Board logo

標題: 硬碟資料恢復教程 [打印本頁]
作者: admin    時間: 2008-5-2 17:20     標題: 硬碟資料恢復教程

硬碟資料恢復教程
●硬碟資料恢復，四檔分配表
FAT是DOS、Windows9X系統的檔定址格式，位於DBR之後。
在解釋檔分配表的概念的時候，我們有必要談談簇（Cluster）的概念。檔佔用磁碟空間，基本單位不是位元組而是簇。一般情況下，軟碟每簇是1個磁區，硬碟每簇的磁區數與硬碟的總容量大小有關，可能是4、8、16、32、64……同一個檔的資料並不一定完整地存放在磁片的一個連續的區域內，而往往會分成若干段，像一條鏈子一樣存放。這種存儲方式稱為檔的鏈式存儲。由於硬碟上保存著段與段之間的連接資訊（即FAT），作業系統在讀取檔時，總是能夠準確地找到各段的位置並正確讀出。
為了實現檔的鏈式存儲，硬碟上必須準確地記錄哪些簇已經被檔佔用，還必須為每個已經佔用的簇指明存儲後繼內容的下一個簇的簇號。對一個檔的最後一簇，則要指明本簇無後繼簇。這些都是由FAT表來保存的，表中有很多表項，每項記錄一個簇的資訊。由於FAT對於檔管理的重要性，所以為了安全起見，FAT有一個備份，即在原FAT的後面再建一個同樣的FAT。初形成的FAT中所有項都標明為“未佔用”，但如果磁片有局部損壞，那麼格式化程式會檢測出損壞的簇，在相應的項中標為“壞簇”，以後存檔時就不會再使用這個簇了。FAT的項數與硬碟上的總簇數相當，每一項佔用的位元組數也要與總簇數相適應，因為其中需要存放簇號。FAT的格式有多種，最為常見的是FAT16和FAT32。
當一個磁片Format後，在其邏輯0磁區（即BOOT磁區）後面的幾個磁區中存在著一個重要的資料表—檔分配（FAT），文件分配表一式兩份，佔據磁區的多小憑磁片類型大小而定。顧名思義，檔分配表是用來表示磁片問件的空分配資訊的。它不對引導區，檔目錄的資訊進行表示，也不真正存儲檔內容。

我們知道磁片是由一個一個磁區組成的，若干個磁區合為一個簇，檔存取是以簇為單位的，哪怕這個檔只有1個位元組。每個簇在檔分配表中都有對應的表項，簇號即為表項號，每個表項占1.5個位元組（磁碟空間在10MB以下）或2個位元組（磁碟空間在10MB以上）。為了方便起見，以後所說的表項都是指2個位元組的。


檔分配表結構如1（H表示16進制）
表1
第0位元組 表頭，表磁片類型。FFH雙面軟碟，每次道8磁區FEH單面軟碟，每磁軌8磁區FDH雙面軟碟，每磁軌9磁區FCCH單面軟碟，每磁軌9磁區FC8H硬碟
第1~2位元組 （表項號1）表示第一簇狀態，因第一簇被系統佔據，故此兩位元組為FFFFH
第3~4位元組 （表項號2）表示第二簇狀態，若為FFFH表此簇為壞的，DOS已標記為不能用；0000H表示此簇為空，可以用；FFF8H表不能示該簇為檔的最後一簇；其餘數字表示檔的下一個簇號，注意高位元組在後，低位元組在前。
第5~6位元組 （表項號3）表示第三簇狀態，同上。


注意：
不要把表項內的數字誤認為表示當前簇號，而應是該檔的下一個簇的簇號。.高位元組在後，低位元組在前是一種存儲數位方式，讀出時應對其進行調整。是如兩位元組12H，34H，應調整為3412H。
檔分配表與檔目錄（FDT）相配合，可以統一管理整個磁片的檔。它告訴系統磁片上哪些簇是壞的或已被使用，哪些簇可以用，並存儲每個檔所使用的簇號。它是文件的“總調度師”。
當DOS寫檔時，首先在檔目錄中檢查是否有相同檔案名，若無則使用一個檔目錄表項，然後依次檢測FAT中的每個表項對應的簇中，同時將該簇號寫入檔目錄表項相的26-27位元組，如檔長度不止一簇，則繼續向後尋找可用簇，找到後將其簇號寫入上一次找到的表項中，如此直到檔結束，在最後一簇的表項裏填上FFF8H，形成單向鏈表。
DOS刪除檔時只是把檔目錄表中的該檔的表項第0個位元組改為E5H，表此項已被刪除，並在檔分配表中把該檔佔用的各簇的表項清0，並釋放空間。其檔的內容仍然在盤上，並沒有被真正刪除，這就是undelete.exe,unerase.exe等一類恢復刪除工具能起作用的原因。
檔分配表在系統中的地位十分重要，用戶最好不要去修改它，以免誤操作帶來嚴重的後果。



FAT表的定位
　硬碟分區的主要結構說明：
(Cylinder柱面/磁軌-Side磁頭-Sector磁區位址以下簡稱為?-?-?)
《主分區》
名稱 位址   長度(磁區)
主引導記錄（Main Boot Record) 0-0-1 1
系統磁區（System Secotrs）   0-0-2,0-0-63  62
引導磁區（Boot） 0-1-1 1
   FAT16系統中，此磁區包含BPB（BIOS Parameter Block）表，描述邏輯盤結構組成，包含隱藏磁區數目（從0-1-1開始計算）、FAT磁區數、FAT拷貝數、硬碟磁頭總數、根目錄表項最大值等。
    FAT32系統中，BPB表的偏移與FAT16不同，但表項基本相同。整個隱藏磁區部分都作為邏輯盤的描述區域。
隱藏磁區（Hidden Secotrs）:
    FAT16              0-1-1          1
    FAT32              0-1-1          32
文件分配表(File Allocation Table):
    FAT16              0-1-2          根據邏輯盤容量變化     
    FAT32              0-1-33          根據邏輯盤容量變化
    說明：
    FAT16的每個表項由2位元組（16位元）組成，通常每個表項指向的簇包含64個磁區，即32K位元組。
        邏輯盤容量最大為2047MB。
    FAT32的每個表項由4位元組（32位元）組成，通常每個表項指向的簇包含8個磁區，即4K位元組。
        邏輯盤容量最小為512MB。
    對於C分區，在MBR的偏移01c2H處，FAT16為06H，FAT32為0CH。
        有關計算公式為：
        每個磁區長度=512位元組
        總簇數=邏輯盤容量/簇容量
        總簇數=FAT表長度（位元組）/每個表項長度（位元組）-2
        FAT表長度=邏輯盤容量/簇容量*每個表項長度
    FAT表的開始由介質描述符+一串“已佔用”標誌組成：
        FAT16硬碟----F8 FF FF 7F
        FAT32硬碟----F8 FF FF 0F FF FF FF 0F
    每個有效的FAT結構區包含兩個完全相同的拷貝：FAT1、FAT2
檔目錄表（File Directory Table），即根目錄區，又稱為ROOT區:
    緊跟在FAT2的下一個磁區，長度為32個磁區（256個表項）。如果支持長檔案名，則每個表項
    為64個位元組，其中，前32個位元組為長檔鏈結說明；後32個位元組為檔屬性說明，包括檔長
    度、起始地址、日期、時間等。如不支持長檔案名，則每個表項為32個位元組的屬性說明。
數據區（Data Area）:
    緊跟在FDT的下一個磁區，直到邏輯盤的結束位址。
《擴展分區》
名稱 位址 長度(磁區)
擴展分區（Extend Partition） ?-y-1 1
系統磁區（System Secotrs） ?-y-2,?-y-63 62
引導磁區（Boot） ?-(y+1)-1  1
其後各項與主分區相同……


FAT表引起的讀寫故障

硬碟檔分配表龐大無法手工修復，只能依靠工具。
FAT表記錄著硬碟資料的存儲位址，每一個檔都有一組FAT鏈指定其存放的簇地址。FAT表的損壞意味著檔內容的丟失。慶倖的是DOS系統本身提供了兩個FAT表，如果目前使用的FAT表損壞，可用第二個進行覆蓋修復。但由於不同規格的磁片其FAT表的長度及第二個FAT表的位址也是不固定的，所以修復時必須正確查找其正確位置，一些工具軟體如NU等本身具有這樣的修復功能，使用也非常的方便。採用DEBUG也可實現這種操作，即採用其m命令把第二個FAT表移到第一個表處即可(不建議這樣做)。如果第二個FAT表也損壞了，則也無法把硬碟恢復到原來的狀態，但檔的資料仍然存放在硬碟的資料區中，可採用CHKDSK或SCANDISK命令進行修復，最終得到*.CHK檔，這便是丟失FAT鏈的磁區資料。如果是文字檔案則可從中提取出完整的或部分的檔內容。

軟碟檔分配FAT表修復

在運行某個程式時，有時會在螢幕上看到：File allocation table bad,drive A（檔分配表壞）的錯誤資訊，導致程式不能正常運行。
  我們知道，在磁片中有兩個檔分配表：FAT1和FAT2。FAT1用於日常工作，FAT2備用。因此，在FAT1損壞時，可用FAT2表修補。
  具體方法是：運行DEBUG，將FAT2讀入緩衝區，用緩衝區的FAT2資料覆蓋磁片中的FAT1。
  例：修復3寸1.44M軟碟，在A驅
  在DOS環境下進入debug環境
  在“-”提示符下進行如下操作：
        -L 100 0 0A 9
        -W 100 0 1 9
        -q
  其他類型的軟碟的修復方法參照下表進行。
起止邏輯磁區 5.25"低密 5.25"高密 3.5"低密 3.5"高密
BOOT區 0 0 0 0
FAT1 1-2 1-7 1-3 1-9
FAT2 3-4 8-0EH 4-6 0A-12H
  例如我們要修復5.25"高密軟碟的FAT,則需將上述參數改為:
        -L 100 0 8 7
        -W 100 0 1 7
        -q

初買來一塊硬碟，我們是沒有辦法使用的，你需要將它分區、格式化，然後再安裝上作業系統才可以使用。一個完整硬碟的資料應該包括五部分：MBR，DBR，FAT，DIR區和DATA區。其中只有主引導磁區是唯一的，其他的隨你的分區數的增加而增加。
    主引導磁區
    主引導磁區位於整個硬碟的0磁軌0柱面1磁區，包括硬碟主引導記錄MBR（Main Boot Record）和分區表DPT（Disk Partition Table）。其中主引導記錄的作用就是檢查分區表是否正確以及確定哪個分區為引導分區，並在程式結束時把該分區的啟動程式（也就是作業系統引導磁區）調入記憶體加以執行。至於分區表，很多人都知道，以80H或00H為開始標誌，以55AAH為結束標誌，共64位元組，位於本磁區的最末端。值得一提的是，MBR是由分區程式（例如DOS 的Fdisk.exe）產生的，不同的作業系統可能這個磁區是不盡相同。如果你有這個意向也可以自己去編寫一個，只要它能完成前述的任務即可，這也是為什麼能實現多系統啟動的原因（說句題外話:正因為這個主引導記錄容易編寫，所以才出現了很多的引導區病毒）。
    作業系統引導磁區
     OBR（OS Boot Record）即作業系統引導磁區，通常位於硬碟的0磁軌1柱面1磁區（這是對於DOS來說的，對於那些以多重引導方式啟動的系統則位於相應的主分區/擴展分區的第一個磁區），是作業系統可直接訪問的第一個磁區，它也包括一個引導程式和一個被稱為BPB（BIOS Parameter Block）的本分區參數記錄表。其實每個邏輯分區都有一個OBR，其參數視分區的大小、作業系統的類別而有所不同。引導程式的主要任務是判斷本分區根目錄前兩個檔是否為作業系統的引導檔（例如MSDOS或者起源於MSDOS的Win9x/Me的IO.SYS和MSDOS.SYS）。如是，就把第一個檔讀入記憶體，並把控制權交予該檔。BPB參數塊記錄著本分區的起始磁區、結束磁區、檔存儲格式、硬碟介質描述符、根目錄大小、FAT個數、分配單元（Allocation Unit，以前也稱之為簇）的大小等重要參數。OBR由高級格式化程式產生（例如DOS 的Format.com）。
    文件分配表
    FAT(File Allocation Table)即檔分配表，是DOS/Win9x系統的檔定址系統，為了資料安全起見，FAT一般做兩個，第二FAT為第一FAT的備份, FAT區緊接在OBR之後，其大小由本分區的大小及檔分配單元的大小決定。關於FAT的格式歷來有很多選擇，Microsoft 的DOS及Windows採用我們所熟悉的FAT12、FAT16和FAT32格式，但除此以外並非沒有其他格式的FAT，像Windows NT、OS/2、UNIX/Linux、Novell等都有自己的檔管理方式。
    目錄區
    DIR是Directory即根目錄區的簡寫，DIR緊接在第二FAT表之後,只有FAT還不能定位檔在磁片中的位置，FAT還必須和DIR配合才能準確定位檔的位置。DIR記錄著每個檔（目錄）的起始單元（這是最重要的）、檔的屬性等。定位檔位置時，作業系統根據DIR中的起始單元，結合FAT表就可以知道檔在磁片的具體位置及大小了。在DIR區之後，才是真正意義上的資料存儲區，即DATA區。
    數據區
    DATA雖然佔據了硬碟的絕大部分空間，但沒有了前面的各部分，它對於我們來說，也只能是一些枯燥的二進位碼，沒有任何意義。在這裏有一點要說明的是，我們通常所說的格式化程式（指高級格式化，例如DOS下的Format程式），並沒有把DATA區的資料清除，只是重寫了FAT表而已，至於分區硬碟，也只是修改了MBR和OBR，絕大部分的DATA區的資料並沒有被改變，這也是許多硬碟資料能夠得以修復的原因。但即便如此，如MBR/OBR/FAT/DIR之一被破壞的話，也足夠咱們那些所謂的DIY老鳥們忙乎半天了……需要提醒大家的是，如果你經常整理磁片，那麼你的資料區的資料可能是連續的，這樣即使MBR/FAT/DIR全部壞了，我們也可以使用磁片編輯軟體（比如DOS下的DiskEdit），只要找到一個檔的起始保存位置，那麼這個檔就有可能被恢復（當然了，這需要一個前提，那就是你沒有覆蓋這個檔……）。
    硬碟分區方式
    我們平時說到的分區概念，不外乎三種:主分區、擴展分區和邏輯分區。
    主分區是一個比較單純的分區，通常位於硬碟的最前面一塊區域中，構成邏輯C磁片。在主分區中，不允許再建立其他邏輯磁片。
    擴展分區的概念則比較複雜，也是造成分區和邏輯磁片混淆的主要原因。由於硬碟僅僅為分區表保留了64個位元組的存儲空間，而每個分區的參數佔據16個位元組，故主引導磁區中總計可以存儲4個分區的資料。作業系統只允許存儲4個分區的資料，如果說邏輯磁片就是分區，則系統最多只允許4個邏輯磁片。對於具體的應用，4個邏輯磁片往往不能滿足實際需求。為了建立更多的邏輯磁片供作業系統使用，系統引入了擴展分區的概念。
    所謂擴展分區，嚴格地講它不是一個實際意義的分區，它僅僅是一個指向下一個分區的指標，這種指標結構將形成一個單向鏈表。這樣在主引導磁區中除了主分區外，僅需要存儲一個被稱為擴展分區的分區資料，通過這個擴展分區的資料可以找到下一個分區（實際上也就是下一個邏輯磁片）的起始位置，以此起始位置類推可以找到所有的分區。無論系統中建立多少個邏輯磁片，在主引導磁區中通過一個擴展分區的參數就可以逐個找到每一個邏輯磁片。
    需要特別注意的是，由於主分區之後的各個分區是通過一種單向鏈表的結構來實現鏈結的，因此，若單向鏈表發生問題，將導致邏輯磁片的丟失。
    資料存儲原理
    既然要進行資料的恢復，當然資料的存儲原理我們不能不提，在這之中，我們還要介紹一下資料的刪除和硬碟的格式化相關問題……
    文件的讀取
    作業系統從目錄區中讀取檔資訊（包括檔案名、尾碼名、檔大小、修改日期和檔在資料區保存的第一個簇的簇號），我們這裏假設第一個簇號是0023。
    作業系統從0023簇讀取相應的資料，然後再找到FAT的0023單元，如果內容是檔結束標誌（FF），則表示檔結束，否則內容保存資料的下一個簇的簇號，這樣重複下去直到遇到檔結束標誌。
    文件的寫入
    當我們要保存檔時，作業系統首先在DIR區中找到空區寫入檔案名、大小和創建時間等相應資訊，然後在Data區找到閒置空間將檔保存，並將Data區的第一個簇寫入DIR區，其餘的動作和上邊的讀取動作差不多。
    檔的刪除
    Win9x的文件刪除工作卻是很簡單的，簡單到只在目錄區做了一點小改動——將目錄區的檔的第一個字元改成了E5就表示將改檔刪除了。

附錄:
--------------------------------------------------------------------------------
    Fdisk和Format的一點小說明
    和檔的刪除類似，利用Fdisk刪除再建立分區和利用Format格式化邏輯磁片（假設你格式化的時候並沒有使用/U這個無條件格式化參數）都沒有將資料從DATA區直接刪除，前者只是改變了分區表，後者只是修改了FAT表，因此被誤刪除的分區和誤格式化的硬碟完全有可能恢復……

    系統啟動流程
    各種不同的作業系統啟動流程不盡相同，我們這裏以Win9x/DOS的啟動流程為例。
    第一階段:系統加電自檢POST過程。POST是Power On Self Test的縮寫，也就是加電自檢的意思，微機執行記憶體FFFF0H處的程式（這裏是一段固化的ROM程式），對系統的硬體（包括記憶體）進行檢查。
    第二階段:讀取分區記錄和引導記錄。當微機檢查到硬體正常並與CMOS設置相符後，按照CMOS設置從相應設備啟動（我們這裏假設從硬碟啟動），讀取硬碟的分區記錄（DPT）和主引導記錄（MBR）。
    第三階段:讀取DOS引導記錄。微機正確讀取分區記錄和主引導記錄後，如果主引導記錄和分區表校驗正確，則執行主引導記錄並進一步讀取DOS引導記錄（位於每一個主分區的第一個磁區），然後執行該DOS引導記錄。
    第四階段:裝載系統隱含檔。將DOS系統的隱含檔IO.SYS入記憶體，載入基本的檔系統FAT，這時候一般會出現Starting Windows 9x...的標誌，IO.SYS將MS.SYS讀入記憶體，並處理System.dat和User.dat檔，載入磁片壓縮程式。
    第五階段:實DOS模式配置。系統隱含檔裝載完成，微機將執行系統隱含檔，並執行系統配置檔（Config.sys），載入Config.sys中定義的各種驅動程式。
第六階段:調入命令解釋程式(Command.com)。系統裝載命令管理程式，以便對系統的各種操作命令進行協調管理（我們所使用的Dir、Copy等內部命令就是由Command.com提供的）。
    第七階段:執行批次檔案(Autoexec.bat)。微機將一步一步地執行批次檔案中的各條命令。
    第八階段:載入Win.com。Win.com負責將Windows下的各種驅動程式和啟動執行檔加以執行，至此啟動完畢。

硬碟資料恢復，二分區表的推算
Master Boot Record

The Master Boot Record is located at the physical beginning of a hard disk, editable using the Disk Editor. It consists of a master bootstrap loader code (446 bytes) and four subsequent, identically structured partition records. Finally, the hexadecimal signature 55AA completes a valid Master Boot Record.


硬碟的主引導記錄在硬碟的0磁頭0柱面1磁區。
主引導記錄由三部分組成：
(1)主引導程式；
(2)四個分區表；
(3)主引導記錄有效標誌字。

詳見表1。
[表1主引導記錄結構]

位 　 置 內 　 容
0000H －00D9H 主引導記錄代碼區
00DAH －01BDH 空閒區
01BEH －01CDH 分區1結構資訊
01CEH －01DDH 分區2結構資訊
01DEH －01EDH 分區3結構資訊
01EEH －01FDH 分區4結構資訊
01FEH －01FFH 55 AAH 主 引 導 記 錄 有 效 標 志

說明:
A,分區表自偏移1BEH處開始，分區表共64個位元組，表中可填入四個分區資訊，每十六個位元組為一個分區說明項，這16個位元組含義詳見表2。
B,必須注意：磁區號的高二位元佔用柱面號所在位元組的最高二位元，即柱面號為10位元，磁區號6位元。
The format of a partition record is as follows:

Offset Size Description
0  8 bit A value of 80 designates an active partition.

1  8 bit Partition start head
2  8 bit Partition start sector (bits 0-5)
3  8 bit Partition start track (bits 8,9 in bits 6,7 of sector)
4  8 bit Operating system indicator
5  8 bit Partition end head
6  8 bit Partition end sector (bits 0-5)
7  8 bit Partition end track (bits 8,9 in bits 6,7 of sector)
8  32 bit Sectors preceding partition
C  32 bit Length of partition in sectors

Operating system indicators: (hexadecimal, incomplete list)

00 Empty partition-table entry
01 DOS FAT12
04 DOS FAT16 (up to 32 MB)
05 DOS 3.3+ extended partition
06 DOS 3.31+ FAT16 (over 32 MB)
07 OS/2 HPFS, Windows NT NTFS, Advanced Unix
08 OS/2 v1.0-1.3, AIX bootable partition, SplitDrive
09 AIX data partition
0A OS/2 Boot Manager
0B Windows 95+ FAT32
0C Windows 95+ FAT32 (using LBA-mode INT 13 extensions)
0E DOS FAT16 (over 32 MB, using INT 13 extensions)
0F Extended partition (using INT 13 extensions)
17 Hidden NTFS partition

1B Hidden Windows 95 FAT32 partition
1C Hidden Windows 95 FAT32 partition (using LBA-mode INT 13 extensions)
1E Hidden LBA VFAT partition
42 Dynamic disk volume
50 OnTrack Disk Manager, read-only partition
51 OnTrack Disk Manager, read/write partition
81 Linux
82 Linux Swap partition, Solaris (Unix)
83 Linux native file system (ext2fs/xiafs)
85 Linux EXT
86 FAT16 volume/stripe set (Windows NT)
87 HPFS fault-tolerant mirrored partition, NTFS volume/stripe set

BE Solaris boot partition
C0 DR-DOS/Novell DOS secured partition
C6 Corrupted FAT16 volume/stripe set (Windows NT)
C7 Corrupted NTFS volume/stripe set
F2 DOS 3.3+ secondary partition


[表2分區結構資訊]
偏移 長度 　  含義
00H 　1 　 活動分區指示符，該值為80H表示為可自舉分區(僅有一個)，該值為00H表示其餘分區。
01H 　1 　 分區起始磁頭號。
02H 　1 　 低6位元是分區開始的磁區，高2位元是分區開始的柱面的頭兩位。
03H 　1 　 分區開始的起始柱面號的低8位。
04H 　1 　 系統標誌，該值為01H表示採用12位FAT格式的DOS 分區，該值04H表示採用16位FAT格式的DOS分區，該值為05H表示為擴展DOS分區，為06H表示為DOS系統。
05H 　1 　 分區終止頭號
06H 　1 　 低6位元為分區結束的磁區號，頭2位元為結束柱面號的前2位。
07H　 1　  分區結束柱面號的低8位。
08H 　4 　 本分區前的磁區數，低位元位元組在 前。
0CH 　4 　 本分區總的磁區數，低位元位元組在前。

重要公式：
02H為X,03H為Y。柱面=(X>>6)*16^2+Y;
以我的硬碟為例：
有九個可用分區，二個不可用分區；
兩個Primary NTFS分區，第二個為active；
七個Extened 分區，第五個為NTFS其他為FAT32.
.
主分區表數據：位置cylinder0, head 0,sector1
偏移 0 1 2 3 4 5 6 7  8 9 A B C D E F
0 33 C0 8E D0 BC 00 7C FB  50 07 50 1F FC BE 1B 7C
1 BF 1B 06 50 57 B9 E5 01  F3 A4 CB BE BE 07 B1 04
2 38 2C 7C 09 75 15 83 C6  10 E2 F5 CD 18 8B 14 8B
3 EE 83 C6 10 49 74 16 38  2C 74 F6 BE 10 07 4E AC
4 3C 00 74 FA BB 07 00 B4  0E CD 10 EB F2 89 46 25
5 96 8A 46 04 B4 06 3C 0E  74 11 B4 0B 3C 0C 74 05
6 3A C4 75 2B 40 C6 46 25  06 75 24 BB AA 55 50 B4
7 41 CD 13 58 72 16 81 FB  55 AA 75 10 F6 C1 01 74
8 0B 8A E0 88 56 24 C7 06  A1 06 EB 1E 88 66 04 BF
9 0A 00 B8 01 02 8B DC 33  C9 83 FF 05 7F 03 8B 4E
A 25 03 4E 02 CD 13 72 29  BE 59 07 81 3E FE 7D 55
B AA 74 5A 83 EF 05 7F DA  85 F6 75 83 BE 2E 07 EB
C 8A 98 91 52 99 03 46 08  13 56 0A E8 12 00 5A EB
D D5 4F 74 E4 33 C0 CD 13  EB B8 00 00 80 24 45 00
E 56 33 F6 56 56 52 50 06  53      
1B … …              00 00
1C 01 46 07 FE 7F 1E C6 28  11 00 99 31 35 00 80 00
1D 41 30 07 FE 7F B2 30 85  4A 00 C3 1C 20 00 00 00
1E 41 B3 0F FE FF FF F3 A1  6A 00 08 FE F7 01 00 00
1F 00 00 00 00 00 00 00 00  00 00 00 00 00 00 55 AA

主分區表分析：
Master bootstrap loader code
0000H －00D9H  33 C0 8E D0 BC 00 7C FB 50 。。。主引導記錄代碼，表示住分區表

01BEH －01CDH 分區1結構資訊
multi(0)disk(0)rdisk(0)partition(0)
知該分區Boot Sector位於：起始磁頭為0頭，起始柱面為70D，起始磁區為1磁區。

01CEH －01DDH 分區2結構資訊
multi(0)disk(0)rdisk(0)partition(1)
活動分區指示符為80H，表示該分區為可自舉分區。
系統標誌為07表示OS/2 HPFS, Windows NT NTFS, Advanced Unix系統。知該分區Boot Sector位於：起始磁頭為0頭，起始柱面為304D，起始磁區為1磁區。

01DEH －01EDH 分區3結構資訊
Extended partition
系統標誌位元組為0F，說明是擴展分區Extended partition (using INT 13 extensions)。
從擴展分區說明項知下一個分區表位於：起始磁頭為0頭，起始柱面為435D，起始磁區為1磁區。


01EEH －01FDH 分區4結構資訊

分區說明項資料均為00H沒有定義。


01FEH －01FFH 55 AAH 主引導記錄有效標誌

擴展分區一分區表資料：位置cylinder435D, head 0,sector1
偏移 0 1 2 3 4 5 6 7  8 9 A B C D E F
0 00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00
1B                00 00
1C 41 B3 0B FE FF 08 3F 00   00 00 97 D5 53 00 00 00
1D C1 09 05 FE FF FF D6 D5   53 00 D6 D5 53 00 00 00
1E 00 00 00 00 00 00 00 00   00 00 00 00 00 00 00 00
1F 00 00 00 00 00 00 00 00   00 00 00 00 00 00 55 AA

擴展分區表分析：

01BEH －01CDH 分區1結構資訊
multi(0)disk(0)rdisk(0)partition(3)
知該分區位於：起始磁頭為1頭，起始柱面為435D，起始磁區為1磁區（分區表佔用磁頭0）。
系統標誌字0BH表示 Windows 95+ FAT32

01BEH －01CDH 分區1結構資訊
系統標誌位元組為05H，說明是擴展DOS分區。於是知下一個分區表位於：起始磁頭為0頭，起始柱面為777D，起始磁區為1磁區。

Partition Table Entry #3 資料均為00H沒有定義。
Partition Table Entry #4 資料均為00H沒有定義。

其他擴展分區同理。


---------------------------------------------------------------------------------------------------------------------
附錄:
   Fdisk的MBR參數
   MBR 系 FDISK.COM(EXE) 一項未公佈的開關，隱含於 MS DOS 3.30，延至 MS DOS 8.0(Windows ME)。實踐中，有籍以修復主引導資訊，重點在主引導程式。
   FDISK /MBR 命令流程的分支有二:
  讀得主引導磁區檢驗標誌(字) AA55h，操作單一，僅向主引導磁區位移 0－1BDH 寫入當前系統固有的主引導程式，安全可靠。
  難能可貴的是它不觸動主引導資訊其餘模組(分區表、檢驗標誌)，以及隨後的 DOS 引導資訊、檔分配表、根目錄，省事許多。檢出檢驗標誌非 AA55h，寫主引導程式、初始化分區表及登錄檢驗標誌，在 MS DOS 7.0 － 8.0 環境中，常規以系統支援的最大容量分配給基本 DOS 分區的方式登錄分區表。分區表初始化(可能倖存的分區表被清除)的後果不難想像； 目前硬碟大都設置有其他分區，即使在高版本 DOS 環境中運作，常規建立的分區表每難能符合實際需求，後續工作量也相當可觀。
  不過，它也不觸動位於其後的 DOS 引導資訊、檔分配表及根目錄，高版本 FDISK /MBR 命令適用於修復僅設基本 DOS 分區的硬碟分區表及檢驗標誌受損，或主引導資訊全毀。
  可見，在運行 FDISK /MBR 命令之前，需查明檢驗標誌是否 AA55h，酌情處理，切忌盲動。
  經由 DOS 軟碟引導，認硬碟，檢驗標誌必健在。
  另外，在 FDSIK 主菜單中選 4. Display Partition Information，列出分區資訊，進一步證實檢驗標誌正常； 若現 No partitition defined，檢驗標誌每變異，而分區表或許尚健在。

硬碟資料恢復，三深入邏輯分區


現在深入每一個邏輯分區。邏輯分區結構如下：

FAT12/16
Logical sector =0 Logical sector=1
(Floppy disk=1~9) Logical sector=1+sectors_per_FAT
(Floppydisk=10~18) Logical sector=1+sectors_per_FAT*2
(Floppy disk=19~32) Logical sector=1+sectors_per_FAT*2+sectors_of_rootdirectories
(Floppy disk=33~)
DOS Boot Sector FAT1 FAT2 ROOT Directory Data area(where files and subdirectories are stored)

FAT32
Usually 32 sectors Logical sector =0032h Logical sector =0032h+ 2*sectors_per_FAT
DOS Boot Recore 3 Sectors Reserved sectors Copy of record Reserve sectors FAT1 FAT2 Data area(where files and all bdirectories are stored)


在邏輯分區當中用邏輯的cluster和sector。換算關係為：
cluster=logical_sector/sectors_per_cluster;
這裏sectors_per_cluster是在BIOS Parameter Block裏得到的。
Sector=( logical_sector mod sectors_per_track)+1;
Head=( logical_sector / sectors_per_track)mod total_heads;
Cylinder= logical_sector(sectors_per_track* total_heads);
logical_sector=( cluster-2)*sectors_per_cluster+sector_of_file_area_offset;
logical_sector=(sector-1)+head*sector_per_track+sector*sector_per_track*heads;
每個磁區長度=512位元組
總簇數=邏輯盤容量/簇容量
總簇數=FAT表長度（位元組）/每個表項長度（位元組）-2
FAT表長度=邏輯盤容量/簇容量*每個表項長度

Dos引導記錄塊位於邏輯0 sector中包含三部分：
（1） 磁片IO參數表BPB；
（2） 磁片基數表；
（3） 引導區代碼。

FAT16的BPB（BIOS Parameter Block）表，描述邏輯盤結構組成，包含隱藏磁區數目（從0-1-1開始計算）、FAT磁區數、FAT拷貝數、硬碟磁頭總數、根目錄表項最大值等。FAT32系統中，BPB表的偏移與FAT16不同，但表項基本相同。整個隱藏磁區部分都作為邏輯盤的描述區域。

典型的primary partion 的磁片IO參數表BPB:

典型的 logical partion 磁片參數表:








硬碟BPB主要結構說明：
(Cylinder柱面/磁軌-Side/Head磁頭-Sector磁區位址以下簡稱為?-?-?)
主分區
名稱 位址   長度(磁區)
主引導記錄（Main Boot Record) 0-0-1 1
系統磁區（System Secotrs）  0-0-2,0-0-63  62
引導磁區（Boot） 0-1-1 1
  
擴展分區  
名稱 位址 長度(磁區)
擴展分區（Extend Partition） ?-y-1 1
系統磁區（System Secotrs） ?-y-2,?-y-63 62
引導磁區（Boot） ?-(y+1)-1  1
其後各項與主分區相同……  

隱藏磁區（Hidden Secotrs）:
    FAT16              0-1-1          1
    FAT32              0-1-1          32
文件分配表(File Allocation Table):
    FAT16              0-1-2          根據邏輯盤容量變化     
    FAT32              0-1-33          根據邏輯盤容量變化
    說明：
FAT16的每個表項由2位元組（16位元）組成，通常每個表項指向的簇包含64個磁區，即32K位元組。 邏輯盤容量最大為2047MB。
FAT32的每個表項由4位元組（32位元）組成，通常每個表項指向的簇包含8個磁區，即4K位元組。邏輯盤容量最小為512MB。
對於C分區，在MBR的偏移01c2H處，FAT16為06H，FAT32為0CH。

  
FAT是DOS、Windows9X系統的檔定址格式，位於DBR之後。
在解釋檔分配表的概念的時候，我們有必要談談簇（Cluster）的概念。檔佔用磁碟空間，基本單位不是位元組而是簇。一般情況下，軟碟每簇是1個磁區，硬碟每簇的磁區數與硬碟的總容量大小有關，可能是4、8、16、32、64……同一個檔的資料並不一定完整地存放在磁片的一個連續的區域內，而往往會分成若干段，像一條鏈子一樣存放。這種存儲方式稱為檔的鏈式存儲。由於硬碟上保存著段與段之間的連接資訊（即FAT），作業系統在讀取檔時，總是能夠準確地找到各段的位置並正確讀出。
為了實現檔的鏈式存儲，硬碟上必須準確地記錄哪些簇已經被檔佔用，還必須為每個已經佔用的簇指明存儲後繼內容的下一個簇的簇號。對一個檔的最後一簇，則要指明本簇無後繼簇。這些都是由FAT表來保存的，表中有很多表項，每項記錄一個簇的資訊。由於FAT對於檔管理的重要性，所以為了安全起見，FAT有一個備份，即在原FAT的後面再建一個同樣的FAT。初形成的FAT中所有項都標明為“未佔用”，但如果磁片有局部損壞，那麼格式化程式會檢測出損壞的簇，在相應的項中標為“壞簇”，以後存檔時就不會再使用這個簇了。FAT的項數與硬碟上的總簇數相當，每一項佔用的位元組數也要與總簇數相適應，因為其中需要存放簇號。FAT的格式有多種，最為常見的是FAT16和FAT32。
當一個磁片Format後，在其邏輯0磁區（即BOOT磁區）後面的幾個磁區中存在著一個重要的資料表—檔分配（FAT），文件分配表一式兩份，佔據磁區的多小憑磁片類型大小而定。顧名思義，檔分配表是用來表示磁片問件的空分配資訊的。它不對引導區，檔目錄的資訊進行表示，也不真正存儲檔內容。
我們知道磁片是由一個一個磁區組成的，若干個磁區合為一個簇，檔存取是以簇為單位的，哪怕這個檔只有1個位元組。每個簇在檔分配表中都有對應的表項，簇號即為表項號，每個表項占1.5個位元組（磁碟空間在10MB以下）或2個位元組（磁碟空間在10MB以上）。為了方便起見，以後所說的表項都是指2個位元組的。
FAT表的開始由介質描述符+一串“已佔用”標誌組成：
FAT16硬碟----F8 FF FF 7F
    FAT32硬碟----F8 FF FF 0F FF FF FF 0F
   每個有效的FAT結構區包含兩個完全相同的拷貝：FAT1、FAT2
檔分配表結構如1（H表示16進制）
表1
第0位元組 表頭，表磁片類型。FFH雙面軟碟，每次道8磁區FEH單面軟碟，每磁軌8磁區FDH雙面軟碟，每磁軌9磁區FCCH單面軟碟，每磁軌9磁區FC8H硬碟
第1~2位元組 （表項號1）表示第一簇狀態，因第一簇被系統佔據，故此兩位元組為FFFFH
第3~4位元組 （表項號2）表示第二簇狀態，若為FFFH表此簇為壞的，DOS已標記為不能用；0000H表示此簇為空，可以用；FFF8H表不能示該簇為檔的最後一簇；其餘數字表示檔的下一個簇號，注意高位元組在後，低位元組在前。
第5~6位元組 （表項號3）表示第三簇狀態，同上。

注意：
不要把表項內的數字誤認為表示當前簇號，而應是該檔的下一個簇的簇號。.高位元組在後，低位元組在前是一種存儲數位方式，讀出時應對其進行調整。是如兩位元組12H，34H，應調整為3412H。
檔分配表與檔目錄（FDT）相配合，可以統一管理整個磁片的檔。它告訴系統磁片上哪些簇是壞的或已被使用，哪些簇可以用，並存儲每個檔所使用的簇號。它是文件的“總調度師”。
當DOS寫檔時，首先在檔目錄中檢查是否有相同檔案名，若無則使用一個檔目錄表項，然後依次檢測FAT中的每個表項對應的簇中，同時將該簇號寫入檔目錄表項相的26-27位元組，如檔長度不止一簇，則繼續向後尋找可用簇，找到後將其簇號寫入上一次找到的表項中，如此直到檔結束，在最後一簇的表項裏填上FFF8H，形成單向鏈表。
DOS刪除檔時只是把檔目錄表中的該檔的表項第0個位元組改為E5H，表此項已被刪除，並在檔分配表中把該檔佔用的各簇的表項清0，並釋放空間。其檔的內容仍然在盤上，並沒有被真正刪除，這就是undelete.exe,unerase.exe等一類恢復刪除工具能起作用的原因。
檔分配表在系統中的地位十分重要，用戶最好不要去修改它，以免誤操作帶來嚴重的後果。
典型的FAT32表:
F8 FF FF FF FF FF FF FF 96 C4 00 00 FF FF FF 0F
FF FF FF 0F 06 00 00 00 FF FF FF 0F 08 00 00 00
09 00 00 00 0A 00 00 00 0B 00 00 00 0C 00 00 00
0D 00 00 00 0E 00 00 00 0F 00 00 00 10 00 00 00
FF FF FF 0F 00 00 00 00 FF FF FF 0F 14 00 00 00
15 00 00 00 FF FF FF 0F FF FF FF 0F FF FF FF 0F
19 00 00 00 1A 00 00 00 1B 00 00 00 FF FF FF 0F
00 00 00 00 1E 00 00 00 FF FF FF 0F 20 00 00 00
FF FF FF 0F 22 00 00 00 23 00 00 00 24 00 00 00
25 00 00 00 26 00 00 00 27 00 00 00 28 00 00 00


   檔目錄表（File Directory Table），即根目錄區，又稱為ROOT區:
   緊跟在FAT2的下一個磁區，長度為32個磁區（256個表項）。如果支援長檔案名，則每個表項為64個位元組，其中，前32個位元組為長檔鏈結說明；後32個位元組為檔屬性說明，包括檔長度、起始地址、日期、時間等。如不支持長檔案名，則每個表項為32個位元組的屬性說明。
值得注意的是:
1,FAT32沒有儲存目錄的目錄區，而 FAT16儲存根目錄並把子目錄放到資料區。
  2,表示目錄的目錄項指出根目錄位址同時長度位元組為0，表示檔的目錄項指出資料位址。

典型的FAT32根目錄：
30 30 30 30 30 30 20 20 20 20 20 10 00 12 3C 7C
39 2B 39 2B 05 00 3D 7C 39 2B 3A 34 00 00 00 00
               
44 4D 32 4B 44 49 53 4B 49 4D 47 20 00 96 DB 40
39 2B 39 2B 0A 00 DC 40 39 2B 88 02 5B 72 13 00
               
42 49 4E 42 49 4E 20 20 20 20 20 08 00 00 00 00
00 00 00 00 00 00 47 65 09 2B 00 00 00 00 00 00



000000子目錄

注意OS7前的怪字元為E5H，表示被刪除，被刪除檔仍舊能夠找到開始簇，資料恢復就依靠這一特點。

數據區（Data Area）:    緊跟在FDT的下一個磁區，直到邏輯盤的結束位址。




由上圖可以想到，即使目錄被破壞仍舊可能從磁片裏把資訊讀出。

到現在為止，硬碟資料結構的理論部分已經講完。
  資料恢復主要是手動找出FAT、目錄、資料的對應關係或直接找到資料,現在已經有完善的磁片編輯器幫助我們做到這一點，使工作大大簡化了。
有只能化的恢復工具能不依靠FAT而恢復被刪除檔，比如RECOVERNT，估計是依靠Win2000的檔使用記錄。這種方法在沖啟動之前恢復檔的可能性很大。
從理論上講只要資料不被覆蓋總能被恢復的



歡迎光臨 沙仕網 (http://sas.tw/sas/) Powered by Discuz! 7.0.0