修复GHOST拷盘锁定源盘的灾难故障Word下载.docx

1、GHOST8.0更改的这个信息虽然指向指向一个正确的GPT的分区信息表，经过验证，这个头是完整和系统的。但是造成实际的“损坏，各个磁盘均不能访问，应该说这个更改，是错误的。不能进展GPT修复，而且原来也不应该是GPT模式，以后使用GPT方式会遇到很多限制和麻烦。因此修复的思路还是设法完全恢复到MBR传统方式。这个是“损坏后的MBR分区信息。采用PTDD找到很多盘，一个个检查，核对数据指向链，初步估计仅仅是MBR损坏。找到下面这个扇区，显然是第一个硬盘的引导扇区，应该把他放在MBR的第一个主盘信息。下面这个扇区也是一个NTFS盘，从尺寸、位置上看，显然是第二个硬盘。然后往前找，看看有没有适宜的扩

2、展硬盘的“MBR分区扇区，很快找到相应的扇区信息如下：该分区的LBA地址 209728512。如果这个分区是扩展分区的开场，那么这个地址就成为后续所有逻辑分区逻辑盘的起始地址。找到下面这个扇区，显然是一个扩展硬盘的“MBR扇区，应该把他放在MBR的第二个主盘信息，这个分区的数据后面需要仔细确定。对上面这个扇区的信息进展验证：该扇区绝对地址：2097285121分区信息：类型：00，非引导激活盘起始磁头：00起始扇区：C1，最高两位给柱面，扇区号实际是01起始柱面：FF，获得扇区字节的最高两位，实际是3FF，已经不准确了，应忽略。分区类别：07，NTFS盘终止磁头：FE终止扇区：FF，不正常，已

3、经可以断定不能采用CHS方式，而已经必须使用LBA模式。终止柱面：FF3F 00 00 00，十进制：63，注意：是相对本扇区而言的相对指针位置！扇区绝对地址：209728512+63=209728575扇区总数：3F 34 80 0C，十进制：2097285752分区信息：FF，已经不准确了，应忽略。05，下一个扩展磁盘区。FE，标准通用的标志，指示使用LBA模式。FF，BC 34 80 0C，十进制：209728700，注意：01 34 80 0C，十进制：209728513209728512+209728700=419457212正确注意，十六进制数这里都是低位在前，高位在后。经过验证，

4、确实指向下一个扩展分区信息扇区，形成正确的磁盘链了。419457212FE，使用LBA模式。01 00 00 00，十进制：1，注意：419457212+1=41945721300 34 80 0C，十进制：FB 68 00 19，十进制：419457275，注意：209728512+419457275=629185787正确62918578701629185787+1=6291857883A 9D 80 25，十进制：629185850，注意：209728512 + 629185850 =838914362正确838914362838914362+1=83891436379 D1 00 32

5、，十进制：838914425，注意：BA 7C 7E 0C，十进制：209616058209728512 + 838914425 = 1048642937正确10486429371048642937+1=1048642938B9 7C 7E 0C，十进制：20961605771 4E 7F 3E，十进制：1048530545，注意：209728512 + 1048530545=1258259057正确下面的NTFS引导扇区信息中,282B为磁盘扇区总数:B8 7C 7E 0C=B9 7C 7E 0C- 01,正确.12582590571258259057+1=1258259058B0 82 F

6、F 4A，十进制：209728512 + 1048530545=1258259057 正确FF 33 80 0C= 00 34 80 0C- 01,正确.14679876321467987632+1=1467987633EF B6 7F 57，十进制：1467987695，注意：D2 6E 70 10，十进制：275803858209728512 + 1467987695=1677716207正确1677716207 =209728512 + 1467987695 正确最后只有一个分区信息：1677716207+1=1677716208D1 6E 70 10，十进制：275803857D0 6

7、E 70 10 = D1 6E 70 10- 01,正确.这个扇区是第一个NTFS扇区的引导区备份,在磁盘的最后一个扇区.经核对,和第一个一样.这最后一个扇区的LBA号1953520064，将永远计算扩展分区的总量时参考使用。核对最后一个盘的引导扇区,发现和物理硬盘的最后一个扇区的容一样.证明计算正确。可以利用NTFS盘的第一个在本盘最后一个扇区做备份，仔细核对其它磁盘，看看定义的容是否一样。笔者认为不会有误，也就不再验证了。下面这个是同时找到的逻辑分区信息扇区，419457150419457150+63=419457213209728575，注意：209728512 + 209728575=

8、419457087但是，对应的扇区不是下一个分区定义扇区，是数据：因此前述的分区定义扇区是以前的分区垃圾残留。应该忽略。从前述推理、梳理可以得到完整的硬盘链，209728512 应该是扩展分区的入口。这样得出结论是磁盘系统MBR中只有两个有效分区，具体数据如下：80，引导激活盘FF，必须使用LBA模式。01 34 80 0C 根据NTFS盘引导扇区282B数据+1获得0F，扩展磁盘区。209728512，注意：C0 25 F0 67，十进制：195352012=1743791552扇区总数是珍贵的关键数据只有32个字节，折腾了这么半天：80 01 01 00 07 FE FF FF 3F 00

9、 00 00 01 34 80 0C00 FE FF FF 0F FE FF FF 00 34 80 0C C0 25 F0 67写入后DK盘都正常了,能看到盘标.但是C盘仍不正常.看到两个扇区里面的扇区总数不一样.最后一个扇区定义的扇区数是:D0 6E 70 10 = 275803856,和实际相差太远,不考虑.根据计算,实际扇区总数,不能超过第二个分区起始-第一个盘的起始扇区号-1,应该是209728512 - 63 =209728449= C1 33 80 0C引导扇区里面,282B字节,应该是 C0 33 80 0C或更小.80 01 01 00 07 FE FF FF 3F 00 0

10、0 00 C1 33 80 0C这次有所好转,C盘从逻辑上显示,正常了.但是,看不到卷标,还是有问题:翻看引导扇区后续的扇区,都是空白,和其他NTFS盘的情况对照,那些NTFS盘的第二个扇区都是类似下述容:因此,疑心,这个扇区的前一个扇区2048才应该是第一个NTFS起始引导扇区.再修改MBR分区信息里面第一分区指向2048 而不是63 :80 20 21 00 07 FE FF FF 00 08 00 00 00 2C 80 0CNTFS引导扇区里面,282B字节,应该是 FF 2B 80 0C或更小.209728512 - 2048 =209726464= 00 2C 80 0C再把这个复

11、制到0 和 2048（00 08）扇区。2048扇区是填充了F6，这应该是GHOST干的。恢复成：分区信息恢复成：写入后，为了平安起见，彻底破坏GPT信息，即将扇区14清空，防止系统误读GPT信息。注意，到了这时，PTDD已经不能正确读取磁盘分区解释了，他只能是一个底层的编辑工具。把这个磁盘节电一个windows系统中，包括XP、Win7，都可以识别所有盘符和标签。我们是用主板连接和USB硬盘盒都可以识别。遗憾的是，Windows启动过程比拟复杂，光回复所有文件，包括NTFS盘的隐藏文件，也不能保证他顺利启动。启动过程中死机。一种解决方法是修复，但是不敢冒险；另外一个方法，是在做一个系统引导盘，来带动这个原来得系统。最后重新在一个新硬盘上安装一个windows系统，然后再加挂这个硬盘，再启动，系统出现两个选项：第一个，是新安装的，第二个是原来的。选择第二个，也可以顺利启动，所有的功能、软件、文件都全部恢复，和以前一样。区别就是启动的时候选择一下，另外新增加一个硬盘。也算不幸中之万幸了！