数据恢复实战 MBR及其作用 MBR结构及作用.ppt

《数据恢复实战》课程 Data Recovery Practical 主讲教师 刘俊 移动通信技术专业教学资源库 深圳信息职业技术学院电子与通信学院 主引导记录 MBR 目录 01 主引导记录MBR简介 02 主引导记录MBR结构 03 主引导记录MBR作用 1.主引导程序MBR简介 数据恢复实战 EDITED BY LIUJUN MBR磁盘分区是使用最为广泛的一种分区结构，它也被称为DOS分区，但它不是一个仅仅应用于微软的操作系统平台的分区结构 传统的硬盘是通过CHS（磁盘柱面扇区）来管理的，MBR扇区位于整个硬盘的第一个扇区，按照CHS选址方式，即0柱面0磁头1扇区 * 主引导程序MBR简介 经过格式化分区后，逻辑上每个盘片的每一面都会被分为磁道、扇区、柱面 扇区、磁道（或柱面）和磁头数构成了硬盘结构的基本参数，用这些参数计算硬盘的容量 存储容量=磁头数X柱面数X每道扇区数X每扇区字节数 数据恢复实战 EDITED BY LIUJUN * 主引导程序MBR简介 数据恢复实战 EDITED BY LIUJUN 相比于传统的硬盘管理方式，现在通过硬盘内的固件转化为LBA（逻辑区块地址）达到线性管理，一般一个LBA为512字节 以LBA组织硬盘存储空间，则MBR在第一个LBA的位置 存储容量= LBA数X 512字节 MBR DBR 管理及数据区 1.引导程序 2.磁盘签名 3.分区表 4.结束标志 * 2.主引导程序MBR结构 数据恢复实战 EDITED BY LIUJUN 引导程序 磁盘签名 分区表 结束标志 * 主引导程序MBR结构 EDITED BY LIUJUN * 数据恢复实战 （1）引导程序 引导程序占用其中的前440字节，其地址在偏移0~偏移1B7H处 （2）Windows磁盘签名 Windows磁盘标签占用引导程序后的4个字节，其地址在偏移1B8H~1BBH处，是Windows系统对硬盘初始化时写入的一个磁盘标签 引导程序 磁盘签名 主引导程序MBR结构 （3）分区表 偏移1BEH~偏移1FDH的64字节为硬盘分区表，这是MBR中非常重要的一个结构 （4）结束标志 扇区最后的两个字节“55AA”是MBR的结束标志。 数据恢复实战 EDITED BY LIUJUN 分区表 结束标志 * 3.主引导记录MBR作用 MBR扇区在计算机引导过程中起着重要的作用，计算机开机后开始执行主板的BIOS程序，进行完一系列的检测和配置以后，开始按CMOS中设定的系统引导顺序进行引导。 （1）引导程序的作用 计算机主板的BIOS程序在自我检测通过后，会将MBR扇区整个读入内存中，然后将执行权交给内存中MBR扇区的引导程序。引导程序一旦被破坏，就会引起计算机死机，从而无法正常引导系统。 数据恢复实战 EDITED BY LIUJUN * 主引导记录MBR作用 数据恢复实战 EDITED BY LIUJUN * （2）Windows磁盘签名的作用 Windows磁盘签名是Windows系统在对硬盘做初始化时写入的一个标签，Windows系统依靠这个签名来识别硬盘，如果磁盘签名丢失，系统会认为硬盘未初始化 主引导记录MBR作用 （3）分区表的作用 分区表是用来管理硬盘的分区，如果分区表被清除或者破坏，则硬盘的分区就会丢失 分区丢失 一块硬盘最多可以有4个主磁盘分区，所以相应的MBR的分区表项也只有四个，每个分区表项占用16个字节。如果想要更多的分区可以在其中一个主磁盘分区上建立一个扩展分区，在扩展分区上建立多个逻辑分区 第一个主磁盘分区的分区表项 第二个主磁盘分区的分区表项 * EDITED BY LIUJUN 数据恢复实战 主引导记录MBR作用 （3）分区表的作用 分区表项16个字节的含义见右图，关键的字节有 第1个字节表示是否启动分区 2-4个字节表示CHS的分区起始磁头、扇区、柱面数 第5字节表示分区类型 6-8字节表示分区结束磁头、扇区、柱面数 9-12字节表示隐藏扇区数 13-16字节表示分区扇区数 * EDITED BY LIUJUN 数据恢复实战 主引导记录MBR作用 数据恢复实战 * EDITED BY LIUJUN （4）结束标志的作用 在执行MBR的引导程序时，会验证MBR扇区最后两个字节是否为“55AA”。如果是“55AA”才会继续执行下面的程序，如果不是“55AA”，则程序认为这是一个非法的MBR，程序停止执行同时在屏幕上列出错误信息。 如果“55AA”被清除后，刷新磁盘管理器后，发现该硬盘的分区已经丢失并且状态为“未初始化”。 分区丢失 小结 数据恢复实战 * EDITED BY LIUJUN 1. 什么