数据恢复系列教程（八）20G硬盘简单分区实例分析

烟雨斜阳

数据恢复系列教程（八）20G硬盘简单分区实例分析

一块20G硬盘，分区情况如下图所示（红色方框中的）：

用WinHex打开此硬盘，定位到0号扇区，即前文提到的MBR扇区，加底纹的部分即是64字节的分区表部分如图：

重要参数如下：

分区表项一：

分区标志：0B   表示FAT32文件系统

隐藏扇区：63

分区大小：10490382个扇区

分区表项二：

分区标志：0F   表示为扩展分区

隐藏扇区：10490445  

分区大小：29511405

结论：

从以上两个分区表项可以知道，定义了一个为FAT32文件系统大小为5G的C盘；并且定义了一个大小约为14.07G的扩展分区（就是硬盘剩余容量）。

MBR分析完毕，我们现在跳转到10490445号扇区的EBR1处（如下图所示）继续分析。

分区表项一：

分区标志：07   表示为NTFS文件系统

隐藏扇区：63

分区大小：16787862

分区表项二：

分区标志：05   表示为扩展分区

隐藏扇区：16787925

分区大小：12723480

结论：

从以上两个分区表项可以知道，EBR1定义了一个NTFS文件系统大小为8G的D盘；并且定义了一个大小约为6.1G的扩展分区。

继续向下寻找EBR2，在27278370号扇区找到（大家想想这个数是怎么得来的）如下图：

只使用了一个分区表项，说明没有EBR3了。

分区表项一：

分区标志：07

隐藏扇区：63

分区大小：12723417

定义了一个NTFS文件系统大小为6.07G的E盘。

至此，整个硬盘的分区情况分析完毕。