用WinHex手工恢復(fù)硬盤(pán)分區(qū)表最近，PC機(jī)不能正常引導(dǎo)，將硬盤(pán)掛載到其它PC機(jī)上，顯示硬盤(pán)未分區(qū)，結(jié)果如下圖所示 ：原硬盤(pán)分為4個(gè)分區(qū)，但現(xiàn)在顯示未分區(qū)，推測(cè)是硬盤(pán)的分區(qū)表丟失，計(jì)劃用WinHex工具手工恢復(fù)硬盤(pán)分區(qū)表，通過(guò)用WinHex查看分區(qū)表，果真丟失了分區(qū)表，于是利用該工具進(jìn)行了恢復(fù)，成功修復(fù)硬盤(pán)。恢復(fù)期間，參考了網(wǎng)上的眾多資料，這些資料雖然提供了很多幫助，但感覺(jué)理論性太強(qiáng)，沒(méi)有充分利用工具本身的優(yōu)勢(shì)，因此作一總結(jié)，以為新手提供幫助。為了更好的理解恢復(fù)方案，在文中增加了小知識(shí)點(diǎn)，如果對(duì)理論不感興趣，可略過(guò)這些小知識(shí)點(diǎn)，直接參考恢復(fù)步驟即可。在此也一并感謝在網(wǎng)上分享資料的各位大俠。一、查看MBR(MasterBootRecord)利用WINHEX打開(kāi)硬盤(pán)的MBR，如下圖所示：8E-叩Nvlii*Ubla■ latf1H甘于匕?ncc11C*口》11?電9 i*"nyit^wH*『工'昌fbflhI9tMUribttki f■faemi 1CFAlfSAf.41■■?*一■.-a.*T1tl8E-叩Nvlii*Ubla■ latf1H甘于匕?ncc11C*口》11?電9 i*"nyit^wH*『工'昌fbflhI9tMUribttki f■faemi 1CFAlfSAf.41■■?*一■.-a.*T1tl1日gX妙04MQ■口Idi12DQ；?口bW'iJ'OQ1AQDWAWDISO□皿/岫cicePDtHl守口01￡!白f-f^nji：jftl［mtcm：3013D打1 41g即:10初不設(shè)［儀|小口LEzqR口”白MOQ2口D0&口［刎QJOMF.,^C^iQr^kQ0，C"。「［思國(guó)膽口中方口MOUMtirO8CWIM0W1Cff°i{303D(I<ON7g由Q3IDc4ta>Mym。□M<hb4 ■?■—?!J?.件190g■10vtS41ft??q>ico9rm”E)ZBl3例IBgIFCI-tPMfOKherr*EZia?4Q0WiwH|CIk［let>*，L*IIM4lU2?VVI|?l中疝*/u中P宣從圖中可見(jiàn)，1、第1扇區(qū)的55AA前的64個(gè)字節(jié)全為0,表明分區(qū)表信息丟失。2、在最上邊的欄中的可以看到分區(qū)信息，包括分區(qū)名稱(chēng)、類(lèi)型、大小、該分區(qū)的首扇區(qū)等信息，這些將幫助我們迅速地恢復(fù)硬盤(pán)分區(qū)。小知識(shí)1：MBR（MasterBootRecorder）、DPT（DiskPartitionTable）MBR位于磁盤(pán)的第一個(gè)扇區(qū)，CHS地址是0柱面，0磁頭，1扇區(qū)，共占用63個(gè)扇區(qū)，實(shí)際上只使用1扇區(qū)；其布局如下：扇區(qū)內(nèi)偏移描述0x0000-0x01BD446字節(jié)引導(dǎo)代碼0X01BE-0X01FD4個(gè)16字節(jié)主分區(qū)表項(xiàng)，共描述4個(gè)分區(qū)表項(xiàng)，每個(gè)分區(qū)表項(xiàng)可以描述一個(gè)主分區(qū)或一個(gè)擴(kuò)展分區(qū)0X01FE-0X01FF2字節(jié)MBR簽名（0XAA55）（兩個(gè)字節(jié)分別為55、AA）每個(gè)分區(qū)表項(xiàng)各占16個(gè)字節(jié)，含義如下；字書(shū)內(nèi)容及含義1弓1導(dǎo)標(biāo)■至：比H表示活的分區(qū)；Soh表示非活動(dòng)分區(qū)本分區(qū)的起始磁頭號(hào)W扇瓦號(hào)、柱面號(hào)?反磁輿號(hào)占用1字節(jié)、扇區(qū)號(hào)占用2字節(jié)的低6位、柱面號(hào)2字節(jié)的高8.位+3.學(xué)千）5.分區(qū)類(lèi)型：：OOH表示該分區(qū)未用06H表示FAT16分區(qū)□BH表示FAT32分區(qū)（1BH.OCH.1CH也表示該分區(qū)）07H表示NTFS分區(qū)05I-I表示擴(kuò)展分區(qū)DFH表示（LBA模式）擴(kuò)展分區(qū)8初表示LINUX分區(qū)6、7、S本分區(qū)結(jié)束的磁尾號(hào)、扇區(qū)號(hào)、柱面號(hào)9、10.11.12病區(qū)三前已用了的扇區(qū)羲1蕓14、15.16|:號(hào)區(qū)的總扇區(qū)數(shù)DPT中定義的分區(qū)包括主分區(qū)和擴(kuò)展分區(qū)，主分區(qū)+擴(kuò)展分區(qū)總共不能超過(guò)4個(gè)。所謂主分區(qū)是指DPT中包含能夠被系統(tǒng)的磁盤(pán)分區(qū)，一個(gè)硬盤(pán)主分區(qū)至少有1個(gè)，最多4個(gè)，它是可以設(shè)置為活動(dòng)的，即可以引導(dǎo)操作系統(tǒng)。一個(gè)硬盤(pán)只能有一個(gè)活動(dòng)分區(qū)。擴(kuò)展分區(qū)并不能被系統(tǒng)直接使用，它的作用是突破DPT中只能定義四個(gè)分區(qū)限制的，可以沒(méi)有，最多1個(gè)。對(duì)于windows系統(tǒng)，一般分為一個(gè)主分區(qū)，一個(gè)擴(kuò)展分區(qū)。（本文介紹的方法也是針對(duì)這種情況，對(duì)硬盤(pán)分區(qū)表進(jìn)行恢復(fù)）。其做法：定義完主分區(qū)之后，將多余的容量定義為擴(kuò)展分區(qū)，指定該分區(qū)的起始位置，根據(jù)起始位置指向硬盤(pán)的某一扇區(qū)，稱(chēng)作擴(kuò)展MBR（EBR），在其中定義下一個(gè)分區(qū)表。如果只有一個(gè)分區(qū)，就定義該分區(qū)，然后結(jié)束；如果不只一個(gè)分區(qū)，就定義一個(gè)基本分區(qū)和一個(gè)擴(kuò)展分區(qū)，擴(kuò)展分區(qū)再指向下一個(gè)分區(qū)表，在下一個(gè)分區(qū)表中定義分區(qū)，直至結(jié)束。在擴(kuò)展分區(qū)中定義的分區(qū)就是邏輯分區(qū)。擴(kuò)展分區(qū)的容量=各個(gè)邏輯分區(qū)的容量之和+隱藏扇區(qū)（即EBR所占用扇區(qū)）另外EBR的結(jié)構(gòu)跟MBR的結(jié)構(gòu)是一樣的，也是占用63個(gè)扇區(qū)。對(duì)于一個(gè)分為4個(gè)區(qū)的硬盤(pán)數(shù)據(jù)結(jié)構(gòu)如下a63C盤(pán)D盤(pán)ERRE盤(pán)F盤(pán)L If擴(kuò)點(diǎn)曲3 ）V~一?分區(qū)2擴(kuò)展分區(qū)1圖中的C盤(pán)為主分區(qū)，D盤(pán)、E盤(pán)、F盤(pán)都為邏輯分區(qū)。小知識(shí)2：硬盤(pán)尋址方式編號(hào)方式表萬(wàn)法采用該種方式編號(hào)的對(duì)象起始編號(hào)物理扇區(qū)編號(hào)0柱面。磁頭1扇區(qū)BIOS,內(nèi)置中斷服務(wù)程序0柱面。磁頭1扇區(qū)絕對(duì)扇區(qū)編號(hào)絕募X扇區(qū)'’.復(fù)加為方便所采用的辦法絕就◎扇區(qū)邏輯扁區(qū)編號(hào)邏輯半扇匹操作系統(tǒng)邏輯1扁區(qū)二、分區(qū)表恢復(fù)方案由于目前普遍采用LBA尋址方式，每個(gè)分區(qū)表項(xiàng)的16字節(jié)信息中最重要的是1、5、9、10、11、12、13、14、15、16四組信息。至于2、3、4字節(jié)，對(duì)于C盤(pán)，一般為010100，其它盤(pán)為00、、C1、FF（即0磁頭、1扇區(qū)、1111111111柱面（由于柱面數(shù)一般會(huì)大于1024，因此表示柱面數(shù)的10位全為1））；6、7、8字節(jié)一般填寫(xiě)FE、FF、FF即可。第1字節(jié)代表引導(dǎo)標(biāo)志，引導(dǎo)盤(pán)為80，其它則為00；第5字節(jié)代表分區(qū)類(lèi)型，可自圖中所示分區(qū)類(lèi)型獲得，本硬盤(pán)中，四個(gè)分區(qū)類(lèi)型分別為：FAT32、FTA32、NTFS、FAT32。第9、10、11、12字節(jié)代表本分區(qū)之前已用了的扇區(qū)數(shù)，需要通過(guò)計(jì)算獲得第13、14、15、16字節(jié)代表本分區(qū)的總扇區(qū)數(shù)，需要通過(guò)計(jì)算獲得。通過(guò)查找EBR中的分區(qū)信息，及WinHex系統(tǒng)提供的信息，計(jì)算MBR中的分區(qū)信息，完成分區(qū)表的恢復(fù)。三、手工恢復(fù)硬盤(pán)分區(qū)表過(guò)程1、收集各EBR中的分區(qū)信息由于EBR的結(jié)構(gòu)與MBR結(jié)構(gòu)一樣，即以55AA作為結(jié)束標(biāo)志，因此可以搜索55AA。為加快搜索速度，設(shè)置offsetmod512=510即對(duì)512的整數(shù)倍的510、511字節(jié)進(jìn)行搜索。如果是直接從MBR處開(kāi)始搜索，要注意判斷是否是￡3區(qū)，該扇區(qū)前面、后面的幾個(gè)扇區(qū)的字節(jié)一般全為00.

小技巧：由于WinHex工具本身提供的信息較全，可直接點(diǎn)擊Partition2后，進(jìn)行反向搜索。很快搜索到第一個(gè)EBR。如下圖所示：第1擴(kuò)展分區(qū)分區(qū)示意圖在第一個(gè)擴(kuò)展分區(qū)，其分區(qū)信息表如下：0001C1FF0BFEFFFF3F000000AD2CE2040000C1FF05FEFFFFEC2CE204EC2CE204再點(diǎn)擊Partitions進(jìn)行反向搜索，得到第2個(gè)EBR，如下圖所示:

llndiChvvi^il+'utAtiitjifUElftMi^KAlilllndiChvvi^il+'utAtiitjifUElftMi^KAlil'■frlflHwjra￡十45，'"n問(wèn) j￡0均n*QTJfl.?^*csawsau卡匕籌通￡lyjr］i>W?514U謝必m］產(chǎn)*>3\皿電駕期網(wǎng)TOSII 尋J卜Jl|r￡Hm：Ji4.1Offa砒［gi2J1 % , ■P9*BC1EF<WtPI5EA€Ce?45：UEAQhN肥J4AQiiEJS后式口EAEEKEULUO5HA-」□IUU取C4F00tAeMCSfiCWEd"加EHD9；lDOco00HO00ocmoe0300歸09w0J0000co「ciDIQD00op加QIQC00DO旗tn00g00UC!g00的啦Otlaooc00口口口電naQCDO口□tic00如co第2擴(kuò)展分區(qū)分區(qū)示意圖第二個(gè)擴(kuò)展分區(qū)的分區(qū)信息如下:000101000BFEFFFF3F000000AD2CE2040000C1FF05FEFFFFD859C409731A6C06再點(diǎn)擊，Partition4,進(jìn)行反向搜索，得到第3個(gè)EBR,如下圖所示:

，圾.日國(guó)尸IHU十ULNsnw?* ］Fitja4T*「IWtT\ |iFwtorj%叱1 由r【新即4x2 FAT391SB菊1諭a rw-91心第5途?PtL'th-K耳?曲--WEE 0123^5^709ASCDEFMadel■t*>1曲""UE折水岫二 WD疝白831Mrf。*曰”. 5:/“Ji加3%&小弘航fUndPF第wi nT?彳米冉EWC9口00 m 03 QQ 0口 00 09 OO OQ DO OQ 09 on og oc aoi日1ae值qcvnno iw ao oo 0□ oc 口口 co oo do oo go gn qq du juLEtASJ號(hào)匚［JCZ M :」如 OD CT g CID 加 00 30 CO JU □□ 我 3Q“血”匚濘ca 師皿蜘 0D QQ 0Q QQ Q0 00 ID 00 QQ OQ Q> 0DllEAEtKihODO DO OO 06 0D 00 0D OO M 00 M 0D DD OD UH OD16：Ai35CE3CO SC ：3 9C DO EC 8 CC 抗 C3 DC M M CC 30ieiA￡35Ct3C： JC ：3 DO D3 CC M OC 3C C3 QC C3 ：C 03 CC 30ie￡AZMK3CD 3C "D 00 DD CC 09 QC 9C 00 DC 55 Cd 03 CC 3t>7 心中虻可 ？附G5tiwtr 5煌由gadtvd； 行見(jiàn)F/rtlni 《啟P FSttKIhG 臉f*sgi；Chs?uier^0寸i?ir hftiBrteesd^r1iiMr|中 ，注］Wfv青 1hr我d挈『曲櫛 1lECAt「口 11' Ki QQ OO 00 DV DO UQ DO DO CO M 0O 00 UDDO HQ 30 砸 0Q 町。09 00 00 00 QQ CO Cfi OO OC 口口IBEAOQpg DO M DQ 00 0Q 00 00 砸 OQ 00 QO CO CO 00 QU ［口186A￡INDia QQ M 00 US G0 00 00 OO OS 00 SO 00 QO 00 00 ODr^E0rW?O DO N 00 D<> GO 00 00 00 OS 00 80 00 00 00 0> MI晦AEWMJ Ou」『00 00 00 mG 00 GO 加 00 DO GO 8 00 DO 001*AE胖心打 DO i>(： W OO 00 加 00 時(shí) 00 00 DO 如 00 00 OCluaAEm弓usfl ou UE m on 00i cr oa oci oo oo oo oo do oo oc m1f€.AK3?DaO 00 IH M 00 00 00 Oft 0? OQ 00 00 OO DC 00 OC 小。1€!lA￡JW?D 00或力誠(chéng)03玳JJ Ct 恥CO M眥00即3口leLAij?taj co jc 第用 口」心c uj at 」口 co dq s」u 1口 跳 jj1日加現(xiàn)用m Jt 州戲DU雕UJ QL 00 M CJ M 00 GC」Q16iAi35tA3 C2 3c 33 g g CO Q9 QC g 3 M S OC C-3 CC g1L14PIdiri 21上UBrmk”中丫牙4厘胡式上叫Tr7LE；AE3?［=3 C：' 9C 8 M 8 tC g Gt OC 8 M ；3 m g EC QI1€6A1MMO C￡ 件 CB FE FF ft 3F CO M 00 M 1A X 恒 Dt 0Q閨一吟即 00 W 00 D> M 00 00 OG M 00 10 00 M 00 00 MiF-.vast--^ 0： sc :i zc m tio 口才 cc &G oo l*c he E cr nW加產(chǎn)4iis^AEaftrFoicnmehiononornrnooodgsmoa與qaaIHIREAEiTdIDJL)Z<DO赤白0ft0LDOCJDOGJOHOOEC1口le？Aiy^EioDjntlJl：uuocioooidooodoc>jtaaocjoMi-1 nui-% eO0工工，上軍第3擴(kuò)展分區(qū)分區(qū)示意圖第三個(gè)擴(kuò)展分區(qū)的分區(qū)信息如下：0001C1FF0BFEFFFF3F000000341A6C062、計(jì)算C盤(pán)及擴(kuò)展分區(qū)的信息對(duì)于C盤(pán)，其之前已用的扇區(qū)數(shù)，就是MBR所占用的扇區(qū)，共63個(gè)扇區(qū)，轉(zhuǎn)換成16進(jìn)制為3F。接下來(lái)重點(diǎn)計(jì)算本分區(qū)的總扇區(qū)數(shù)。實(shí)際上，C盤(pán)后緊跟第1個(gè)EBR，其是自63扇區(qū)開(kāi)始，結(jié)束于第1個(gè)EBR之前的第1個(gè)扇區(qū)。通過(guò)第1擴(kuò)展分區(qū)分區(qū)示意圖的左下角可看到EBR位于4096570扇區(qū)，則C盤(pán)結(jié)束的扇區(qū)是40965749.因此C盤(pán)所占用扇區(qū)為40965749—63+1=40965687。轉(zhuǎn)換成16進(jìn)制為：2711637,則13、14、15、16字節(jié)分別為：37、16、71、02.對(duì)于第1擴(kuò)展分區(qū)，其分區(qū)之前所用的扇區(qū)數(shù)，即是C盤(pán)總的扇區(qū)數(shù)及MBR之和，即40965687+63=40965750,轉(zhuǎn)換成16進(jìn)制，則為：2711676,則9、10、11、12字節(jié)分別為：76、16、71、02.現(xiàn)在需要計(jì)算第一擴(kuò)展分區(qū)的總扇區(qū)。第一擴(kuò)展分區(qū)的總扇區(qū)可采用兩種方法計(jì)算。一種是各個(gè)邏輯分區(qū)的容量之和+隱藏扇區(qū)（即EBR所占用扇區(qū)）；另外一種是（硬盤(pán)總扇區(qū)一未分區(qū)的扇區(qū)）一MBR所點(diǎn)扇區(qū)一C盤(pán)所占扇區(qū)。下面分別采用這兩種方法進(jìn)行計(jì)算：方法一：各個(gè)邏輯分區(qū)的容量之和+隱藏扇區(qū)（即EBR所占用扇區(qū)）自各EBR得到信息，第一個(gè)邏輯分區(qū)為04E22CAD扇區(qū)，第二個(gè)邏輯分區(qū)為04E22CAD,第三個(gè)邏輯分區(qū)為066C1A34，另外，每個(gè)EBR占用3F扇區(qū)，共3個(gè)，則其和為：1030744B,則13、14、15、16字節(jié)分別為：4B、74、30、10.

方法二：（硬盤(pán)總扇區(qū)一未分區(qū)的扇區(qū)）一MBR所點(diǎn)扇區(qū)一C盤(pán)所占扇區(qū)（硬盤(pán)總扇區(qū)一未分區(qū)的扇區(qū)）代表了參與分區(qū)的總的扇區(qū)，本硬盤(pán)中，存在未分區(qū)的空間2.5MB,自312576705個(gè)扇區(qū)開(kāi)始，也就意味著有312576705個(gè)扇區(qū)進(jìn)行了分區(qū)（自0開(kāi)始計(jì)算扇區(qū)），MBR所占扇區(qū)為63個(gè)，C盤(pán)所占扇區(qū)為40965687,則第一擴(kuò)展分區(qū)的總扇區(qū)為：312576705—63—40965687=271610955,轉(zhuǎn)換成16進(jìn)制為：1030744B,與方法一結(jié)果相同。至些，完成分區(qū)表各重要參數(shù)的計(jì)算。C盤(pán)及第一個(gè)擴(kuò)展分區(qū)的分區(qū)信息如下：800101000BFEFFFF3F000000371671020000C1FF0FFEFFFF761671024B7430103、編輯分區(qū)表內(nèi)容根據(jù)剛計(jì)算的C盤(pán)及擴(kuò)展分區(qū)的信息，編輯分區(qū)表。如下圖所示：J「血曰1WTtlSS!，職cm?FAT■整且Jr-aVKSr^HTF$BiG8心皿FATXM喀*53*泌7J「血曰1WTtlSS!，職cm?FAT■整且Jr-aVKSr^HTF$BiG8心皿FATXM喀*53*泌7jlSO3UKBQOffdet0000000090onoooooosfiCQDOOOODCC0Q0Q0O0DWDGDOQOD3ECt^OGQO&DfOQQ000001WQgOOGOQiWOGOOCOD120OQOO0OO1WQQ0QQ0CI140OOOOuOOlSCCDOOOOOl600QDQCD0170OCOOQCKll^如。忙OWLOGOGOOOIACOaOOGOCIBODaDOQD01U1>oooonooin>ci>CDDO0OO1ECDaoooociFODDDO0DO2LO。口OQg支國(guó)[I口。0白0口之和00Mge12404B55IB43口。5318051D247420EE6T5SQU。口ion口。口口0D>gOQ0000000000g；34二上后罅0080E4SAS66EFF7600E口OFB900BB4175326Sm0255656800OD07B707EB078?FOF2F4E3C3496E&F鋸206E616<2073796F70E500g00gFEFFOFFEFF0口OQGODO00SO00000000口D00000000000。DOGO00皿KuI-111工iniu2+r;1 。｝口-loyv*hdel*&ew'vKeuLL,*1￡Mu；fmCPAd2iim>fhfbJSfSfUfh