RUNTIMES_DISKEXPLORER解讀硬盤0扇區(qū).doc

runtimes diskexplorer解讀硬盤0扇區(qū)runtimes diskexplorer是一款功能非常強(qiáng)大的磁盤編輯軟件，并帶有數(shù)據(jù)恢復(fù)的功能。runtimes diskexplorer對(duì)硬盤分區(qū)表的編輯非常容易，它把分區(qū)表信息抽象成可讀的參數(shù)，即分區(qū)類型、分區(qū)起始扇區(qū)、分區(qū)大小等。以往人們對(duì)硬盤分區(qū)表的編輯大都在十六進(jìn)制模式下進(jìn)行的，非常典型的例子就是用winhex磁盤編輯軟件在十六進(jìn)制模式下對(duì)分區(qū)表進(jìn)行更改，這種情況需要對(duì)硬盤主引導(dǎo)記錄非常了解才能做到，你必須知道哪些字節(jié)是存放分區(qū)表信息，哪些字節(jié)代表分區(qū)類型，哪些字節(jié)代表分區(qū)起始點(diǎn)，哪些字節(jié)代表分區(qū)大小等等。在十六進(jìn)制模式下，對(duì)分區(qū)表的理解和編輯是非常復(fù)雜的。runtimes diskexplorer對(duì)分區(qū)表的編輯真正實(shí)現(xiàn)了分區(qū)表的可視化編輯，分區(qū)表展示在用戶面前真正變成了一張表格，根據(jù)表格字段的含義填入相應(yīng)的參數(shù)即可。 注意：本文講解的分區(qū)表知識(shí)是指微軟操作系統(tǒng)環(huán)境下的硬盤分區(qū)，包括dos、windows兩種操作系統(tǒng)平臺(tái)，分區(qū)類型為fat、ntfs。所講的知識(shí)不適合unix、linx、mac、novell等非microsoft平臺(tái)操作系統(tǒng)雖然其它操作系統(tǒng)或者部分內(nèi)容和以下所講的有些是一樣的或者類似的。 runtimes diskexplorer對(duì)硬盤的讀寫是基于lba (邏輯塊地址)方式，我們不需要去理解以前的chs尋址方式，有關(guān)lba (邏輯塊地址)更詳細(xì)的信息請(qǐng)?jiān)诨ヂ?lián)網(wǎng)上搜索。這里簡(jiǎn)單的理解一下lba、扇區(qū)（sector）、字節(jié)(byte)、kb、mb、gb、tb的關(guān)系： 當(dāng)你用runtimes diskexplorer去查看、編輯硬盤的時(shí)候，你看到的是硬盤的實(shí)實(shí)在在的物理扇區(qū)，你可以看到一個(gè)硬盤有多少個(gè)扇區(qū)，你可以隨意編輯任何一個(gè)扇區(qū)，簡(jiǎn)單的理解為：1 sector = 1 lba ，1 sector = 512 byte ，1 kb = 2 sector，1 mb = 1024 kb，1 gb = 1024 mb，1 tb = 1024 gb。runtimes diskexplorer以前版本對(duì)大于1tb的硬盤（當(dāng)然現(xiàn)在還沒有大于1tb的單個(gè)硬盤，大于1tb的硬盤大都是配置好的磁盤陣列），v3.03版本已經(jīng)解決了這一問題。 runtimes diskexplorer界面介紹： 你可以從/ 站點(diǎn)下載diskexplorer for fat v3.03和diskexplorer for ntfs v3.03安裝程序，安裝到計(jì)算機(jī)上后運(yùn)行該程序。界面如下：（這時(shí)候runtimes diskexplorer打開了計(jì)算機(jī)上的第一塊硬盤，一般情況下就是該計(jì)算機(jī)裝有正在運(yùn)行當(dāng)前操作系統(tǒng)的硬盤。通常情況下我們不要去更改系統(tǒng)盤相關(guān)信息，我們需要編輯的是掛接在計(jì)算機(jī)上的第二塊盤或者第二塊以上的硬盤信息。） 硬盤在runtimes diskexplorer上的編號(hào)是hd128、hd129、hd130依次類推，hd128是指計(jì)算機(jī)上的第一塊硬盤，hd129是計(jì)算機(jī)上的第二塊硬盤依次類推。下圖是打開選擇某個(gè)硬盤的界面。physical drives下列出所有計(jì)算機(jī)上能正常識(shí)別到的物理硬盤，并列出每個(gè)硬盤的分區(qū)信息。runtimes diskexplorer早期的版本只能列出前8塊硬盤，如果計(jì)算機(jī)上掛接多于8塊硬盤，那后面的硬盤就沒法看到。新版本v3.03已經(jīng)沒有硬盤數(shù)量的限制了。 按照上圖，我們選擇2nd hard drive ，雙擊鼠標(biāo)進(jìn)去以后，顯示如下圖：（如果該硬盤主引導(dǎo)扇區(qū)正常，即0扇區(qū)沒有被破壞，runtimes diskexplorer自動(dòng)顯示partition table瀏覽界面。如果0扇區(qū)不符合主引導(dǎo)記錄-mbr格式，則顯示hex即十六進(jìn)制瀏覽界面。）partition tanle界面圖: runtimes diskexplorer有多種瀏覽顯示界面，這我們先看一下hex（按f3）、partition tanle（按f9）、boot record（按f10）三種界面，可以通過快捷鍵切換，也可以通過對(duì)程序界面中間單擊右鍵view來選擇進(jìn)入哪種顯示模式（如下圖）。 hex顯示界面即十六進(jìn)制界面圖 boot record即boot扇區(qū)顯示界面圖 runtimes diskexplorer十六進(jìn)制模式下的分區(qū)表信息 簡(jiǎn)單的理解硬盤分區(qū)信息：假設(shè)我們計(jì)算機(jī)上的硬盤分了4個(gè)分區(qū)c、d、e、f，分區(qū)表的作用就是給這4個(gè)分區(qū)作定義。具體如下：c盤分區(qū)定義：分區(qū)類型為ntfs，起始扇區(qū)（boot扇區(qū)）是63 sec（扇區(qū)），大小為10000000 sec（扇區(qū)）； d盤分區(qū)定義：分區(qū)類型為fat32，起始扇區(qū)是10000001 sec（扇區(qū)），大小為10000000 sec（扇區(qū)）； e盤分區(qū)定義：分區(qū)類型為ntfs，起始扇區(qū)是20000001 sec（扇區(qū)），大小為10000000 sec（扇區(qū)）； f盤分區(qū)定義：分區(qū)類型為ntfs，起始扇區(qū)是30000001 sec（扇區(qū)），大小為10000000 sec（扇區(qū)）； 假如f盤分區(qū)表壞了，分區(qū)類型、起始扇區(qū)、分區(qū)大小都沒有了，如果這個(gè)分區(qū)中的數(shù)據(jù)沒有被破壞，那么我可以重新建立f盤的分區(qū)表，前提是我必須先找到它的分區(qū)類型、起始扇區(qū)、分區(qū)大小三個(gè)參數(shù)，用runtimes diskexplorer可以把這3個(gè)參數(shù)填寫出正確的分區(qū)表，f盤就正常了。 對(duì)硬盤分區(qū)表的理解一直是初學(xué)者的一個(gè)較難的問題，以往的網(wǎng)上搜索得到的關(guān)于硬盤分區(qū)表的文章寫得比較難懂，需要理解的專業(yè)詞匯太多。 下面主要用runtimes diskexplorer來解釋分區(qū)表結(jié)構(gòu)，runtimes diskexplorer對(duì)分區(qū)表的可視化操作使得手工填寫分區(qū)表變得非常容易。 （以下截圖均來自runtimes diskexplorer for ntfs軟件，視圖模式為十六進(jìn)制，內(nèi)容硬盤的第0扇區(qū)。） 如果十六進(jìn)制模式去學(xué)習(xí)分區(qū)表，你需要理解以下相關(guān)內(nèi)容： 硬盤主引導(dǎo)記錄（mbr）：mbr是英文master boot record的縮寫，中文意為主引導(dǎo)記錄。硬盤的0磁道的第一個(gè)扇區(qū)稱為mbr，它的大小是512字節(jié)。 主引導(dǎo)記錄可以分為三個(gè)部分。 第一部分：pre-boot區(qū)（預(yù)啟動(dòng)區(qū)），占446字節(jié)； 第二部分：partition table區(qū)（分區(qū)表），占64個(gè)字節(jié)。 第三部分：結(jié)束標(biāo)志占2字節(jié)（55 aa） 如果分區(qū)表信息的活動(dòng)分區(qū)表損壞，用這個(gè)硬盤來引導(dǎo)系統(tǒng)的時(shí)候會(huì)報(bào)錯(cuò)： invalid partition table. error loading operating system. missing operating system。如果預(yù)啟動(dòng)區(qū)是空的沒有任何數(shù)據(jù)或者不是正確的mbr格式的數(shù)據(jù)，用這個(gè)硬盤來引導(dǎo)，會(huì)提示找不到可以用來啟動(dòng)的設(shè)備： reboot and select proper boot device or insert boot media in selected boot device and press a key。下面試圖用十六進(jìn)制編輯模式去理解分區(qū)表信息，以便和runtimes diskexplorer可視化編輯分區(qū)表做對(duì)比。 下圖標(biāo)記選擇部分是mbr的pre-boot區(qū)，即硬盤0扇區(qū)前 446字節(jié)。注意：不需要去理解每個(gè)字節(jié)的含義，因?yàn)檫@部分?jǐn)?shù)據(jù)一旦被破壞，我們可以從正常的硬盤中copy相應(yīng)數(shù)據(jù)覆蓋就可以正常使用，或者通過重新初始化該硬盤也可以使其正常。需要指出的是，在非microsoft平臺(tái)下使用的硬盤，這部分?jǐn)?shù)據(jù)有的不符合主引導(dǎo)記錄（mbr）格式，我們不需要去更改它，否則正常的數(shù)據(jù)會(huì)被破壞掉！ 下圖標(biāo)記選擇部分是mbr的partition table區(qū)（分區(qū)表，共占64個(gè)字節(jié)，每個(gè)分區(qū)表占用16字節(jié)） 下圖標(biāo)記選擇部分是mbr的結(jié)束標(biāo)志（共占2個(gè)字節(jié)） 結(jié)束標(biāo)志55 aa兩個(gè)字節(jié)是主引導(dǎo)記錄（mbr）和每個(gè)boot扇區(qū)的特有標(biāo)記，如果沒有55 aa字符作為結(jié)束標(biāo)志，主引導(dǎo)記錄（mbr）和每個(gè)boot扇區(qū)都是不正常的。 下圖標(biāo)記選擇部分是硬盤第1個(gè)分區(qū)表信息（共16個(gè)字節(jié)） 解讀第一個(gè)分區(qū)表： 80 01 01 00 07 ef ff ff 3f 00 00 00 61 e7 85 01 每個(gè)分區(qū)表都有3個(gè)非常重要的參數(shù)：分區(qū)類型、分區(qū)起始扇區(qū)、分區(qū)大小，其中還有一個(gè)參數(shù)標(biāo)記這個(gè)分區(qū)是否為活動(dòng)分區(qū)，活動(dòng)分區(qū)一般一個(gè)硬盤中只允許有一個(gè)。 80 - 活動(dòng)分區(qū)標(biāo)志 07 - 分區(qū)類型，07表示該分區(qū)為ntfs格式 ，3f 00 00 00 - 該分區(qū)的起始扇區(qū)，為十六進(jìn)制：0000003f（十進(jìn)制是63） 61 e7 85 01 - 該分區(qū)的大小，單位是扇區(qū)，為十六進(jìn)制：0185e761 （十進(jìn)制是25552737） 注意：起始扇區(qū)和分區(qū)大小分別占用4個(gè)字節(jié)，61 e7 85 01是反過來兩位兩位取值，即0185e761是真正的數(shù)字，十六進(jìn)制和十進(jìn)制之間的換算可以用計(jì)算器科學(xué)計(jì)數(shù)模式換算。要更改某個(gè)字節(jié)數(shù)據(jù)，鼠標(biāo)單擊該字節(jié)，就可以就可以輸入新的數(shù)據(jù)。需要在runtimes diskexplorer做一下設(shè)置toolsoption默認(rèn)情況下自動(dòng)選擇read only，沒法編輯。我們選擇virtual選項(xiàng)，一般不建議選擇direct read/write選項(xiàng)。如下圖： 下圖標(biāo)記選擇部分是硬盤第2個(gè)分區(qū)表信息（共16個(gè)字節(jié)） 00 69 c1 ff 07 e0 ff ff 77 01 86 01 78 b1 d4 01 ， 00 - 正常分區(qū)，不是活動(dòng)分區(qū)，如果該字節(jié)不是00也不是80，那該分區(qū)是不正常的， 07 - 分區(qū)類型，07表示該分區(qū)為ntfs格式， 77 01 86 01 - 該分區(qū)的起始扇區(qū)，為十六進(jìn)制：01860177（十進(jìn)制是25559415） 78 b1 d4 01 - 該分區(qū)的大小，單位是扇區(qū)，為十六進(jìn)制：01d4b178（十進(jìn)制是30716280）下圖標(biāo)記選擇部分是硬盤第3個(gè)分區(qū)表信息（共16個(gè)字節(jié)） 00 00 c1 ff 07 ef ff ff a0 b6 5a 03 70 7d 9e 0a ， 00 - 正常分區(qū)，不是活動(dòng)分區(qū)，如果該字節(jié)不是00也不是80，那該分區(qū)是不正常的， 07 - 分區(qū)類型，07表示該分區(qū)為ntfs格式 ，a0 b6 5a 03 - 該分區(qū)的起始扇區(qū)，為十六進(jìn)制：035ab6a0（十進(jìn)制是56276640），70 7d 9e 0a - 該分區(qū)