数据恢复实战 NTFS系统DBR恢复 NTFS文件系统DBR重建.ppt

《数据恢复实战》课程 Data Recovery Practical 主讲教师 刘俊 移动通信技术专业教学资源库 深圳信息职业技术学院电子与通信学院 NTFS DBR重建 目录 01 DBR损坏现象 02 DBR手工重建 03 DBR备份扇区 1.DBR损坏现象 EDITED BY LIUJUN * 数据恢复实战 NTFS文件系统的DBR中，每簇扇区数被清除 导致分区无法打开，分区提示格式化 DBR损坏现象 EDITED BY LIUJUN * 数据恢复实战 NTFS文件系统的DBR中，$MFT起始簇号被清除 导致分区无法打开，分区提示格式化 DBR损坏现象 EDITED BY LIUJUN * 数据恢复实战 NTFS文件系统的DBR中，分区总扇区数被清除 导致分区无法打开，分区提示格式化 DBR损坏现象 EDITED BY LIUJUN * 数据恢复实战 还有很多DBR参数的破坏会造成分区无法打开，这里就不列举了 DBR参数的损坏一般都会造成分区无法打开，提示分区格式化 为了使分区正常打开，所以需要恢复DBR 2.DBR的手工重建 EDITED BY LIUJUN * 数据恢复实战 当我们附加了一个虚拟磁盘的时候提示格式化，证明这个虚拟磁盘某些部分被破坏了，尝试使用WinHex进入该分区的DBR 2048号扇区 NTFS的DBR被清除导致磁盘提示格式化 DBR的手工重建 数据恢复实战 * EDITED BY LIUJUN 现在具体操作一下如何手工重建DBR 新建一个虚拟磁盘建立一个随意大小的NTFS分区 将DBR拷贝到我们需要恢复的分区DBR中然后进行保存 DBR的手工重建 数据恢复实战 * EDITED BY LIUJUN 保存DBR后，接下来我们要修改DBR其中的关键数据才能打开该虚拟磁盘 （1）隐藏扇区数 （2）分区总扇区数 （3）$MFT起始簇号 （4）每簇扇区数 DBR的手工重建 数据恢复实战 * EDITED BY LIUJUN 因为一般NTFS文件系统，$MFT的起始簇号，以及每簇扇区数都是固定的，所以一般不用修改 现在回到MBR 从分区表中可以得知该NTFS文件系统的隐藏扇区数和分区总扇区数 但是从MBR发现，分区总扇区数被删除了，所以我们要手工计算分区总扇区数 DBR的手工重建 EDITED BY LIUJUN * 数据恢复实战 首先回到DBR，往后跳转“6291456”个扇区去到$MFT区 然后去到6号文件记录，也就是位图元文件 找到位图元文件记录的80H属性 “A0 FF F9 00”转化为十进制64=1048569856，这个就是分区总扇区数了 将其填入MBR和DBR中即可修复成功 DBR的手工重建 数据恢复实战 * EDITED BY LIUJUN 将分区总分区数填回分区表的时候，NTFS文件系统分区总扇区数需要+1 DBR的手工重建 数据恢复实战 * EDITED BY LIUJUN 分区已经可以正常打开了，这就代表手工重建NTFS文件系统的DBR成功 3.DBR的备份扇区 NTFS文件系统的DBR备份在其分区的最后一个扇区 只要在其DBR往后跳转该分区的分区总扇区数就可以到达该NTFS文件系统的DBR备份 总结 1.DBR被破坏会造成什么现象？ 2.如果DBR损坏，需要修复几个部分？ 3.DBR的备份扇区在哪里？ 谢 谢 主讲教师 刘俊 移动通信技术专业教学资源库 深圳信息职业技术学院电子与通信学院