子任務1

利用WinHex讀取MBR分區表參數任務2MBR磁盤分區恢復項目6磁盤分區恢復01利用Winhex直接和數據解釋器讀取MBR分區表參數02利用Winhex直接和數據解釋器讀取EBR分區表參數03利用Winex直接和數據解釋器讀取各分區DBR參數目錄contents利用Winhex直接和數據解釋器讀取MBR分區表參數01任務實施1（一）利用Winhex直接和數據解釋器讀取MBR分區表參數（共有2個步驟）步驟一：附加虛擬磁盤，運行Winhex并打開它步驟二：讀取和記錄MBR分區表參數一步驟一：附加虛擬磁盤，運行Winhex并打開它在素材文件夾中，雙擊“6任務2-1-1.vhd”，然后轉到電腦桌面，以管理員身份運行Winhex，彈出Winhex界面，點擊“打開磁盤”功能按鍵，彈出“選擇磁盤”窗口，選擇物理驅動器“HD1”，點擊“確定”，在驅動器窗口顯示該硬盤信息，此虛擬磁盤共分有3個主分區，2個邏輯分區。如圖6-25所示。利用Winhex直接和數據解釋器讀取MBR分區表參數圖6-25Winhex驅動器窗口信息（6任務2-1-1.vhd）一步驟二：讀取和記錄MBR分區表參數（一）活動分區類型參數在編輯窗口中，顯示的是0扇區MBR，偏移0XBE?0XFD是MBR分區表區域。在MBR分區表中，“活動分區類型”的偏移分別是0XBE、0XCE、0XDE、0XEE,直接讀取對應的值分別為0X80、0X00、0X00、0X00，0X80表示是活動分區，0X00表示是非活動分區。如圖6-26所示。利用Winhex直接和數據解釋器讀取MBR分區表參數圖6-26Winhex編輯窗口信息“活動分區類型”圖一步驟二：讀取和記錄MBR分區表參數（二）讀取分區類型參數4個分區類型的偏移分別是0XC2、0XD2、0XE2、0XF2，直接讀取對應的值分別為0X07、0X07、0X0C、0X0F，0X07表示分區1、2是NTFS類型主分區，0X0C表示分區3是FAT32類型主分區，0X07表示最后一分區是擴展分區，其管理2個邏輯分區（分區4和分區5）。如圖6-27所示。利用Winhex直接和數據解釋器讀取MBR分區表參數圖6-27Winhex編輯窗口信息（分區類型）圖一步驟二：讀取和記錄MBR分區表參數（三）讀取分區第一扇區1.啟用“數據解釋器”點擊Winhex“查看”菜單，彈出下拉菜單，移動鼠標光標至“顯示”，彈出其下拉菜單，光標再移到“數據解釋器”，如圖6-28所示。利用Winhex直接和數據解釋器讀取MBR分區表參數圖6-28Winhex“查看”-“顯示”-“數據解釋器”菜單圖（二）讀取分區第一扇區2.修改“數據解釋器”的解釋方式方法若需要修改某個參數的解釋方式方法，用右鍵點擊其數值，彈出解釋方式方法下拉菜單，點擊選擇所要的解釋方式方法就可以了。比如右鍵點數據解釋器32Bit上的數值（63）處，彈出“解釋方式方法”菜單，光標移到“插入Unicode控制字符”，繼續彈出下拉菜單，光標移到想要選的“LRM”,點擊它就可以了，如圖6-30所示。圖6-30Winhex“數據解釋器”解釋方式方法下拉菜單一步驟二：讀取和記錄MBR分區表參數（三）讀取分區第一扇區3.修改“數據解釋器”選項若需要增減解釋選項，點擊“選項”菜單，彈出下拉菜單，光標移到“數據解釋器”，點擊“數據解釋器”，彈出“數據解釋器”選項對話框，勾選所需選項，比如選定“64bit，有符號的”，如圖6-31所示。利用Winhex直接和數據解釋器讀取MBR分區表參數圖6-31Winhex“數據解釋器”選項對話框（二）讀取分區第一扇區4.利用數據解釋器來讀取各分區第一扇區4個分區分區的第一扇區（在整盤內）的偏移分別是0XC6?9、0XD6?9、0XE6?9、0XF6?9，每個占32Bit（4字節），直接讀取對應的值分別為0X3F、0XC80343F、0X1900687E、0X25809CBD，這幾個數是按照小端字節位存儲的，高位的字節出現在低位，沒有特別說明的，都是這種小端，如圖6-32所示。圖6-32Winhex編輯窗口信息（分區表各分區第一扇區）圖一步驟二：讀取和記錄MBR分區表參數（三）讀取分區第一扇區3.修改“數據解釋器”選項若需要增減解釋選項，點擊“選項”菜單，彈出下拉菜單，光標移到“數據解釋器”，點擊“數據解釋器”，彈出“數據解釋器”選項對話框，勾選所需選項，比如選定“64bit，有符號的”，如圖6-31所示。利用Winhex直接和數據解釋器讀取MBR分區表參數圖6-31Winhex“數據解釋器”選項對話框（二）讀取分區第一扇區4.利用數據解釋器來讀取各分區第一扇區4個分區分區的第一扇區（在整盤內）的偏移分別是0XC6?9、0XD6?9、0XE6?9、0XF6?9，每個占32Bit（4字節），直接讀取對應的值分別為0X3F、0XC80343F、0X1900687E、0X25809CBD，這幾個數是按照小端字節位存儲的，高位的字節出現在低位，沒有特別說明的，都是這種小端，如圖6-32所示。圖6-32Winhex編輯窗口信息（分區表各分區第一扇區）圖一步驟二：讀取和記錄MBR分區表參數（四）讀取分區總扇區數各分區總扇區對應的偏移分別是0XCA?D、0XDA?D、0XEA?D、0XFA?D，每個占32Bit（4字節），直接讀取對應的值分別為0XC803400、0XC80343F、0XC80343F、0X18FF6343，如圖6-33所示。利用Winhex直接和數據解釋器讀取MBR分區表參數圖6-33Winex編輯窗口信息（分區表各分區總扇區數）圖

接著利用數據解釋器來讀取各分區總扇區數：偏移分別是0XCA?D，數據解釋器32Bit數值處解釋的十進制數為209728512（分區1的分區總扇區數）。偏移分別是0XDA?D，數據解釋器32Bit數值處解釋的十進制數為209728575（分區2的分區總扇區數）。偏移分別是0XEA?D，數據解釋器32Bit數值處解釋的十進制數為209728575（分區3的分區總扇區數）。偏移分別是0XFA?D，數據解釋器32Bit數值處解釋的十進制數為629185725（最后分區的總扇區數）。一步驟二：讀取和記錄MBR分區表參數（五）讀取扇區結束標志參數扇區最后的兩個字節0X55/0XAA（偏移0XEF和偏移0XFF）是扇區有效標志利用Winhex直接和數據解釋器讀取MBR分區表參數（六）MBR分區表主要參數記錄表分區/參數分區1分區2分區3分區4活動分區標志偏移0XBE0XDE0XEE0XFE長度（字節）1111值0X800X000X000X00定義活動非活動非活動非活動分區類型偏移0XC20XD20XE20XF2長度（字節）1111值0X070X070X0C0X0F定義NTFSNTFSFAT32主擴展分區第一扇區號（在整盤內）偏移0XC6?80XD6?80XE6?80XF6?8長度（字節）4444值0X3F0XC80343F0X1900687E0X25809CBD扇區號63209728575419457150629185725總扇區數偏移0XCA?D0XDA?D0XEA?D0XFA?D長度（字節）4444值0XC8034000XC80343F0XC80343F0X18FF6343扇區數209728512209728575209728575419390275扇區有效標志0X55/0XAA0X55/0XAA0X55/0XAA0X55/0XAA表6-5MBR分區表主要參數利用Winhex直接和數據解釋器讀取EBR分區表參數02利用Winhex直接和數據解釋器讀取EBR分區表參數（二）利用Winhex直接和數據解釋器讀取EBR分區表參數（共有3個步驟）步驟一：附加虛擬磁盤，運行Winhex并打開它步驟二：讀取和記錄EBR1分區表參數步驟三：讀取和記錄EBR2分區參數二步驟一：附加虛擬磁盤，運行Winhex并打開它在素材文件夾中，雙擊“6任務2-1-1.vhd”，然后轉到電腦桌面，以管理員身份運行Winhex，彈出Winhex界面，打開“HD1”，在硬盤窗口中，發現有2個分區間隙，即對應有EBR1、EBR2兩個EBR。如圖6-34所示。利用Winhex直接和數據解釋器讀取EBR分區表參數圖6-34Winhex驅動器窗口信息（分區間隙）圖二步驟二：讀取和記錄EBR1分區表參數（二）讀取和記錄EBR1分區第1個表項參數第1個表項的偏移是0XBE-0XCD。其中，它活動分區類型偏移是0XBE，值是0X00，表示是非活動分區；它分區類型的偏移是0XC2，值是0X07，表示是NTFS格式分區；它第一扇區（擴展分區內）的偏移是0XC6-9，值是0X3F，數據解釋器32Bit數值處解釋的十進制數為63（扇區）；它扇區總數的偏移是0XCA-D，值是0XC80B182,數據解釋器32Bit數值處解釋的十進制數為209760642。EBR1分區表第1個表項主要參數記錄表如表6-6所示。利用Winhex直接和數據解釋器讀取EBR分區表參數偏移長度值表項內容0XBE10X00活動分區類型：非活動0XC210X07分區類型：NTFS0XC6?840X3F第一扇區：63號（主擴展分區）0XCA?D40XC80B182扇區總數：209760642表6-6EBR1分區第1個表項主要參數二步驟二：讀取和記錄EBR1分區表參數（二）EBR1分區表第2個表項如圖6-36所示。利用Winhex直接和數據解釋器讀取EBR分區表參數圖6-36Winex編輯窗口信息（EBR1分區表第2個表項）圖第2個表項偏移是0XCE-0XDD。其中，它活動分區類型偏移是0XCE，值是0X00，表示是非活動分區；它分區類型的偏移是0XD2，值是0X05，表示是次擴展分區；它第一扇區號的偏移是0XD6-9，值是0XC80B1C1，數據解釋器32Bit數值處解釋的十進制數為209,760,705(扇區）；它扇區總數的偏移是0XDA-D，值是0XC7EB182,數據解釋器32Bit數值處解釋的十進制數為209629570(扇區）。EBR1分區第2個表項主要參數如表6-7所示。表6-7EBR1分區第2個表項主要參數表偏移長度值表項內容0XCE10X00活動分區類型：非活動0XD210X05分區類型：擴展分區（1)0XD6?840XC80B1C1第一扇區：209,760,705號（主擴展分區）0XDA?D40XC7EB182扇區總數：209629570二步驟三：讀取和記錄EBR2分區參數（一）確定EBR2扇區所在位置在硬盤窗口中，點擊進入第二個分區間隙，找到EBR2分區表，在分區4之后，分區5之前，它所在扇區，即第一扇區是838946430號扇區。利用Winhex直接和數據解釋器讀取EBR分區表參數（二）讀取和記錄EBR2分區第1個分區表項參數第1個表項偏移是0XBE-0XCD。其中，它活動分區類型偏移是0XBE，值是0X00，表示是非活動分區；它分區類型的偏移是0XC2，值是0X07，表示是NTFS格式分區；它第一扇區號的偏移是0XC6-9，值是0X3F，數據解釋器32Bit數值處解釋的十進制數為63(扇區）；它扇區總數的偏移是0XCA-D，值是0XC7EB143,數據解釋器32Bit數值處解釋的十進制數為209629507(扇區）。EBR2分區第1個表項主要參數如表6-8所示。表6-8EBR2分區第1個表項主要參數表偏移長度值表項內容0XBE10X00活動分區類型：非活動0XC210X07分區類型：NTFS0XC6?840X3F第一扇區：63號（在擴展分區1內）0XCA?D40XC7EB143扇區總數：209629507利用Winex直接和數據解釋器讀取各分區DBR參數03利用Winex直接和數據解釋器讀取各分區DBR參數利用Winex直接和數據解釋器讀取各分區DBR參數（共有5個步驟）步驟一：附加虛擬磁盤，運行Winhex并打開它步驟二：讀取和記錄FAT32分區DBR的BPB主要參數三步驟一：附加虛擬磁盤，運行Winhex并打開它讀取FAT32分區DBR的BPB與有關分區的2個參數在素材文件夾中，雙擊“6任務2-1-1.vd”，然后運行（Winex），打開“D1”，在硬盤窗口找到FAT32分區（分區3），點出打開它，進入FAT32分區的DBR。（一）讀取FAT32分區DBR的BPB與有關分區的2個參數三步驟二：讀取和記錄FAT32分區DBR的BPB主要參數讀取FAT32分區DBR的BPB與有關分區的2個參數1.確定FAT32分區DBR的BPB偏移FAT32分區DBR的BPB偏移0X0B?0X52。如圖6-37所示。圖6-37Winex編輯窗口信息（FAT32分區DBR的BPB表）圖（一）讀取FAT32分區DBR的BPB與有關分區的2個參數三步驟二：讀取和記錄FAT32分區DBR的BPB主要參數讀取FAT32分區DBR的BPB與有關分區的2個參數2.讀取FAT32分區DBR的BPB7個主要參數根據表6-3中各參數的偏移，移動光標到對應位置，用Winex數據解釋器逐個讀取FAT32分區DBR的BPB參數，記錄到表6-3，得到FAT32分區DBR與分區有關的2個參數表如表6-9所示。表6-9FAT32分區DBR的BPB與分區有關的2個參數表參數偏移量長度值參數內容分區第1扇區0x1C40X1900687E419457150扇區分區總扇區數0x2040XC80343F209728575扇區（一）讀取FAT32分區DBR的BPB與有關分區的2個