本站原创
摘要：物理磁盘由于误操作等因素造成分区丢失导致操作系统无法正常启动，用户无法获取所需文件，为用户带来数据丢失的烦恼。通过对物理磁盘存储格式的分析发现，多数情况下分区丢失主要原因是因为MBR记录中分区表信息被损坏，实际的用户数据并未发生修改或破坏，因此只需成功恢复分区表即可修复文件系统使操作系统正常启动，最终帮助用户重新获取所需文件。
关键词：MBR分区表 主分区 BPB参数
1007-9416（2013）04-0126-02
1 引言
造成磁盘分区表损坏的原因有，计算机病毒感染、加密引导区造成硬盘所有分区丢失、特别是在对硬盘进行分区转换或划分分区时，易引起分区表损坏，日常办公中使用操作系统过程中，由于误操作，特别是错误的删除逻辑分区极易造成分区丢失。分区表损坏或丢失后，计算机将无法识别逻辑分区信息，无法正常定位文件位置，造成使用者无法存取文件，形成文件数据丢失的恐慌。
然而我从技术层面上分析，分区表只是记录了各磁盘空间段落的位置划分信息，不会删除磁盘中用户数据内容的，通过适当的恢复算法可重新形成分区表，使文件系统恢复正常。
MBR扇区表位于磁盘的0号扇区之中，该扇区占512个字节，由四部分组成。（1）引导程序，占前440字节；（2）磁盘签名是磁盘的标记，占4个字节，地址偏移范围是1B8H-1BBH。（3）分区表，占64个字节，记录各分区的大小和地址偏移量。（4）结束标记，占2个字节，固定为0x55，0xAA。
主分区表占64字节，分区表起止地址为0X1BE-0X1FD，每16字节为一分区表项，用于描述一个分区结构。分区表项各字节含义，如（表1）所示。
使用winhex工具对各字段进行解析，获得各分区表项实际信息，如图1所示。
扩展分区中的每个逻辑驱动器的分区信息都存储在一个512字节大小的扇区中，该扇区成为EBR记录，EBR记录中主要包含两种重要信息（1）一个以划分的逻辑分区信息（2）下一个逻辑分区所在EBR记录的地址。
扩展分区实际是一个指向下一个用于定义分区的参数的指针，该指针指向下一个EBR记录，该指针形成单向链表。主分区中的最后一个分区表项用于存储下一个EBR记录所在磁盘的偏移量，以此类推通过扩展分区的信息就可以找到下一个逻辑分区的开始位置，以至找到所有逻辑分区。扩展分区表结构图，如图2所示。
5 结语
由于错误操作等因素导致分区丢失，文件系统崩溃，操作系统无法正常运行，很多情况是由于分区表被损坏导致。通过对分区表结构的分析，采用特定修复方法，可以恢复分区表，使文件系统恢复正常。
参考文献
刘伟.数据恢复技术深度揭秘.北京：电子工业出版社，2011.8
戴士剑.数据恢复技术.电子工业出版社.
[3]张京生，汪中夏，刘伟.数据恢复方法及案例分析.电子工业出版社.
[4]Brian Carrier.File System Forensic Analysis.Addison Wesley Professional.
关键词：MBR分区表 主分区 BPB参数
1007-9416（2013）04-0126-02
1 引言
造成磁盘分区表损坏的原因有，计算机病毒感染、加密引导区造成硬盘所有分区丢失、特别是在对硬盘进行分区转换或划分分区时，易引起分区表损坏，日常办公中使用操作系统过程中，由于误操作，特别是错误的删除逻辑分区极易造成分区丢失。分区表损坏或丢失后，计算机将无法识别逻辑分区信息，无法正常定位文件位置，造成使用者无法存取文件，形成文件数据丢失的恐慌。
然而我从技术层面上分析，分区表只是记录了各磁盘空间段落的位置划分信息，不会删除磁盘中用户数据内容的，通过适当的恢复算法可重新形成分区表，使文件系统恢复正常。
2 磁盘分区概念
具有MBR分区结构的磁盘有三种分区，主分区、扩展分区和逻辑分区。主分区位于硬盘的最前面一块区域中，构成逻辑C盘。主分区能够安装操作系统。扩展分区不能直接使用，必须经过第二次分割成形成逻辑分区，才能使用，所以扩展分区作用是容纳划分出的逻辑分区。逻辑分区就是我们通过所使用的D盘、E盘等逻辑磁盘用于存储文件数据。3 分区的数据结构描述及作用
在具有MBR分区结构的磁盘中，各分区信息存储于MBR分区表、EBR分区表，分区表中每一条记录可映射一个分区。MBR扇区表位于磁盘的0号扇区之中，该扇区占512个字节，由四部分组成。（1）引导程序，占前440字节；（2）磁盘签名是磁盘的标记，占4个字节，地址偏移范围是1B8H-1BBH。（3）分区表，占64个字节，记录各分区的大小和地址偏移量。（4）结束标记，占2个字节，固定为0x55，0xAA。
主分区表占64字节，分区表起止地址为0X1BE-0X1FD，每16字节为一分区表项，用于描述一个分区结构。分区表项各字节含义，如（表1）所示。
使用winhex工具对各字段进行解析，获得各分区表项实际信息，如图1所示。
扩展分区中的每个逻辑驱动器的分区信息都存储在一个512字节大小的扇区中，该扇区成为EBR记录，EBR记录中主要包含两种重要信息（1）一个以划分的逻辑分区信息（2）下一个逻辑分区所在EBR记录的地址。
扩展分区实际是一个指向下一个用于定义分区的参数的指针，该指针指向下一个EBR记录，该指针形成单向链表。主分区中的最后一个分区表项用于存储下一个EBR记录所在磁盘的偏移量，以此类推通过扩展分区的信息就可以找到下一个逻辑分区的开始位置，以至找到所有逻辑分区。扩展分区表结构图，如图2所示。
4 恢复原理及恢复算法
当MBR记录中的分区表丢失时，将失去三个主分区的起止地址记录以及指向扩展分区地址的EBR记录，因此需要通过DBR记录中所包含的特殊标记，对整个磁盘进行扫描，找出所有分区的DBR扇区信息，通过DBR扇区中的BPB参数计算出3条信息a：该分区是主分区或逻辑分区。b：该分区在整个磁盘的位置，即该分区的开始地址。c：分区大小，即该分区所包含的扇区数。主分区表的前三条记录为主分区表项，因此可以将记录出的主分区信息依次填入前三项，即可完成主分区的修复。如物理磁盘包括逻辑分区，源于：论文要求www.udooo.com
则逻辑分区的信息也随之丢失，那么还需要检测每个逻辑分区表所在EBR记录，并对每个EBR记录进行恢复最终形成EBR记录链表，EBR记录链表的首节点地址重写入主分区表的最后一个表项，至此整个磁盘主分区表恢复完成。5 结语
由于错误操作等因素导致分区丢失，文件系统崩溃，操作系统无法正常运行，很多情况是由于分区表被损坏导致。通过对分区表结构的分析，采用特定修复方法，可以恢复分区表，使文件系统恢复正常。
参考文献
刘伟.数据恢复技术深度揭秘.北京：电子工业出版社，2011.8
戴士剑.数据恢复技术.电子工业出版社.
[3]张京生，汪中夏，刘伟.数据恢复方法及案例分析.电子工业出版社.
[4]Brian Carrier.File System Forensic Analysis.Addison Wesley Professional.