《手工修复ntfs文件系统的 dbr》由会员分享，可在线阅读，更多相关《手工修复ntfs文件系统的 dbr（3页珍藏版）》请在金锄头文库上搜索。
1、NTFS 分析的分析的 DBR 和备份和备份 DBR 都被破坏的修复。都被破坏的修复。1、修复思路：我们可以把一个正常的、修复思路：我们可以把一个正常的 NTFS 分区的正常分区的正常 DBR 拷贝拷贝到到 0 号扇区，然后在对其中的参数进行修改。号扇区，然后在对其中的参数进行修改。1、我们需要修改的参数也就是我们需要修改的参数也就是:每簇扇区数每簇扇区数在在 DBR 的偏移地址（的偏移地址（0x0D）8扇区总数扇区总数在在 DBR 的偏移地址（的偏移地址（0x280x2F）$MFT 起始簇号起始簇号在在 DBR 的偏移地址（的偏移地址（0x300x37）$MFTMirr 起始簇号起始簇号在在
2、 DBR 的偏移地址（的偏移地址（0x380x3F）好的我们分别来找这几个参数。好的我们分别来找这几个参数。 1 搜索搜索$MFTMirr 的起始扇区，因为的起始扇区，因为$MFTMirr 一般处于卷的中间位置。所一般处于卷的中间位置。所 以找起来比较方便。我们先转到卷的中间偏上一些位置。这里就是以找起来比较方便。我们先转到卷的中间偏上一些位置。这里就是 305172/2=152586.我们就转到我们就转到 152586 扇区吧。扇区吧。这里全是零。好的我们下面开始搜索这里全是零。好的我们下面开始搜索$MFTMirr 的开始标志的开始标志 46494C45很快在很快在 152648 号扇区找到
3、了号扇区找到了$MFTMirr。在查找。在查找$MFTMirr 时。你可以在卷的时。你可以在卷的 中间位置上下查找。中间位置上下查找。 。 。好的我们已经找到了。好的我们已经找到了$MFTMirr。下面我们就来分析它。下面我们就来分析它。 我们都知道我们都知道$MFTMirr 是是$MFT 的前几个记录项的备份。第一个备份当然就是的前几个记录项的备份。第一个备份当然就是 备份的备份的$MFT 本身了。本身了。 。要重构。要重构 DBR 我们需要在我们需要在$MFT 中找到中找到 80 属性。就是属性。就是 $MFT 的数据属性。具体的分析我在前面的教程都讲过了。我们看到它的起始的数据属性。具体
4、的分析我在前面的教程都讲过了。我们看到它的起始 VCN 是是 00 00 00 00 00 00 00 00 结束结束 VCN 是是 5F 00 00 00 00 00 00 00 。那么所那么所 占的簇数为占的簇数为 96 个簇。我们有看到分配给它的空间是个簇。我们有看到分配给它的空间是 00 C0 00 00 00 00 00 00 也也 就是就是 49152 个字节，把它化为扇区：个字节，把它化为扇区：49152/512=96（扇区）（扇区） 。它的运行处也表明。它的运行处也表明 了它占用了它占用 96 个簇。个簇。96 个扇区刚好分给它个扇区刚好分给它 96 个簇，个簇， 96（扇区）
5、（扇区）/96（簇）（簇）=1 扇扇 区区/簇。这里我们的一个参数已经出来了。就是每簇扇区数为簇。这里我们的一个参数已经出来了。就是每簇扇区数为 1 个。个。 还有还有$MFTMirr 起始扇区数是起始扇区数是 152648 号扇区，换算成簇也就是号扇区，换算成簇也就是 152648 号簇。号簇。 （还可以去看（还可以去看$MFTMirr 的的 MFT 记录项的数据运行）记录项的数据运行） 好的。现在我们已经知道了好的。现在我们已经知道了$MFTMirr 起始簇号，每簇扇区数，扇区总数又可起始簇号，每簇扇区数，扇区总数又可以很容易找到，下面就只需要知道以很容易找到，下面就只需要知道$MFT 的起始簇号就的起始簇号就 OK 了。了。 。 。 。 怎么找呢。很简单。上面就有了。怎么找呢。很简单。上面就有了。 。看到运行处。看到运行处。 。31 60 5C 8D 01 说明说明$MFT 的起始簇号就是的起始簇号就是 5C 8D 01 也就是也就是 101724 号簇。号簇。 。呵呵。大功告成了。呵呵。大功告成了。 。 。 。下面。下面 的工作就是把这些参数填回去了。的工作就是把这些参数填回去了。
