标题: [交流] 给大家讲讲硬盘数据结构的理论部分! [打印本页]

---

作者: feuerdra    时间: 2007-4-8 12:38     标题: 给大家讲讲硬盘数据结构的理论部分!

1、　系统工作机理的简单介绍（本节由lowpower缩写）
这一部分在原作中是最重要的一章，考虑到篇幅关系，进行了大量的删节。
①、　DOS（DOS兼容系统）硬盘数据的构成
DOS磁盘系统，可以按照逻辑分区的概念管理物理空间，不同分区可以装载不同的OS系统。
示意如下：
　　　　　　　　　　　　　　　　　硬盘空间
第一扇区|分区1　　　　　|分区2　　　|分区3　　　|分区4
主引导扇区|引导扇区|引导扇区|引导扇区|引导扇区|
各分区公用|各个分区相对独立，可安装不同操作系统。


对FAT结构的分区每一分区都有独立的引导记录，FDT表，FAT表等。同时，系统还有一个最为重要的主引导记录。在0柱0面1扇区，今后我们用CYL代表柱、SIDE代表面，SEC代表扇区。以下一个FAT结构分区的简图。

保留区-　磁盘参数表、DOS引导记录
控制区-FAT表1、FAT表2根目录区
数据区-数据区

以下简单介绍一下重要的部分：
主引导记录又称主分区表、MBR等等：MBR占一个扇区，在CYL　0、SIDE　0、SEC　1，由代码区和数据区构成。其中代码区是一端标准的程序，完成BIOS自举到OS　BOOT之间的工作，为OS启动做最后的准备。标准代码区可以由FDISK/MBR重建，但对于多系统引导的不标准MBR，将被这一操作破坏。MBR的数据区记录了分区情况。
系统扇区：CYL　0、SIDE　0　、SEC　1-CYL　0、SIDE　0　、SEC　63，共62个扇
区引导区又称BOOT区：CYL　0、SIDE　1　、SEC　1　这是我们过去称的DOS引
导区。也占一个扇区。
文件分配表又称FAT：是记录文件占用簇的情况和连接关系的地方。一般有两个FAT表，起到备份的作用。FAT12、FAT16的第一FAT表一般均在0-1-2，FAT32的第一FAT表在0-1-33。由于FAT表记录文件占用扇区连接的地方，如果两个FAT表都坏了，后果不堪设想。
由于FAT表的长度与当前分区的大小有关所以FAT2的地址是需要计算的。根目录区（ROOT、FDT）：这里记录了根目录里的目录文件项等，ROOT区跟在FAT2后面。
数据区：跟在ROOT区后面，这才是数据内容。其实，　MBR、隐含扇区、BOOT区，重建都比较容易。数据恢复的关键在于恢复数据文件。由于FAT表记录了文件在硬盘上占用扇区的链表，如果2个FAT表都完全损坏了。那么恢复文件，特别是占用多个不连续扇区文件就相当困难了。
②、　主引导记录简单说明：
主引导记录是硬盘引导的起点，关于代码区不多说了，其数据区，比较重要的是2个标志，80H和55AA，80H一般在偏移1BE处，80是分区激活的标志的标记表示系统可引导，且整个分区表只能有一个80标记。另一个就是结尾的55　AA标记，用来表示主引导记录是一个有效的记录。另外，各个分区自身的引导记录，也是以55AA结束，这是我们查找分区的标志。我们后面在介绍如何主引导记录中，给出了一个完整的分区表的例子，大家可对照查看。数据区中，用10H字节表示一个分区，最多可表示4个分区，分别从1BE、1CE、1DE、1EE开始，我们后面给出了分区表项对应地址的含义。大家可以对应分析一下以下分区的情况。
80　　01　　01　　00　　0B　　FE　　BF　　FC　　3F　　00-00　00　7E　86　BB　00
①　　　　　　②　　　　　　③　　　　　　　④　　　　　　　　　　　　⑤　　　　　　　　⑥
①：激活标记，80表示可引导分区
②：分区开始的磁头号为01、开始的扇区号为01、开始的柱面号为00，由于开始的扇区号为2进制6位，而开始的柱面号为2进制10位，因此扇区号所用字节的高两位要加在柱面号高两位。
③：分区的系统类型FAT32（0B），01是FAT12，04为FAT16，06为BIGDOS，07为NTFS，
其他参见分区类型表。
④：分区结束磁头号254、分区结束扇区号63、分区结束柱面号764
⑤：首扇区的相对扇区号63
⑥：总扇区数12289622
2、常见手工处理工具与DOS外部命令介绍
DEBUG：古老和最为常见的调试跟踪软件，始终捆绑在微软的DOS/WIN9X操作系统中。有19个子命令。有编写执行汇编指令，直接读写绝对扇区和内存单元等功能，可以在最艰苦的条件下工作。DOS6.22以下的系统，DEBUG.EXE在DOS目录下，WIN9X系统中它在WINDOWS\COMMAND目录下，它
也出现在WIN9X所生成的应急盘中。DISKEDIT：常见16进制编辑软件，字符界面，可以以文件方式和扇区方式读写逻辑内容，可以读写绝对扇区，可以方便的查找编辑分区表、FAT表、ROOT区等重要扇区。这一点要比DEBUG更方便。但在一些重要扇区损坏的情况下，DISKEDIT可能无法启动。DISKEDIT软件可以在著名的Norton　Utilities软件包中找到。最新的DISKEDIT出现在NU4中。
NDD：常见的FAT文件结构磁盘修复工具，就是著名的NORTON磁盘医生，可以自动修复分区丢失等情况，可以抢救软盘坏区中的数据，强制读出后搬移到其他空白扇区。希望大家不要再使用NORTON　FOR　DOS7或8的NDD，这个版本由于不支持大分区、FAT32、长文件名等技术，会给你带来大量的麻烦。建议大家使用Norton　Utilities4或更高版本中的NDD.EXE，这是纯DOS下的工具。在硬盘崩溃或异常的情况下，他可能可以带给用户以希望。WIN9X下的磁盘医生调用的并不是这个程序，而
是NDD32.EXE.
FDISK：FDISK当然是个危险的命令，很多人非常恐惧，事实上，FDISK命令的运行并不影响任何分区内的硬盘数据，他对分区的设置操作，只改变主分区表的数据区。而特别是FDISK异常重要的隐含参数/MBR，可以重建主分区表的代码区，清除主引导型病毒等。这是非常有用的操作。DOS6.22以下的系统，FDISK.EXE在DOS目录下，WIN9X系统中它在WINDOWS\COMMAND目录下，它也出现在WIN9X所生成的应急盘中。
FORMAT：在一些人眼中，FORMAT是最可怕的命令，但他并不是对硬盘清零，特别值得注意的是，很多文件恢复工具都建议你恢复前先FORMAT该分区起到保护的饿作用。DOS6.22以下的系统，FORMAT.COM在DOS目录下，WIN9X系统中它在WINDOWS\COMMAND目录下，它也出现在WIN9X所生成的应急盘中。
HD-COPY：传统的软盘COPY工具，2.0版本以后加入了强制读的功能，可以读出一些损坏扇区的内容。
SYS：SYS命令是重建BOOT区的最简洁的手段，也可以杀除BOOT区病毒。DOS6.22以下的系统，sys.COM在DOS目录下，WIN9X系统中它在WINDOWS\COMMAND目录下，它也出现在WIN9X所生成的应急盘中。

令我非常遗憾的是，至今我没有发现比较出色的扇区级备份镜象工具，我曾写过一个HD-MIRROR，但由于错误较多，我提供下载的第二天就停止了发布，另外fixc的作者noz写过一个clone.exe，但可惜只适合相同的硬盘。我也曾以为GHOST可以做到这点，事实上，你目前还不能指望他为你备份一块深度破损的硬盘。。如果有一个有效的能以按扇区机制（而不是文件机制）压缩备份一块硬盘将之做成一个镜象文件的话，那么我们的恢复工作就拥有了更多的保证和余地。我们可以更大胆的做恢复的尝试。
3、　一些自动处理工具或软件包
首先介绍国内的一些免费修复工具
FIXMBR：何公道先生写的一个修复MBR的工具，适合处理逻辑分区丢失的情况，　有一些可选参数，支持　FAT32、FAT16，不支持NTFS、LINUX等分区，支持8.4G以上硬盘。可修复CIH发作后的扩展逻辑分区。
VRVFIX：北信源公司的推出的修复硬盘共享工具，适合处理逻辑分区丢失的情况，处理的基本比较准确。支持FAT32、FAT16，不支持NTFS、LINUX等分区。也不支持8。4G以上硬盘。
FIXC：国内最早出现的可以修复部分被CIH破坏的C盘的工具，作者是NOZ，新版本也加入了修复分区信息的功能，支持FAT32、FAT16，有限支持NTFS，不支持8。4G以上硬盘。目前的版本已经比较完善。
FIXHDPT：TBSOFT工作室的分区信息修复工具。支持FAT32、FAT16，不支持NTFS和LINUX，不支持8。4G以上硬盘，是历史比较长的工具之一。
RE(ReapirEasy)：本人早期写的分区表修复工具，支持FAT32、FAT16，有限支持NTFS，不支持8.4G
以上硬盘，和某些BIOS不兼容。其整体水准低于前面列举的工具。
国外一些系统维护的工具目前已经达到了非常强大的程度。
Norton　Utilities：历史最悠久的系统维护工具。不仅可以数据恢复，还可以系统加速和修补内存错误。目前最新的版本是NU　4.5FOR　9X、NU2　FOR　NT等。
Tiramint：最为出色的灾难恢复工具之一，有NTFS、FAT32、FAT16、NOVELL4种版本。生成急救软盘，可以对深度破坏的磁盘进行交叉恢复。
4、常用的基本操作
①　读出主引导记录：这是系统级数据恢复可能涉及最多的程序之一。
例：
DEBUG
-a100　；从此处开始汇编
126C:0100　mov　ax,201；　读操作一个扇区
126C:0103　mov　bx,300；　送入地址300
126C:0106　mov　cx,1　；0面1扇
126C:0109　mov　dx,80　；80H为硬盘，头为0
126C:010C　int　13
126C:010E　int　3
126C:010F
-g=100　；执行
AX=0050　　BX=0300　　CX=0001　　DX=0080　　SP=FFEE　　BP=0000　　SI=0000　　DI=0000
DS=126C　　ES=126C　　SS=126C　　CS=126C　　IP=010E　　　NV　UP　EI　PL　NZ　NA　PO　NC
这里用了I/O中断13，涉及的寄存器含义为
ah,操作方式，02H为读，03H为写
al,送扇区数
bx,送准备装入扇区的内存偏移地址
cx送从哪一道哪一扇区开始，我们一般依靠改换CX来读写不同逻辑盘某个逻辑扇区。dx，送盘符和头数
INT　3是断点中断，使程序运行到此停止。
②　显示引导区内容：我们把扇区读到某个内存地址并不是目的。而是为了看到他的内容，在DEBUG中D命令可以方便的查看内存单元的内容。续前例，如果我们要看到主引导区的内容的话，既然装载到300。
-d300　l200就可以查看了，一个引导区的映象类似如下，可以直观的看到我们前面所提到的代码区和数据区。是否正常请大家自行分析一下
126C:0300　　33　C0　8E　D0　BC　00　7C　FB-50　07　50　1F　FC　BE　1B　7C　　　3.....|.P.P....|
126C:0310　　BF　1B　06　50　57　B9　E5　01-F3　A4　CB　BE　BE　07　B1　04　　　...PW...........
126C:0320　　38　2C　7C　09　75　15　83　C6-10　E2　F5　CD　18　8B　14　8B　　　8,|.u...........
126C:0330　　EE　83　C6　10　49　74　16　38-2C　74　F6　BE　10　07　4E　AC　　　....It.8,t....N.
126C:0340　　3C　00　74　FA　BB　07　00　B4-0E　CD　10　EB　F2　89　46　25　　　<.t...........F%
126C:0350　　96　8A　46　04　B4　06　3C　0E-74　11　B4　0B　3C　0C　74　05　　　..F...<.t...<.t.
126C:0360　　3A　C4　75　2B　40　C6　46　25-06　75　24　BB　AA　55　50　B4　　　:.u+@.F%.u$..UP.
126C:0370　　41　CD　13　58　72　16　81　FB-55　AA　75　10　F6　C1　01　74　　　A..Xr...U.u....t
126C:0380　　0B　8A　E0　88　56　24　C7　06-A1　06　EB　1E　88　66　04　BF　　　....V$.......f..
126C:0390　　0A　00　B8　01　02　8B　DC　33-C9　83　FF　05　7F　03　8B　4E　　　.......3.......N
126C:03A0　　25　03　4E　02　CD　13　72　29-BE　46　07　81　3E　FE　7D　55　　　%.N...r).F..>.}U
126C:03B0　　AA　74　5A　83　EF　05　7F　DA-85　F6　75　83　BE　27　07　EB　　　.tZ.......u..''..
126C:03C0　　8A　98　91　52　99　03　46　08-13　56　0A　E8　12　00　5A　EB　　　...R..F..V....Z.
126C:03D0　　D5　4F　74　E4　33　C0　CD　13-EB　B8　00　00　00　00　00　00　　　.Ot.3...........
126C:03E0　　56　33　F6　56　56　52　50　06-53　51　BE　10　00　56　8B　F4　　　V3.VVRP.SQ...V..
126C:03F0　　50　52　B8　00　42　8A　56　24-CD　13　5A　58　8D　64　10　72　　　PR..B.V$..ZX.d.r
126C:0400　　0A　40　75　01　42　80　C7　02-E2　F7　F8　5E　C3　EB　74　49　　　.@u.B......^..tI
126C:0410　　6E　76　61　6C　69　64　20　70-61　72　74　69　74　69　6F　6E　　　nvalid　partition
126C:0420　　20　74　61　62　6C　65　00　45-72　72　6F　72　20　6C　6F　61　　　　table.Error　loa
126C:0430　　64　69　6E　67　20　6F　70　65-72　61　74　69　6E　67　20　73　　　ding　operating　s
126C:0440　　79　73　74　65　6D　00　4D　69-73　73　69　6E　67　20　6F　70　　　ystem.Missing　op
126C:0450　　65　72　61　74　69　6E　67　20-73　79　73　74　65　6D　00　00　　　erating　system..
126C:0460　　00　00　00　00　00　00　00　00-00　00　00　00　00　00　00　00　　　................
126C:0470　　00　00　00　00　00　00　00　00-00　00　00　00　00　00　00　00　　　................
126C:0480　　00　00　00　8B　FC　1E　57　8B-F5　CB　00　00　00　00　00　00　　　......W.........
126C:0490　　00　00　00　00　00　00　00　00-00　00　00　00　00　00　00　00　　　................
126C:04A0　　00　00　00　00　00　00　00　00-00　00　00　00　00　00　00　00　　　................
126C:04B0　　00　00　00　00　00　00　00　00-00　00　00　00　00　00　80　01　　　................
126C:04C0　　01　00　0B　FE　BF　FC　3F　00-00　00　7E　86　BB　00　00　00　　　......?...~.....
126C:04D0　　81　FD　0F　FE　FF　FF　BD　86-BB　00　E0　A9　75　00　00　00　　　............u...
126C:04E0　　00　00　00　00　00　00　00　00-00　00　00　00　00　00　00　00　　　................
126C:04F0　　00　00　00　00　00　00　00　00-00　00　00　00　00　00　55　AA　　　..............U.
③　反汇编主引导区内容：判定MBR的代码区是否正常，对于数据区的基本情况，我们可以通过直观观察得出，但对于存在引导型病毒，或者引导区出现异常代码的情况，我们可能需要分析MBR中代码区的指令。这一般要对已经读入内存的引导区进行反汇编。
反汇编用指令U
续前例：
-u300　l15D　；反汇编主引导扇区代码区内容
126C:0300　33C0　　　　　　　　　　XOR　AX,AX
126C:0302　8ED0　　　　　　　　　　MOV　SS,AX
…………
126C:045C　65　　　　　　　　　　　　DB　65
126C:045D　6D　　　　　　　　　　　　DB　6D
④　写内存单元，在我们的前例中，主分区类型是0B是FAT32的，假定这个类型实际是NTFS的，我们该如何修改呢？由于主分区类型的偏移是4C3H，我们可以用E命令写到内存单元中，从附表中查得NTFS的类型为07。因此　-e4c3　7再比如说，假定我们想把无效的分区表清零，那么，我们应当用另一个命令F，这个命令可以用填充一个内存地址范围。清零分区表的操作就是　-f4be　4ff　00，以下两个操作也比较常见。
重置80标记，-e4be　80
重置55AA标记，-f4ff　4fe　55　aa
不要忘记了，此时仅仅是改动了内存中的数据，并未写到硬盘上。因此需要用int　13中断把改写的结果，写回硬盘。
　　续前例，
-a100
126C:0100　mov　ax,301　；　写操作一个扇区
-g=100　；执行
　　其实，我们相当于修改了刚才输入的读主引导扇区程序，使程序变为。
126C:0100　mov　ax,301　；　写操作一个扇区
126C:0103　mov　bx,300　；从内存地址300
126C:0106　mov　cx,1　　　；0面1扇
126C:0109　mov　dx,80　　；80H为硬盘，头为0
126C:010C　int　13
126C:010E　int　3　　　　　　；断点
⑤　绝对磁盘内容的读出与写入
类似操作在FAT32结构硬盘被CIH破坏的修复中比较常见，我们后面将讲到恢复的基本思路就是用第二FAT表覆盖第一FAT表。那么无疑要读出第二FAT表的内容，再回写到第一FAT表的位置上。一般的来说，大量连续扇区的读出写入DISKEDIT进行非常方便，如果用DEBUG做则要写一段子程序，不过程序的主要技巧就是利用int　25绝对磁盘读中断读出的内容，而用int　26绝对磁盘写做内容写入。
4、数据可恢复的前提
　　有人觉得这个题目说法比较奇特，但数据恢复，作为一个数据再现的过程，一定要解决两个问题，第一是从哪里恢复的问题，第二是怎么恢复的问题。解决了这两个问题，我们事实上就把握了数据恢复的全部思想脉络。而这一部分就是从哪里恢复的问题。
①、　有效而及时的备份中是数据恢复最可靠的来源，在许多人倡导备份到秒的今天，恐怕不会有人怀疑这点。而有些备份机制则是系统内建的，比如两份FAT表。
②、　数据的实际有效性的判定是关键，对我们来说，硬盘无法自举、文件找不到、文件打不开等现象，其实并不与数据丢失画等号。因为此时往往数据只是从操作系统的角度是一种逻辑丢失，而从物理扇区意义上，它仍然存在或部分存在。最明显的就是文件删除的例子，事实上，这只是把文件首字节，改为0E而已。而此时文件体依然存在。
③、　数据损坏过程的可逆性分析：对数据的改变无非两种，取代和变换，前者是不可逆的，而后者则是可逆的。我们以杀毒为例，对于大多文件性病毒来说，那些以附加而非代换方式感染的文件型病毒，理想的杀毒过程就是感染的逆过程。这种分析也常见与重要信息被隐藏搬移或者被加密的情况，但分析将比较复杂。
④、　数据本身是否是标准信息：有些信息实际是通用或局部通用的，你无须考虑如何从本机抢救。只要相同或相近的系统版本就可以了，比如BOOT区、隐含扇区、WINDOWS的DLL文件等等。典型的例子如分区表的代码区，这是一段标准代码，事实上，它就放在你的FDISK程序里面，你可以用DEBUG把他提取出来。
⑤、　数据本身是否可以由其他信息统计再生：有些信息尽管丢失了，也没有备份。但它实际可以从其他数据中间接求得。最典型的就是主分区表中的分区信息，即使你把他清零也不必害怕，因为你可以从你几个分区中计算再生。
⑥、　破坏的完成程度：事实上，FDISK、FORMAT都不会彻底破坏数据，一般只有低格和扇区覆盖操作才会彻底破坏数据。但有时，破坏过程或者误操作过程会因人工终止、死机等原因不能完成。最明显的就是CIH病毒的例子，由于CIH是以1024字节为单位覆盖扇区，这当然是不可逆过程，于是我们最初都认为，破坏是很难恢复的，除非人工终止。事实上，当病毒覆盖某些扇区时会与9X系统发生冲突，从而造成死机，使数据得到了保护。
硬盘数据恢复知识1

1、　硬件或介质问题的情况
①、　硬盘坏：硬盘自检不到的情况一般是硬件故障，又可分为主版的　硬盘控制器（包括IDE口）故障和硬盘本身的故障。如果问题在主板上　，那么数据应当没有影响。如果出在硬盘上，也不是一定不能修复。　硬盘可能的故障又可能在控制电路、电机和磁头以及盘片。如果是控　制电路的问题，一般修好它，就可以读出数据。但如果电机、磁头和盘片故障，即使修理也要返回原厂，数据恢复基本没有可操作性。
②、　软盘坏：当软盘数据损坏时，可以有几种处理，一种是用NDD修　复，他会强制读出你坏区中的东西，MOVE到空白扇区中，这就意味着　如果你的磁盘很满操作是没法进行的。你也可以用HDCOPY2.0以上版本　READ软盘，他也会进行强读，使读入缓冲区的数据是完好的，你再写　入一张好磁盘就可以了。当然这些方式，要看盘坏的程度。如果0磁道坏，数据也并非无法抢救，早先可以通过扇区读的方式，把后面的数　据读出，不过一般来说，你依然可以HDCOPY来实验。
2、系统问题的情况
①、　在硬盘崩溃的情况下，我们经常要和一些提示信息打交道。我们　要了解他典型提示信息的含义，注意这些原因仅仅分析逻辑损坏而不是　硬盘物理坏道的情况。
提示信息
可能原因
参考处理
Invalid　Partition　Table
分区信息中1BE、1CE、1DE处不符合只有一个80而其他两处为0　用工具设定，操作在前面已经讲了。
Error　Loading　Operating　System
主引导程序读BOOT区5次没成功。
重建BOOT区
Missing　Operating　System　DOS
引导区的55AA标记丢失
用工具设定，把前面读写主引导区程序的DX=80改为180即可
Non-System　Disk　or　Disk　Error
BOOT区中的系统文件名与根目录中的前两个文件不同
SYS命令重新传递系统，
Disk　Boot　Failure
读系统文件错误　SYS命令重新传递系统，
Invalid　Driver　Specifcationg
如果试图切换到一个确实存在的逻辑分区出现以下信　息，说明主分区表的分区记录被破坏了。
根据各分区情况重建分区表，或者用自动修复工具修　复。注意分区丢失是最常见的故障之一，此时不要紧　张，一般的说此时数据并没有问题，如果你不了解处理　的方法。你可以选择我前面介绍的自动修复分区工具进　行处理，他们大多只改写主分区表的数据区，不会影响　你的其他数据。特别提醒大家，这些工具有的不支持　8.4G硬盘，有的与BIOS对硬盘的识别有关系。如果你　在一台机器上不行，可以换台BIOS不同的机器实验一下。
Bad　or　missing　command　interpreter
这是说找不到COMMAND.com，或者COMMAND文件坏了。
如果你COPY过去COMMAND文件还是如此，一般来说是　感染了某种病毒。
Invalid　media　type　reading　drive　X　,Abort,Retry,Fail?
该盘没有高级格式化，或BOOT区中I/O参数表被破坏。
这里情况较多，手工处理比较复杂，特别指出，此时　DISKEDIT可能无法运行，建议用工具修复。
Incorrect　DOS　Version
可能是文件版本不统一，对9X来说，有95　95osr/2,98,98　oem/2等版本，重新SYS　时，不要弄错　了。
用正确版本的启动盘重新SYS系统
另外说明一下，对于比较老的机器还有1071和not　found　rom　basic、ROM　BASIC　OK等提示，在目前机器中以消失。另外，当　代码区完全被破坏的情况下，系统关于无系统的提示是来自BIOS　的，这条提示与BIOS的种类有关。另外，FDISK/MBR对代码区的　重建是我们经常采用的。再介绍一种比较极端的情况，就是硬盘　自检正常，而用软盘和硬盘都无法正常启动的情况，这可能是，　病毒或恶意程序利用，DOS3以上版本启动中都要检索分区表这一　特点，把分区表置为死循环。造成启动中死机。网上曾经流传过　DOS6.22k修改方案，其实是修改西文MS-DOS6.22的　IO.SYS，把　C2　03　06　E8　0A　00　07　72　03替换为：C2　03　90　E8　0A　00　72　80　90就可以启动被类似情况锁住的硬盘。
②、　9X无法正常进入或工作：以下仅仅是对可能的软故障分析　，没有考虑硬件故障.进入图形界面前死机情况比较复杂，可能与加载的某些驱动有关　可以在START　MS　WINDOWS时，用F8激活菜单，设置为step　by　step　，看是哪项使系统死机。而后从CONFIG或者SYSTEM。INI中删除进入图形界面后死机一般这与开机加载的程序有关进入安全模式（此时自动　运行的程序将不能加载），对注册表中的　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run*　中的键值和启动组中加载的程序进行分析。必要的予以删除。显示IEXPLORE.EXE错误，不能进行任何操作
可能有某个系统的动态连接库损坏覆盖安装WIN9X，或从　其他机器上COPY损坏的连接库。（确定哪个库损坏一般　比较困难）
频繁出现出错各种信息
一般是虚拟内存不足造成的看C盘是否剩余空间过少，　或者打开的应用程序和窗口太多。
2、　全盘崩溃和分区丢失
首先重建MBR代码区，再根据情况修正分区表。修正分区　表的基本思路是查找以55AA为结束的扇区，再根据扇区结构　和后面是否有FAT等情况判定是否为分区表，最后计算填回，　主分区表，由于需要计算，过程比较烦琐，就不仔细介绍了　，希望大家用前面介绍的工具，比如NDD处理。如果文件仍然　无法读取，要考虑用TIRAMINT等工具进行修复。如果在FAT　表彻底崩溃的情况下，恢复某个指定文件，可以用DISKEDIT　或DEBUG查找已知信息。比如文件为文本，文件中包含“软件　狗”，那么我我们就要把他们转换为内码C8　ED　BC　FE　B9　B7　进行查找。
3、　文件丢失、误格式化的情况
一般的来说，文件删除仅仅是把文件的首字节，改为E5H，而并　不破坏本身，因此可以恢复。但由于对不连续文件要恢复文件　链，由于手工交叉恢复对一般计算机用户来说并不容易，在这　篇缩略版中就不讲了，建议用工具处理，如果已经安装了Norton　Utilities，可以用他来查找。另外，RECOVERNT　等工具，都是　恢复的利器。特别注意的是，千万不要在发现文件丢失后，在　本机安装什么恢复工具，你可能恰恰把文件覆盖掉了。特别是　你的文件在C盘的情况下，如果你发现主要文件被你失手清掉了　，（比如你按SHIFT删除），你应该马上直接关闭电源，用软盘　启动进行恢复或把硬盘串接到其他有恢复工具的机器处理。误格　式化的情况可以用等工具处理。
4、　文件损坏的情况
一般的说，恢复文件损坏需要清楚的了解文件的结构，并不是很　容易的事情，而这方面的工具也不多。不过一般的说，文件如果　字节正常，不能正常打开往往是文件头损坏。
就文件恢复举几个　简单例子。
类型　特征　处理
ZIP、TGZ等压缩包无法解压
ZIP文件损坏的情况下可以用一个名为ZIPFIX的工具　处理。不过如果你的文件是从FTP站点上下载的，那么　有可能是你没有定义下载模式为BIN。
自解压文件无法解压
可能是可执行文件头损坏，可以用对应压缩工具按一般　压缩文件解压。
DBF文件死机后无法打开
典型的文件头中的记录数与实际不匹配了，把文件头中　的记录数向下调整，遗憾的是公式我找不到了。
5、　硬盘被加密或变换：
此时千万不要FDISK/MBR，SYS等处理，否则可　能数据再也无法找回，一定要反解加密算法，或找到被移走的重要扇区。　对于那些加密硬盘数据的病毒，清除时一定要选择能恢复加密数据的可　靠杀毒软件。
6、　文件加密后密码遗忘：
对于很多字处理软件的文件加密和ZIP等压　缩包的加密，你是不能靠加密逆过程来完成的，因为那从理论上是异常　困难的。目前有一些相关的软件，他们的思想一般都是用一个大字典集　中的数据循环用相同算法加密后与密码的密文匹配，直到一致时则说明　找到了密码。你可以去寻找这些软件，当然，有些软件是有后门的，比　如DOS　下的WPS，Ctrl+qiubojun就是通用密码。Undiskp的作者冯志宏　是解文件密码的个中高手，大家不妨去他的主页看看。
7、　系统用户密码遗忘的处理：
最简单的方法就是用软盘启动（NT的你也　可以把盘挂接在其他NT上），找到支持该文件系统结构的软件（比如针对　NT的NTFSDOS），利用他把密码文件清掉、或者是COPY出密码档案，用破解　软件套字典来处理。前者时间短但所有用户信息丢失，后者时间长，但保　全了所有用户信息。对UNIX系统，我建议你一定先做一张应急盘
硬盘数据恢复教程

前言：
此文章从google搜索经鄙人整理而来，并非本人的造诣至此，请勿联系笔者。
硬盘数据恢复很大程度依靠运气，无必胜把握，并且不与投入时间成正比，不要寄予太大的希望。
请勿轻易拿自己硬盘做实验。
建议数据恢复前先用硬盘保护卡对拷到其他硬盘上做一个备份，然后修理备份。（用ghost不行）
●硬盘数据恢复，一概论
    初买来一块硬盘，我们是没有办法使用的，你需要将它分区、格式化，然后再安装上操作系统才可以使用。一个完整硬盘的数据应该包括五部分：MBR，DBR，FAT，DIR区和DATA区。其中只有主引导扇区是唯一的，其它的随你的分区数的增加而增加。
    主引导扇区
    主引导扇区位于整个硬盘的0磁道0柱面1扇区，包括硬盘主引导记录MBR（Main Boot Record）和分区表DPT（Disk Partition Table）。其中主引导记录的作用就是检查分区表是否正确以及确定哪个分区为引导分区，并在程序结束时把该分区的启动程序（也就是操作系统引导扇区）调入内存加以执行。至于分区表，很多人都知道，以80H或00H为开始标志，以55AAH为结束标志，共64字节，位于本扇区的最末端。值得一提的是，MBR是由分区程序（例如DOS 的Fdisk.exe）产生的，不同的操作系统可能这个扇区是不尽相同。如果你有这个意向也可以自己去编写一个，只要它能完成前述的任务即可，这也是为什么能实现多系统启动的原因（说句题外话:正因为这个主引导记录容易编写，所以才出现了很多的引导区病毒）。
    操作系统引导扇区
     OBR（OS Boot Record）即操作系统引导扇区，通常位于硬盘的0磁道1柱面1扇区（这是对于DOS来说的，对于那些以多重引导方式启动的系统则位于相应的主分区/扩展分区的第一个扇区），是操作系统可直接访问的第一个扇区，它也包括一个引导程序和一个被称为BPB（BIOS Parameter Block）的本分区参数记录表。其实每个逻辑分区都有一个OBR，其参数视分区的大小、操作系统的类别而有所不同。引导程序的主要任务是判断本分区根目录前两个文件是否为操作系统的引导文件（例如MSDOS或者起源于MSDOS的Win9x/Me的IO.SYS和MSDOS.SYS）。如是，就把第一个文件读入内存，并把控制权交予该文件。BPB参数块记录着本分区的起始扇区、结束扇区、文件存储格式、硬盘介质描述符、根目录大小、FAT个数、分配单元（Allocation Unit，以前也称之为簇）的大小等重要参数。OBR由高级格式化程序产生（例如DOS 的Format.com）。
    文件分配表
    FAT(File Allocation Table)即文件分配表，是DOS/Win9x系统的文件寻址系统，为了数据安全起见，FAT一般做两个，第二FAT为第一FAT的备份, FAT区紧接在OBR之后，其大小由本分区的大小及文件分配单元的大小决定。关于FAT的格式历来有很多选择，Microsoft 的DOS及Windows采用我们所熟悉的FAT12、FAT16和FAT32格式，但除此以外并非没有其它格式的FAT，像Windows NT、OS/2、UNIX/Linux、Novell等都有自己的文件管理方式。
    目录区
    DIR是Directory即根目录区的简写，DIR紧接在第二FAT表之后,只有FAT还不能定位文件在磁盘中的位置，FAT还必须和DIR配合才能准确定位文件的位置。DIR记录着每个文件（目录）的起始单元（这是最重要的）、文件的属性等。定位文件位置时，操作系统根据DIR中的起始单元，结合FAT表就可以知道文件在磁盘的具体位置及大小了。在DIR区之后，才是真正意义上的数据存储区，即DATA区。
    数据区
    DATA虽然占据了硬盘的绝大部分空间，但没有了前面的各部分，它对于我们来说，也只能是一些枯燥的二进制代码，没有任何意义。在这里有一点要说明的是，我们通常所说的格式化程序（指高级格式化，例如DOS下的Format程序），并没有把DATA区的数据清除，只是重写了FAT表而已，至于分区硬盘，也只是修改了MBR和OBR，绝大部分的DATA区的数据并没有被改变，这也是许多硬盘数据能够得以修复的原因。但即便如此，如MBR/OBR/FAT/DIR之一被破坏的话，也足够咱们那些所谓的DIY老鸟们忙乎半天了……需要提醒大家的是，如果你经常整理磁盘，那么你的数据区的数据可能是连续的，这样即使MBR/FAT/DIR全部坏了，我们也可以使用磁盘编辑软件（比如DOS下的DiskEdit），只要找到一个文件的起始保存位置，那么这个文件就有可能被恢复（当然了，这需要一个前提，那就是你没有覆盖这个文件……）。
    硬盘分区方式
    我们平时说到的分区概念，不外乎三种:主分区、扩展分区和逻辑分区。
    主分区是一个比较单纯的分区，通常位于硬盘的最前面一块区域中，构成逻辑C磁盘。在主分区中，不允许再建立其它逻辑磁盘。
    扩展分区的概念则比较复杂，也是造成分区和逻辑磁盘混淆的主要原因。由于硬盘仅仅为分区表保留了64个字节的存储空间，而每个分区的参数占据16个字节，故主引导扇区中总计可以存储4个分区的数据。操作系统只允许存储4个分区的数据，如果说逻辑磁盘就是分区，则系统最多只允许4个逻辑磁盘。对于具体的应用，4个逻辑磁盘往往不能满足实际需求。为了建立更多的逻辑磁盘供操作系统使用，系统引入了扩展分区的概念。
    所谓扩展分区，严格地讲它不是一个实际意义的分区，它仅仅是一个指向下一个分区的指针，这种指针结构将形成一个单向链表。这样在主引导扇区中除了主分区外，仅需要存储一个被称为扩展分区的分区数据，通过这个扩展分区的数据可以找到下一个分区（实际上也就是下一个逻辑磁盘）的起始位置，以此起始位置类推可以找到所有的分区。无论系统中建立多少个逻辑磁盘，在主引导扇区中通过一个扩展分区的参数就可以逐个找到每一个逻辑磁盘。
    需要特别注意的是，由于主分区之后的各个分区是通过一种单向链表的结构来实现链接的，因此，若单向链表发生问题，将导致逻辑磁盘的丢失。
    数据存储原理
    既然要进行数据的恢复，当然数据的存储原理我们不能不提，在这之中，我们还要介绍一下数据的删除和硬盘的格式化相关问题……
    文件的读取
    操作系统从目录区中读取文件信息（包括文件名、后缀名、文件大小、修改日期和文件在数据区保存的第一个簇的簇号），我们这里假设第一个簇号是0023。
    操作系统从0023簇读取相应的数据，然后再找到FAT的0023单元，如果内容是文件结束标志（FF），则表示文件结束，否则内容保存数据的下一个簇的簇号，这样重复下去直到遇到文件结束标志。
    文件的写入
    当我们要保存文件时，操作系统首先在DIR区中找到空区写入文件名、大小和创建时间等相应信息，然后在Data区找到闲置空间将文件保存，并将Data区的第一个簇写入DIR区，其余的动作和上边的读取动作差不多。
    文件的删除
    Win9x的文件删除工作却是很简单的，简单到只在目录区做了一点小改动——将目录区的文件的第一个字符改成了E5就表示将改文件删除了。
附录:
--------------------------------------------------------------------------------
    Fdisk和Format的一点小说明
    和文件的删除类似，利用Fdisk删除再建立分区和利用Format格式化逻辑磁盘（假设你格式化的时候并没有使用/U这个无条件格式化参数）都没有将数据从DATA区直接删除，前者只是改变了分区表，后者只是修改了FAT表，因此被误删除的分区和误格式化的硬盘完全有可能恢复……

    系统启动流程
    各种不同的操作系统启动流程不尽相同，我们这里以Win9x/DOS的启动流程为例。
    第一阶段:系统加电自检POST过程。POST是Power On Self Test的缩写，也就是加电自检的意思，微机执行内存FFFF0H处的程序（这里是一段固化的ROM程序），对系统的硬件（包括内存）进行检查。
    第二阶段:读取分区记录和引导记录。当微机检查到硬件正常并与CMOS设置相符后，按照CMOS设置从相应设备启动（我们这里假设从硬盘启动），读取硬盘的分区记录（DPT）和主引导记录（MBR）。
    第三阶段:读取DOS引导记录。微机正确读取分区记录和主引导记录后，如果主引导记录和分区表校验正确，则执行主引导记录并进一步读取DOS引导记录（位于每一个主分区的第一个扇区），然后执行该DOS引导记录。
    第四阶段:装载系统隐含文件。将DOS系统的隐含文件IO.SYS入内存，加载基本的文件系统FAT，这时候一般会出现Starting Windows 9x...的标志，IO.SYS将MS.SYS读入内存，并处理System.dat和User.dat文件，加载磁盘压缩程序。
    第五阶段:实DOS模式配置。系统隐含文件装载完成，微机将执行系统隐含文件，并执行系统配置文件（Config.sys），加载Config.sys中定义的各种驱动程序。
第六阶段:调入命令解释程序(Command.com)。系统装载命令管理程序，以便对系统的各种操作命令进行协调管理（我们所使用的Dir、Copy等内部命令就是由Command.com提供的）。
    第七阶段:执行批处理文件(Autoexec.bat)。微机将一步一步地执行批处理文件中的各条命令。
    第八阶段:加载Win.com。Win.com负责将Windows下的各种驱动程序和启动执行文件加以执行，至此启动完毕。
●硬盘数据恢复，三文件分配表
FAT是DOS、Windows9X系统的文件寻址格式，位于DBR之后。
在解释文件分配表的概念的时候，我们有必要谈谈簇（Cluster）的概念。文件占用磁盘空间，基本单位不是字节而是簇。一般情况下，软盘每簇是1个扇区，硬盘每簇的扇区数与硬盘的总容量大小有关，可能是4、8、16、32、64……同一个文件的数据并不一定完整地存放在磁盘的一个连续的区域内，而往往会分成若干段，像一条链子一样存放。这种存储方式称为文件的链式存储。由于硬盘上保存着段与段之间的连接信息（即FAT），操作系统在读取文件时，总是能够准确地找到各段的位置并正确读出。
为了实现文件的链式存储，硬盘上必须准确地记录哪些簇已经被文件占用，还必须为每个已经占用的簇指明存储后继内容的下一个簇的簇号。对一个文件的最后一簇，则要指明本簇无后继簇。这些都是由FAT表来保存的，表中有很多表项，每项记录一个簇的信息。由于FAT对于文件管理的重要性，所以为了安全起见，FAT有一个备份，即在原FAT的后面再建一个同样的FAT。初形成的FAT中所有项都标明为“未占用”，但如果磁盘有局部损坏，那么格式化程序会检测出损坏的簇，在相应的项中标为“坏簇”，以后存文件时就不会再使用这个簇了。FAT的项数与硬盘上的总簇数相当，每一项占用的字节数也要与总簇数相适应，因为其中需要存放簇号。FAT的格式有多种，最为常见的是FAT16和FAT32。
当一个磁盘Format后，在其逻辑0扇区（即BOOT扇区）后面的几个扇区中存在着一个重要的数据表—文件分配（FAT），文件分配表一式两份，占据扇区的多小凭磁盘类型大小而定。顾名思义，文件分配表是用来表示磁盘问件的空分配信息的。它不对引导区，文件目录的信息进行表示，也不真正存储文件内容。

我们知道磁盘是由一个一个扇区组成的，若干个扇区合为一个簇，文件存取是以簇为单位的，哪怕这个文件只有1个字节。每个簇在文件分配表中都有对应的表项，簇号即为表项号，每个表项占1.5个字节（磁盘空间在10MB以下）或2个字节（磁盘空间在10MB以上）。为了方便起见，以后所说的表项都是指2个字节的。


文件分配表结构如1（H表示16进制）
表1
第0字节 表头，表磁盘类型。FFH双面软盘，每次道8扇区FEH单面软盘，每磁道8扇区FDH双面软盘，每磁道9扇区FCCH单面软盘，每磁道9扇区FC8H硬盘
第1~2字节 （表项号1）表示第一簇状态，因第一簇被系统占据，故此两字节为FFFFH
第3~4字节 （表项号2）表示第二簇状态，若为FFFH表此簇为坏的，DOS已标记为不能用；0000H表示此簇为空，可以用；FFF8H表不能示该簇为文件的最后一簇；其余数字表示文件的下一个簇号，注意高字节在后，低字节在前。
第5~6字节 （表项号3）表示第三簇状态，同上。


注意：
不要把表项内的数字误认为表示当前簇号，而应是该文件的下一个簇的簇号。.高字节在后，低字节在前是一种存储数字方式，读出时应对其进行调整。是如两字节12H，34H，应调整为3412H。
文件分配表与文件目录（FDT）相配合，可以统一管理整个磁盘的文件。它告诉系统磁盘上哪些簇是坏的或已被使用，哪些簇可以用，并存储每个文件所使用的簇号。它是文件的“总调度师”。
当DOS写文件时，首先在文件目录中检查是否有相同文件名，若无则使用一个文件目录表项，然后依次检测FAT中的每个表项对应的簇中，同时将该簇号写入文件目录表项相的26-27字节，如文件长度不止一簇，则继续向后寻找可用簇，找到后将其簇号写入上一次找到的表项中，如此直到文件结束，在最后一簇的表项里填上FFF8H，形成单向链表。
DOS删除文件时只是把文件目录表中的该文件的表项第0个字节改为E5H，表此项已被删除，并在文件分配表中把该文件占用的各簇的表项清0，并释放空间。其文件的内容仍然在盘上，并没有被真正删除，这就是undelete.exe,unerase.exe等一类恢复删除工具能起作用的原因。
文件分配表在系统中的地位十分重要，用户最好不要去修改它，以免误操作带来严重的后果。
FAT表的定位
　硬盘分区的主要结构说明：
(Cylinder柱面/磁道-Side磁头-Sector扇区地址以下简称为?-?-?)
《主分区》
名称 地址   长度(扇区)
主引导记录（Main Boot Record) 0-0-1 1
系统扇区（System Secotrs）   0-0-2,0-0-63  62
引导扇区（Boot） 0-1-1 1
   FAT16系统中，此扇区包含BPB（BIOS Parameter Block）表，描述逻辑盘结构组成，包含隐藏扇区数目（从0-1-1开始计算）、FAT扇区数、FAT拷贝数、硬盘磁头总数、根目录表项最大值等。
    FAT32系统中，BPB表的偏移与FAT16不同，但表项基本相同。整个隐藏扇区部分都作为逻辑盘的描述区域。
隐藏扇区（Hidden Secotrs）:
    FAT16              0-1-1          1
    FAT32              0-1-1          32
文件分配表(File Allocation Table):
    FAT16              0-1-2          根据逻辑盘容量变化    
    FAT32              0-1-33          根据逻辑盘容量变化
    说明：
    FAT16的每个表项由2字节（16位）组成，通常每个表项指向的簇包含64个扇区，即32K字节。
        逻辑盘容量最大为2047MB。
    FAT32的每个表项由4字节（32位）组成，通常每个表项指向的簇包含8个扇区，即4K字节。
        逻辑盘容量最小为512MB。
    对于C分区，在MBR的偏移01c2H处，FAT16为06H，FAT32为0CH。
        有关计算公式为：
        每个扇区长度=512字节
        总簇数=逻辑盘容量/簇容量
        总簇数=FAT表长度（字节）/每个表项长度（字节）-2
        FAT表长度=逻辑盘容量/簇容量*每个表项长度
    FAT表的开始由介质描述符+一串“已占用”标志组成：
        FAT16硬盘----F8 FF FF 7F
        FAT32硬盘----F8 FF FF 0F FF FF FF 0F
    每个有效的FAT结构区包含两个完全相同的拷贝：FAT1、FAT2
文件目录表（File Directory Table），即根目录区，又称为ROOT区:
    紧跟在FAT2的下一个扇区，长度为32个扇区（256个表项）。如果支持长文件名，则每个表项
    为64个字节，其中，前32个字节为长文件链接说明；后32个字节为文件属性说明，包括文件长
    度、起始地址、日期、时间等。如不支持长文件名，则每个表项为32个字节的属性说明。
数据区（Data Area）:
    紧跟在FDT的下一个扇区，直到逻辑盘的结束地址。
《扩展分区》
名称 地址 长度(扇区)
扩展分区（Extend Partition） ?-y-1 1
系统扇区（System Secotrs） ?-y-2,?-y-63 62
引导扇区（Boot） ?-(y+1)-1  1
其后各项与主分区相同……


FAT表引起的读写故障

硬盘文件分配表庞大无法手工修复，只能依靠工具。
FAT表记录着硬盘数据的存储地址，每一个文件都有一组FAT链指定其存放的簇地址。FAT表的损坏意味着文件内容的丢失。庆幸的是DOS系统本身提供了两个FAT表，如果目前使用的FAT表损坏，可用第二个进行覆盖修复。但由于不同规格的磁盘其FAT表的长度及第二个FAT表的地址也是不固定的，所以修复时必须正确查找其正确位置，一些工具软件如NU等本身具有这样的修复功能，使用也非常的方便。采用DEBUG也可实现这种操作，即采用其m命令把第二个FAT表移到第一个表处即可(不建议这样做)。如果第二个FAT表也损坏了，则也无法把硬盘恢复到原来的状态，但文件的数据仍然存放在硬盘的数据区中，可采用CHKDSK或SCANDISK命令进行修复，最终得到*.CHK文件，这便是丢失FAT链的扇区数据。如果是文本文件则可从中提取出完整的或部分的文件内容。

软盘文件分配FAT表修复

在运行某个程序时，有时会在屏幕上看到：File allocation table bad,drive A（文件分配表坏）的错误信息，导致程序不能正常运行。
  我们知道，在磁盘中有两个文件分配表：FAT1和FAT2。FAT1用于日常工作，FAT2备用。因此，在FAT1损坏时，可用FAT2表修补。
  具体方法是：运行DEBUG，将FAT2读入缓冲区，用缓冲区的FAT2数据覆盖磁盘中的FAT1。
  例：修复3寸1.44M软盘，在A驱
  在DOS环境下进入debug环境
  在“-”提示符下进行如下操作：
        -L 100 0 0A 9
        -W 100 0 1 9
        -q
  其它类型的软盘的修复方法参照下表进行。
起止逻辑扇区 5.25"低密 5.25"高密 3.5"低密 3.5"高密
BOOT区 0 0 0 0
FAT1 1-2 1-7 1-3 1-9
FAT2 3-4 8-0EH 4-6 0A-12H
  例如我们要修复5.25"高密软盘的FAT,则需将上述参数改为:
        -L 100 0 8 7
        -W 100 0 1 7
        -q
●硬盘数据恢复，二分区表的推算
Master Boot Record

The Master Boot Record is located at the physical beginning of a hard disk, editable using the Disk Editor. It consists of a master bootstrap loader code (446 bytes) and four subsequent, identically structured partition records. Finally, the hexadecimal signature 55AA completes a valid Master Boot Record.


硬盘的主引导记录在硬盘的0磁头0柱面1扇区。
主引导记录由三部分组成：
(1)主引导程序；
(2)四个分区表；
(3)主引导记录有效标志字。

详见表1。
[表1主引导记录结构]

位 　 置 内 　 容
0000H －00D9H 主引导记录代码区
00DAH －01BDH 空闲区
01BEH －01CDH 分区1结构信息
01CEH －01DDH 分区2结构信息
01DEH －01EDH 分区3结构信息
01EEH －01FDH 分区4结构信息
01FEH －01FFH 55 AAH 主 引 导 记 录 有 效 标 志

说明:
A,分区表自偏移1BEH处开始，分区表共64个字节，表中可填入四个分区信息，每十六个字节为一个分区说明项，这16个字节含义详见表2。
B,必须注意：扇区号的高二位占用柱面号所在字节的最高二位，即柱面号为10位，扇区号6位。
The format of a partition record is as follows:

Offset Size Description
0  8 bit A value of 80 designates an active partition.

1  8 bit Partition start head
2  8 bit Partition start sector (bits 0-5)
3  8 bit Partition start track (bits 8,9 in bits 6,7 of sector)
4  8 bit Operating system indicator
5  8 bit Partition end head
6  8 bit Partition end sector (bits 0-5)
7  8 bit Partition end track (bits 8,9 in bits 6,7 of sector)
8  32 bit Sectors preceding partition
C  32 bit Length of partition in sectors

Operating system indicators: (hexadecimal, incomplete list)

00 Empty partition-table entry
01 DOS FAT12
04 DOS FAT16 (up to 32 MB)
05 DOS 3.3+ extended partition
06 DOS 3.31+ FAT16 (over 32 MB)
07 OS/2 HPFS, Windows NT NTFS, Advanced Unix
08 OS/2 v1.0-1.3, AIX bootable partition, SplitDrive
09 AIX data partition
0A OS/2 Boot Manager
0B Windows 95+ FAT32
0C Windows 95+ FAT32 (using LBA-mode INT 13 extensions)
0E DOS FAT16 (over 32 MB, using INT 13 extensions)
0F Extended partition (using INT 13 extensions)
17 Hidden NTFS partition

1B Hidden Windows 95 FAT32 partition
1C Hidden Windows 95 FAT32 partition (using LBA-mode INT 13 extensions)
1E Hidden LBA VFAT partition
42 Dynamic disk volume
50 OnTrack Disk Manager, read-only partition
51 OnTrack Disk Manager, read/write partition
81 Linux
82 Linux Swap partition, Solaris (Unix)
83 Linux native file system (ext2fs/xiafs)
85 Linux EXT
86 FAT16 volume/stripe set (Windows NT)
87 HPFS fault-tolerant mirrored partition, NTFS volume/stripe set

BE Solaris boot partition
C0 DR-DOS/Novell DOS secured partition
C6 Corrupted FAT16 volume/stripe set (Windows NT)
C7 Corrupted NTFS volume/stripe set
F2 DOS 3.3+ secondary partition


[表2分区结构信息]
偏移 长度 　  含义
00H 　1 　 活动分区指示符，该值为80H表示为可自举分区(仅有一个)，该值为00H表示其余分区。
01H 　1 　 分区起始磁头号。
02H 　1 　 低6位是分区开始的扇区，高2位是分区开始的柱面的头两位。
03H 　1 　 分区开始的起始柱面号的低8位。
04H 　1 　 系统标志，该值为01H表示采用12位FAT格式的DOS 分区，该值04H表示采用16位FAT格式的DOS分区，该值为05H表示为扩展DOS分区，为06H表示为DOS系统。
05H 　1 　 分区终止头号
06H 　1 　 低6位为分区结束的扇区号，头2位为结束柱面号的前2位。
07H　 1　  分区结束柱面号的低8位。
08H 　4 　 本分区前的扇区数，低位字节在 前。
0CH 　4 　 本分区总的扇区数，低位字节在前。

重要公式：
02H为X,03H为Y。柱面=(X>>6)*16^2+Y;
以我的硬盘为例：
有九个可用分区，二个不可用分区；
两个Primary NTFS分区，第二个为active；
七个Extened 分区，第五个为NTFS其他为FAT32.
.
主分区表数据：位置cylinder0, head 0,sector1
偏移 0 1 2 3 4 5 6 7  8 9 A B C D E F
0 33 C0 8E D0 BC 00 7C FB  50 07 50 1F FC BE 1B 7C
1 BF 1B 06 50 57 B9 E5 01  F3 A4 CB BE BE 07 B1 04
2 38 2C 7C 09 75 15 83 C6  10 E2 F5 CD 18 8B 14 8B
3 EE 83 C6 10 49 74 16 38  2C 74 F6 BE 10 07 4E AC
4 3C 00 74 FA BB 07 00 B4  0E CD 10 EB F2 89 46 25
5 96 8A 46 04 B4 06 3C 0E  74 11 B4 0B 3C 0C 74 05
6 3A C4 75 2B 40 C6 46 25  06 75 24 BB AA 55 50 B4
7 41 CD 13 58 72 16 81 FB  55 AA 75 10 F6 C1 01 74
8 0B 8A E0 88 56 24 C7 06  A1 06 EB 1E 88 66 04 BF
8 0A 00 B8 01 02 8B DC 33  C9 83 FF 05 7F 03 8B 4E
9 25 03 4E 02 CD 13 72 29  BE 59 07 81 3E FE 7D 55
A AA 74 5A 83 EF 05 7F DA  85 F6 75 83 BE 2E 07 EB
B 8A 98 91 52 99 03 46 08  13 56 0A E8 12 00 5A EB
C D5 4F 74 E4 33 C0 CD 13  EB B8 00 00 80 24 45 00
D 56 33 F6 56 56 52 50 06  53      
1B                00 00
1C 01 46 07 FE 7F 1E C6 28  11 00 99 31 35 00 80 00
1D 41 30 07 FE 7F B2 30 85  4A 00 C3 1C 20 00 00 00
1E 41 B3 0F FE FF FF F3 A1  6A 00 08 FE F7 01 00 00
1F 00 00 00 00 00 00 00 00  00 00 00 00 00 00 55 AA

主分区表分析：
Master bootstrap loader code0000H －00D9H  33 C0 8E D0 BC 00 7C FB 50 。。。主引导记录代码，表示住分区表
  01BEH －01CDH 分区1结构信息multi(0)disk(0)rdisk(0)partition(0)知该分区Boot Sector位于：起始磁头为0头，起始柱面为70D，起始扇区为1扇区。
  01CEH －01DDH 分区2结构信息 multi(0)disk(0)rdisk(0)partition(1)活动分区指示符为80H，表示该分区为可自举分区。系统标志为07表示OS/2 HPFS, Windows NT NTFS, Advanced Unix系统。知该分区Boot Sector位于：起始磁头为0头，起始柱面为304D，起始扇区为1扇区。
  01DEH －01EDH 分区3结构信息Extended partition系统标志字节为0F，说明是扩展分区Extended partition (using INT 13 extensions)。从扩展分区说明项知下一个分区表位于：起始磁头为0头，起始柱面为435D，起始扇区为1扇区。
  01EEH －01FDH 分区4结构信息分区说明项数据均为00H没有定义。
  01FEH －01FFH 55 AAH 主引导记录有效标志

扩展分区一分区表数据：位置cylinder435D, head 0,sector1
偏移 0 1 2 3 4 5 6 7  8 9 A B C D E F
0 00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00
1B                00 00
1C 41 B3 0B FE FF 08 3F 00   00 00 97 D5 53 00 00 00
1D C1 09 05 FE FF FF D6 D5   53 00 D6 D5 53 00 00 00
1E 00 00 00 00 00 00 00 00   00 00 00 00 00 00 00 00
1F 00 00 00 00 00 00 00 00   00 00 00 00 00 00 55 AA

扩展分区表分析：
  01BEH －01CDH 分区1结构信息multi(0)disk(0)rdisk(0)partition(3)知该分区位于：起始磁头为1头，起始柱面为435D，起始扇区为1扇区（分区表占用磁头0）。系统标志字0BH表示 Windows 95+ FAT32
  01BEH －01CDH 分区1结构信息系统标志字节为05H，说明是扩展DOS分区。于是知下一个分区表位于：起始磁头为0头，起始柱面为777D，起始扇区为1扇区。
Partition Table Entry #3 数据均为00H没有定义。
Partition Table Entry #4 数据均为00H没有定义。

其他扩展分区同理。


---------------------------------------------------------------------------------------------------------------------
附录:
   Fdisk的MBR参数
   MBR 系 FDISK.COM(EXE) 一项未公布的开关，隐含于 MS DOS 3.30，延至 MS DOS 8.0(Windows ME)。实践中，有籍以修复主引导信息，重点在主引导程序。
   FDISK /MBR 命令流程的分支有二:
  读得主引导扇区检验标志(字) AA55h，操作单一，仅向主引导扇区位移 0－1BDH 写入当前系统固有的主引导程序，安全可靠。
  难能可贵的是它不触动主引导信息其余模块(分区表、检验标志)，以及随后的 DOS 引导信息、文件分配表、根目录，省事许多。检出检验标志非 AA55h，写主引导程序、初始化分区表及登录检验标志，在 MS DOS 7.0 － 8.0 环境中，常规以系统支持的最大容量分配给基本 DOS 分区的方式登录分区表。分区表初始化(可能幸存的分区表被清除)的后果不难想象； 目前硬盘大都设置有其它分区，即使在高版本 DOS 环境中运作，常规建立的分区表每难能符合实际需求，后续工作量也相当可观。
  不过，它也不触动位于其后的 DOS 引导信息、文件分配表及根目录，高版本 FDISK /MBR 命令适用于修复仅设基本 DOS 分区的硬盘分区表及检验标志受损，或主引导信息全毁。
  可见，在运行 FDISK /MBR 命令之前，需查明检验标志是否 AA55h，酌情处理，切忌盲动。
  经由 DOS 软盘引导，认硬盘，检验标志必健在。
  另外，在 FDSIK 主菜单中选 4. Display Partition Information，列出分区信息，进一步证实检验标志正常； 若现 No partitition defined，检验标志每变异，而分区表或许尚健在。
●硬盘数据恢复，深入逻辑分区


现在深入每一个逻辑分区。逻辑分区结构如下：

FAT12/16
Logical sector =0 Logical sector=1(Floppy disk=1~9) Logical sector=1+sectors_per_FAT(Floppydisk=10~18) Logical sector=1+sectors_per_FAT*2(Floppy disk=19~32) Logical sector=1+sectors_per_FAT*2+sectors_of_rootdirectories(Floppy disk=33~)
DOS Boot Sector FAT1 FAT2 ROOT Directory Data area(where files and subdirectories are stored)

FAT32
Usually 32 sectors Logical sector =0032h Logical sector =0032h+ 2*sectors_per_FAT
DOS Boot Recore 3 Sectors Reserved sectors Copy of record Reserve sectors FAT1 FAT2 Data area(where files and all bdirectories are stored)


在逻辑分区当中用逻辑的cluster和sector。换算关系为：
cluster=logical_sector/sectors_per_cluster;
这里sectors_per_cluster是在BIOS Parameter Block里得到的。
Sector=( logical_sector mod sectors_per_track)+1;
Head=( logical_sector / sectors_per_track)mod total_heads;
Cylinder= logical_sector(sectors_per_track* total_heads);
logical_sector=( cluster-2)*sectors_per_cluster+sector_of_file_area_offset;
logical_sector=(sector-1)+head*sector_per_track+sector*sector_per_track*heads;
每个扇区长度=512字节
总簇数=逻辑盘容量/簇容量
总簇数=FAT表长度（字节）/每个表项长度（字节）-2
FAT表长度=逻辑盘容量/簇容量*每个表项长度

Dos引导记录块位于逻辑0 sector中包含三部分：
（1） 磁盘IO参数表BPB；
（2） 磁盘基数表；
（3） 引导区代码。

FAT16的BPB（BIOS Parameter Block）表，描述逻辑盘结构组成，包含隐藏扇区数目（从0-1-1开始计算）、FAT扇区数、FAT拷贝数、硬盘磁头总数、根目录表项最大值等。FAT32系统中，BPB表的偏移与FAT16不同，但表项基本相同。整个隐藏扇区部分都作为逻辑盘的描述区域。

典型的primary partion 的磁盘IO参数表BPB:

典型的 logical partion 磁盘参数表:




硬盘BPB主要结构说明：
(Cylinder柱面/磁道-Side/Head磁头-Sector扇区地址以下简称为?-?-?)
主分区
名称 地址   长度(扇区)
主引导记录（Main Boot Record) 0-0-1 1
系统扇区（System Secotrs）  0-0-2,0-0-63  62
引导扇区（Boot） 0-1-1 1
 
扩展分区 
名称 地址 长度(扇区)
扩展分区（Extend Partition） ?-y-1 1
系统扇区（System Secotrs） ?-y-2,?-y-63 62
引导扇区（Boot） ?-(y+1)-1  1
其后各项与主分区相同…… 

隐藏扇区（Hidden Secotrs）:
    FAT16              0-1-1          1
    FAT32              0-1-1          32
文件分配表(File Allocation Table):
    FAT16              0-1-2          根据逻辑盘容量变化    
    FAT32              0-1-33          根据逻辑盘容量变化
    说明：
FAT16的每个表项由2字节（16位）组成，通常每个表项指向的簇包含64个扇区，即32K字节。 逻辑盘容量最大为2047MB。
FAT32的每个表项由4字节（32位）组成，通常每个表项指向的簇包含8个扇区，即4K字节。逻辑盘容量最小为512MB。
对于C分区，在MBR的偏移01c2H处，FAT16为06H，FAT32为0CH。

 
FAT是DOS、Windows9X系统的文件寻址格式，位于DBR之后。
在解释文件分配表的概念的时候，我们有必要谈谈簇（Cluster）的概念。文件占用磁盘空间，基本单位不是字节而是簇。一般情况下，软盘每簇是1个扇区，硬盘每簇的扇区数与硬盘的总容量大小有关，可能是4、8、16、32、64……同一个文件的数据并不一定完整地存放在磁盘的一个连续的区域内，而往往会分成若干段，像一条链子一样存放。这种存储方式称为文件的链式存储。由于硬盘上保存着段与段之间的连接信息（即FAT），操作系统在读取文件时，总是能够准确地找到各段的位置并正确读出。
为了实现文件的链式存储，硬盘上必须准确地记录哪些簇已经被文件占用，还必须为每个已经占用的簇指明存储后继内容的下一个簇的簇号。对一个文件的最后一簇，则要指明本簇无后继簇。这些都是由FAT表来保存的，表中有很多表项，每项记录一个簇的信息。由于FAT对于文件管理的重要性，所以为了安全起见，FAT有一个备份，即在原FAT的后面再建一个同样的FAT。初形成的FAT中所有项都标明为“未占用”，但如果磁盘有局部损坏，那么格式化程序会检测出损坏的簇，在相应的项中标为“坏簇”，以后存文件时就不会再使用这个簇了。FAT的项数与硬盘上的总簇数相当，每一项占用的字节数也要与总簇数相适应，因为其中需要存放簇号。FAT的格式有多种，最为常见的是FAT16和FAT32。
当一个磁盘Format后，在其逻辑0扇区（即BOOT扇区）后面的几个扇区中存在着一个重要的数据表—文件分配（FAT），文件分配表一式两份，占据扇区的多小凭磁盘类型大小而定。顾名思义，文件分配表是用来表示磁盘问件的空分配信息的。它不对引导区，文件目录的信息进行表示，也不真正存储文件内容。
我们知道磁盘是由一个一个扇区组成的，若干个扇区合为一个簇，文件存取是以簇为单位的，哪怕这个文件只有1个字节。每个簇在文件分配表中都有对应的表项，簇号即为表项号，每个表项占1.5个字节（磁盘空间在10MB以下）或2个字节（磁盘空间在10MB以上）。为了方便起见，以后所说的表项都是指2个字节的。
FAT表的开始由介质描述符+一串“已占用”标志组成：
FAT16硬盘----F8 FF FF 7F
    FAT32硬盘----F8 FF FF 0F FF FF FF 0F
   每个有效的FAT结构区包含两个完全相同的拷贝：FAT1、FAT2
文件分配表结构如1（H表示16进制）
表1
第0字节 表头，表磁盘类型。FFH双面软盘，每次道8扇区FEH单面软盘，每磁道8扇区FDH双面软盘，每磁道9扇区FCCH单面软盘，每磁道9扇区FC8H硬盘
第1~2字节 （表项号1）表示第一簇状态，因第一簇被系统占据，故此两字节为FFFFH
第3~4字节 （表项号2）表示第二簇状态，若为FFFH表此簇为坏的，DOS已标记为不能用；0000H表示此簇为空，可以用；FFF8H表不能示该簇为文件的最后一簇；其余数字表示文件的下一个簇号，注意高字节在后，低字节在前。
第5~6字节 （表项号3）表示第三簇状态，同上。

注意：
不要把表项内的数字误认为表示当前簇号，而应是该文件的下一个簇的簇号。.高字节在后，低字节在前是一种存储数字方式，读出时应对其进行调整。是如两字节12H，34H，应调整为3412H。
文件分配表与文件目录（FDT）相配合，可以统一管理整个磁盘的文件。它告诉系统磁盘上哪些簇是坏的或已被使用，哪些簇可以用，并存储每个文件所使用的簇号。它是文件的“总调度师”。
当DOS写文件时，首先在文件目录中检查是否有相同文件名，若无则使用一个文件目录表项，然后依次检测FAT中的每个表项对应的簇中，同时将该簇号写入文件目录表项相的26-27字节，如文件长度不止一簇，则继续向后寻找可用簇，找到后将其簇号写入上一次找到的表项中，如此直到文件结束，在最后一簇的表项里填上FFF8H，形成单向链表。
DOS删除文件时只是把文件目录表中的该文件的表项第0个字节改为E5H，表此项已被删除，并在文件分配表中把该文件占用的各簇的表项清0，并释放空间。其文件的内容仍然在盘上，并没有被真正删除，这就是undelete.exe,unerase.exe等一类恢复删除工具能起作用的原因。
文件分配表在系统中的地位十分重要，用户最好不要去修改它，以免误操作带来严重的后果。
典型的FAT32表:
F8 FF FF FF FF FF FF FF 96 C4 00 00 FF FF FF 0F
FF FF FF 0F 06 00 00 00 FF FF FF 0F 08 00 00 00
09 00 00 00 0A 00 00 00 0B 00 00 00 0C 00 00 00
0D 00 00 00 0E 00 00 00 0F 00 00 00 10 00 00 00
FF FF FF 0F 00 00 00 00 FF FF FF 0F 14 00 00 00
15 00 00 00 FF FF FF 0F FF FF FF 0F FF FF FF 0F
19 00 00 00 1A 00 00 00 1B 00 00 00 FF FF FF 0F
00 00 00 00 1E 00 00 00 FF FF FF 0F 20 00 00 00
FF FF FF 0F 22 00 00 00 23 00 00 00 24 00 00 00
25 00 00 00 26 00 00 00 27 00 00 00 28 00 00 00


   文件目录表（File Directory Table），即根目录区，又称为ROOT区:
   紧跟在FAT2的下一个扇区，长度为32个扇区（256个表项）。如果支持长文件名，则每个表项为64个字节，其中，前32个字节为长文件链接说明；后32个字节为文件属性说明，包括文件长度、起始地址、日期、时间等。如不支持长文件名，则每个表项为32个字节的属性说明。
值得注意的是:
1,FAT32没有储存目录的目录区，而 FAT16储存根目录并把子目录放到数据区。
  2,表示目录的目录项指出根目录地址同时长度字节为0，表示文件的目录项指出数据地址。

典型的FAT32根目录：
30 30 30 30 30 30 20 20 20 20 20 10 00 12 3C 7C
39 2B 39 2B 05 00 3D 7C 39 2B 3A 34 00 00 00 00
              
44 4D 32 4B 44 49 53 4B 49 4D 47 20 00 96 DB 40
39 2B 39 2B 0A 00 DC 40 39 2B 88 02 5B 72 13 00
              
42 49 4E 42 49 4E 20 20 20 20 20 08 00 00 00 00
00 00 00 00 00 00 47 65 09 2B 00 00 00 00 00 00



000000子目录

注意OS7前的怪字符为E5H，表示被删除，被删除文件仍旧能够找到开始簇，数据恢复就依靠这一特点。

数据区（Data Area）:    紧跟在FDT的下一个扇区，直到逻辑盘的结束地址。




由上图可以想到，即使目录被破坏仍旧可能从磁盘里把信息读出。

到现在为止，硬盘数据结构的理论部分已经讲完。
  数据恢复主要是手动找出FAT、目录、数据的对应关系或直接找到数据,现在已经有完善的磁盘编辑器帮助我们做到这一点，使工作大大简化了。
有只能化的恢复工具能不依靠FAT而恢复被删除文件，比如RECOVERNT，估计是依靠Win2000的文件使用记录。这种方法在冲启动之前恢复文件的

---

欢迎光临 SiS001! Board - [第一会所 关闭注册] (http://23.225.255.74/bbs1/)

Powered by Discuz! 7.2