)，每兩個數(shù)字為一個字節(jié)，比如00。分區(qū)表64個字節(jié)，一共可以描述4個分區(qū)表項，每一個分區(qū)表項可以描述一個主分區(qū)或一個擴展分區(qū)（比如上面的分區(qū)表，第一個分區(qū)表項描述主分區(qū)C盤，第二個分區(qū)表項描述擴展分區(qū)，第三第四個分區(qū)表項填零未用）每一個分區(qū)表項各占16個字節(jié)，各字節(jié)含義如下：（H表示16進制）字節(jié)位置內(nèi)容及含義第1字節(jié)引導標志。第4字節(jié)本分區(qū)的起始磁頭號、扇區(qū)號、柱面號第5字節(jié)分區(qū)類型符：00H——表示該分區(qū)未用06H——FAT16基本分區(qū)0BH——FAT32基本分區(qū)05H——擴展分區(qū)07H——NTFS分區(qū)0FH——（LBA模式）擴展分區(qū)83H—— Linux分區(qū)第8字節(jié)本分區(qū)的結束磁頭號、扇區(qū)號、柱面號第112字節(jié)本分區(qū)之前已用了的扇區(qū)數(shù)第11116字節(jié)本分區(qū)的總扇區(qū)數(shù) 那么，3F 00 00 00反過來寫就是00 00 003F，也就是3F，將他轉(zhuǎn)成十進制數(shù)我們才能知道實際的隱含扇區(qū)數(shù)是多大。 再選中“十進制”，十六進制3F轉(zhuǎn)為十進制等于63。第11116字節(jié)本分區(qū)總扇區(qū)數(shù)(當然，這也就是C盤的大小)：C1 E6 15 00，同樣，實際的十六進制數(shù)也要反過來才對，也就是00 15 E6 C1，將它轉(zhuǎn)換成十六進制數(shù)是1435329。我們來看看對不對，單擊工具欄上的“轉(zhuǎn)到扇區(qū)”按鈕，出現(xiàn)一個“轉(zhuǎn)到扇區(qū)”對話框然后輸入1435392，再點“確定”，就到了1435392扇區(qū)了（你可以使用它再轉(zhuǎn)回到0扇區(qū)）這個就是D盤的EBR，也就是D盤的分區(qū)表了，怎么知道的呢？因為MBR和EBR的結構是完全一樣的，都是占用了63個扇區(qū)，但只用了第一個扇區(qū)，其余62個扇區(qū)填零不用。因為EBR不是活動分區(qū)，不需要引導代碼，所以前446個字節(jié)為零。第1字節(jié)00：表示非活動分區(qū)第5字節(jié)05：表示擴展分區(qū)第112字節(jié)00 E7 15 00：本分區(qū)之前的扇區(qū)數(shù)（擴展分區(qū)前面也就是MBR和C盤，好像我們前面算過這個數(shù)？）同樣，先將它反過來，就是00 15 E7 00 ，再轉(zhuǎn)為十進制是1435392，看來我們前面真的算過這個數(shù)。也就是擴展分區(qū)的總扇區(qū)數(shù)。想一想，用這個數(shù)加上前面的1435392，不正好是整個硬盤的總扇區(qū)數(shù)4124736嗎？這樣，如果分區(qū)表被破壞，我們只要把這些數(shù)值都計算出來并填上，分區(qū)表不就恢復了？那么，這里我們?yōu)槭裁床环治龅?字節(jié)（本分區(qū)的起始磁頭號、扇區(qū)號、柱面號）和第8字節(jié)（本分區(qū)的結束磁頭號、扇區(qū)號、柱面號）呢？這是因為C/H/S(柱面/磁頭/扇區(qū))是老式硬盤的尋址方式，這種尋址方式來管理硬盤效率很低；而現(xiàn)在幾乎所有的硬盤都支持LBA(全稱是Logic Block Address，即扇區(qū)的邏輯塊地址)尋址方式，這種管理方式簡單高效。小知識：具體一個硬盤有多少個LBA(扇區(qū))不需要我們?nèi)ビ洃?，因為用各種工具軟件（如MHDD WINHEX等）都可以檢測到。那么，你可能要問了：如果要恢復分區(qū)表，這個起始磁頭號、扇區(qū)號、柱面號還有結束磁頭號、扇區(qū)號、柱面號應該怎么填呢？簡單得很，在后面恢復分區(qū)表的時候我會告訴你，直接填，都不用計算。但如果你一定要分析，那就分析吧。第一個分區(qū)表項（D盤）：第1個字節(jié)00：表示非活動分區(qū)第5個字節(jié)06：表示FAT16分區(qū)第112字節(jié)3F 00 00 00：本分區(qū)之前已用了的扇區(qū)數(shù)，也就是EBR的數(shù)目，63個。第二個分區(qū)表項（D盤后面的）：第1個字節(jié)00：表示非活動分區(qū)第5個字節(jié)05：表示擴展分區(qū)第112字節(jié)00 E7 15 00：本分區(qū)之前已用了的扇區(qū)數(shù)，也就是D盤的EBR加D盤總共的大小， 63+1435329=1435392第11116字節(jié)40 22 13 00：本分區(qū)的總扇區(qū)數(shù)，1253952,也就是E盤的大小再加上一個EBR的數(shù)目。因為E盤后面沒有分區(qū)了，所以沒有第二個分區(qū)表項。通過以上的研究我們總結一下，MBR在定義分區(qū)的時候，將多余的容量定義為擴展分區(qū)