对于逻辑类数据恢复技术的学习最重要的就是对各种系统下的分区结构及文件系统结构的学习。作为目前主流的操作系统Windows它能够支持的分区结构包括MBR磁盘分区、动态磁盘分区及GPT磁盘分区它能够支持的文件系统结构包括FAT12、FAT16、FAT32、NTDS和ExFAT。工具下载百度网盘链接:https://pan.baidu.com/s/1QM5FKMmRVHaMQOUAgRGGMQ?pwd8888提取码: 8888夸克网盘链接https://pan.quark.cn/s/2a972c406ea3?pwddTeZ提取码dTeZMBR磁盘分区是使用最广泛的一种分区结构也成为DOS分区。一、主引导记录MBR的结构和作用MBR磁盘分区都有一个引导扇区成为主引导记录英文简称MBR。1、MBR的结构MBR扇区位于整个硬盘的第一个扇区按照C/H/S地址描述即0柱面0磁头1扇区按照LBA地址描述即0扇区。它是一个特殊而重要的扇区。在总共512字节的MBR扇区中由四部分结构组成1引导程序引导程序占用其中的前440字节其地址在便宜0~偏移1B7H处。2Windows磁盘签名Windows磁盘标签占用引导程序后的4字节其地址在偏移1B8H~偏移1BBH处是Windows系统对硬盘初始化时写入的一个磁盘标签。3分区表偏移1BEH~偏移1FDH的64字节为DPTDisk Partition Tables硬盘分区表这是MBR中非常重要的一个结构。4结束标志扇区最后的两个字节“55AA”偏移1FEH~偏移1FFH是MBR的结束标志。如下为MBR的扇区展示2、MBR的作用MBR扇区在计算机引导过程中起到至关重要的作用。计算机在按下电源键以后开始执行主板的BIOS程序进行完一系列检测和配置一会开始按CMOS中设定的系统引导顺序进行引导。1引导程序的作用计算机主板的BIOS程序在自检通过后会将MBR扇区整个读入内存中然后将执行权交给内存中MBR扇区的引导程序。引导程序首先会将自己整个搬到一个较为安全的地址中目的是防止自己被随后读入的其他程序覆盖因为引导程序一旦被破坏就会引起计算机死机从而无法正常引导系统。系统下一步就会判断读入内存的MBR扇区的最后两个字节是否为“55 AA”如果不是则报错在屏幕上会列出错误信息。如果是“55 AA”接下来引导程序会到分区表中查找是否有活动分区。若有活动分区则判断活动分区的引导程序在磁盘中的地址并将该引导程序读入内存及判断其合法性如果是一个合法的引导扇区随后的引导权就交给这个引导扇区去引导操作系统了MBR引导程序的使命就完成了。2Windows磁盘签名的作用Windows磁盘签名是Windows系统在对硬盘做初始化时写入的一个标签它是MBR扇区不可或缺的一组成部分。Windows系统依靠这个签名来识别硬盘如果硬盘的签名丢失Windows系统就会认为该硬盘没有初始化。一块硬盘如果不是系统引导盘MBR扇区可以没有引导程序但绝对不能没有磁盘签名。3分区表的作用分区表是用来管理硬盘的分区的如果分区表被清楚或者破坏则硬盘的分区就会丢失。如果把MBR中的分区表清除其他结构不动重新启动计算机后进入磁盘管理磁盘会被标记为未分配的原始磁盘。4结束标志的作用在执行MBR的引导程序时会严重MBR扇区最后两个字是否为“55 AA”如果是“55 AA”才会继续执行下面的程序如果不是55 AA则程序认为这是一个非法的MBR那么程序停止执行会提示报错。如果一块MBR结构完好并且有分区的硬盘其结束标志55 AA被破坏后该硬盘的分区也将无法读取硬盘会成为“没有初始化”状态。