修复GHOST拷盘锁定源盘的灾难故障Word下载.docx
《修复GHOST拷盘锁定源盘的灾难故障Word下载.docx》由会员分享,可在线阅读,更多相关《修复GHOST拷盘锁定源盘的灾难故障Word下载.docx(37页珍藏版)》请在冰豆网上搜索。
![修复GHOST拷盘锁定源盘的灾难故障Word下载.docx](https://file1.bdocx.com/fileroot1/2023-1/5/f0e9d22a-ef8a-491e-93bc-8fdf71385453/f0e9d22a-ef8a-491e-93bc-8fdf713854531.gif)
GHOST8.0更改的这个信息虽然指向指向一个正确的GPT的分区信息表,经过验证,这个头是完整和系统的。
但是造成实际的“损坏〞,各个磁盘均不能访问,应该说这个更改,是错误的。
不能进展GPT修复,而且原来也不应该是GPT模式,以后使用GPT方式会遇到很多限制和麻烦。
因此修复的思路还是设法完全恢复到MBR传统方式。
这个是“损坏〞后的MBR分区信息。
采用PTDD找到很多盘,一个个检查,核对数据指向链,初步估计仅仅是MBR损坏。
找到下面这个扇区,显然是第一个硬盘的引导扇区,应该把他放在MBR的第一个主盘信息。
下面这个扇区也是一个NTFS盘,从尺寸、位置上看,显然是第二个硬盘。
然后往前找,看看有没有适宜的扩展硬盘的“MBR分区扇区〞,很快找到相应的扇区信息如下:
该分区的LBA地址209728512。
如果这个分区是扩展分区的开场,那么这个地址就成为后续所有逻辑分区逻辑盘的起始地址。
找到下面这个扇区,显然是一个扩展硬盘的“MBR〞扇区,应该把他放在MBR的第二个主盘信息,这个分区的数据后面需要仔细确定。
对上面这个扇区的信息进展验证:
该扇区绝对地址:
209728512
1分区信息:
类型:
00,非引导激活盘
起始磁头:
00
起始扇区:
C1,最高两位给柱面,扇区号实际是01
起始柱面:
FF,获得扇区字节的最高两位,实际是3FF,已经不准确了,应忽略。
分区类别:
07,NTFS盘
终止磁头:
FE
终止扇区:
FF,不正常,已经可以断定不能采用CHS方式,而已经必须使用LBA模式。
终止柱面:
FF
3F000000,十进制:
63,注意:
是相对本扇区而言的相对指针位置!
扇区绝对地址:
209728512+63=209728575
扇区总数:
3F34800C,十进制:
209728575
2分区信息:
FF,已经不准确了,应忽略。
05,下一个扩展磁盘区。
FE,标准通用的标志,指示使用LBA模式。
FF,
BC34800C,十进制:
209728700,注意:
0134800C,十进制:
209728513
209728512+209728700=419457212〔正确〕
注意,十六进制数这里都是低位在前,高位在后。
经过验证,确实指向下一个扩展分区信息扇区,形成正确的磁盘链了。
419457212
FE,使用LBA模式。
01000000,十进制:
1,注意:
419457212+1=419457213
0034800C,十进制:
FB680019,十进制:
419457275,注意:
209728512+419457275=629185787〔正确〕
629185787
01
629185787+1=629185788
3A9D8025,十进制:
629185850,注意:
209728512+629185850=838914362〔正确〕
838914362
838914362+1=838914363
79D10032,十进制:
838914425,注意:
BA7C7E0C,十进制:
209616058
209728512+838914425=1048642937〔正确〕
1048642937
1048642937+1=1048642938
B97C7E0C,十进制:
209616057
714E7F3E,十进制:
1048530545,注意:
209728512+1048530545=1258259057〔正确〕
下面的NTFS引导扇区信息中,28~2B为磁盘扇区总数:
B87C7E0C=B97C7E0C-01,正确.
1258259057
1258259057+1=1258259058
B082FF4A,十进制:
209728512+1048530545=1258259057〔正确〕
FF33800C=0034800C-01,正确.
1467987632
1467987632+1=1467987633
EFB67F57,十进制:
1467987695,注意:
D26E7010,十进制:
275803858
209728512+1467987695=1677716207〔正确〕
1677716207=209728512+1467987695〔正确〕
最后只有一个分区信息:
1677716207+1=1677716208
D16E7010,十进制:
275803857
D06E7010=D16E7010-01,正确.
这个扇区是第一个NTFS扇区的引导区备份,在磁盘的最后一个扇区.经核对,和第一个一样.
这最后一个扇区的LBA号1953520064,将永远计算扩展分区的总量时参考使用。
核对最后一个盘的引导扇区,发现和物理硬盘的最后一个扇区的容一样.
证明计算正确。
可以利用NTFS盘的第一个在本盘最后一个扇区做备份,仔细核对其它磁盘,看看定义的容是否一样。
笔者认为不会有误,也就不再验证了。
下面这个是同时找到的逻辑分区信息扇区,
419457150
419457150+63=419457213
209728575,注意:
209728512+209728575=419457087
但是,对应的扇区不是下一个分区定义扇区,是数据:
因此前述的分区定义扇区是以前的分区垃圾残留。
应该忽略。
从前述推理、梳理可以得到完整的硬盘链,209728512应该是扩展分区的入口。
这样得出结论是磁盘系统MBR中只有两个有效分区,具体数据如下:
80,引导激活盘
FF,必须使用LBA模式。
0134800C〔根据NTFS盘引导扇区28~2B数据+1获得〕
0F,扩展磁盘区。
209728512,注意:
C025F067,十进制:
195352012=1743791552
扇区总数是
珍贵的关键数据只有32个字节,折腾了这么半天:
8001010007FEFFFF3F0000000134800C
00FEFFFF0FFEFFFF0034800CC025F067
写入后D~K盘都正常了,能看到盘标.但是C盘仍不正常.
看到两个扇区里面的扇区总数不一样.最后一个扇区定义的扇区数是:
D06E7010=275803856,和实际相差太远,不考虑.
根据计算,实际扇区总数,不能超过第二个分区起始-第一个盘的起始扇区号-1
应该是
209728512-63=209728449=C133800C
引导扇区里面,28~2B字节,应该是C033800C或更小.
8001010007FEFFFF3F000000C133800C
这次有所好转,C盘从逻辑上显示,正常了.但是,看不到卷标,还是有问题:
翻看引导扇区后续的扇区,都是空白,和其他NTFS盘的情况对照,那些NTFS盘的第二个扇区都是类似下述容:
因此,疑心,这个扇区的前一个扇区2048才应该是第一个NTFS起始引导扇区.
再修改MBR分区信息里面第一分区指向2048而不是63:
8020210007FEFFFF00080000002C800C
NTFS引导扇区里面,28~2B字节,应该是FF2B800C或更小.
209728512-2048=209726464=002C800C
再把这个复制到0和2048(0008)扇区。
2048扇区是填充了F6,这应该是GHOST干的。
恢复成:
分区信息恢复成:
写入后,为了平安起见,彻底破坏GPT信息,即将扇区1~4清空,防止系统误读GPT信息。
注意,到了这时,PTDD已经不能正确读取磁盘分区解释了,他只能是一个底层的编辑工具。
把这个磁盘节电一个windows系统中,包括XP、Win7,都可以识别所有盘符和标签。
我们是用主板连接和USB硬盘盒都可以识别。
遗憾的是,Windows启动过程比拟复杂,光回复所有文件,包括NTFS盘的隐藏文件,也不能保证他顺利启动。
启动过程中死机。
一种解决方法是修复,但是不敢冒险;
另外一个方法,是在做一个系统引导盘,来带动这个原来得系统。
最后重新在一个新硬盘上安装一个windows系统,然后再加挂这个硬盘,再启动,系统出现两个选项:
第一个,是新安装的,第二个是原来的。
选择第二个,也可以顺利启动,所有的功能、软件、文件都全部恢复,和以前一样。
区别就是启动的时候选择一下,另外新增加一个硬盘。
也算不幸中之万幸了!
!