分区误删恢复实例

我这里有块硬盘，一共6个分区，我现在把第二个主分区和第二个扩展分区删除，看怎么用用winhex手工恢复。我这几个分区里有存有数据，到时恢复数据是否存在是否可用。

删除后的分区。

现在我用winhex打开这块硬盘。

在MBR里面只看到了两个分区表项。

跳转到第二个分区的其实位置：83892224

很明显，这是一个EBR，我们直接到了扩展分区的位置来了，这个扩展分区是第一个扩展分区。

由于我们把第二个主分区删出了，所以在MBR里面的记录里面直接忽略了第二个分区的信息，直接到了扩展分区。

现在我找找第二的主分区在哪个其实位置。

用MBR的第一个分区表项的1和2的数值相加：41947136，跳转到此扇区

看到这是一个DBR，说明第二个分区的DBR是存在的。所以。我们直接在MBR里添加一条第二个分区的记录就行了。根据BPB得出，第二个分区的起始位置：41947136 分区大小：41945087   。  格式NTFS  。所以分区总大小孩得加个1：41945088

把第二项的数据移动到第三项去，然后把刚才的数值填入第二项。

然后分析E5处的4个字节，是否等于第二个分区的起始位置数值加分区大小数值的和。

然而他们想相等的，第三项就不用改了。这样我们把主扩展分区恢复了，还有一个扩展分区了。

由于是第二个扩展分区被删，那么我们来看看第一个扩展分区表的信息吧！

转到了：83892224扇区，这是一个EBR。

按正常的来说，3的位置等于1+2，然而这里不等，我们到3数值的扇区去看看，这里3的数值是相对值，要到此扇区需要换成绝对值，就是相对值加上第一个EBR的绝对值：268445696

到这里又看到一个分区表，这同样是EBR，但是第几的个不能随便说。我们现在记录下，现在所以知道的有两个扩展分区了，我们在这里个分区表里找到下一个分区的位置。360722432

很显然在这分区表里只看到一个分区，说明这是最后一个分区。

根据前面的我们分区，是在第一个扩展分区表里，第二个分区项，直接记录了第三的扩展分区，从1分区直接到3分区了，我们没到过2分区，那么我现在看看2分区还存在吗。

用扩展分区表1的数值和2的数值的和加上分区表所在的扇区数值的和：176168960

可以看到，分区的内容还在。那第二个分区的大小记录下来，回到扩展分区1表的位置，修改第二项数值：

然后保存扇区，重新连接硬盘。

分区也就恢复了。

点击下载源文档