分区误删恢复实例

2017年2月21日18:25:50 发表评论 469 views

分区误删恢复实例

 

我这里有块硬盘,一共6个分区,我现在把第二个主分区和第二个扩展分区删除,看怎么用用winhex手工恢复。我这几个分区里有存有数据,到时恢复数据是否存在是否可用。

分区误删恢复实例

删除后的分区。

 

 

现在我用winhex打开这块硬盘。

分区误删恢复实例

MBR里面只看到了两个分区表项。

 

跳转到第二个分区的其实位置:83892224

分区误删恢复实例

很明显,这是一个EBR,我们直接到了扩展分区的位置来了,这个扩展分区是第一个扩展分区。

由于我们把第二个主分区删出了,所以在MBR里面的记录里面直接忽略了第二个分区的信息,直接到了扩展分区。

现在我找找第二的主分区在哪个其实位置。

分区误删恢复实例

MBR的第一个分区表项的12的数值相加:41947136,跳转到此扇区

分区误删恢复实例

看到这是一个DBR,说明第二个分区的DBR是存在的。所以。我们直接在MBR里添加一条第二个分区的记录就行了。根据BPB得出,第二个分区的起始位置:41947136 分区大小:41945087     格式NTFS  。所以分区总大小孩得加个141945088

分区误删恢复实例

把第二项的数据移动到第三项去,然后把刚才的数值填入第二项。

分区误删恢复实例

然后分析E5处的4个字节,是否等于第二个分区的起始位置数值加分区大小数值的和。

然而他们想相等的,第三项就不用改了。这样我们把主扩展分区恢复了,还有一个扩展分区了。

由于是第二个扩展分区被删,那么我们来看看第一个扩展分区表的信息吧!

转到了:83892224扇区,这是一个EBR

分区误删恢复实例

按正常的来说,3的位置等于1+2,然而这里不等,我们到3数值的扇区去看看,这里3的数值是相对值,要到此扇区需要换成绝对值,就是相对值加上第一个EBR的绝对值:268445696

分区误删恢复实例

到这里又看到一个分区表,这同样是EBR,但是第几的个不能随便说。我们现在记录下,现在所以知道的有两个扩展分区了,我们在这里个分区表里找到下一个分区的位置。360722432

分区误删恢复实例

很显然在这分区表里只看到一个分区,说明这是最后一个分区。

根据前面的我们分区,是在第一个扩展分区表里,第二个分区项,直接记录了第三的扩展分区,从1分区直接到3分区了,我们没到过2分区,那么我现在看看2分区还存在吗。

 

分区误删恢复实例

用扩展分区表1的数值和2的数值的和加上分区表所在的扇区数值的和:176168960

分区误删恢复实例

可以看到,分区的内容还在。那第二个分区的大小记录下来,回到扩展分区1表的位置,修改第二项数值:

分区误删恢复实例

然后保存扇区,重新连接硬盘。

分区误删恢复实例

分区也就恢复了。

点击下载源文档

  • 我的微信
  • 这是我的微信扫一扫
  • weinxin
  • 我的支付宝红包
  • 支付宝红包扫一扫打赏
  • weinxin

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: