子任務2

利用WinHex恢復MBR磁盤分區任務2MBR磁盤分區恢復項目6磁盤分區恢復01恢復引導記錄受破壞MBR分區02恢復僅有效扇區標志受破壞MBR分區03恢復分區表受破壞MBR分區目錄contents恢復引導記錄受破壞MBR分區01任務實施2（一）恢復引導記錄受破壞MBR分區（共有3個步驟）步驟一：附加虛擬磁盤，運行Winhex并打開它步驟二：確認MBR分區受破壞步驟三：恢復MBR分區一步驟一：附加虛擬磁盤，運行Winhex并打開它在素材文件夾中，雙擊“6任務2-2-1.vhd”，然后運行Winhex，打開“HD1”?；謴鸵龑в涗浭芷茐腗BR分區步驟二：確認MBR分區受破壞在驅動器窗口，點擊起始扇區，接著在編輯窗口查看MBR信息，發現其MBR的偏移0X00?0XBD的數據為0，而MBR分區表及有效標志正常，說明MBR的引導信息被破壞了。一步驟三：恢復MBR分區1.復制正常的MBR的引導信息用Winhex打開任意正常的MBR分區類型的硬盤，復制MBR引導信息，粘貼到6任務1-3.vhd虛擬磁盤MBR引導信息處。如圖6-39所示。恢復引導記錄受破壞MBR分區圖6-39Winhex編輯窗口信息（修復后MBR引導信息）圖一步驟三：恢復MBR分區2.保存數據

運用“保存”功能按鍵，完成保存數據。運用“磁盤快照”功能按鍵，完成磁盤快照?；謴鸵龑в涗浭芷茐腗BR分區的操作完成。恢復引導記錄受破壞MBR分區一步驟二：讀取和記錄MBR分區表參數（三）讀取分區第一扇區1.啟用“數據解釋器”點擊Winhex“查看”菜單，彈出下拉菜單，移動鼠標光標至“顯示”，彈出其下拉菜單，光標再移到“數據解釋器”，如圖6-28所示。利用Winhex直接和數據解釋器讀取MBR分區表參數圖6-28Winhex“查看”-“顯示”-“數據解釋器”菜單圖（二）讀取分區第一扇區2.修改“數據解釋器”的解釋方式方法若需要修改某個參數的解釋方式方法，用右鍵點擊其數值，彈出解釋方式方法下拉菜單，點擊選擇所要的解釋方式方法就可以了。比如右鍵點數據解釋器32Bit上的數值（63）處，彈出“解釋方式方法”菜單，光標移到“插入Unicode控制字符”，繼續彈出下拉菜單，光標移到想要選的“LRM”,點擊它就可以了，如圖6-30所示。圖6-30Winhex“數據解釋器”解釋方式方法下拉菜單恢復僅有效扇區標志受破壞MBR分區02恢復僅有效扇區標志受破壞MBR分區（二）恢復僅有效扇區標志受破壞MBR分區（共有3個步驟）步驟一：附加虛擬磁盤，運行Winhex并打開它步驟二：確認MBR分區受破壞步驟三：恢復MBR分區二步驟一：附加虛擬磁盤，運行Winhex并打開它在素材文件夾中，雙擊“6任務2-2-2.vhd”，然后運行（Winhex），打開“HD1”?；謴蛢H有效扇區標志受破壞MBR分區步驟二：確認MBR分區受破壞

在驅動器窗口，點擊起始扇區，接著在編輯窗口查看MBR信息，發現其MBR的扇區有效標志數據為0，說明MBR的有效標志被破壞了。二步驟三：恢復MBR分區1.重寫扇區有效標志在MBR的扇區有效標志處，偏移0XFE～FF，直接寫入0X55/0XAA。如圖6-40所示?；謴蛢H有效扇區標志受破壞MBR分區7-40Winhex編輯窗口信息（修復后MBR的有效標志）圖2.保存數據完成后，保存磁盤數據后，關閉磁盤。恢復僅有效扇區標志受破壞MBR分區的操作完成。二步驟二：讀取和記錄EBR1分區表參數（二）EBR1分區表第2個表項如圖6-36所示。利用Winhex直接和數據解釋器讀取EBR分區表參數圖6-36Winex編輯窗口信息（EBR1分區表第2個表項）圖第2個表項偏移是0XCE-0XDD。其中，它活動分區類型偏移是0XCE，值是0X00，表示是非活動分區；它分區類型的偏移是0XD2，值是0X05，表示是次擴展分區；它第一扇區號的偏移是0XD6-9，值是0XC80B1C1，數據解釋器32Bit數值處解釋的十進制數為209,760,705(扇區）；它扇區總數的偏移是0XDA-D，值是0XC7EB182,數據解釋器32Bit數值處解釋的十進制數為209629570(扇區）。EBR1分區第2個表項主要參數如表6-7所示。表6-7EBR1分區第2個表項主要參數表偏移長度值表項內容0XCE10X00活動分區類型：非活動0XD210X05分區類型：擴展分區（1)0XD6?840XC80B1C1第一扇區：209,760,705號（主擴展分區）0XDA?D40XC7EB182扇區總數：209629570恢復分區表受破壞MBR分區03恢復分區表受破壞MBR分區恢復分區表受破壞MBR分區（共有3個步驟）步驟一：附加虛擬磁盤，運行Winhex并打開它步驟二：確認MBR分區受破壞步驟三：恢復MBR分區三步驟一：附加虛擬磁盤，運行Winhex并打開它恢復分區表受破壞MBR分區在素材文件夾中，雙擊“6任務2-2-3.vhd”，資源管理器發現磁盤有問題，并彈出錯誤提示。運行Winhex，打開“HD1”。步驟二：確認MBR分區受破壞在驅動器窗口，但各分區還在，它們的圖標變為灰色，系統已識別不到該分區，資源管理器讀不了此分區數據，但各分區的數據正常。進一步查看MBR、EBR1、EBR2信息，發現他們的數據均為0，說明MBR、EBR1、EBR2表被破壞了。三步驟三：恢復MBR分區恢復分區表受破壞MBR分區1.制作各分區主要參數表，讀取各分區主要參數先制作各分區主要參數（第一扇區號、BPB表的總扇區數、總扇區數）表，然后，點擊各分區，接著讀取各分區的第一扇區號（DBR所在的扇區號）、BPB表記錄的總扇區數、推算MBR分區表項的總扇區數等參數，并把它們填入各分區主要參數表的各欄中。各分區主要參數表如表6-11表所示。表6-11各分區主要參數表分區參數/分區號分區1間隙1分區2間隙2分區3第1扇區號（DBR所在的扇區號）63209715263209715326419430526419430589BPB表記錄的總扇區數209715199——209715199——419419450推算MBR分區表項的總扇區數2097152006320971520063419419451三步驟三：恢復MBR分區恢復分區表受破壞MBR分區2.填寫MBR、EBR分區表項數據表根據各分區主要數據表，依照表6-1，填寫MBR、EBR1、EBR2分區表項數據表。MBR、EBR1、EBR2分區表項數據表，如表6-12、13、14表所示。表6-12MBR分區表表項參數數據表分區/參數分區1（主分區）分區2（擴展分區）活動分區標志偏移0XBE0XCE直接輸入0X800X00開始磁頭/開始扇區/開始柱面偏移0XBF?0XC10XCF?0XD1直接輸入0X010X/01/0X000XFE/0XFF0X/FF分區類型偏移0XC20XD2直接輸入0X070X0F結束磁頭/開始扇區/開始柱面偏移0XC3?0XC50XD3?0XD5直接輸入0XFE/0XFF/0XFF0XFE/0XFF/0XFF第一扇區（第一扇區號）偏移0XC6?80XD6?8數據解釋器輸入63209715263總扇區數偏移0XCA?D0XDA?D數據解釋器輸入209715200629134777三步驟三：恢復MBR分區恢復分區表受破壞MBR分區2.填寫MBR、EBR分區表項數據表根據各分區主要數據表，依照表6-1，填寫MBR、EBR1、EBR2分區表項數據表。MBR、EBR1、EBR2分區表項數據表，如表6-12、13、14表所示。表6-13EBR1分區表表項參數表分區/參數分區1（邏輯分區1）分區2（次擴展分區1）活動分區標志偏移0XBE0XCE直接輸入0X000X00開始磁頭/開始扇區/開始柱面偏移0XBF?0XC10XCF?0XD1直接輸入0X01/0X01/0X000XFE/0XFF/0XFF分區類型偏移0XC20XD2直接輸入0X070X05結束磁頭/開始扇區/開始柱面偏移0XC3?0XC50XD3?0XD5直接輸入0XFE/0XFF/0XFF0XFE/0XFF/0XFF第一扇區（第一扇區號）偏移0XC6?80XD6?8數據解釋器輸入63209,715,263總扇區數偏移0XCA?D0XDA?D數據解釋器輸入209,715,200419,419,514三步驟三：恢復MBR分區恢復分區表受破壞MBR分區2.填寫MBR、EBR分區表項數據表根據各分區主要數據表，依照表6-1，填寫MBR、EBR1、EBR2分區表項數據表。MBR、EBR1、EBR2分區表項數據表，如表6-12、13、14表所示。表6-14EBR2分區表表項參數表分區/參數分區1（邏輯分區2）活動分區標志偏移0XBE直接輸入0X00開始磁頭/開始扇區/開始柱面偏移0XBF?0XC1直接輸入0X01/0X01/0X00分區類型偏移0XC2直接輸入0X07結束磁頭/開始扇區/開始柱面偏移0XC3?0XC5直接輸入0XFE/0XFF/0XFF第一扇區（第一扇區號）偏移0XC6?8數據解釋器輸入63總扇區數偏移0XCA?D數據解釋器輸入419,419,451三步驟三：恢復MBR分區恢復分區表受破壞MBR分區3.寫入MBR、EBR1、EBR2各表項在Winhex編輯窗口，分別進入MBR、EBR1、EBR2扇區，根據MBR、EBR1、EBR2分區表項數據表，分別填寫MBR、EBR1、EBR2分區各表項，完成后，保存磁盤數據后，關閉磁盤，然后又重新打開此磁盤。如圖6-41、42、43所示。圖6-41Winhex編輯窗口信息（修復后MBR分區表）圖三