数据恢复（3）：windows系统的MBR磁盘分区

1、 MBR结构：MBR扇区是整个硬盘的第一个扇区（C/H/S：001；LBA：0扇区），共512字节

（1）引导程序 前440字节（这部分具有通用性），地址在偏移0-1B7H处。（如果硬盘不是引导盘，可能没有引导程序）
（2）windows磁盘签名 1B8H-1BBH处4字节，磁盘必须有签名，windows是靠磁盘签名来识别硬盘的。如果没有签名会显示未格式化，同一系统中，不同磁盘签名是不同的，如果一样会导致同签名的无法识别。
（3）分区表 1BEH-1FDH的64字节。以16字节为一个分区表描述一个分区结构，所以一个硬盘最多4个主磁盘分区。
（4）结束标志 1FEH-1FFH的2字节 值必须为55AA。如果结束标志被破坏，将无法读到硬盘的分区表，硬盘将会为“没有初始化”状态。



2、 主磁盘分区的结构分析

红线为分区一，蓝线为分区二。





（1）引导标志只能为00H或80H。80H为活动分区
（2）系统分区不能跨柱面，只能是柱面容量的整数倍。
（3）超过8.4G的分区，C/H/S填充为FEH、FFH、FFH。但是已失去意义。
（4）偏移01C2H处表示分区类型，按值查表可知其分区类型。
（5）开始扇区+分区扇区总数=下一个分区的开始扇区。
（6）主磁盘分区中，每个分区的开始扇区号，都是硬盘的绝对扇区号。



3、 扩展分区的结构分析
由于主磁盘分区仅能为4个，所以引入了扩展分区。
扩展分区信息存在一个类似于MBR的扩展引导记录EBR中。也存在结束标志55AA
（1）从上个MBR图的分区表二中的类型可以得知是一个扩展分区。
（2）这个扩展分区并不是一个可用的驱动器，只是一段扩展空间的描述，在其内部进行划分具体的驱动器。（其分区总扇区数是整个扩展分区数）。叫做主扩展分区。
（3）EBR分区表的第一项描述一个逻辑驱动器，第二项指向下一个逻辑驱动器的EBR。如果第二项是空的，后面就不存在分区了。
（4）扩展分区中的扇区是相对扇区，要计算扇区的决对位置需要加上主扩展分区的“开始扇区值”。（子扩展分区中，都按相对分区计算）。