任務1虛擬磁盤應用項目6磁盤分區恢復子任務1利用Windows10磁盤管理創建、附加及分離虛擬磁盤01利用Windows10磁盤管理創建虛擬磁盤02利用Windows10磁盤管理附加虛擬磁盤03利用Windows10磁盤管理分離虛擬磁盤目錄contents利用Windows10磁盤管理創建虛擬磁盤01任務實施1一、利用Windows10的磁盤管理創建虛擬磁盤（共有3個步驟）步驟一：打開管理器步驟二：打開磁盤管理器步驟三：創建虛擬磁盤一步驟一：打開管理器在電腦桌面右鍵單擊“此電腦”，在下拉菜單中單擊“管理”菜單，進入計算機管理界面。利用Windows10磁盤管理創建虛擬磁盤一步驟二：打開磁盤管理器在計算機管理界面中，找到存儲下“磁盤管理”菜單，并單擊它，打開“磁盤管理”窗口。如圖6-1所示。利用Windows10磁盤管理創建虛擬磁盤圖6-1“磁盤管理”菜單圖一利用Windows10磁盤管理創建虛擬磁盤圖6-2磁盤管理“創建VHD”菜單圖步驟三：創建虛擬磁盤1.運行“創建VHD”程序右鍵單擊“磁盤管理”，在下拉菜單中找到“創建VHD”菜單，如圖6-2所示。單擊它，進入創建虛擬磁盤界面。一利用Windows10磁盤管理創建虛擬磁盤2.設置虛擬磁盤參數在創建虛擬磁盤界面的“位置”欄，點擊“瀏覽”按鍵，彈出要創建虛擬磁盤文件的保存路徑，選擇桌面路徑，鍵入“6任務1-1-1.vhd”。在“虛擬磁盤大小”欄選擇單位為“GB”,鍵入“16”。在“虛擬磁盤格式”欄選擇默認的“VHD”格式。在“虛擬磁盤類型”欄選擇“動態擴展”。輸入以上參數，即為創建虛擬磁盤參數。如圖6-3所示。一利用Windows10磁盤管理創建虛擬磁盤圖6-3磁盤管理創建虛擬磁盤界面圖一利用Windows10磁盤管理創建虛擬磁盤3.創建虛擬磁盤在創建虛擬磁盤界面上點擊“確定”鍵，程序進入創建虛擬磁盤進程，且很快完成。在“磁盤管理”窗口出現磁盤1，即為創建的虛擬磁盤。同時，在瀏覽電腦桌面，出現“6任務1-1-1.vhd”文件，即為創建虛擬磁盤文件，創建虛擬磁盤操作完成。利用Winhex直接和數據解釋器讀取EBR分區表參數02任務實施1一、利用Windows10的磁盤管理附加虛擬磁盤（共有3個步驟）步驟一：打開管理器步驟二：打開磁盤管理器步驟三：附加虛擬磁盤二步驟一：打開管理器在電腦桌面右鍵單擊“此電腦”，在下拉菜單中單擊“管理”菜單，進入計算機管理界面。利用Windows10磁盤管理附加虛擬磁盤二步驟二：打開磁盤管理器在計算機管理界面中，找到存儲下“磁盤管理”菜單，并單擊它，打開“磁盤管理”窗口。利用Windows10磁盤管理附加虛擬磁盤二利用Windows10磁盤管理附加虛擬磁盤圖6-4磁盤管理“附加VHD”菜單圖步驟三：附加虛擬磁盤1.運行“附加VHD”程序右鍵單擊存儲下“磁盤管理”菜單，在下拉菜單中找到“附加VHD”菜單，如圖6-4所示。單擊它，彈出附加虛擬磁盤界面。二利用Windows10磁盤管理附加虛擬磁盤2.選擇附加虛擬磁盤文件路徑及名稱在附加虛擬磁盤界面的“位置”欄，點擊“瀏覽”按鍵，彈出存放虛擬磁盤文件的保存路徑，選擇桌面路徑，選擇打開“6任務1-1-1.vhd”。如圖6-5所示。圖6-5磁盤管理附加虛擬磁盤界面圖二利用Windows10磁盤管理附加虛擬磁盤3.附加虛擬磁盤在附加虛擬磁盤界面上點擊“確定”鍵，程序進入附加虛擬磁盤進程，且很快完成。在“磁盤管理”窗口出現磁盤2，即為需附加的虛擬磁盤。對于Windows10系統，可通過雙擊虛擬磁盤文件的辦法來附加虛擬磁盤。在此不再描述。附加虛擬磁盤完成。利用Windows10磁盤管理分離虛擬磁盤03任務實施1一、利用Windows10的磁盤管理分離虛擬磁盤（共有3個步驟）步驟一：打開管理器步驟二：打開磁盤管理器步驟三：分離虛擬磁盤三步驟一：打開管理器在電腦桌面右鍵單擊“此電腦”，在下拉菜單中單擊“管理”菜單，進入計算機管理界面。利用Windows10磁盤管理分離虛擬磁盤三步驟二：打開磁盤管理器在計算機管理界面中，找到存儲下“磁盤管理”菜單，并單擊它，打開“磁盤管理”窗口。利用Windows10磁盤管理分離虛擬磁盤三利用Windows10磁盤管理分離虛擬磁盤步驟三：分離虛擬磁盤1.找到要分離虛擬磁盤在硬盤管理的硬盤窗口中，找到要分離的虛擬磁盤是磁盤1。三利用Windows10磁盤管理分離虛擬磁盤步驟三：分離虛擬磁盤1.找到要分離虛擬磁盤在硬盤管理的硬盤窗口中，找到要分離的虛擬磁盤是磁盤1。三利用Windows10磁盤管理分離虛擬磁盤2.執行“分離VDH”程序右鍵單擊磁盤1的標頭，彈出下拉菜單在下拉菜單中，找到“分離VHD”功能菜單，然后，點擊“分離VHD”菜單，彈出分離虛擬磁盤提示窗口，點擊“確定”，完成分離虛擬磁盤任務。如圖6-6所示。圖6-6磁盤管理“分離VHD”菜單圖感謝觀看THANKSFORWATCHING任務1虛擬磁盤應用項目6磁盤分區恢復子任務2利用Windows10磁盤管理初始化（GPT）虛擬磁盤01利用Winhex查看硬盤被初始化前有無參數02利用Windows10磁盤管理初始化（GPT分區形式）虛擬磁盤03利用Winhex查看虛擬磁盤被初始后有無參數目錄contents利用Winhex查看硬盤被初始化前有無參數01任務實施2利用Windows10磁盤管理初始化（GPT）虛擬磁盤一、利用Windows10的磁盤管理創建虛擬磁盤（共有3個步驟）步驟一：附加虛擬磁盤步驟二：啟動Winhex，并打開虛擬磁盤步驟三：查看虛擬磁盤有無參數一步驟一：附加虛擬磁盤在資源管理器中，雙擊素材文件夾中“6任務1-2-1.VHD”虛擬磁盤（尚未初始化）。也可用Windows10磁盤管理器完成附加。利用Winhex查看硬盤被初始化前有無參數一步驟二：啟動Winhex，并打開虛擬磁盤在電腦桌面右鍵點擊運行Winhex，彈出菜單，點擊“以管理員身份運行”，彈出Winhex界面，點擊工具欄的“打開磁盤”功能按鍵，彈出“選擇磁盤”對話框，選擇物理驅動器“HD1”。如圖6-7、8所示。利用Winhex查看硬盤被初始化前有無參數圖6-7Winhex“打開磁盤”功能按鍵圖圖6-8Winhex“選擇磁盤”對話框圖一利用Winhex查看硬盤被初始化前有無參數圖6-9Winhex編輯窗口信息（6任務1-2-1.VHD）圖步驟三：查看虛擬磁盤有無參數點擊“確定”，完成HD1調入，編輯窗口顯示HD1信息，在“分區類型”欄中顯示“問號”，說明硬盤未分區，在Winhex工作窗口，第0扇區全部數據為“0”，說明硬盤未寫入引導程序和分區表，無參數。如圖6-9所示。一利用Winhex查看硬盤被初始化前有無參數圖6-10Winhex編驅動器窗口信息（“關閉”對話框）圖步驟三：查看虛擬磁盤有無參數右鍵點擊Winhex狀態窗口上的“硬盤1”，彈出“關閉”對話框，如圖6-10所示。點擊“關閉”，完成關閉磁盤操作。一利用Winhex查看硬盤被初始化前有無參數關閉并分離虛擬磁盤，在素材文件夾中復制“6任務1-2-1.VHD”，得到一個副本，把副本改名為“6任務1-2-2.VHD”，為下一個任務提供素材。利用Windows10磁盤管理初始化（GPT分區形式）虛擬磁盤02任務實施2利用Windows10磁盤管理初始化（GPT）虛擬磁盤二、利用Windows10磁盤管理初始化（GPT）虛擬磁盤（共有2個步驟）步驟一：附加虛擬磁盤步驟二：初始化虛擬磁盤二步驟一：附加虛擬磁盤在資源管理器中，雙擊素材文件夾中的“6任務1-2-2.VHD”虛擬磁盤，附加虛擬磁盤完成。也可用磁盤管理器完成附加。利用Windows10磁盤管理初始化（GPT分區形式）虛擬磁盤二利用Windows10磁盤管理初始化（GPT分區形式）虛擬磁盤步驟二：初始化虛擬磁盤1.找到需要初始化的虛擬磁盤打開磁盤管理，在“磁盤管理”窗口中找到需要初始化的“磁盤1”。狀態為“無聯機”。二利用Windows10磁盤管理初始化（GPT分區形式）虛擬磁盤圖6-10磁盤管理“初始化磁盤”菜單圖2.運行初始化程序右鍵單擊需要初始化的虛擬磁盤“磁盤1”的盤符，在下拉菜單中找到“初始化磁盤”菜單并點擊它，如圖6-10所示。二利用Windows10磁盤管理初始化（GPT分區形式）虛擬磁盤3.設置初始化參數彈出初始化磁盤界面，在選擇硬盤欄的“磁盤1”前打鉤。“為所選磁盤使用以下磁盤分區形式”欄的默認是“GPT”，不更改。。如圖6-11所示。圖6-11磁盤管理初始化磁盤界面二利用Windows10磁盤管理初始化（GPT分區形式）虛擬磁盤4.完成初始化點擊“確定”，磁盤狀態暫時變為“正在初始化”，然后變為“聯機”狀態，此硬盤被初始成GPT硬盤，尚未建成系統分區和用戶分區，磁盤管理器提示“未分配”。利用Winhex查看虛擬磁盤被初始后有無參數03任務實施2利用Windows10磁盤管理初始化（GPT）虛擬磁盤三、利用Winhex查看虛擬磁盤被初始后有無參數（共有3個步驟）步驟一：附加虛擬磁盤步驟二：啟動Winhex，并打開虛擬磁盤步驟三：查看虛擬磁盤有無參數三步驟一：附加虛擬磁盤在資源管理器中，雙擊素材文件夾中“6任務1-2-2.VHD”虛擬磁盤（已初始化）。也可用磁盤管理器完成附加。利用Winhex查看虛擬磁盤被初始后有無參數三步驟二：啟動Winhex，并打開虛擬磁盤啟動Winhex，點擊工具欄的“打開磁盤”功能按鍵，彈出“選擇磁盤”窗口，選擇物理驅動器“HD1”，點擊“確定”，完成HD1調入。利用Winhex查看虛擬磁盤被初始后有無參數三利用Winhex查看虛擬磁盤被初始后有無參數步驟三：分離虛擬磁盤1.找到要分離虛擬磁盤在硬盤管理的硬盤窗口中，找到要分離的虛擬磁盤是磁盤1。三利用Winhex查看虛擬磁盤被初始后有無參數步驟三：查看虛擬磁盤有無參數根據GPT分區類型結構特點，一旦初始化為GPT，將建成一個MSR（保留分區，在格式化前是空分區，無數據），硬盤的0、1、2及倒數1、33號扇區有數據。一利用Windows10磁盤管理分離虛擬磁盤在Winhex編輯窗口顯示HD1信息，“分區類型”欄顯示“GPT”，說明硬盤初始化GPT類型，硬盤的0、1、2及倒數1、33號扇區都有數據。如圖6-12所示。圖6-12Winhex編輯窗口信息圖一利用Windows10磁盤管理分離虛擬磁盤確認初始化后硬盤建立了相關參數，有了數據。關閉并分離虛擬磁盤，在素材文件夾中復制“6任務1-2-2.VHD”，得到一個副本，把副本改名為“6任務1-3-1.VHD”，為下一個任務提供素材。感謝觀看THANKSFORWATCHING任務1虛擬磁盤應用項目6磁盤分區恢復子任務3利用DG分區格式化虛擬磁盤01利用Winhex查看硬盤被初始化前有無參數02利用Windows10磁盤管理初始化（GPT分區形式）虛擬磁盤03利用Winhex查看虛擬磁盤被初始后有無參數目錄contents利用Winhex查看硬盤被初始化前有無參數01任務實施3利用DG分區格式化虛擬磁盤一、利用DG分區軟件對虛擬磁盤進行分區（共有5個步驟）步驟一：附加虛擬磁盤步驟二：啟動DG分區軟件，選定需要分區的虛擬磁盤步驟三：建立ESP分區步驟四：建立GPT分區步驟五：保存更改，但不格式化分區一步驟一：附加虛擬磁盤在資源管理器中，雙擊素材文件夾中“6任務1-3-1.VHD”虛擬磁盤（已初始化成GPT，未分區格式化），也可用磁盤管理器完成附加。利用DG分區軟件對虛擬磁盤進行分區一步驟二：啟動DG分區軟件，選定需要分區的虛擬磁盤盤運行DG分區軟件，磁盤窗口中，單擊選定需要分區的虛擬磁盤HD1。利用DG分區軟件對虛擬磁盤進行分區一利用DG分區軟件對虛擬磁盤進行分區圖6-13DG“建立ESP、MSR”分區界面圖步驟三：建立ESP分區在DG功能按鍵菜單欄中，找到“新建分區”功能按鍵。單擊“新建分區”功能按鍵，彈出“建立ESP、MSR”分區界面。如圖6-13所示。一利用DG分區軟件對虛擬磁盤進行分區步驟三：查看虛擬磁盤有無參數找到“在建立新分區之前，是否先建立下列ESP、MSR分區？”設置欄，在“建立ESP分區”前打鉤，選默認值300M，“建立MSR分區”不可選，去掉“對齊到下列扇區數的整數倍”前的“勾”。點擊“確定”，軟件進入建立ESP分區進程。一利用DG分區軟件對虛擬磁盤進行分區圖6-14DG“建立新分區”界面圖步驟四：建立GPT分區建立ESP分區進程完成后，彈出“建立新分區”界面。如圖6-14所示。一利用DG分區軟件對虛擬磁盤進行分區步驟四：建立GPT分區在“請選擇分區類型”欄，選定“主磁盤分區”。在“請選擇文件系統類型”欄，選定“NTFS”。在“新分區大小”欄，輸入“100”，單位是“GB”。去掉“對齊到下列扇區數的整數倍”欄前的“勾”。點擊“確定”鍵，程序進入建立分區進程，并很快完成。一利用DG分區軟件對虛擬磁盤進行分區圖6-15DG分區界面圖步驟四：建立GPT分區磁盤狀態欄出現3個分區：ESP分區、MSR分區和1個未格式化分區，如圖6-15所示。一利用DG分區軟件對虛擬磁盤進行分區步驟四：建立GPT分區這個未格式化分區是主分區，也稱GPT主分區，GPT沒有邏輯分區，分區格式化類型是“NTFS”,狀態是“未格式化”，說明尚未格式化。一利用DG分區軟件對虛擬磁盤進行分區圖6-16DG“保存更改”對話框圖步驟五：保存更改，但不格式化分區單擊DG功能按鍵菜單欄的功能按鍵“保存更改”。彈出確認對話框，點擊“是”。如圖6-16所示。彈出格式化對話框，點擊“否”。如圖6任務1-3-7所示。圖6-17DG“格式化”對話框圖一利用DG分區軟件對虛擬磁盤進行分區圖6-16DG“保存更改”對話框圖DG軟件自動對各區參數保存，保存成功標志是分區出現紅邊框，最后紅邊框停在最后一個分區。“NTFS”變成“MSBasicDataPartition”,分區頭部顏色顯示是橙色變成灰色，表示“NTFS”及分區類型，還需進一步格式化確定。如圖6-18所示。一利用DG分區軟件對虛擬磁盤進行分區步驟五：保存更改，但不格式化分區關閉并分離虛擬磁盤，在素材文件夾中復制“6任務1-3-1.VHD”，得到一個副本，把副本改名為“6任務1-3-2.VHD”，為下一個任務提供素材。用Winhex查看虛擬磁盤被分區后各分區有無參數02任務實施3利用DG分區格式化虛擬磁盤二、用Winhex查看虛擬磁盤被分區后各分區有無參數（共有3個步驟）步驟一：附加虛擬磁盤步驟二：初始化虛擬磁盤步驟三：查看虛擬磁盤有無參數二步驟一：附加虛擬磁盤在資源管理器中，雙擊素材文件夾中“6任務1-3-2.VHD”虛擬磁盤（未格式化），也可用磁盤管理器完成附加。用Winhex查看虛擬磁盤被分區后各分區有無參數二用Winhex查看虛擬磁盤被分區后各分區有無參數啟動Winhex，點擊工具欄的“打開磁盤”功能按鍵，彈出“選擇磁盤”窗口，選擇物理驅動器“HD1”，點擊“確定”，完成HD1調入。在Winhex編輯窗口顯示HD1信息，在分區狀態窗口內見到了3個分區，其中：“分區1”是MSR分區；“分區2”是ESP分區，“分區3”是系統及用戶分區。如圖6-19所示。圖6-19Winhex編驅動器窗口信息（6任務1-3-2.VHD）圖步驟二：啟動Winhex，并打開虛擬磁盤二利用DG分區軟件對虛擬磁盤各分區進行格式化點擊各分區，在編輯窗口看到它們的數據全部為“0”，說明沒有數據。保存，然后關閉并分離虛擬磁盤。。步驟三：查看虛擬磁盤有無參數利用Winhex查看虛擬磁盤被初始后有無參數03任務實施2利用Windows10磁盤管理初始化（GPT）虛擬磁盤三、利用DG分區軟件對虛擬磁盤各分區進行格式化（共有3個步驟）步驟一：附加虛擬磁盤步驟二：啟動DG分區軟件，選定需要分區的虛擬磁盤步驟三：格式化各分區三步驟一：附加虛擬磁盤在資源管理器中，雙擊素材文件夾中“6任務1-3-2.VHD”虛擬磁盤（未格式化），也可用磁盤管理器完成附加。利用DG分區軟件對虛擬磁盤各分區進行格式化三運行DG分區軟件，磁盤窗口中，單擊選定需要分區的虛擬磁盤HD1。利用DG分區軟件對虛擬磁盤各分區進行格式化步驟二：啟動DG分區軟件，選定需要分區的虛擬磁盤三利用DG分區軟件對虛擬磁盤各分區進行格式化步驟三：保存更改，但不格式化分區點擊分區1（ESP），單擊“格式化”鍵，彈出“格式化分區”界面。在“文件系統”欄，選定“FAT32”。點擊“格式化”確認鍵，彈出“格式化確認”窗口，點擊“是”，軟件對該分區進行格式化，格式化完成后，系統文件由“FAT16”變成“FAT32”。如圖6-20所示。1.格式化分區1（ESP）分區圖6-20DG“格式化分區”界面（ESP分區）圖三利用DG分區軟件對虛擬磁盤各分區進行格式化步驟三：分離虛擬磁盤2.格式化分區2（MSR）分區分區2（MSR）是空分區，無需格式化。三利用DG分區軟件對虛擬磁盤各分區進行格式化步驟三：保存更改，但不格式化分區點擊分區3（D），在菜單欄中，左鍵單擊“格式化”鍵，彈出“格式化分區”界面。在“文件系統”欄，選定“NTFS”。其他欄，由軟件默認選定。如圖6-21所示。3.格式化分區3（D）分區圖6-21DG“格式化分區”界面（分區D）圖三利用DG分區軟件對虛擬磁盤各分區進行格式化步驟三：保存更改，但不格式化分區點擊“是”鍵，軟件對該分區進行格式化，格式化完成后，系統文件由“MSBasicDataPartition”變成“NTFS”,分區狀態由“未格式化”變成本地磁盤（卷標），分區頭部顏色顯示由灰色變成橙色，表示是GPT主分區。如圖6-22所示。點擊“格式化”按鈕，彈出“格式化確認”窗口。圖6-22DG分區名稱及顏色標志（分區D）圖三利用DG分區軟件對虛擬磁盤各分區進行格式化步驟三：保存更改，但不格式化分區關閉并分離虛擬磁盤，在素材文件夾中復制“6任務1-3-2.VHD”，得到一個副本，把副本改名為“6任務1-3-3.VHD”，為下一個任務提供素材。利用Winhex查看虛擬磁盤各分區被格式化后有無參數04任務實施3利用DG分區格式化虛擬磁盤四、利用Winhex查看虛擬磁盤各分區被格式化后有無參數（共有3個步驟）步驟一：附加虛擬磁盤步驟二：啟動Winhex，并打開虛擬磁盤步驟三：查看虛擬磁盤各分區有無參數四步驟一：附加虛擬磁盤在資源管理器中，雙擊素材文件夾中“6任務1-3-3.VHD”虛擬磁盤（已格式化），也可用磁盤管理器完成附加利用Winhex查看虛擬磁盤各分區被格式化后有無參數四利用Winhex查看虛擬磁盤各分區被格式化后有無參數啟動Winhex，點擊工具欄的“打開磁盤”功能按鍵，彈出“選擇磁盤”窗口，選擇物理驅動器“HD1”，點擊“確定”，完成HD1調入。在Winhex編輯窗口顯示HD1信息。步驟二：啟動Winhex，并打開虛擬磁盤四利用Winhex查看虛擬磁盤各分區被格式化后有無參數1.查看分區1有無參數步驟三：查看虛擬磁盤各分區有無參數“分區1”是MSR分區，是空區，點擊查看，發現沒有數據。四利用Winhex查看虛擬磁盤各分區被格式化后有無參數2.查看分區2有無參數步驟三：查看虛擬磁盤各分區有無參數“分區2”是ESP分區，FAT32文件系統，雙擊打開分區，發現根目錄下有文件，有FAT32分區類型標志。如圖6-23所示。圖6-23Winhex編輯窗口（格式化后的ESP區）圖四利用Winhex查看虛擬磁盤各分區被格式化后有無參數3.查看分區3有無參數步驟三：查看虛擬磁盤各分區有無參數“分區3”是系統及用戶分區，NTFS文件系統，雙擊打開分區，發現根目錄下有文件，有NTFS分區類型標志。如圖6-24所示。圖6-24Winhex編輯窗口（格式化后的分區D）圖四利用Winhex查看虛擬磁盤各分區被格式化后有無參數綜上所述，分區已有參數，能正常使用。由于在分區類型MBR或GPT中，文件系統的結構是一樣的，因此，把各個文件系統結構搞清楚就可以了。對于各文件系統結構、文件的具體參數及恢復，將在項目7以后學習。感謝觀看THANKSFORWATCHING子任務1

利用WinHex讀取MBR分區表參數任務2MBR磁盤分區恢復項目6磁盤分區恢復01利用Winhex直接和數據解釋器讀取MBR分區表參數02利用Winhex直接和數據解釋器讀取EBR分區表參數03利用Winex直接和數據解釋器讀取各分區DBR參數目錄contents利用Winhex直接和數據解釋器讀取MBR分區表參數01任務實施1（一）利用Winhex直接和數據解釋器讀取MBR分區表參數（共有2個步驟）步驟一：附加虛擬磁盤，運行Winhex并打開它步驟二：讀取和記錄MBR分區表參數一步驟一：附加虛擬磁盤，運行Winhex并打開它在素材文件夾中，雙擊“6任務2-1-1.vhd”，然后轉到電腦桌面，以管理員身份運行Winhex，彈出Winhex界面，點擊“打開磁盤”功能按鍵，彈出“選擇磁盤”窗口，選擇物理驅動器“HD1”，點擊“確定”，在驅動器窗口顯示該硬盤信息，此虛擬磁盤共分有3個主分區，2個邏輯分區。如圖6-25所示。利用Winhex直接和數據解釋器讀取MBR分區表參數圖6-25Winhex驅動器窗口信息（6任務2-1-1.vhd）一步驟二：讀取和記錄MBR分區表參數（一）活動分區類型參數在編輯窗口中，顯示的是0扇區MBR，偏移0XBE?0XFD是MBR分區表區域。在MBR分區表中，“活動分區類型”的偏移分別是0XBE、0XCE、0XDE、0XEE,直接讀取對應的值分別為0X80、0X00、0X00、0X00，0X80表示是活動分區，0X00表示是非活動分區。如圖6-26所示。利用Winhex直接和數據解釋器讀取MBR分區表參數圖6-26Winhex編輯窗口信息“活動分區類型”圖一步驟二：讀取和記錄MBR分區表參數（二）讀取分區類型參數4個分區類型的偏移分別是0XC2、0XD2、0XE2、0XF2，直接讀取對應的值分別為0X07、0X07、0X0C、0X0F，0X07表示分區1、2是NTFS類型主分區，0X0C表示分區3是FAT32類型主分區，0X07表示最后一分區是擴展分區，其管理2個邏輯分區（分區4和分區5）。如圖6-27所示。利用Winhex直接和數據解釋器讀取MBR分區表參數圖6-27Winhex編輯窗口信息（分區類型）圖一步驟二：讀取和記錄MBR分區表參數（三）讀取分區第一扇區1.啟用“數據解釋器”點擊Winhex“查看”菜單，彈出下拉菜單，移動鼠標光標至“顯示”，彈出其下拉菜單，光標再移到“數據解釋器”，如圖6-28所示。利用Winhex直接和數據解釋器讀取MBR分區表參數圖6-28Winhex“查看”-“顯示”-“數據解釋器”菜單圖（二）讀取分區第一扇區2.修改“數據解釋器”的解釋方式方法若需要修改某個參數的解釋方式方法，用右鍵點擊其數值，彈出解釋方式方法下拉菜單，點擊選擇所要的解釋方式方法就可以了。比如右鍵點數據解釋器32Bit上的數值（63）處，彈出“解釋方式方法”菜單，光標移到“插入Unicode控制字符”，繼續彈出下拉菜單，光標移到想要選的“LRM”,點擊它就可以了，如圖6-30所示。圖6-30Winhex“數據解釋器”解釋方式方法下拉菜單一步驟二：讀取和記錄MBR分區表參數（三）讀取分區第一扇區3.修改“數據解釋器”選項若需要增減解釋選項，點擊“選項”菜單，彈出下拉菜單，光標移到“數據解釋器”，點擊“數據解釋器”，彈出“數據解釋器”選項對話框，勾選所需選項，比如選定“64bit，有符號的”，如圖6-31所示。利用Winhex直接和數據解釋器讀取MBR分區表參數圖6-31Winhex“數據解釋器”選項對話框（二）讀取分區第一扇區4.利用數據解釋器來讀取各分區第一扇區4個分區分區的第一扇區（在整盤內）的偏移分別是0XC6?9、0XD6?9、0XE6?9、0XF6?9，每個占32Bit（4字節），直接讀取對應的值分別為0X3F、0XC80343F、0X1900687E、0X25809CBD，這幾個數是按照小端字節位存儲的，高位的字節出現在低位，沒有特別說明的，都是這種小端，如圖6-32所示。圖6-32Winhex編輯窗口信息（分區表各分區第一扇區）圖一步驟二：讀取和記錄MBR分區表參數（三）讀取分區第一扇區3.修改“數據解釋器”選項若需要增減解釋選項，點擊“選項”菜單，彈出下拉菜單，光標移到“數據解釋器”，點擊“數據解釋器”，彈出“數據解釋器”選項對話框，勾選所需選項，比如選定“64bit，有符號的”，如圖6-31所示。利用Winhex直接和數據解釋器讀取MBR分區表參數圖6-31Winhex“數據解釋器”選項對話框（二）讀取分區第一扇區4.利用數據解釋器來讀取各分區第一扇區4個分區分區的第一扇區（在整盤內）的偏移分別是0XC6?9、0XD6?9、0XE6?9、0XF6?9，每個占32Bit（4字節），直接讀取對應的值分別為0X3F、0XC80343F、0X1900687E、0X25809CBD，這幾個數是按照小端字節位存儲的，高位的字節出現在低位，沒有特別說明的，都是這種小端，如圖6-32所示。圖6-32Winhex編輯窗口信息（分區表各分區第一扇區）圖一步驟二：讀取和記錄MBR分區表參數（四）讀取分區總扇區數各分區總扇區對應的偏移分別是0XCA?D、0XDA?D、0XEA?D、0XFA?D，每個占32Bit（4字節），直接讀取對應的值分別為0XC803400、0XC80343F、0XC80343F、0X18FF6343，如圖6-33所示。利用Winhex直接和數據解釋器讀取MBR分區表參數圖6-33Winex編輯窗口信息（分區表各分區總扇區數）圖

接著利用數據解釋器來讀取各分區總扇區數：偏移分別是0XCA?D，數據解釋器32Bit數值處解釋的十進制數為209728512（分區1的分區總扇區數）。偏移分別是0XDA?D，數據解釋器32Bit數值處解釋的十進制數為209728575（分區2的分區總扇區數）。偏移分別是0XEA?D，數據解釋器32Bit數值處解釋的十進制數為209728575（分區3的分區總扇區數）。偏移分別是0XFA?D，數據解釋器32Bit數值處解釋的十進制數為629185725（最后分區的總扇區數）。一步驟二：讀取和記錄MBR分區表參數（五）讀取扇區結束標志參數扇區最后的兩個字節0X55/0XAA（偏移0XEF和偏移0XFF）是扇區有效標志利用Winhex直接和數據解釋器讀取MBR分區表參數（六）MBR分區表主要參數記錄表分區/參數分區1分區2分區3分區4活動分區標志偏移0XBE0XDE0XEE0XFE長度（字節）1111值0X800X000X000X00定義活動非活動非活動非活動分區類型偏移0XC20XD20XE20XF2長度（字節）1111值0X070X070X0C0X0F定義NTFSNTFSFAT32主擴展分區第一扇區號（在整盤內）偏移0XC6?80XD6?80XE6?80XF6?8長度（字節）4444值0X3F0XC80343F0X1900687E0X25809CBD扇區號63209728575419457150629185725總扇區數偏移0XCA?D0XDA?D0XEA?D0XFA?D長度（字節）4444值0XC8034000XC80343F0XC80343F0X18FF6343扇區數209728512209728575209728575419390275扇區有效標志0X55/0XAA0X55/0XAA0X55/0XAA0X55/0XAA表6-5MBR分區表主要參數利用Winhex直接和數據解釋器讀取EBR分區表參數02利用Winhex直接和數據解釋器讀取EBR分區表參數（二）利用Winhex直接和數據解釋器讀取EBR分區表參數（共有3個步驟）步驟一：附加虛擬磁盤，運行Winhex并打開它步驟二：讀取和記錄EBR1分區表參數步驟三：讀取和記錄EBR2分區參數二步驟一：附加虛擬磁盤，運行Winhex并打開它在素材文件夾中，雙擊“6任務2-1-1.vhd”，然后轉到電腦桌面，以管理員身份運行Winhex，彈出Winhex界面，打開“HD1”，在硬盤窗口中，發現有2個分區間隙，即對應有EBR1、EBR2兩個EBR。如圖6-34所示。利用Winhex直接和數據解釋器讀取EBR分區表參數圖6-34Winhex驅動器窗口信息（分區間隙）圖二步驟二：讀取和記錄EBR1分區表參數（二）讀取和記錄EBR1分區第1個表項參數第1個表項的偏移是0XBE-0XCD。其中，它活動分區類型偏移是0XBE，值是0X00，表示是非活動分區；它分區類型的偏移是0XC2，值是0X07，表示是NTFS格式分區；它第一扇區（擴展分區內）的偏移是0XC6-9，值是0X3F，數據解釋器32Bit數值處解釋的十進制數為63（扇區）；它扇區總數的偏移是0XCA-D，值是0XC80B182,數據解釋器32Bit數值處解釋的十進制數為209760642。EBR1分區表第1個表項主要參數記錄表如表6-6所示。利用Winhex直接和數據解釋器讀取EBR分區表參數偏移長度值表項內容0XBE10X00活動分區類型：非活動0XC210X07分區類型：NTFS0XC6?840X3F第一扇區：63號（主擴展分區）0XCA?D40XC80B182扇區總數：209760642表6-6EBR1分區第1個表項主要參數二步驟二：讀取和記錄EBR1分區表參數（二）EBR1分區表第2個表項如圖6-36所示。利用Winhex直接和數據解釋器讀取EBR分區表參數圖6-36Winex編輯窗口信息（EBR1分區表第2個表項）圖第2個表項偏移是0XCE-0XDD。其中，它活動分區類型偏移是0XCE，值是0X00，表示是非活動分區；它分區類型的偏移是0XD2，值是0X05，表示是次擴展分區；它第一扇區號的偏移是0XD6-9，值是0XC80B1C1，數據解釋器32Bit數值處解釋的十進制數為209,760,705(扇區）；它扇區總數的偏移是0XDA-D，值是0XC7EB182,數據解釋器32Bit數值處解釋的十進制數為209629570(扇區）。EBR1分區第2個表項主要參數如表6-7所示。表6-7EBR1分區第2個表項主要參數表偏移長度值表項內容0XCE10X00活動分區類型：非活動0XD210X05分區類型：擴展分區（1)0XD6?840XC80B1C1第一扇區：209,760,705號（主擴展分區）0XDA?D40XC7EB182扇區總數：209629570二步驟三：讀取和記錄EBR2分區參數（一）確定EBR2扇區所在位置在硬盤窗口中，點擊進入第二個分區間隙，找到EBR2分區表，在分區4之后，分區5之前，它所在扇區，即第一扇區是838946430號扇區。利用Winhex直接和數據解釋器讀取EBR分區表參數（二）讀取和記錄EBR2分區第1個分區表項參數第1個表項偏移是0XBE-0XCD。其中，它活動分區類型偏移是0XBE，值是0X00，表示是非活動分區；它分區類型的偏移是0XC2，值是0X07，表示是NTFS格式分區；它第一扇區號的偏移是0XC6-9，值是0X3F，數據解釋器32Bit數值處解釋的十進制數為63(扇區）；它扇區總數的偏移是0XCA-D，值是0XC7EB143,數據解釋器32Bit數值處解釋的十進制數為209629507(扇區）。EBR2分區第1個表項主要參數如表6-8所示。表6-8EBR2分區第1個表項主要參數表偏移長度值表項內容0XBE10X00活動分區類型：非活動0XC210X07分區類型：NTFS0XC6?840X3F第一扇區：63號（在擴展分區1內）0XCA?D40XC7EB143扇區總數：209629507利用Winex直接和數據解釋器讀取各分區DBR參數03利用Winex直接和數據解釋器讀取各分區DBR參數利用Winex直接和數據解釋器讀取各分區DBR參數（共有5個步驟）步驟一：附加虛擬磁盤，運行Winhex并打開它步驟二：讀取和記錄FAT32分區DBR的BPB主要參數三步驟一：附加虛擬磁盤，運行Winhex并打開它讀取FAT32分區DBR的BPB與有關分區的2個參數在素材文件夾中，雙擊“6任務2-1-1.vd”，然后運行（Winex），打開“D1”，在硬盤窗口找到FAT32分區（分區3），點出打開它，進入FAT32分區的DBR。（一）讀取FAT32分區DBR的BPB與有關分區的2個參數三步驟二：讀取和記錄FAT32分區DBR的BPB主要參數讀取FAT32分區DBR的BPB與有關分區的2個參數1.確定FAT32分區DBR的BPB偏移FAT32分區DBR的BPB偏移0X0B?0X52。如圖6-37所示。圖6-37Winex編輯窗口信息（FAT32分區DBR的BPB表）圖（一）讀取FAT32分區DBR的BPB與有關分區的2個參數三步驟二：讀取和記錄FAT32分區DBR的BPB主要參數讀取FAT32分區DBR的BPB與有關分區的2個參數2.讀取FAT32分區DBR的BPB7個主要參數根據表6-3中各參數的偏移，移動光標到對應位置，用Winex數據解釋器逐個讀取FAT32分區DBR的BPB參數，記錄到表6-3，得到FAT32分區DBR與分區有關的2個參數表如表6-9所示。表6-9FAT32分區DBR的BPB與分區有關的2個參數表參數偏移量長度值參數內容分區第1扇區0x1C40X1900687E419457150扇區分區總扇區數0x2040XC80343F209728575扇區（一）讀取FAT32分區DBR的BPB與有關分區的2個參數三步驟一：附加虛擬磁盤，運行Winhex并打開它讀取FAT32分區DBR的BPB與有關分區的2個參數在素材文件夾中，雙擊“6任務2-1-1.vd”，然后運行Winex，打開“D1”，在硬盤窗口找到NTFS分區（分區1，因NTFS分區有多個，在此僅以分區1為例），點出打開它，進入NTFS分區的DBR。（二）讀取NTFS分區DBR的BPB有關分區的2個參數三步驟二：讀取和記錄NTFS分區DBR的BPB主要參數讀取FAT32分區DBR的BPB與有關分區的2個參數1.確定NTFS分區DBR的BPB偏移NTFS分區DBR的BPB偏移0X0B?0X52。如圖6-38所示。（二）讀取NTFS分區DBR的BPB有關分區的2個參數三步驟二：讀取和記錄NTFS分區DBR的BPB主要參數讀取FAT32分區DBR的BPB與有關分區的2個參數2.讀取NTFS分區DBR的BPB5個主要參數根據表6-4中各參數的偏移，移動光標到對應位置，用Winex數據解釋器逐個讀取NTFS分區DBR的BPB參數，記錄到表6-4，得到NTFS分區DBR與分區有關的2個參數表如表6-10所示。（二）讀取NTFS分區DBR的BPB有關分區的2個參數表6-10NTFS分區DBR的BPB與分區有關的2個參數表參數偏移量長度值定義或解釋分區第一扇區號0x1C40X3F63號扇區分區總扇區數0x2880XC8033FF209728511扇區感謝觀看THANKSFORWATCHING子任務2

利用WinHex恢復MBR磁盤分區任務2MBR磁盤分區恢復項目6磁盤分區恢復01恢復引導記錄受破壞MBR分區02恢復僅有效扇區標志受破壞MBR分區03恢復分區表受破壞MBR分區目錄contents恢復引導記錄受破壞MBR分區01任務實施2（一）恢復引導記錄受破壞MBR分區（共有3個步驟）步驟一：附加虛擬磁盤，運行Winhex并打開它步驟二：確認MBR分區受破壞步驟三：恢復MBR分區一步驟一：附加虛擬磁盤，運行Winhex并打開它在素材文件夾中，雙擊“6任務2-2-1.vhd”，然后運行Winhex，打開“HD1”。恢復引導記錄受破壞MBR分區步驟二：確認MBR分區受破壞在驅動器窗口，點擊起始扇區，接著在編輯窗口查看MBR信息，發現其MBR的偏移0X00?0XBD的數據為0，而MBR分區表及有效標志正常，說明MBR的引導信息被破壞了。一步驟三：恢復MBR分區1.復制正常的MBR的引導信息用Winhex打開任意正常的MBR分區類型的硬盤，復制MBR引導信息，粘貼到6任務1-3.vhd虛擬磁盤MBR引導信息處。如圖6-39所示。恢復引導記錄受破壞MBR分區圖6-39Winhex編輯窗口信息（修復后MBR引導信息）圖一步驟三：恢復MBR分區2.保存數據

運用“保存”功能按鍵，完成保存數據。運用“磁盤快照”功能按鍵，完成磁盤快照。恢復引導記錄受破壞MBR分區的操作完成。恢復引導記錄受破壞MBR分區一步驟二：讀取和記錄MBR分區表參數（三）讀取分區第一扇區1.啟用“數據解釋器”點擊Winhex“查看”菜單，彈出下拉菜單，移動鼠標光標至“顯示”，彈出其下拉菜單，光標再移到“數據解釋器”，如圖6-28所示。利用Winhex直接和數據解釋器讀取MBR分區表參數圖6-28Winhex“查看”-“顯示”-“數據解釋器”菜單圖（二）讀取分區第一扇區2.修改“數據解釋器”的解釋方式方法若需要修改某個參數的解釋方式方法，用右鍵點擊其數值，彈出解釋方式方法下拉菜單，點擊選擇所要的解釋方式方法就可以了。比如右鍵點數據解釋器32Bit上的數值（63）處，彈出“解釋方式方法”菜單，光標移到“插入Unicode控制字符”，繼續彈出下拉菜單，光標移到想要選的“LRM”,點擊它就可以了，如圖6-30所示。圖6-30Winhex“數據解釋器”解釋方式方法下拉菜單恢復僅有效扇區標志受破壞MBR分區02恢復僅有效扇區標志受破壞MBR分區（二）恢復僅有效扇區標志受破壞MBR分區（共有3個步驟）步驟一：附加虛擬磁盤，運行Winhex并打開它步驟二：確認MBR分區受破壞步驟三：恢復MBR分區二步驟一：附加虛擬磁盤，運行Winhex并打開它在素材文件夾中，雙擊“6任務2-2-2.vhd”，然后運行（Winhex），打開“HD1”。恢復僅有效扇區標志受破壞MBR分區步驟二：確認MBR分區受破壞

在驅動器窗口，點擊起始扇區，接著在編輯窗口查看MBR信息，發現其MBR的扇區有效標志數據為0，說明MBR的有效標志被破壞了。二步驟三：恢復MBR分區1.重寫扇區有效標志在MBR的扇區有效標志處，偏移0XFE～FF，直接寫入0X55/0XAA。如圖6-40所示。恢復僅有效扇區標志受破壞MBR分區7-40Winhex編輯窗口信息（修復后MBR的有效標志）圖2.保存數據完成后，保存磁盤數據后，關閉磁盤。恢復僅有效扇區標志受破壞MBR分區的操作完成。二步驟二：讀取和記錄EBR1分區表參數（二）EBR1分區表第2個表項如圖6-36所示。利用Winhex直接和數據解釋器讀取EBR分區表參數圖6-36Winex編輯窗口信息（EBR1分區表第2個表項）圖第2個表項偏移是0XCE-0XDD。其中，它活動分區類型偏移是0XCE，值是0X00，表示是非活動分區；它分區類型的偏移是0XD2，值是0X05，表示是次擴展分區；它第一扇區號的偏移是0XD6-9，值是0XC80B1C1，數據解釋器32Bit數值處解釋的十進制數為209,760,705(扇區）；它扇區總數的偏移是0XDA-D，值是0XC7EB182,數據解釋器32Bit數值處解釋的十進制數為209629570(扇區）。EBR1分區第2個表項主要參數如表6-7所示。表6-7EBR1分區第2個表項主要參數表偏移長度值表項內容0XCE10X00活動分區類型：非活動0XD210X05分區類型：擴展分區（1)0XD6?840XC80B1C1第一扇區：209,760,705號（主擴展分區）0XDA?D40XC7EB182扇區總數：209629570恢復分區表受破壞MBR分區03恢復分區表受破壞MBR分區恢復分區表受破壞MBR分區（共有3個步驟）步驟一：附加虛擬磁盤，運行Winhex并打開它步驟二：確認MBR分區受破壞步驟三：恢復MBR分區三步驟一：附加虛擬磁盤，運行Winhex并打開它恢復分區表受破壞MBR分區在素材文件夾中，雙擊“6任務2-2-3.vhd”，資源管理器發現磁盤有問題，并彈出錯誤提示。運行Winhex，打開“HD1”。步驟二：確認MBR分區受破壞在驅動器窗口，但各分區還在，它們的圖標變為灰色，系統已識別不到該分區，資源管理器讀不了此分區數據，但各分區的數據正常。進一步查看MBR、EBR1、EBR2信息，發現他們的數據均為0，說明MBR、EBR1、EBR2表被破壞了。三步驟三：恢復MBR分區恢復分區表受破壞MBR分區1.制作各分區主要參數表，讀取各分區主要參數先制作各分區主要參數（第一扇區號、BPB表的總扇區數、總扇區數）表，然后，點擊各分區，接著讀取各分區的第一扇區號（DBR所在的扇區號）、BPB表記錄的總扇區數、推算MBR分區表項的總扇區數等參數，并把它們填入各分區主要參數表的各欄中。各分區主要參數表如表6-11表所示。表6-11各分區主要參數表分區參數/分區號分區1間隙1分區2間隙2分區3第1扇區號（DBR所在的扇區號）63209715263209715326419430526419430589BPB表記錄的總扇區數209715199——209715199——419419450推算MBR分區表項的總扇區數2097152006320971520063419419451三步驟三：恢復MBR分區恢復分區表受破壞MBR分區2.填寫MBR、EBR分區表項數據表根據各分區主要數據表，依照表6-1，填寫MBR、EBR1、EBR2分區表項數據表。MBR、EBR1、EBR2分區表項數據表，如表6-12、13、14表所示。表6-12MBR分區表表項參數數據表分區/參數分區1（主分區）分區2（擴展分區）活動分區標志偏移0XBE0XCE直接輸入0X800X00開始磁頭/開始扇區/開始柱面偏移0XBF?0XC10XCF?0XD1直接輸入0X010X/01/0X000XFE/0XFF0X/FF分區類型偏移0XC20XD2直接輸入0X070X0F結束磁頭/開始扇區/開始柱面偏移0XC3?0XC50XD3?0XD5直接輸入0XFE/0XFF/0XFF0XFE/0XFF/0XFF第一扇區（第一扇區號）偏移0XC6?80XD6?8數據解釋器輸入63209715263總扇區數偏移0XCA?D0XDA?D數據解釋器輸入209715200629134777三步驟三：恢復MBR分區恢復分區表受破壞MBR分區2.填寫MBR、EBR分區表項數據表根據各分區主要數據表，依照表6-1，填寫MBR、EBR1、EBR2分區表項數據表。MBR、EBR1、EBR2分區表項數據表，如表6-12、13、14表所示。表6-13EBR1分區表表項參數表分區/參數分區1（邏輯分區1）分區2（次擴展分區1）活動分區標志偏移0XBE0XCE直接輸入0X000X00開始磁頭/開始扇區/開始柱面偏移0XBF?0XC10XCF?0XD1直接輸入0X01/0X01/0X000XFE/0XFF/0XFF分區類型偏移0XC20XD2直接輸入0X070X05結束磁頭/開始扇區/開始柱面偏移0XC3?0XC50XD3?0XD5直接輸入0XFE/0XFF/0XFF0XFE/0XFF/0XFF第一扇區（第一扇區號）偏移0XC6?80XD6?8數據解釋器輸入63209,715,263總扇區數偏移0XCA?D0XDA?D數據解釋器輸入209,715,200419,419,514三步驟三：恢復MBR分區恢復分區表受破壞MBR分區2.填寫MBR、EBR分區表項數據表根據各分區主要數據表，依照表6-1，填寫MBR、EBR1、EBR2分區表項數據表。MBR、EBR1、EBR2分區表項數據表，如表6-12、13、14表所示。表6-14EBR2分區表表項參數表分區/參數分區1（邏輯分區2）活動分區標志偏移0XBE直接輸入0X00開始磁頭/開始扇區/開始柱面偏移0XBF?0XC1直接輸入0X01/0X01/0X00分區類型偏移0XC2直接輸入0X07結束磁頭/開始扇區/開始柱面偏移0XC3?0XC5直接輸入0XFE/0XFF/0XFF第一扇區（第一扇區號）偏移0XC6?8數據解釋器輸入63總扇區數偏移0XCA?D數據解釋器輸入419,419,451三步驟三：恢復MBR分區恢復分區表受破壞MBR分區3.寫入MBR、EBR1、EBR2各表項在Winhex編輯窗口，分別進入MBR、EBR1、EBR2扇區，根據MBR、EBR1、EBR2分區表項數據表，分別填寫MBR、EBR1、EBR2分區各表項，完成后，保存磁盤數據后，關閉磁盤，然后又重新打開此磁盤。如圖6-41、42、43所示。圖6-41Winhex編輯窗口信息（修復后MBR分區表）圖三步驟三：恢復MBR分區恢復分區表受破壞MBR分區3.寫入MBR、EBR1、EBR2各表項在Winhex編輯窗口，分別進入MBR、EBR1、EBR2扇區，根據MBR、EBR1、EBR2分區表項數據表，分別填寫MBR、EBR1、EBR2分區各表項，完成后，保存磁盤數據后，關閉磁盤，然后又重新打開此磁盤。如圖6-41、42、43所示。圖6-42Winhex編輯窗口信息（修復后EBR1分區表）圖感謝觀看THANKSFORWATCHING子任務1

利用WinHex讀取GPT磁盤分區參數?任務3GPT磁盤分區恢復項目6磁盤分區恢復01利用Winhex數據解釋器和直接讀取保護MBR參數02利用Winhex數據解釋器和直接讀取GPT頭主要參數03利用Winhex數據解釋器和直接讀取GPT頭備份主要參數目錄contents05利用Winhex數據解釋器和直接讀取GPT分區表備份主要參數04利用Winhex數據解釋器和直接讀取GPT分區表項主要參數利用Winhex數據解釋器和直接讀取保護MBR參數01任務實施1（一）利用Winhex數據解釋器和直接讀取保護MBR參數（共有2個步驟）步驟一：利用Winhex數據解釋器和直接讀取保護MBR參數步驟二：讀取和記錄GPT保護MBR分區表參數一步驟一：附加虛擬磁盤，運行Winhex并打開它在素材文件夾中，雙擊“6任務3-1-1.vhd”，然后運行（Winhex），打開“HD1”，界面顯示該硬盤信息，編輯窗口默認顯示是扇區0保護MBR的信息。利用Winhex數據解釋器和直接讀取保護MBR參數步驟二：讀取和記錄GPT保護MBR分區表參數1.讀取分區類型分區類型的偏移分別是0XC2,對應的值分別為0XEE，0XEE表示是保護分區。2.讀取第一扇區號第一扇區號偏移分別是0XC6?9，對應的值分別為0X01,數據解釋器解釋數為第1扇區。3.讀取總扇區數總扇區數的偏移分別是0XCA?D，對應的值分別為0XFFFFFFFF,數據解釋器解釋數為全盤扇區數。一利用Winhex數據解釋器和直接讀取保護MBR參數步驟二：讀取和記錄GPT保護MBR分區表參數4.保護MBR分區表參數記錄表得到保護MBR分區表參數記錄表如表6-19所示。表6-19保護MBR參數表偏移長度值參數內容0X1BE10X00固定值0X1BF10X000X1C010X020X1C110X000X1C210XEE0X1C310XFF0X1C410XFF0X1C510XFF0X1C640X010X1CA40XFFFFFFFF利用Winhex數據解釋器和直接讀取GPT頭主要參數02利用Winhex數據解釋器和直接讀取GPT頭主要參數二、利用Winhex數據解釋器和直接讀取GPT頭主要參數（共有2個步驟）步驟一：跳至GPT頭所在扇區步驟二：讀取和記錄GPT頭主要參數二步驟一：附加虛擬磁盤，運行Winhex并打開它運行Winhex，從扇區0跳至扇區1，編輯窗口顯示GPT頭信息。如圖6-44所示。利用Winhex數據解釋器和直接讀取GPT頭主要參數圖6-44Winhex編輯窗口信息（GPT頭）圖二步驟二：讀取和記錄GPT頭主要參數讀取GPT頭主要參數，并記錄到表6-16中。按GPT頭格式，逐個讀取數據，填入GPT頭的參數格式表的主要參數表的“值”欄，并用數據解釋器讀取對應解釋，填入GPT頭的參數格式表的“解釋”欄，得到GPT頭主要參數表。如表6-20所示。利用Winhex數據解釋器和直接讀取GPT頭主要參數表6-20GPT頭主要參數表主要參數偏移長度值解釋GPT頭所在扇區號0X1880X011扇區GPT頭備份所在扇區號0X2080X31FFFFFF838860799扇區首個GPT分區第一個扇區號0X2880X2234扇區最后GPT分區最后一個扇區號0X3080X31FFFFDE838860766扇區利用Winhex數據解釋器和直接讀取GPT頭備份主要參數03利用Winhex數據解釋器和直接讀取GPT頭備份主要參數利用Winhex數據解釋器和直接讀取GPT頭備份主要參數（共有2個步驟）步驟一：跳至GPT頭備份所在扇區號（倒數1號扇區)步驟二：讀取和記錄GPT頭備份主要參數三步驟一：跳至GPT頭備份所在扇區號（倒數1號扇區)利用Winhex數據解釋器和直接讀取GPT頭備份主要參數在Winhex編輯窗口，GPT頭備份所在的倒數1號扇區是838860799號扇區，跳至扇區838860799，編輯窗口顯示備份GPT頭備份的信息。如圖6-45所示。圖6-45Winhex編輯窗口信息（GPT頭備份）圖三步驟二：讀取和記錄GPT頭備份主要參數利用Winhex數據解釋器和直接讀取GPT頭備份主要參數讀取GPT頭備份主要參數，并記錄到表6-16中。按GPT頭備份格式，逐個讀取數據，填入GPT頭備份的參數格式表的主要參數表的“值”欄，并用數據解釋器讀取對應解釋，也填入GPT頭備份的參數格式表的“解釋”欄，得到GPT頭備份主要參數表。如表6-21所示。表6-21GPT頭備份的主要參數表主要參數偏移長度值解釋GPT頭備份所在扇區號0X18831FFFFFFH838860799扇區GPT頭所在扇區號0X20801H1扇區首個GPT分區第一個扇區號0X28822H34扇區最后GPT分區最后一個扇區號0X30831FFFFDEH838860766扇區利用Winhex數據解釋器和直接讀取GPT分區表項主要參數04利用Winhex數據解釋器和直接讀取GPT分區表項主要參數利用Winhex數據解釋器和直接讀取GPT分區表項主要參數（共有2個步驟）步驟一：跳至GPT分區表所在第一扇區號（2號扇區）步驟二：讀取和記錄GPT分區表主要參數四步驟一：跳至GPT分區表所在第一扇區號（2號扇區）利用Winhex數據解釋器和直接讀取GPT分區表項主要參數在Winhex編輯窗口，GPT分區表所在的2號扇區，跳至扇區2，可以找到5個分區表項的信息。如圖6-46所示。圖6-46Winhex編輯窗口信息（GPT分區表）圖四步驟二：讀取和記錄GPT分