第八章 灾难数据急救 实验二 ８2 手工恢复分区表(主表一)一． 实验目标： 让学生掌握删除文件恢复二． 硬件要求:ﻩCPU：20G以上 内存：512MB以上硬盘:6G以上空间三． 软件要求：Conｎectix Vｉｒｔual PC ５１ Wｉndows 2０0０ Server 系统镜像 ＦiｎalData Enterprise 2．０Acronis DiskＥdｉtorEasyRecoｖeｒy ProｆeｓsｉonalAdvａｎceｄ EＦＳ Ｄata ＲecoveryUltraEdｉtﻩhｄ_ｃopyWinHｅxﻩ四． 备注:五． 实验描述：本实验主要实现一下目的：a) 让学员了解如何对于主表结构的分区表进行恢复b) 熟悉磁盘分区的基本结构c) 如何找到第一个分区，d) 如何分辨分区类型e) 如何识别分区起始地址f) 如何识别分区大小g) 如何计算下一个分区起始地址h) 区别ＦＡT分区与NTFＳ分区的差别ﻬ实验步骤:1． 打开我的电脑察看系统分区情况,本测试系统中挂接两块硬盘，第一块C盘，E盘，第二块硬盘F盘(实验1），G盘(实验２)，H盘(实验3），I盘（实验4）。
本次实验我们主要是对硬盘二的分区表进行手工重建 打开桌面上软件Aｃｒonｉｓ DiskEdｉtor准备开始对磁盘进行手工编辑３． Acroniｓ DiskEdｉtor启动后显示一下界面4.选择要编辑的硬盘,点击菜单Dｉsk—>Opeｎ,显示如下界面,选择第二块硬盘OK5,切换视图显示方式点击菜单View-〉as Hｅx6.显示ＦＤT磁盘分区表，在这里我们可以看到55ＡA分区表结束标识，以及分区表项７，点击菜单Eｄｉｔ->Fｉlｌ显示如下窗口８将分区表用0填充，之后保存并关闭Aｃｒoｎis ＤｉskEdiｔor9 到系统硬件管理中去找到对应硬盘，点击硬盘并点右键菜单停用10．然后点击启用11．这个时候我的电脑中的第二块硬盘中的分区信息都全部丢失了12下面就开始手工恢复分区表了 再次启动Acrｏｎiｓ ＤiskEdiｔor，Disk-〉Open，显示如下界面，这个时候就会发现，第二块硬盘显示的是，Unａlｌoｃａｔｅｄ,空间未分配我现在就要开始恢复了 ，选择第二块硬盘OＫ13.下面就开始手工恢复第一个分区，光标选中的区域为第一分区的13.第一分区起始位置在６３扇区，跳转到６3扇区1４．第一个分区的ＤBR,将下图中标识的关键位置,写入到磁盘分区表中对应位置15．保存修改，关闭Ａｃroｎis DiskEditoｒ，到硬件管理器中停止，启动该硬盘，然后打开我的电脑查看硬盘是否已经恢复，是否能正常使用。
如果不正常则检查前面步骤．1６第二个分区第一个分区起始位置＋第一个分区大小＝第二个分区的DＢR的位置00 00 00 3F＋00 ５D A3 BF=00 5D Ａ3 FE 1７.将00 ５D A3 FE转换成十进制数字为６13683018.找到第二个分区的DBＲ系统引导记录，通过分析得到，该分区为ＨTFS分区,按照ＮTFＳ分区的分配方式确定,分区起始位置字段，分区大小字段，并将结果写到分区表中加上结束标志55AＡ19. 保存修改，关闭Acｒonis ＤiｓｋEditor，到硬件管理器中停止，启动该硬盘，然后打开我的电脑查看硬盘是否已经恢复，是否能正常使用如果不正常则检查前面步骤．20 第三个分区第二个分区起始位置+第二个分区大小＝第三个分区的DBR的位置00 ５D A３ FE +00 20 1C C2=0０ C0 C０ 7Ｄ2１．将０0 5D A3 FE转换成十进制数字为8２4１344,跳转到指定分区．发现一个ＮTFS分区表，但是在此分区表中的”起始地址"和"分区大小”和上一个分区是一样的有点奇怪,其实这个分区表是NTFS分区的备份分区引导记录,放在本分区的最后一个扇区所以真正的分区表在,下一个扇区。
22．下移一个扇区,正好显示的是上一个扇区备份分区引导记录，和当前分区引导记录，这里就是真正的分区引导记录，我们找到分区”起始位置"，”分区大小",并将其填入分区表计算下个分区起始位置ﻩ00 ７D C0 C1 +0０ ３F 7Ｄ 42=00 ＢD 3Ｅ 0324保存修改,关闭Aｃroｎiｓ DiskEｄiｔor,到硬件管理器中停止，启动该硬盘，然后打开我的电脑查看硬盘是否已经恢复，是否能正常使用如果不正常则检查前面步骤．2５ 将00 BＤ 3E 03转换成十进制数字为12402１79,跳转到指定分区．发现结构和第三个分区一样这时候我们往下再找一个扇区 我们找到分区”起始位置"，”分区大小”，并将其填入分区表.保存修改，关闭Acroniｓ DｉskEditoｒ，到硬件管理器中停止，启动该硬盘,然后打开我的电脑查看硬盘是否已经恢复,是否能正常使用.如果不正常则检查前面步骤.２７.完成 8 / 8。