请问winhex做数据恢复时,偏移ch28位置是什么意思?
发布网友
发布时间：2022-05-07 01:34
共1个回答
热心网友
时间：2023-09-10 10:48
下载 (35.93 KB)
2009-5-14 17:22先用winhex这个工具打开这块硬盘，因为每个分区都会保留63个扇区，所以第一个分区的起始应该从63开始，
下载 (21.78 KB)
2009-5-14 17:22 下载 (60.84 KB)
2009-5-14 17:23
在偏移CH28后的几个字节是NTFS分区的扇区大小减一，如果是fat分区则在CH20处从这里我们就知道了第一个分区的大小及类型
下载 (62.58 KB)
2009-5-14 17:23这个分区的大小是5124672个扇区，起始+大小—1=分区的结束位置，这样我们也就知道了这个分区的结束位置，那这个分区的结束扇区的下一个扇区就是下一个分区开始。我们来转到第一个分区的最后
下载 (16.12 KB)
2009-5-14 17:23这个分区结束在318柱面254磁头63扇区。
下载 (65.89 KB)
2009-5-14 17:23那319柱面0磁头1扇区就是第二个分区的开始，这个里面在CH2这有数值，在CH28也有数值，那到底哪个是表示分区大小呢？我们来算一下后面的几位算出来的值比我们的硬盘还大，所以不是，那就是CH20这的表示硬盘的，这也表示这个分区时fat分区，算出大小事2457945个扇区
下载 (65.2 KB)
2009-5-14 17:23我们来算出他的结束位置起始+大小-1
下载 (22.52 KB)
2009-5-14 17:23转到最后位置
下载 (15.38 KB)
2009-5-14 17:23这个分区的结束位置是471柱面254磁头63扇区，那么472柱面0磁头1扇区就是第三个分区的开始看一下。
下载 (63.09 KB)
2009-5-14 17:23是第三个分区的开始，而切这个分区时NTFS类型，我们可以算出这个分区的大小，也就是把16进制转换成10进制再加1
下载 (64.79 KB)
2009-5-14 17:23算出大小后再算出结束的位置，然后转到结束位置。
下载 (15.76 KB)
2009-5-14 17:23结束位置是777柱面254磁头63扇区
下载 (63.95 KB)
2009-5-14 17:23我们口分析完了，开始向分区表的MBR里面写入记录。
第一个分区
00 01 01 00 07 FE 7F 3F 3F 00 00 00 40 32 4E 00
第二个分区
00 00 41 3F 06 FE 7F D7 7F 32 4E 00 59 81 25 00
第三个分区
00 00 41 D8 07 FE FF 09 D8 B3 73 00 B2 02 4B 00
下载 (64.35 KB)
2009-5-14 17:23写好以后保存修改的内容，然后重新启动一下计算机就会看到，多了三个分区
下载 (26.28 KB)
2009-5-14 17:23 下载 (21.39 KB)
2009-5-14 17:23
那这三个分区是否被删除过文件呢？我们用一个易我数据恢复工具扫描一下，我们选择格式化恢复
下载 (24.62 KB)
2009-5-14 17:23选择我们要扫描的分区，
下载 (23.79 KB)
2009-5-14 17:23 下载 (23.5 KB)
2009-5-14 17:23
输出到c盘的根目录下
下载 (18.4 KB)
2009-5-14 17:23完成
下载 (19.72 KB)
2009-5-14 17:23看到他找到的文件，DOS7本来就有，又多了一个文件夹
下载 (16.5 KB)
2009-5-14 17:23扫描别的盘过程类似，在扫描F盘的时候扫描出了好多文件
下载 (24.58 KB)
2009-5-14 17:23 下载 (17.79 KB)
2009-5-14 17:23
打开找到的文件，是不是找到很多。
下载 (26.65 KB)
2009-5-14 17:23F盘则跟E盘内容一样。
下载 (22.41 KB)
2009-5-14 17:23是不是很神奇啊！！！！
