/第八章災難數據急救實驗二８。2手工恢復分區表(主表一)實驗目標： 讓學生掌握刪除文件恢復硬件要求:?CPU：2。0G以上內存：512MB以上硬盤:6G以上空間軟件要求：ConｎectixVｉｒｔualPC５。１Wｉndows2０0０Server系統鏡像 ＦiｎalDataEnterprise2．０AcronisDiskＥdｉtorEasyRecoｖeｒyProｆeｓsｉonalAdvａｎceｄEＦＳＤataＲecoveryUltraEdｉt?hｄ_ｃopyWinHｅx?備注:實驗描述：本實驗主要實現一下目的：讓學員了解如何對于主表結構的分區表進行恢復熟悉磁盤分區的基本結構如何找到第一個分區，如何分辨分區類型如何識別分區起始地址如何識別分區大小如何計算下一個分區起始地址區別ＦＡT分區與NTFＳ分區的差別?實驗步驟:1．打開我的電腦察看系統分區情況,本測試系統中掛接兩塊硬盤，第一塊C盤，E盤，第二塊硬盤F盤(實驗1），G盤(實驗２)，H盤(實驗3），I盤（實驗4）。本次實驗我們主要是對硬盤二的分區表進行手工重建。?2。打開桌面上軟件AｃｒonｉｓDiskEdｉtor準備開始對磁盤進行手工編輯３．AcroniｓDiskEdｉtor啟動后顯示一下界面4.選擇要編輯的硬盤,點擊菜單Dｉsk—>Opeｎ,顯示如下界面,選擇第二塊硬盤OK5,切換視圖顯示方式點擊菜單View-〉asHｅx6.顯示ＦＤT磁盤分區表，在這里我們可以看到55ＡA分區表結束標識，以及分區表項。７，點擊菜單Eｄｉｔ->Fｉlｌ顯示如下窗口８。將分區表用0填充，之后保存并關閉AｃｒoｎisＤｉskEdiｔor9到系統硬件管理中去找到對應硬盤，點擊硬盤并點右鍵菜單停用10．然后點擊啟用11．這個時候我的電腦中的第二塊硬盤中的分區信息都全部丟失了12。下面就開始手工恢復分區表了再次啟動AcrｏｎiｓＤiskEdiｔor，Disk-〉Open，顯示如下界面，這個時候就會發現，第二塊硬盤顯示的是，Unａlｌoｃａｔｅｄ,空間未分配。我現在就要開始恢復了，選擇第二塊硬盤OＫ。13.下面就開始手工恢復第一個分區，光標選中的區域為第一分區的13.第一分區起始位置在６３扇區，跳轉到６3扇區1４．第一個分區的ＤBR,將下圖中標識的關鍵位置,寫入到磁盤分區表中對應位置15．保存修改，關閉ＡｃroｎisDiskEditoｒ，到硬件管理器中停止，啟動該硬盤，然后打開我的電腦查看硬盤是否已經恢復，是否能正常使用。如果不正常則檢查前面步驟．1６第二個分區第一個分區起始位置＋第一個分區大小＝第二個分區的DＢR的位置0000003F＋00５DA3BF=005DＡ3FE1７.將00５DA3FE轉換成十進制數字為６13683018.找到第二個分區的DBＲ系統引導記錄，通過分析得到，該分區為ＨTFS分區,按照ＮTFＳ分區的分配方式確定,分區起始位置字段，分區大小字段，并將結果寫到分區表中。加上結束標志55AＡ19.保存修改，關閉AcｒonisＤiｓｋEditor，到硬件管理器中停止，啟動該硬盤，然后打開我的電腦查看硬盤是否已經恢復，是否能正常使用。如果不正常則檢查前面步驟．20。第三個分區第二個分區起始位置+第二個分區大小＝第三個分區的DBR的位置00５DA３FE+00201CC2=0０C2１．將０05DA3FE轉換成十進制數字為8２4１344,跳轉到指定分區．發現一個ＮTFS分區表，但是在此分區表中的”起始地址"和"分區大小”和上一個分區是一樣的有點奇怪,其實這個分區表是NTFS分區的備份分區引導記錄,放在本分區的最后一個扇區。所以真正的分區表在,下一個扇區。22．下移一個扇區,正好顯示的是上一個扇區備份分區引導記錄，和當前分區引導記錄，這里就是真正的分區引導記錄，我們找到分區”起始位置"，”分區大小",并將其填入分區表。

２3。計算下個分區起始位置?00７DC0C1+0０３F7Ｄ42=00ＢD3Ｅ0324。保存修改,關閉AｃroｎiｓDiskEｄiｔor,到硬件管理器中停止，啟動該硬盤，然后打開我的電腦查看硬盤是否已經恢復，是否能正常使用。如果不正常則檢查前面步驟．2５。將00BＤ3E03轉換成十進制數字為12402１79,跳轉到指定分區．發現結構和第三個分區一樣這時候我們往下再找一個扇區。２6。我們找到分區”起始位置"，”