硬盘MBR及EBR被破坏的分区数据恢复实例
2014-03-05 00:20:05 来源：华军科技数据恢复
数据恢复案例基本情况描述
一块750G的硬盘，从2006年开始使用，用了大概8年的时间，某一天用户电脑突然无法启动，计算机找不到该硬盘。经过本中心的数据恢复工程师检测，是因为硬盘使用的年数太久，产生了很多的坏扇区，其中前三个坏得比较严重，也就是常说的零磁道损坏，所以计算机无法识别该硬盘。为了恢复这块硬盘中的数据，采用做镜像的方法（俄罗斯专业恢复软件PC3K-UDMD），把故障盘的全部扇区镜像到另一块1TB盘中。
分区丢失的原因分析
把镜像盘接到一台好的电脑上，在磁盘管理中显示的现象来看，“磁盘0”是一个“没有初始化”的硬盘，如上图所示，从这一点可以确定该硬盘的MBR结构一定有问题。用WinHex打开这块硬盘，发现MBR扇区果然是坏的。
这就是我们现在看到的MBR扇区，进一步分析发现，所有存放分区表的扇区都是坏的，可能是分区表所在扇区访问频率比较高，所以这些扇区都坏掉了。
恢复思路及方法
硬盘分区表所在的扇区数据全都是坏的，为了看到数据，必须把分区表都修复好。
（1）修复MBR引导程序及结束标志
MBR扇区的结构是由引导程序、WINDOWS磁盘签名、分区表、结束标志四个部分组成。
第1步 复制引导程序和磁盘签名。用WinHex打开一块MBR结构完好的硬盘，选中引导程序和磁盘签名部分并且复制这段数值
第2步 写入故障盘。再打开故障盘，把刚才复制的引导程序和磁盘签名写入故障盘的MBR扇区，并把磁盘签名的4个字节稍作修改。
第3步 写入结束标志。把MBR最后两个字节修改为“55 AA”
第4步 修复分区信息。
跳转到硬盘的63号扇区，看看DBR是否完好，用WinHex跳转到63号扇区，从BPB参数中可以看出该分区的大小，如是NTFS分区，所填写分区表时，这个数值要加1。
因为第一个分区装有操作系统，所以要激活，填写“80H”：C/H/S参数已经不起作用，所以随便填，分区类型为FAT32，应填写“0CH”，分区开始位置为63号扇区十六进制为”3F 00 00 00”，分区大小为62926520个扇区十六进制为“B8 2E C0 03”，依次填入后存盘，第一个分区修复完毕。
（2）修复第二个分区：将第一个分区的开始位置63加上其大小62926520，结果是62926583，这就是第二个分区开始扇区号。跳转到此扇区，发现这是一个扩展分区EBR，该分区的大小为251144082，填入计算好的数值。
到此为至所有的分区表都已数据修复完毕，将所做的修改存盘并重启计算机，可以看到硬盘的四个分区都已恢复出来