EBR修复

正常的分区状态，我现在来破坏他EBR。

破坏后

可以看出，主扩展分区是正常的，因为MBR没有被破坏，所以两个主分区是可以正常使用的，然而逻辑分区的内容就不见了，现在我就用这块硬盘来试试修复DBR。

一下步骤发现分区有错，我在填写NTFS分区是标识的写05，把那里改成07就行了。如下图，4个分区表都是那一处需要改。

1、  使用WinHex打开硬盘。

2、在0扇区看见MBR的分区表，有三项内容，一二是主分区的分区表项，三是第一个扩展分区表分区表项。其中 00 18 00 05 是他的位子，我们就跳转到它所在的扇区：83892224

1、  跳转到此扇区你会看到要么是没数据要么就是全是0。要怎么知道第一个扇区是多呢。那么我们就得着DBR，DBR一般是在分区表后的63扇区或者2048扇区（才接触数据恢复，目前我所知道的就是这两个）。我根据此扇区向下的2048扇区找了EBR1的DBR。

3、根据DBR中的BPB得到，隐藏上去数是2048，总扇区数是：92274687，格式NTFS，所以总扇区数加1：92274688。

根据上表的信息跳回EBR1，填写分区信息。

由于只找到第一个EBR所以不知道第二个EBR的大小所以这个分区表的第二个分区项需要等会回来填写。根据第一个EBR知道第二个EBR的位子在哪里，以及EBR2的DBR在哪里。

EBR2=00 08 00 00 + 00 00 80 05
= 00 08 80 05 = 92276736 扇区。这只是相对扇区，这个数值还的加上第一个EBR扇区所在的数值176168960+92276736=176168960。跳转到此扇区。当然也是损坏了的，此此扇区的上一个扇区，可以看到是个DBR，这个DBR是上个分区的备份DBR。如果上一个扇区有备份DBR，那么我们这个扇区就正是EBR。跟我们刚才一样，我们需要找EBR2的DBR，所以在此扇区像下的2048个扇区就是EBR2的DBR。

根据BPB的信息填写分区表，以及上个一分区也完整了。上一个扩展分区表未填写的地方的数值：第二个分区表的起始位置，和第二个分区的大小求和=92276736。

然后这个分区表里面的第二个分区表的起始位置=这个分区表的相对位子+这个分区的大小+隐藏扇区数=184553472。

第三个扩展分区的绝对位子=184553472+83892224=268445696

跳转到这个位子：

可以看到上面是一个DBR，那么我们这个位置是正确的，是一个EBR。在向下2048的扇区是DBR，找找DBR里面的信息。

根据信息填入扩展分区表EBR3。

这样EBR2未填写的信息就知道了，如下图1+2的数值就是了。下图是EBR3

现在看看看3的数值是怎么得到的。3数值，是上一个分区表的3的位置以及未填写地方的数值得到的。

现在回到176168960扇区，填写那个未填写的数值：92276736

现在已经填完了EBR1和EBR2 。准备找个EBR4，最后一个分区。

最后一个分区的绝对位置是：下图的这个值加上第一个扩展分区位置的值：83892224=360722432

EBR4：

正确找到EBR4后，再向下的2048个扇区的BPB信息，填写到这个分区表中。

我就直接填写这个分区表了，

最后一个表只填写一项，然后就是返回EBR3。填写剩下没填写的。

那个，那个只等于这个表的1+2的数值。

这样反复的来回跳很麻烦，最好还是自己先分析了，然后用个文档记录，什么算好了，在一次性填写进去。比如我就做好了这个记录的

都搞定了，保存数据，重新连接硬盘。

又回来了，里面的数据这些都是还是正常的。

点击下载原文档