winhex使用教程手册 winhex使用教程( 四 )


修复第三个分区
将第二分区表中的开始位置与分区大小相加 , 得到14378175 , 跳转到这扇区 , 发现没有镜像成功 , 再往后转63个扇区 , NTFS查看参数 , 跳转14378175扇区清零 , 扇区未尾填入结束标志55AA , 打开MBR模板填写分区表第一项 , 注分区表第二项暂填写。
修复第四个分区
将扩展分区开始扇区14378175加上逻辑驱动器1的开始扇区号63 , 再加上逻辑驱动器1的大小 , 结果为27888840 , 跳转到27888840扇区 , 发现没有镜像成功 , 再往后转63个扇区 , NTFS查看参数 , 跳转27888840扇区清零 , 扇区未尾填入结束标志55AA , 打开MBR模板填写分区表第一项 , 
填写主扩展分区表项和子扩展分区表项
扩展分区开始扇区14378175 , 加上逻辑驱动器1开始扇区63加上逻辑驱动器1大小 , 加上逻辑驱动器2开始扇区63加上逻辑驱动器1大小的和)(第二个空白) , 209719296数值是由上面一个分区表开始扇区与分区大小的和 , 跳转到MBR扇区并打开模板填入数值到第三个分区表 , 注:MBR扇区第一分区表是第一主磁盘器 , 第二分区表是第二主磁盘器 , 第三分区表是扩展分区05/0F的数值 。
子扩展分区的分区表项应该填写在EBR1(逻辑驱动器1)跳转到14378175扇区 , 填写第二分区表项 , 开始扇区为第一分区表项开始扇区和分区大小的和 。子扩展分区大小 为开始分区63加上逻辑驱动器2的大小31872960
以上数值为案例数值 , 可能与实际不不一样 。
原来有四个分区 , 由于一次操作 , 其中一个分区被删除 。
恢复思路:
分区误删除后 , 主要就是对分区表进行重建 。打开MBR模板 , 查看分区表数值是正常的 , 接下来跳转到主扩展分区05分区类型的开始位置 ,  , 打开EBR2该扇区的模板 , 第一分区表项是管理逻辑驱动器1 , 发现第二分区表项开始位置和分区大小是错误的 。我们按照错误的开始扇区跳转到所在扇区 , 其中分区表只使用了一个分区青藏 , 显然这是最后一个逻辑驱动器的EBR扇区 , 也就是EBR3 , 其管理的是硬盘的最后分区 。分析发现 , EBR1的指针直接指向了EBR3 , 把EBR2跳过去 , 而丢失的那个分区正是由EBR2管理的 。EBR2被跳过去也就是不起作用 。这正是分区丢失的原因所在 。我们把EBR2的起始扇区 , 也就是EBR2第一分区表项的开始扇区与分区大小的和 , 这个是相对一个扇区号 , 转换成绝对扇区号(相对扇区号+MBR第二项分区表开始扇区) , 跳转后 , EBR2分区表中还存在 , 
如何让EBR1R 指针指向EBR2所在扇区的呢 。只需要修改EBR1的分区表项2即可 。
将EBR1的第二分区表项的开始扇区修改为第一分区表项的开始扇区和分区大小的和 , 第二分区表项的分区大小填写EBR2第一分区表项的开始扇区和分区大小  , 重启 , 恢复完成 。
(今完)

推荐阅读