分享

.数据恢复之硬盘分区误删除后,教你如何起死回生!

 若水之都 2012-08-15

     如果你误删除了硬盘的分区,而里面有你很重要的数据,你是否为此感到着急万分!莫着急,莫着急!今天给您介绍两种方法来使你的硬盘起死回生!
     第一种方法是用Winhex,第二种是用Diskgen。当然第二种比较简单,速度也比较快,是没有数据恢复基础的人是很理想的软件。
     好了,先介绍一下我的实验环境,这是从老师那拿的一块虚拟硬盘,我也不知道有几个分区?分区是什么类型的?只知道里面有数据。而现在要把数据恢复出来。
     先说第一种winhex
把要恢复的硬盘挂到另外一台计算机上, 磁盘1就是要目标硬盘,现在它变成了未指派,我们要把它的分区恢复原状。

image


打开winhex

image


选择工具----磁盘编辑器

image


  打开硬盘1

image


现在开始分析:因为每个硬盘的前63(0-62号)个扇区是保留给系统用的,所以我们应该从63开始进行搜索,转到63扇区

image


image


    按照常理现在的硬盘分区类型大多是NTFS分区,那么先观察ch28位置,发现是00 00 00 00,说明判断错误,应该是FAT分区。则在CH20位置,发现有一组数据00 82 3E 00 ,这就告诉我们第一个分区是FAT分区,分区大小是3E8200。
注:如果是NTFS,那么在偏移CH28后的几个字节到排列加一就是NTFS分区的扇区大小.
  既然知道了第一个分区的大小,那么就能知道它的结束位置,以及下一个分区的开始位置。将大小+起始-1就是第一个分区的结束位置。即将3E8200转换成十进制加上63减去1等于4096574
那么第一个分区就是从63-----4096574扇区,知道第一个的结束那么将结束加一(4096574+1=4096475)就是下一个的分区的开始。但是,下一个分区是主分区还是扩展的分区呢?不确定,如果是下一个是扩展分区那么在55AA的前64个字节应该有一个分区表。如果不是一个分区表,那么就是主分区。就应该看CH28或者是CH20位置来判断是什么分区类型。按照常理应该是个扩展的分区。先转到4096575扇区看看。

image

 
看,55AA的前64字节不是分区表,常理又一次欺骗了我。第二个分区是主分区。

image


那么看看CH28或者是CH20位置来判断是什么分区类型,在CH28位置有记录第二个分区的大小(3E823E+1),说明是NTFS分区
将他的大小加上起始减去1,就是他的结束位置(3E823E+1)转成十进制4096575+4096575-1=8193149
第二个分区从4096575---------8193149扇区,那么下一个分区的开始是结束加1,即8193150

image


转到8193150扇区看看。

image

 

image


发现CH28,CH20都没有数据,55AA前都是空的,那么说明这是一个被删除的分区表,也就是说第三个分区是逻辑分区。
这个位置就是扩展分区的开始位置。第一个逻辑分区是从63号扇区开始的,那么将扩展分区的开始加上63,就是逻辑分区的开始位置。即8193150+63=8193213.
   转到8193213扇区

image

 

image


同理,扇区的CH28位置记录了这个分区的大小(5DE27F+1),同时也说明这个分区是NTFS .起始+大小-1=结束 ,8193213+6152832-1=14346044
这样我们也就知道了这个分区的结束位置,那这个分区的结束扇区的下一个扇区就是下一个分区开始14346045
分区3从8193213-----14346044扇区

image

 

image


我们看到的是一个分区表,说明第四个分区也是逻辑分区。这个位置就是扩展分区2的开始位置。逻辑分区是从扩展分区2的开始位置向后63号扇区开始的,那么将扩展分区2的开始加上63,就是逻辑分区的开始位置。14346045+63=14346108

image


image


我们看到在CH28位置,记录了这个分区的大小(5D64FD+1)=6120702,同时也说明这个分区是NTFS .起始+大小-1=结束
14346108+6120702-1=20466809
分区四从14346108-----20466809扇区
 
分析完了,现在知道总共有四个分区,假设是D、E、F、G四个盘。

image


D:  主分区,  FAT32类型,起始63-------------4096574
E:  主分区,  NTFS类型, 起始4096575-------8193149
扩展分区1:                   起始8193150---- --20466809   
F: 逻辑分区,NTFS类型, 起始4096575---- ---8193149
扩展分区2:                  起始14346045---- -20466809
G:逻辑分区    NTFS类型,起始14346108-------20466809
  
有了这些参数,我们在D盘的分区表(0扇区)中写出三项分区表,分别描述E分区和扩展分区1就可以了。这里只考虑LBA
三项分区表的参数分别是
00 00 00 00 0B 00 00 00 3F 00 00 00 00 82 3E 00  ( 3F 00 00 00 分区前扇区数,00 82 3E 00 分区大小)
00 00 00 00 05 00 00 00 3F 82 3E  00 3F 82 3E 00 ( 3F 82 3E  00 分区前扇区数,3F 82 3E 00 分区大小)
00 00 00 00 0F 00 00 00 7E 04 7D 00 FC 47 BB 00 ( 7E 04 7D 00 扩展分区前扇区数00823E00 扩展分区大小)
扩展分区1的分区表(8193150扇区)中写出两项分区表,分别描述F盘和扩展分区2。
两项分区表的参数分别是
00 00 00 00 07 00 00 00 3F 00 00 00  80 E2 5D 00
00 00 00 00 05 00 00 00 BF E2 5D 00 3D 65 5D 00
扩展分区2的分区表(14346045扇区)中写出G盘的起始和大小就可以了
00 00 00 00 07 00 00 00 3F 00 00 00 FE 64 5D 00
转到 D盘的分区表(0扇区),将参数写入,如下图

image

 

image


 
转到扩展分区1的分区表(8193150扇区)中写出两项分区表的参数,如下图

image

 

image


扩展分区2的分区表(14346045扇区)中写出G盘的参数

image

 

image


写完之后,保存,重启计算机。
  右键我的电脑---管理---磁盘管理,发现没有盘符,鼠标右键点击“更改驱动器号和路径”

image


弹出先导,选择添加----确定

image


image

 

image


打开我的电脑发现盘都回来了,(*^__^*)...

image


并且数据都在哈哈
 

image


 

image


 

image

 

image


 
现在介绍第二种方法,用软件来恢复。我用的是diskgen。
先把刚才的盘都给删了,模拟一下故障。现在就和开始是一样的了。

image


打开软件diskgenius.exe

image


出现这个界面,选择第二块硬盘

image


点击搜索分区

image


出现向导,配置如下,默认就行了

image


找到一个分区,选择保留

image


第二个,保留

image


第三个,保留

image


 
第四个,保留

image


如果大小与原来的一样的话,选择确定

image


然后选择应用更改

image


弹出对话,选择mbr,确定

image


右键我的电脑---管理---磁盘管理,发现盘符都在了

image


看看我的电脑,里面的数据都在。

image


image


image


image


image

 
好了,两种都介绍完了,是不是觉得第二种特简单。

本文出自 “努力成就梦想” 博客,请务必保留此出处http://lizhijian.blog.51cto.com/844063/202788


    本站是提供个人知识管理的网络存储空间,所有内容均由用户发布,不代表本站观点。请注意甄别内容中的联系方式、诱导购买等信息,谨防诈骗。如发现有害或侵权内容,请点击一键举报。
    转藏 分享 献花(0

    0条评论

    发表

    请遵守用户 评论公约

    类似文章 更多