手工恢复引导扇区被覆盖的过程 (1)

> 原硬盘c，d，e，f四个分区，被ghost覆盖成一个分区，并且d盘的引导记录被覆盖，用数据恢复软件未查到d盘的数据，

讲一下手工恢复的过程：
1，定位d盘的跟目录地址。
因为原始分区c盘大约为1g多，所以先移动到1g的偏移位置，开始查找2e2020202020，可使用公式除512余零来查找。这个是文件夹开始的目录项，很快查到一个目录项记录，察看它所在的族号为5f7a。去除本身的族和第一个族就是根目录到这个文件夹目录的族的数量，再根据每个族为8个扇区计算根目录到这个文件夹的偏移量：
（ 5f7ah - 2h ）* 8h * 200h = 5f78000h
从文件夹目录的地址作为起始地址，向上跳，偏移为5f78000就是根目录的地址：569c1e00，上下翻看发现fat表和跟目录几经被覆盖。
按照上面的方法多试验几个文件夹如果都定位跟目录为569c1e00就说明族的扇区数为8。

2，定位扩展分区表的位置：
首先查找e区的分区表起始地址，查找方法请参考手工恢复主分区表的过程一文。查到地址为fa867e00。
通过e盘的起始地址和跟目录的地址可计算出d盘的所有族的数量：
（ fa867e00h - 569c1e00h ）/ 8h / 200h = a3e80h

计算fat表的容量，因为每个扇区可以纪录80h个族纪录由此可计算fat表的容量。
a3e80h / 80h =147d

根据常规数据：隐藏扇区数3fh，保留扇区数20h，两个fat表，计算d盘到跟目录的偏移地址：
（ 147d * 2 + 3f + 20 ）* 200h = 52b200h

在跟目录的偏移地址569c1e00向上跳偏移为52b200就是d盘分区的分区表的 大偏移地址，察看3d参数为176.2.7，因为原分区的保留扇区和fat表的个数可能不同，所以定位扩展分区表的起始地址的3d数为176.0.1。偏移为56496000。

3，修改分区表：
修改主分区表和扩展分区表：（详细请参考手工恢复主分区表的过程一文）

主分区表：
80 01 01 00 0b fe 3f af 3f 00 00 00 71 24 2b 00
00 00 01 b0 05 fe ff 13 b0 24 2b 00 64 05 96 00

扩展分区表：
00 01 01 bo 0b fe 7f fe 3f 00 00 00 50 1e 52 00
00 00 41 ff 05 fe ff 13 8f 1e 52 00 d5 e6 43 00

重新启动电脑发现c，d，e，f分区已经可以识别了，但d区打开出现错误提示。
4，手工恢复d盘启动扇区：
将e盘的启动扇区，拷贝到176.1.1的扇区位置更改如下数据：

每族的扇区数0xd：08
保留扇区数0x0e - 0x0f：20 00
总扇区数0x20 - 0x23：50 1e 52 00 ；（ fa867e00h - 56496000h - 7e00h ）/ 200h = 521e50h
每个fat扇区数0x24 - 0x27：80 14 00 00（ 569c1e00- 56496000h - 7e00h - 4000h ）/ 200h / 2h = 1480h

修改后保存磁盘记录，在电脑里刷新一下，就可以打开d盘了。
     回复：楼主的方法好麻烦的http://bbs.wwwfox.net/viewthread ... &extra=page%3d5这里去看看,有简单滴办法搞定
     回复：

< class="msgbody">< class="msgheader">quote:
     回复：自动恢复和手工恢复是不同的.利用软件自动恢复经常是失败的，而且也不要求操作者具备相应的技术。而手工恢复是真正的技术，技术好成功率是很高的。
     回复：就是
lz这一类的帖子是值得推崇的
第三方软件不能做到的,手工能做到