?

一塊硬盤原來(lái)有三個(gè)分區(qū)，分別是C，D，E，D盤和E盤有重要數(shù)據(jù)。原打算用Ghost在C盤裝上一個(gè)XP系統(tǒng)，但操作時(shí)不小心，把Ghost備份還原到了整個(gè)硬盤，這下子硬盤上只有一個(gè)C分區(qū)了。除了被Ghost覆蓋了一部分?jǐn)?shù)據(jù)，其余的數(shù)據(jù)都毫發(fā)無(wú)損，我們只要能重建分區(qū)表，原來(lái)的D盤和E盤的數(shù)據(jù)就可以重見(jiàn)天日了。要重建分區(qū)表，關(guān)鍵是要知道第一個(gè)擴(kuò)展分區(qū)起始的位置，找到了這個(gè)位置，所有的問(wèn)題就都解決了。除了diskgen可以恢復(fù)，其實(shí)winhex帶512字節(jié)扇區(qū)的16進(jìn)制編碼更能百分之百恢復(fù)，被覆蓋的D,E盤，C盤不能保證但可用EASYRECOVERY\finadata工具找回，一部分已被新系統(tǒng)所覆蓋掉了數(shù)據(jù)。

winhex 以512個(gè)字節(jié)來(lái)劃分一個(gè)扇區(qū)，在winhex16進(jìn)制編碼表中一16字節(jié)*32一欄表示一個(gè)扇區(qū)標(biāo)準(zhǔn)。

恢復(fù)思路：1.必須知道之前C盤容量，以容量來(lái)?yè)Q算成實(shí)際柱面數(shù)來(lái)查找編碼表確切位置

????????? 2.借住分區(qū)表基礎(chǔ)知識(shí)。

Winhex打開(kāi)了物理硬盤，，硬盤分區(qū)從引導(dǎo)程序，分區(qū)表和55AA的結(jié)束標(biāo)志

找到80 01 01 00 …… 55 AA ，導(dǎo)致在00001F***；已知每個(gè)柱面的大小是255×63×512=8225280字節(jié)=7.8M，舉例，C盤之前40G，那么40*1024/7.8=5251柱面附近大概是擴(kuò)展分區(qū)開(kāi)始節(jié)點(diǎn)；其實(shí)只要抓住一個(gè)規(guī)律，每個(gè)分區(qū)的結(jié)束標(biāo)示都是55 AA，那么只要找到這個(gè)結(jié)束標(biāo)示，下個(gè)512字節(jié)---一扇區(qū)標(biāo)準(zhǔn)就有可能是擴(kuò)展分區(qū)。

具體思路是每個(gè)扇區(qū)512個(gè)字節(jié)，編號(hào)從0到511，我們讓Winhex檢索哪個(gè)扇區(qū)的510和511字節(jié)是55和AA，這個(gè)扇區(qū)就有可能是我們要找的擴(kuò)展分區(qū)起始扇區(qū)。，也有可能某個(gè)不相干的扇區(qū)也是以55AA結(jié)尾,這時(shí)，不急，其實(shí)，既然真是擴(kuò)展分區(qū)，自然有分區(qū)表呈現(xiàn)，我們只要查看在512字節(jié)編碼中是否有分區(qū)表結(jié)構(gòu)就可知曉了。

我們先用菜單“工具”-“轉(zhuǎn)入扇區(qū)”來(lái)定位一個(gè)柱面?zhèn)€數(shù)個(gè)數(shù)，既然擴(kuò)展分區(qū)大概在5251附近，則我們選個(gè)柱面數(shù)5100，定位后，搜索16位進(jìn)制數(shù)值，從5100柱面開(kāi)始，扇區(qū)標(biāo)準(zhǔn)0~511，因?yàn)?10=55，511=AA；這個(gè)扇區(qū)位于5100柱面254磁頭63扇區(qū)。顯然是一個(gè)NTFS分區(qū)的結(jié)束扇區(qū)，很有可能就是原C盤的最后一個(gè)扇區(qū).

查看下面是否有分區(qū)表再向下找到的扇區(qū)就很象我們的目標(biāo)了，

這個(gè)扇區(qū)中有一個(gè)分區(qū)表，而且位置在5248柱面0磁頭1扇區(qū)，和我們估算的5152柱面相差無(wú)幾，憑經(jīng)驗(yàn)基本可以認(rèn)定這就是我們要找的擴(kuò)展分區(qū)分區(qū)表了。而且是 00 01 ………開(kāi)始，55 AA結(jié)束。然后目前用C/H/S模式已經(jīng)超越8G容量，我們姑且用LBA模式扇區(qū)計(jì)算,邏輯分區(qū)D盤和E盤的分區(qū)范圍，然后在第一個(gè)主分區(qū)表計(jì)算出這個(gè)擴(kuò)展分區(qū)表的范圍數(shù)值。從分區(qū)表中的第二項(xiàng)可以知道答案，分區(qū)表的第二項(xiàng)描述了第二個(gè)擴(kuò)展分區(qū)的起點(diǎn)和終點(diǎn)，第二個(gè)擴(kuò)展分區(qū)的終點(diǎn)就是我們要找的擴(kuò)展分區(qū)的結(jié)束位置。從分區(qū)表來(lái)看，第二個(gè)擴(kuò)展分區(qū)的起點(diǎn)距當(dāng)前扇區(qū)有7D 04 7E個(gè)扇區(qū)，大小是F8 C8 AE個(gè)扇區(qū)。經(jīng)過(guò)計(jì)算，擴(kuò)展分區(qū)的終點(diǎn)是6034柱面254磁頭63扇區(qū)。根據(jù)以前的分區(qū)表基礎(chǔ)知識(shí)，D盤開(kāi)始部分已經(jīng)確定，這樣就可以確定D盤結(jié)束部分在哪了，再看下，來(lái)確定第二擴(kuò)展分區(qū)，來(lái)確定E盤的分區(qū)范圍。以此類推，修改好范圍數(shù)值，重啟就能恢復(fù)之前C\D\E，獨(dú)立共存的局勢(shì)。

轉(zhuǎn)載于:https://blog.51cto.com/kidman/596798

總結(jié)

以上是生活随笔為你收集整理的某处发现百分百恢复覆盖的分区数据恢复方法（掌握）的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。

如果覺(jué)得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。