1、- 1 -了解硬盘C /H/S：磁 头 (Head)： 硬 盘 为 数 个 金 属 磁 性 物 叠 加 而 成 的 同 心 圆 盘 片 ， 每 盘 片 分 两 面 (Side)，依 次 为 0 和 1、 2 和 3(最 少 为 单 面 ， 即 只 有 0)， 每 盘 片 分 为 上 下 两 磁 头 读 写 。 由 于每 个 盘 面 都 有 自 己 的 磁 头 ， 因 此 ， 盘 面 数 等 于 总 的 磁 头 数 ， 盘 面 号 又 叫 磁 头 号 。磁 道 和 柱 面 （ Track and Cylinder） ： 同 一 盘 片 不 同 半 径 的 若 干 同 心 圆 被 划 分 为若 干
2、 数 目 相 等 的 磁 道 ， 并 从 外 缘 的 “0”开 始 编 号 。 柱 面 是 具 有 相 同 编 号 的 磁 道 形 成 一个 圆 柱 (不 同 盘 片 相 同 半 径 构 成 的 圆 柱 面 ， 但 不 是 一 体 的 )。 0 柱 面 最 外 面 ， 依 次 向 里编 号 。 一 磁 道 对 应 一 柱 面 ， 磁 盘 的 柱 面 数 与 一 个 盘 面 上 的 磁 道 数 是 相 等 的 。扇 区 （ Sector） :磁 盘 上 的 每 个 磁 道 被 等 分 为 若 干 个 弧 段 （ 与 下 图 不 同 ） ， 这 些 弧段 便 是 磁 盘 的 扇 区 。 每 扇 区
3、 一 般 可 存 储 512 字 节 （ Byte） 的 信 息 。 如 按 公 式 计 算 ， 每个 扇 区 可 以 存 储 1282 的 N 次 方 （ N=0.1.2.3） 字 节 信 息 。 在 DOS 中 每 扇 区 是 1282的 2 次 方 =512 字 节 512 个 字 节 的 信 息 。 在 向 磁 盘 读 取 和 写 入 数 据 时 ， 都 以 扇 区 为 单 位 。磁 道 和 扇 区 是 由 低 级 格 式 化 产 生 的 。 低 格 的 作 用 是 将 空 白 的 磁 片 划 分 一 个 个 半 径 不同 的 同 心 圆 磁 道 (几 百 到 几 千 )， 还 将 磁
4、 道 划 分 为 若 干 个 扇 区 ， 每 个 扇 区 的 容 量 一 般 为512 字 节 。CHS（ 3D 参 数 ） ： Cylinder（ 柱 面 ） / Head（ 磁 头 ） /Sector（ 扇 区 ） ， 是 硬 盘 的重 要 参 数 。 一 般 书 写 时 按 照 CHS 的 次 序 来 做 ， 如 0， 0， 1。硬 盘 示 意 图 ：- 2 -硬盘数据的记录方式 两 种 地 址 ：1.物 理 地 址 (“绝 对 扇 区 ”)： 信 息 记 录 被 表 示 为 ： 柱 面 （ 磁 道 ） ， 磁 头 ，扇 区 ， 从 0 柱 0 磁 1 扇 开 始 ， 编 号 整 个 硬
5、 盘 。2.逻 辑 （ logic） 地 址 (“相 对 扇 区 ”)： 只 有 一 个 逻 辑 扇 区 号 ， 可 以 从 0 柱 0 磁 1开 始 计 数 (如 LBA)， 也 可 以 从 0 柱 1 磁 1 扇 开 始 计 数 (如 DOS 扇 区 )即 各 分 区 单 独 计 数 。DOS 扇 区 即 是 一 种 相 对 扇 区 ， 它 从 0 柱 1 磁 1 扇 （ DBR） 开 始 计 数 ， 把 第 一 个 DOS扇 区 （ DOS 能 访 问 的 第 一 个 扇 区 ） 编 号 为 逻 辑 0 扇 （ 即 C 盘 逻 辑 0 扇 ， 而 MBR 所 在 的0 柱 0 磁 1 扇
6、 则 没 有 DOS 扇 区 编 号 ， 只 能 调 用 BIOS 访 问 ） 。两 种 地 址 在 不 同 地 方 称 呼 各 不 相 同 。 硬 盘 的 工 作 模 式 ：1.NORMAL： 最 大 1024 柱 , 16 磁 头 , 63 扇 ， 因 此 最 大 容 量 528MB。2.LARGE： 当 柱 面 大 于 1024 时 ， 把 柱 面 数 除 以 2,把 磁 头 数 乘 以 2,其 总 容 量 不 变 。3.LBA： 由 IDE 控 制 器 中 的 地 址 翻 译 器 把 CHS 参 数 转 换 为 单 一 的 扇 区 参 数 。 硬 盘 的 寻 址 方 式 ：1.CHS
7、寻 址 方 式 （ 物 理 寻 址 方 式 ， 8.4GB 以 下 使 用 ） :柱 面 ： 范 围 为 0 1023 柱 ， 表 示 硬 盘 每 一 面 盘 片 上 有 几 条 磁 道 ,最 大 为 1024。磁 头 ： 范 围 为 0 254 个 ， 表 示 硬 盘 总 共 有 几 个 磁 头 ,也 就 是 有 几 面 盘 片 , 最 大 为255。扇 区 ： 范 围 为 1 63 扇 ， 表 示 每 一 条 磁 道 上 有 几 个 扇 区 ,最 大 为 63。NORMAL 和 LARGE 使 用 的 是 CHS 寻 址 方 式 。 在 CHS 寻 址 方 式 中 ， 最 大 寻 址 范
8、围 是 ：255102463512/1000/1000/1000=8.4G。注 意 ： 这 里 的 CHS 参 数 与 硬 盘 真 实 的 CHS 其 实 并 不 相 同 （ 硬 盘 中 一 般 一 个 盘 片 对应 两 个 磁 头 。 单 碟 对 应 两 个 磁 头 ； 双 碟 则 只 有 三 个 磁 头 ， 其 中 一 个 磁 头 被 两 张 盘 片 共 用 ；有 的 硬 盘 则 只 有 一 磁 头 。 因 此 物 理 磁 头 数 不 可 能 多 达 255 个 ） 。 硬 件 意 义 上 的 CHS 与文 件 系 统 的 CHS 的 转 换 是 由 硬 盘 的 固 件 来 完 成 的 。
9、2.LBA 寻 址 方 式 （ Logic Block Address， 逻 辑 块 寻 址 ， 8.4GB 以 上 使 用 ） : 早 期 硬 盘 的 扇 区 在 同 心 圆 磁 道 中 呈 扇 面 形 状 （ 如 上 图 ） ， 由 于 每 个 磁 道 的 扇 区 数 相等 （ 与 软 盘 一 样 ） ， 所 以 外 磁 道 的 记 录 密 度 要 远 低 于 内 磁 道 ， 会 浪 费 很 多 磁 盘 空 间 。 现在 改 用 等 密 度 结 构 生 产 硬 盘 ， 外 侧 磁 道 一 圈 因 周 长 更 大 ， 所 以 扇 区 数 量 更 多 (大 于 63个 ， 在 磁 道 数 量
10、一 样 的 情 况 下 ， 文 件 系 统 的 柱 面 数 因 此 变 多 了 )， 内 侧 则 更 少 。采 用 这 种 结 构 后 ， 硬 盘 不 再 具 有 实 际 的 CHS 参 数 。 系 统 在 写 入 数 据 时 是 从 柱 面 的0 磁 头 1 扇 区 开 始 写 入 ， 第 一 个 磁 道 写 满 后 ， 就 在 同 一 柱 面 的 下 一 盘 面 来 写 。 一 个 柱 面写 满 后 才 移 动 磁 头 到 下 一 个 柱 面 ， 从 而 使 磁 盘 性 能 最 优 。 硬 盘 读 写 数 据 时 采 用 以 扇 区（ 即 逻 辑 块 ） 为 单 位 进 行 线 性 寻 址
11、 的 方 式 ,扇 区 编 号 也 就 是 该 扇 区 的 LBA 地 址 。 LBA 方 式 把 0 柱 0 磁 1 扇 编 为 逻 辑 “0”扇 区 （ 即 零 磁 道 ， 与 “DOS 扇 区 ”的 “0”扇 区 不 同 ） ， 0， 0， 2 为 逻 辑 1 扇 区 ， 0， 0， 63 为 逻 辑 62 扇 区 (此 扇 后 为 非 隐 藏 扇 区 )，0， 1， 1， 为 逻 辑 63 扇 区 ， 0 柱 编 完 后 再 转 到 1， 0， 1 依 次 进 行 ， 直 至 把 所 有 的 扇 区 都编 上 号 。- 3 -WinHex 把 LBA 扇 区 （ 及 DOS 扇 区 ）
12、 称 为 “逻 辑 扇 区 ”， PM 则 称 为 “绝 对 扇 区 ”。 查看 LBA 扇 区 都 应 先 打 开 它 们 HD0 的 “扇 区 查 看 ”， 然 后 再 输 入 LBA 号 。 LBA 是 逻 辑 地 址(但 不 同 于 相 对 地 址 的 “DOS 扇 区 ”)， 也 可 以 说 成 是 物 理 地 址 。一 般 我 们 称 CHS 模 式 下 的 扇 区 号 为 物 理 扇 区 号 ， 扇 区 编 号 是 1”至 “63”， 而 LBA方 式 的 扇 区 从 “0”开 始 。LBA(逻 辑 扇 区 号 )=总 磁 头 数 每 磁 道 扇 区 数 当 前 所 在 柱 面
13、号 +每 磁 道 扇 区 数 当前 所 在 磁 头 号 +当 前 所 在 扇 区 号 1例 如 ： CHS=0/0/1， 则 根 据 公 式 LBA=255630+630+11= 0， 也 就 是 说 物 理0， 0， 1 为 LBA 逻 辑 0 扇 。现 在 的 硬 盘 一 般 都 支 持 LBA 和 CHS 寻 址 ， 是 因 为 在 HD 控 制 器 内 部 安 装 了 一 个 地 址翻 译 器 ， 可 以 将 C/H/S 参 数 翻 译 成 LBA 地 址 。 小 于 8.4G 的 分 区 仍 需 用 CHS 方 式 寻 址 ，在 大 于 8.4G 的 分 区 ， CHS 参 数 就
14、没 有 什 么 意 义 了 ， 此 时 须 用 LBA 方 式 寻 址 。 现 代 硬 盘件 系 统 的 柱 面 数 已 经 突 破 了 1024 的 限 制 ， 最 大 磁 头 数 和 扇 区 数 仍 为 255 和 63， 所 以硬 盘 的 大 小 一 般 是 与 柱 面 的 多 少 相 联 系 的 。 相 对 于 LBA 来 说 ， CHS 模 式 较 为 直 观 ， 所以 磁 盘 编 辑 器 通 常 采 用 CHS 模 式 来 作 为 磁 盘 逻 辑 结 构 划 分 方 式 。硬盘存储计数存 储 容 量 磁 头 数 磁 道 （ 柱 面 ） 数 每 道 扇 区 数 每 扇 区 字 节 数
15、 。 一 个 扇 区 若为 512 字 节 大 小 ， 那 么 硬 盘 容 量 =C（ 柱 面 数 ） H（ 磁 头 数 ） S（ 扇 区 数 ）512Byte。 若 干 扇 区 为 一 簇 （ 文 件 最 小 单 位 ） ， FAT32 一 簇 最 大 为 32 扇 区 ， NTFS 一簇 4K。硬 盘 的 容 量 以 兆 字 节 （ MB） 或 千 兆 字 节 （ GB） 为 单 位 ，1GB=1024MB， 1M=1024KB， 1KB=1024B(yte) 1Byte=8bit(二 进 制 位 )。 但 硬 盘 厂 商 在 标称 硬 盘 容 量 时 通 常 取 1G=1000MB， 因
16、 此 我 们 在 BIOS 中 或 在 格 式 化 硬 盘 时 看 到 的 容 量 会比 厂 家 的 标 称 值 要 小 。DOS/Windows 下硬盘数据结构一 个 完 整 硬 盘 的 数 据 应 该 包 括 五 部 分 ： MBR， DBR， FAT， DIR 区 和 DATA区 。 其 中 只 有 MBR（ 主 引 导 扇 区 ） 是 唯 一 的 ， 其 它 则 随 你 的 分 区 的 不 同 而 不同 。MBR （Master Boot Record，主引导扇区或主引导记录）：主引导扇区，位于 0 柱 0 磁 1 扇（大小是 512 字节，也就是零 磁 道 ） ，外加 DPT，由Fd
17、isk 命令产生，以 55AA 标志结束。 MBR 主 要 完 成 的 任 务 是 ：（ 1） 存 放 硬 盘 分 区 表 （ DPT） ， 这 是 硬 盘 正 确 读 写 的 关 键 数 据 。（ 2） 检 查 硬 盘 分 区 的 正 确 性 ， 要 求 只 能 并 且 必 须 存 在 一 个 活 动 分 区 。（ 3） 确 定 活 动 分 区 号 ， 并 读 出 相 应 操 作 系 统 的 引 导 记 录 。- 4 -（ 4） 检 查 操 作 系 统 引 导 记 录 的 正 确 性 ， DOS 引 导 扇 区 末 尾 也 存 在 着 一 个 AA55H标 志 ， 供 引 导 程 序 识 别
18、 。（ 5） 释 放 引 导 权 给 相 应 的 操 作 系 统 。 例 如 ， 当 确 认 DOS 操 作 系 统 引 导 纪 录 存 在时 ， 则 调 出 DOS 引 导 程 序 并 执 行 。硬盘主引导区截图：注 ： HEX 为 地 址 数 值 ， 十 六 进 制 。 DEC 为 十 进 制 。 BIN 为 二 进 制 。 OCT 为 八 进 制 。MBR 的结构：1 主引导程序（446 字节，含出错提示） ，偏移地址为 0H-1BDH。其中 0000H-00D9H 为主引导记录代码区（0000H-008AH 寻找开机分区；008BH-00D9H 启动字符串） 。00DAH-01BDH
19、为保留的空闲区。DOS 命令 Fdisk/MBR 可以重写这一部分，内容较为固定。其在截图的上面，占了 MBR的最大部分。2 DPT（ Disk Partition Table） 硬 盘 分 区 表 (主 分 区 表 )：01BEH-01FDH。有四个分区表项，各 16 字节，共 64 字节，后两项常不用。其内容在截图下面的最后五行内，以80 开头，以 55AA 结束。第一分区项（指向活动主分区）：01BEH-01CDH（参照上图来寻找此地址，01BEH 纵坐标为 1B0，横坐标为最上面一行的E，其它地址与此相同） 。80 01 01 00 0C FE FF FF 3F 00 00 00 9A
20、 E5 3F 01各字节含义有以下几项：- 5 -引导标志：第一表项第 1 字节，必须是 80（表示为活动分区，00 则表示非活动分区，那么操作系统将不能启动） 。C 盘逻辑 0 扇：2、3、4 字节即 01 01 00，依次为磁/扇/柱，为 0 柱 1 磁 1 扇，表示 DBR（DOS 引导记录）所在位置。分区 项 将 指 向 活 动 主 分 区 （ 一 般 就 是 C 盘 ） 的 DOS引 导 记 录 DBR。分区类型：为各表项的第 5 字节，0C 表示 DBR 所在分区为 FAT32 主分区（LBA） 。C 盘逻辑尾扇：6、7、8 字节 FE FF FF，由于该分区大于 8G，所以它的
21、CHS 参数已经没有意义，大硬盘中的 C 盘逻辑尾扇一般都是此数，下同。C 盘零扇前的隐含扇区总数：9-12 字节 3F 00 00 00，为 63 扇（一般都如此） ，MBR就位于隐含扇区首扇。硬盘主分区和每一个逻辑分区前都有 63 个隐含扇区，一般都保存有一个分区表。因为在 OS 中被隐藏，所以各分区的开始扇区应该是 DBR 或 EBR 所在扇区。C 盘扇区总数（不含隐藏扇区）：13-16 字节 9A E5 3F 01。由于所用扇区数是用十六进制表示，低位在前，高位在后，扇区数应该是 0x13FE59AH。用十六进制计算器(Windows 中自带计算器选程序员或科学型也可进行换算)，计算后
22、为 20964762 个扇区，大小约为 10G。第二分区项（指向扩展区）：01CEH-01DDH。00 00 C1 FF 0F FE FF FF D9 E5 3F 01 27 C0 10 08 55AA各字节含义有以下几项：扩展区标志：首字节 00。扩展区首扇：2 3 4 字节 00 C1 FF，一般为 D 盘分区表所在扇区（00 C1 FF 无意义，道理同上 )。CHS 为：0 磁 1 扇 x 柱（x 柱=主分区扇区总数/63255，x 柱在此为 1305 柱）。LBA 为：“C 盘扇区总数+MBR 所在的 63 个隐藏扇区” （即 9-12 字节数） 。扩展分区类型标志：第 5 字节 0F
23、，为 Win95 Extended 分区（大于 8GB）。扩展区尾扇：6 7 8 字节 FE FF FF（大硬盘都是此数，无意义） ，为扩展分区结束的C/H/S。CHS 为：(HD 总磁头数-1) 63 扇 (HD 总柱数-1)，处于 HD 尾。主分区扇区总数（含隐藏扇区）：9-12 字节 D9 E5 3F 01，位于扩展扇区前。主分区扇区总数=C 盘逻辑扇区数+隐含扇区数（63 个） ，此处为 20964825 个扇区，比C 盘扇区总数（无隐藏扇区）多 63，此 LBA 号即 D 盘分区表所在。扩展扇区总数（含隐藏扇区）：13-16 字节 27 C0 10 08。主分区、扩展扇区两数相加为
24、HD 扇区总数。其它分区项：分区 3（01DEH-01EDH） 、分区 4（01EEH-01FDH）：可以为隐藏分区。隐藏分区为主分区，一键还原精灵所产生的隐藏分区，想把 它 变 成逻 辑 分 区 ， 可直接操作 DPT，把 代 表 它 的 分 区 表 项 删 除 ， 即 可 顺 利 完 成 。3 结束标志 55AA，位于 1FEH-1FFH。其 值 为 AA55， 十 六 进 制 存 储 时 低 位 在 前 ， 高 位 在后 ， 即 看 上 去 就 是 55AA。FDISK/MBR,再 SYS C:， 再 难 缠 的 引 导 扇 区 病 毒 都 OK 了 。 其 它 磁 盘 工 具 也 可
25、以 完成 同 样 的 工 作 。 注：Fdisk/MBR 在结构正常下重写 MBR 不破坏 DPT，55AA 错则全部重写。为保护分区表（DPT）数据，需要先修复 55AA 标志，才能进行此操作。在 0 柱 0 磁 2 扇（MBR 的下一扇区） ，可以备份 MBR。当 MBR 出错时，把它复制、粘帖到 MBR 扇区，可以恢复原来的 MBR。DBR 前的空白隐藏扇区都可以用来备份或存文件。- 6 -MBR 先于操作系统装入内存，具有公共引导的特性。但安装某些多重引导功能的软件或 LINUX 的 LILO 时有可能改写它。DBR（ Dos Boot Record）：DOS 引导记录，又称 DOS
26、引导区或 BOOT 区，位于 0 柱 1 磁 1 扇（C 盘逻辑 0 扇） ，由 Format 命令产生，可用 sys c:修复。在FAT32 和 NTFS 中，引导扇区在以前的 DBR 基础上逐步演变成 OBR(OS Boot Record)。DBR 结构（FAT16、FAT32、NTFS 各部分并不相同，以下是 FAT32 的 DBR 结构）：1. 跳转指令，下图所示为扇首 EB 52 90 三字节，属 NTTFS 分区(FAT32 为 EB 58 90)。2. 厂商标志和 OS 版本号，跳转指令后 8 字节。3. BPB(BIOS Parameter Block，BIOS 参数记录块)（
27、53 字节） ，记录 DOS 分区的磁盘信息。位于 DBR 偏移 0BH 处，包含 HD 大小，FAT、FDT 位置大小，可算出逻辑地址和物理地址。4. 扩展 BPB（26 字节） 。5. 分区引导程序（420 字节） 。完成 DOS 系统文件（IO.SYS，MSDOS.SYS）的定位与装载。DBR 是由硬盘的 MBR 装载的程序段。DBR 装入内存后，即开始执行该引导程序段，其主要功能是完成操作系统的自举并将控制权交给操作系统。DBR 只有一个，但每个分区都有引导扇区（E xtended Boot Record，EBR） ，但只有位于活动分区的 DBR 才会被 MBR装入内存运行。6. 有效
28、结束标志 55AA(2 字节)。因为 DBR 对操作系统非常重要，NTFS 格式分区，在其分区最后的扇区上，备份了DBR，如果它是正常的，我们只需将最后一个扇区的内容复制到 DBR 位置，如果没有其它问题，这个分区就正常了。其它分区的引导程序（EBR）也同样在该分区的最后一个扇区备份了 EBR，同样可以把此备份复制到分区引导扇区，使该分区恢复正常。DBR 大 小 ： FAT16 为 1 扇 ， FAT32 为 3 扇 ， FAT 表 起 始 位 置 一 般 为 95 扇 区 ， 操 作 系统 引 导 记 录 备 份 在 69 扇 区 ， FAT 表 标 记 是 F8 FF FF 0F FF F
29、F。 NTFS 为 1 扇 ， 主 索 引记 录 一 般 起 始 位 置 在 本 分 区 第 6291456 扇 区 ， OS 引 导 记 录 备 份 在 分 区 最 后 一 个 扇 区 。C 盘逻辑 0 扇截图（0 柱 1 磁 1 扇，逻辑扇区 63，DBR 所在）- 7 -FAT（File Allocation Table，文件分配表） 。是 DOS 文件组织结构的主要部分，反映硬盘上所有簇的使用情况。一 般 有 两 个 FAT 表 ，内 容 一 样 ， 起 备 份 作 用 。 FAT32 的 FAT1（ 第 一 文 件 分 配 表 ） 位 于 0 柱 1 面 33 扇 区 。 由于 FA
30、T 表 的 长 度 不 固 定 ， FAT2 的 地 址 也 并 不 固 定 。 每 个 FAT 表 的 前 两 个 字 节 都 是 ：“F8FF“ 。 当 从 磁 盘 上 读 取 一 个 文 件 时 ， 首 先 从 文 件 目 录 表 （ FDT） 中 找 到 该 文 件 的 目录 登 记 项 。 继 而 从 目 录 登 记 项 的 有 关 字 段 ， 查 到 分 配 给 该 文 件 的 第 一 个 簇 号 ， 根 据 第一 个 簇 号 ， 就 能 形 成 一 条 能 够 检 索 整 个 文 件 的 “簇 链 ”， 完 成 文 件 的 读 取 。NTFS 的 文 件 系 统 ：MFT （ M
31、aster File Table 主文件表） ，NTFS 分区的主文件表。NTFS 分区用于存放目录、索引、安全性等信息，以及小文件等，由文件记录（File Record）数组构成。File Record 的大小一般是固定的，通常情况下均为 1KB，是 这 个 卷 上 每 一 个 文 件 的 索 引 ， 为每 一 个 文 件 保 存 着 一 组 称 为 “属 性 ”的 记 录 ， 每 个 属 性 存 储 了 如 下 数 据 ： 大 小 、 时间 戳 、 安 全 属 性 和 数 据 位 置 。 系 统 空 间 分 配 、 读 写 磁 盘 时 会 频 繁 地 访 问 MFT， 因 此 MFT 对
32、NTFS 的 卷 的 性 能 有 着 至 关 重 要 的 影 响 。 一 但 MFT 产 生 碎 片 ， 磁盘碎片整理程序无 法 对 其 进 行 整 理 。 NTFS 通 过 保 留 1/8 的 磁 盘 空 间 留 作 MFT 专 用 （ 称 为 MFT 区 域 ） ，磁 盘 的 此 区 域 尽 可 能 在 MFT 增 大 时 保 持 其 连 续 性 ， 从 而 将 磁 盘 碎 片 降 至 最 低 。NTFS 针 对 FAT/ FAT32 文 件 系 统 安 全 性 差 、 容 易 产 生 碎 片 、 难 以 恢 复 等 缺 点 作 了 重大 改 进 。NTFS 把整个分区的全部扇区都作为簇来
33、划分，所 有 的 分 区 信 息 （ 扇 区 分 配 表 ， 引 导记 录 等 ） 都 被 组 织 起 来 以 系 统 文 件 的 形 式 存 放 在 磁 盘 各 处 ， 而 不 是 先 放 文 件 分 配 表 ，- 8 -后 接 数 据 区 的 做 法 。 NTFS 利用 B-Tree 文件管理方法来跟踪文件在磁盘上的位置，文件名是顺序存放的，因而查找速度更快，访问次数最少，这种技术比 FAT 的链接表技术具备更多的优越性。其 中 只 有 $Boot（ 分 区 引 导 记 录 ） 文 件 的 位 置 是 固 定 存 放 在 分 区 首 部 ， 其他 的 文 件 都 可 以 随 意 存 在 于
34、 分 区 中 的 任 何 一 个 位 置 。 这 样 使 得 对 所 有 数 据 的 读 写 都 有 一个 较 为 统 一 的 方 法 ， 而 且 使 得 改 变 分 区 的 尺 寸 和 碎 片 整 理 变 得 非 常 容 易 。NTFS 是 一 个 可 恢 复 的 文 件 系 统 。 发 生 系 统 失 败 事 件 时 ， NTFS 使 用 标 准 的 事 务 日 志文 件 和 检 查 点 信 息 自 动 恢 复 文 件 系 统 的 一 致 性 ， 用 户 很 少 需 要 运 行 磁 盘 修 复 程 序 。在 NTFS 分区上，可以为共享资源、文件夹以及文件设置访问许可权限，可以进行磁盘配额
35、管理，可以在 NTFS 卷中压缩单个文件和文件夹，并支持活动目录和域。NTFS 支 持 4GB 以 上 的 文 件 （ FAT32 不 能 ） ， 支 持 的 分 区 大 小 可 以 达 到 2TB， 簇的大小都为 4KB，支持稀疏文件，最大限度地避免了磁盘空间的浪费。DIR 区（根目录区，即 Directory 的简写） ，又称为 ROOT 区，主要为FDT（File Directory Table 文件目录表） 。DOS 的 DIR 命令就是显示该区的内容。DIR 紧接在第二 FAT 表之后的下一个扇区，长度为 32 个扇区（256 个表项） 。FAT32/FAT16 支持长文件名，则每个
36、表项为 64 个字节，其中，前 32 个字节为长文件链接说明；后 32 个字节为文件属性说明，包括文件名、后缀名、文件长度大小、起始地址、时间、修改日期和文件在数据区保存的第一个簇的簇号。如不支持长文件名，则每个表项为 32 个字节的属性说明。FAT16 的根目录紧跟在 FAT2 表后，并把子目录放到数据区。FAT32 根目录区可以不固定大小，在 DBR 中提供根目录区的第一个簇的簇号。FAT 必须和 DIR 配合才能准确定位文件的位置。DIR 记录着每个文件（目录）的起始单元（最重要） 、文件的属性等。定位文件位置时，操作系统根据 DIR 中的起始单元，结合FAT 表就可以知道文件在磁盘的具
37、体位置及大小了。注意：Win9x 的文件删除只在目录区做了一个小标记将目录区的文件的第一个字符改成了 E5 就表示将此文件删除了。被删除文件仍旧能够找到开始簇，数据恢复就依靠这一特点。DATA 区（硬盘的数据区） 。在 DIR 区之后，才是真正意义上的数据存储区（紧 跟 在 FDT 的 下 一 个 扇 区 ， 直 到 逻辑 盘 的 结 束 地 址 ） 。 它 存 储 着 所 有 的 数 据 ， 而 且 即 使 文 件 目 录 被 破 坏 仍 旧 可 能 从 磁 盘 里把 信 息 读 出 。文 件 删 除 只 在 FDT 中 将 第 1 字 符 改 成 “E5”， DATA 区 将 首 字 节
38、改 为 “0E”， 格 式 化也 不 能 根 本 删 去 ， Format 命令只 是 重 写 FAT 和 DBR， 并 没 有 把 DATA 区 的 数 据 清 除 ，除 非 你 使 用 了 “Format X: /U”全 面 格 式 化 命 令 ， 强 制 对 每 一 扇 区 写 “F6”。至 于 硬 盘 分 区 ， 也 只 是 修 改 了 MBR 和 DBR， 绝 大 部 分 的 DATA 区 的 数 据 并 没 有被 改 变 ， 这 也 是 许 多 硬 盘 数 据 能 够 得 以 修 复 的 原 因 。 但 即 便 如 此 ，MBR， DBR， FAT， DIR 之 一 被 破 坏 的
39、 话 ， 我 们 的 数 据 也 无 法 正 常 读 取 。 如 果 你 经 常整 理 磁 盘 ， 那 么 你 的 数 据 区 的 数 据 可 能 是 连 续 的 ， 这 样 即 使 MBR/FAT/DIR 全 部 坏了 ， 我 们 也 可 以 使 用 磁 盘 编 辑 软 件 只 要 找 到 一 个 文 件 的 起 始 保 存 位 置 ， 那 么 这 个 文件 就 有 可 能 被 恢 复 。- 9 -数 据 恢 复 通 常 只 能 在 数 据 文 件 删 除 之 后 相 应 存 储 位 置 没 有 写 入 新 数 据 的 情 况 下 进 行 。因 为 一 旦 新 的 数 据 写 入 ， 磁 粒
40、 子 极 性 将 无 可 挽 回 的 被 改 变 从 而 使 得 旧 有 的 数 据 真 正 意 义上 被 清 除 。但 是 只 是 单 纯 的 对 存 储 介 质 进 行 覆 写 ， 乃 至 从 物 理 上 破 坏 存 储 设 备 ， 都 不 能 保 证 数 据不 会 被 恢 复 出 来 。 在 一 些 拥 有 尖 端 设 备 的 实 验 室 中 ， 既 使 被 覆 盖 多 次 的 磁 盘 ， 也 可 能 被还 原 出 最 早 存 储 在 上 面 的 磁 性 信 号 。 这 种 情 况 对 那 些 需 要 恢 复 他 们 宝 贵 数 据 的 用 户 来 说可 能 是 个 令 人 激 动 的
41、消 息 。DOS/Windows 分 区 知 识 ：硬 盘 可 激 活 分 区 数 不 得 大 于 3， 扩 展 分 区 数 不 得 大 于 1， 当 前 活 动 分 区 数 必 须 小 于等 于 1（ 一 般 为 C： ） 。 一 个 分 区 的 所 有 扇 区 必 须 连 续 ， 硬 盘 可 以 有 最 多 4 个 物 理 上 的分 区 ， 这 4 个 物 理 分 区 可 以 是 4 个 主 分 区 或 者 3 个 主 分 区 （ 包 括 隐 藏 分 区 ） 加 一 个 扩展 分 区 。 扩 展 分 区 在 DOS/Windows 管 理 下 ， 可 以 而 且 必 须 再 继 续 划 分
42、 逻 辑 分 区 （ 逻 辑 盘如 D： E： 等 ） 。扩 展 分 区由 于 MBR 仅 仅 为 DPT 保 留 了 64 个 字 节 的 存 储 空 间 ， 每 分 区 的 参 数 各 占 16 个 字 节 ，总 计 只 可 以 存 储 4 个 分 区 的 数 据 。 为 了 建 立 更 多 的 逻 辑 磁 盘 供 操 作 系 统 使 用 ， 系 统 引 入了 扩 展 分 区 的 概 念 。 所 谓 扩 展 分 区 ， 严 格 地 讲 它 不 是 一 个 实 际 意 义 的 分 区 ， 它 仅 仅 是 一个 指 向 下 一 个 分 区 的 指 针 ， 这 种 指 针 结 构 将 形 成 一
43、 个 单 向 链 表 。 这 样 在 主 引 导 扇 区 中 除了 主 分 区 外 ， 仅 需 要 存 储 一 个 被 称 为 扩 展 分 区 的 分 区 数 据 ， 通 过 这 个 扩 展 分 区 的 数 据 可以 找 到 下 一 个 分 区 （ 实 际 上 也 就 是 下 一 个 逻 辑 磁 盘 ） 的 起 始 位 置 ， 以 此 类 推 可 以 找 到 所有 的 分 区 。硬盘分区实例：上 图 所 见 ， 序 号 0， 1， 2 三 个 分 区 属 于 主 分 区 ， 只 有 序 号 0 有 引 导 标 志 80， 属 于活 动 分 区 ； 而 序 号 1 的 扩 展 分 区 严 格 说
44、 来 仅 仅 是 位 于 D 盘 前 面 的 隐 藏 扇 区 中 的 一 张 分- 10 -区 表 ， 它 只 是 一 个 指 向 下 一 个 分 区 （ D： ） 的 指 针 ； 序 号 2 是 一 键 还 原 精 灵 建 立 的 隐 藏分 区 ， 它 虽 然 起 始 于 硬 盘 最 后 的 59800 柱 ， 但 它 仍 是 主 分 区 ； 一 块 硬 盘 可 以 有 四 个 主分 区 ， 那 么 这 块 硬 盘 还 可 以 建 一 个 主 分 区 。 通 过 对 起 止 柱 面 数 的 观 察 ， 观 察 到C、 D、 E、 F 盘 前 后 相 连 ， 各 分 区 都 自 成 一 体 。
45、标 准 Windows 分 区 软 件 都 是 按 柱 面 分 区 的 ， 所 有 分 区 的 大 小 都 是 整 数 柱 面 。 有 些特 殊 软 件 为 了 节 省 会 按 磁 道 或 扇 区 计 算 划 定 分 区 ， 这 样 的 分 区 方 式 再 按 柱 面 方 式 搜 索 ，包 括 DiskGenius、 分 区 表 医 生 PTDD 在 内 的 分 区 恢 复 软 件 就 不 可 能 找 到 分 区 信 息 。分 区 表 链 接 分 区 表 的 一 般 结 构 ：有 四 分 区 表 项 ， 一 般 只 用 前 两 表 项 。 以 位 移 1BEH 开 始 ， 以 55AA 终止。
46、第一分区表项（指向分区表所在分区）：1 首字节，所指分区的分区标志。2 2-4 字节，所指分区的首扇。3 5 字节，所指分区的分区类型。4 6-8 字节，所指分区的尾扇。5 9-12 字节，所指分区的 DOS 首扇（逻辑 0 扇）与本分区表所在扇区的距离（是分区表与分区逻辑 0 扇的链接，大小固定为 63 扇，即为分区前的隐藏扇区数） 。6 13-16 字节，所指分区的逻辑扇区总数（不包括隐藏扇区） 。第二分区表项（指向下一分区）：1 首字节，所指分区的分区标志。2 2-4 字节，所指分区的首扇。3 5 字节，所指分区的分区类型。4 6-8 字节，所指分区的尾扇。5 9-12 字节，所指分区与
47、前一主分区表间的扇区总数。也就是所指分区表扇区（隐藏扇区之首）与主分区表或第一扩展分区表（也为主分区表）所在扇区的距离（是两分区表的链接，扩展分区表中此数是下一扩展分区表与第一扩展分区表的间隔，以此数可轻松找到下一扩展分区表） 。6 13-16 字节，所指分区的扇区总数（包括隐藏扇区） 。DPT 为 主 分 区 表 ， 剩 余 的 扩 展 （ extend） 分 区 表 （ EPT） 位 置 可 以 由 主 分 区 表 依 次推 导 出 来 。 以 位 移 1BEH 开 始 的 第 一 分 区 表 作 为 链 首 ， 有 表 内 的 链 接 表 项 （ 第 二 分 区 表项 的 9-12 字
48、节 ） 指 示 下 一 分 区 表 的 物 理 位 置 （ x 柱 面 、 0 磁 头 、 1 扇 区 ） ， 在 该 位 置 的扇 区 内 同 样 位 移 1BEH 处 ， 保 存 着 第 二 逻 辑 分 区 表 ， 依 次 类 推 ， 直 至 指 向 最 后 一 张 分 区表 的 物 理 位 置 （ y 柱 面 、 0 磁 头 、 1 扇 区 ） 。 因 该 分 区 表 内 不 存 在 链 接 表 项 ， 即 作 为 分 区表 链 的 链 尾 。 分 区 表 的 寻 找 ：从 主 分 区 表 中 开 始 推 算 ： DPT 的 第 二 表 项 9-12 字 节 为 主 分 区 扇 区 总 数 （ 含 隐 藏 扇 区 ）， 此 也 是 第 一 扩 展 分 区 表 的 LBA 号 （ 因 为 LBA 是 从 0 扇 开 始 ） 。从 第 一 扩 展 分 区 表 （ D 盘 分 区 表 ） 推 算 ： 第 二 表 项 的 9-12 字 节 是 E 盘 分 区 表 与 第一 扩 展 分 区 表 的 间 隔 ， 那 么 ， 此 间 隔 数 +主 分 区 扇 区 总 数 ， 即 为 E 盘 分 区 表 的 LBA 号 。从 E 盘 分 区 表 推 算 ： 第 二 表 项 的 9-12 字 节 是 F 盘 分 区 表 与 第 一 扩 展 分 区 表 的 间 隔 ，
