修复GHOST拷盘锁定源盘的灾难故障Word下载.docx
《修复GHOST拷盘锁定源盘的灾难故障Word下载.docx》由会员分享，可在线阅读，更多相关《修复GHOST拷盘锁定源盘的灾难故障Word下载.docx（37页珍藏版）》请在冰豆网上搜索。
GHOST8.0更改的这个信息虽然指向指向一个正确的GPT的分区信息表，经过验证，这个头是完整和系统的。
但是造成实际的“损坏〞，各个磁盘均不能访问，应该说这个更改，是错误的。
不能进展GPT修复，而且原来也不应该是GPT模式，以后使用GPT方式会遇到很多限制和麻烦。
因此修复的思路还是设法完全恢复到MBR传统方式。
这个是“损坏〞后的MBR分区信息。
采用PTDD找到很多盘，一个个检查，核对数据指向链，初步估计仅仅是MBR损坏。
找到下面这个扇区，显然是第一个硬盘的引导扇区，应该把他放在MBR的第一个主盘信息。
下面这个扇区也是一个NTFS盘，从尺寸、位置上看，显然是第二个硬盘。
然后往前找，看看有没有适宜的扩展硬盘的“MBR分区扇区〞，很快找到相应的扇区信息如下：
该分区的LBA地址209728512。
如果这个分区是扩展分区的开场，那么这个地址就成为后续所有逻辑分区逻辑盘的起始地址。
找到下面这个扇区，显然是一个扩展硬盘的“MBR〞扇区，应该把他放在MBR的第二个主盘信息，这个分区的数据后面需要仔细确定。
对上面这个扇区的信息进展验证：
该扇区绝对地址：
209728512
1分区信息：
类型：
00，非引导激活盘
起始磁头：
00
起始扇区：
C1，最高两位给柱面，扇区号实际是01
起始柱面：
FF，获得扇区字节的最高两位，实际是3FF，已经不准确了，应忽略。
分区类别：
07，NTFS盘
终止磁头：
FE
终止扇区：
FF，不正常，已经可以断定不能采用CHS方式，而已经必须使用LBA模式。
终止柱面：
FF
3F000000，十进制：
63，注意：
是相对本扇区而言的相对指针位置！
扇区绝对地址：
209728512+63=209728575
扇区总数：
3F34800C，十进制：
209728575
2分区信息：
FF，已经不准确了，应忽略。
05，下一个扩展磁盘区。
FE，标准通用的标志，指示使用LBA模式。
FF，
BC34800C，十进制：
209728700，注意：
0134800C，十进制：
209728513
209728512+209728700=419457212〔正确〕
注意，十六进制数这里都是低位在前，高位在后。
经过验证，确实指向下一个扩展分区信息扇区，形成正确的磁盘链了。
419457212
FE，使用LBA模式。
01000000，十进制：
1，注意：
419457212+1=419457213
0034800C，十进制：
FB680019，十进制：
419457275，注意：
209728512+419457275=629185787〔正确〕
629185787
01
629185787+1=629185788
3A9D8025，十进制：
629185850，注意：
209728512+629185850=838914362〔正确〕
838914362
838914362+1=838914363
79D10032，十进制：
838914425，注意：
BA7C7E0C，十进制：
209616058
209728512+838914425=1048642937〔正确〕
1048642937
1048642937+1=1048642938
B97C7E0C，十进制：
209616057
714E7F3E，十进制：
1048530545，注意：
209728512+1048530545=1258259057〔正确〕
下面的NTFS引导扇区信息中,28~2B为磁盘扇区总数:
B87C7E0C=B97C7E0C-01,正确.
1258259057
1258259057+1=1258259058
B082FF4A，十进制：
209728512+1048530545=1258259057〔正确〕
FF33800C=0034800C-01,正确.
1467987632
1467987632+1=1467987633
EFB67F57，十进制：
1467987695，注意：
D26E7010，十进制：
275803858
209728512+1467987695=1677716207〔正确〕
1677716207=209728512+1467987695〔正确〕
最后只有一个分区信息：
1677716207+1=1677716208
D16E7010，十进制：
275803857
D06E7010=D16E7010-01,正确.
这个扇区是第一个NTFS扇区的引导区备份,在磁盘的最后一个扇区.经核对,和第一个一样.
这最后一个扇区的LBA号1953520064，将永远计算扩展分区的总量时参考使用。
核对最后一个盘的引导扇区,发现和物理硬盘的最后一个扇区的容一样.
证明计算正确。
可以利用NTFS盘的第一个在本盘最后一个扇区做备份，仔细核对其它磁盘，看看定义的容是否一样。
笔者认为不会有误，也就不再验证了。
下面这个是同时找到的逻辑分区信息扇区，
419457150
419457150+63=419457213
209728575，注意：
209728512+209728575=419457087
但是，对应的扇区不是下一个分区定义扇区，是数据：
因此前述的分区定义扇区是以前的分区垃圾残留。
应该忽略。
从前述推理、梳理可以得到完整的硬盘链，209728512应该是扩展分区的入口。
这样得出结论是磁盘系统MBR中只有两个有效分区，具体数据如下：
80，引导激活盘
FF，必须使用LBA模式。
0134800C〔根据NTFS盘引导扇区28~2B数据+1获得〕
0F，扩展磁盘区。
209728512，注意：
C025F067，十进制：
195352012=1743791552
扇区总数是
珍贵的关键数据只有32个字节，折腾了这么半天：
8001010007FEFFFF3F0000000134800C
00FEFFFF0FFEFFFF0034800CC025F067
写入后D~K盘都正常了,能看到盘标.但是C盘仍不正常.
看到两个扇区里面的扇区总数不一样.最后一个扇区定义的扇区数是:
D06E7010=275803856,和实际相差太远,不考虑.
根据计算,实际扇区总数,不能超过第二个分区起始-第一个盘的起始扇区号-1
应该是
209728512-63=209728449=C133800C
引导扇区里面,28~2B字节,应该是C033800C或更小.
8001010007FEFFFF3F000000C133800C
这次有所好转,C盘从逻辑上显示,正常了.但是,看不到卷标,还是有问题:
翻看引导扇区后续的扇区,都是空白,和其他NTFS盘的情况对照,那些NTFS盘的第二个扇区都是类似下述容:
因此,疑心,这个扇区的前一个扇区2048才应该是第一个NTFS起始引导扇区.
再修改MBR分区信息里面第一分区指向2048而不是63:
8020210007FEFFFF00080000002C800C
NTFS引导扇区里面,28~2B字节,应该是FF2B800C或更小.
209728512-2048=209726464=002C800C
再把这个复制到0和2048（0008）扇区。
2048扇区是填充了F6，这应该是GHOST干的。
恢复成：
分区信息恢复成：
写入后，为了平安起见，彻底破坏GPT信息，即将扇区1~4清空，防止系统误读GPT信息。
注意，到了这时，PTDD已经不能正确读取磁盘分区解释了，他只能是一个底层的编辑工具。
把这个磁盘节电一个windows系统中，包括XP、Win7，都可以识别所有盘符和标签。
我们是用主板连接和USB硬盘盒都可以识别。
遗憾的是，Windows启动过程比拟复杂，光回复所有文件，包括NTFS盘的隐藏文件，也不能保证他顺利启动。
启动过程中死机。
一种解决方法是修复，但是不敢冒险；
另外一个方法，是在做一个系统引导盘，来带动这个原来得系统。
最后重新在一个新硬盘上安装一个windows系统，然后再加挂这个硬盘，再启动，系统出现两个选项：
第一个，是新安装的，第二个是原来的。
选择第二个，也可以顺利启动，所有的功能、软件、文件都全部恢复，和以前一样。
区别就是启动的时候选择一下，另外新增加一个硬盘。
也算不幸中之万幸了！
！
升级会员 