[教程资料]数据恢复原理专贴之MBR分区分析 之四--分区删除恢复之一 [复制链接]

数据恢复原理专贴之MBR分区分析 之三
前几讲结束了分区的相关知识，现在看看分区失败后怎么恢复。先看个简单的例子。
如下图，把一个磁盘的有效标志55AAH清空。再保存。

图片:6_210844_1fe9ffcb3bc9f65.jpg

现在重新加载这个磁盘，弹出下面的对话框

图片:6_210844_c62390a16da022d.jpg

提示要初始化磁盘，点下一步。

图片:6_210844_9adab00f3ce66b9.jpg

现在看磁盘1.显示未分配。

图片:6_210844_985dda9f2f819ad.jpg

破坏完成。
====================================================================
现在开始恢复
====================================================================
winhex打开磁盘1.

图片:6_210844_6cee1933cd7763c.jpg

这是打开后的界面，点倒三角.......

图片:6_210844_f15f6d284c8ab86.jpg

图片:6_210844_fdc1604ec3ce871.jpg

图片:6_210844_4ba83ce74953fd9.jpg

如图，5个分区都在，不过显示的是“lost”（丢失）
分别打开各个分区，至此数据算是基本恢复了。这一步留给大家来做吧，实践一下哟。
但是情况往往不是这样的，可能winhex加载后根本不会出现这个倒三角。
现在配置一下winhex，把自动检测分区选项去掉，看看实际的手工恢复过程。

图片:6_210844_057d98d001a02c2.jpg

现在重新加载磁盘1
看什么也没有了，清净了，分区没了。。。。。

图片:6_210844_98b44fdbc855e6d.jpg

不过结尾有55AAH这个磁盘有效标志了。但是分区表部分已经清空了。

现在开始手工恢复。
在磁盘的结尾部分往下查找55AAH。
下图的意思是以512个字节为一个搜索单位，在510位置查找55AAH。
[upload=11]
在63扇区找到一个！！！
[upload=12]
大家看，明显这是个NTFS分区。
调用ntfs启动扇区模板。看看本分区有多少个扇区。