数据恢复之分区误删除
刚刚学完数据恢复，老师给我们一块虚拟硬盘让我们恢复数据。其实就是分区误删除。把分区表重建出来，数据就恢复啦，并且删除分区之前的数据可以百分之百的恢复出来。完全恢复的前提是没有对该分区重新分区格式化，没有再写入数据。
下图是在计算机管理中看的硬盘
下面介绍一下我恢复的过程。
首先我用WinHex分析了一下硬盘的分区表。从WinHex中我们可以知道原来该硬盘共有4个分区，如图
该硬盘的分区结构有点复杂前两个文件系统类型是FAT32、后两个的类型是NTFS。接下来我算了一下这四个分区的起始和结束。
我的计算方法是：通过“访问”找到分区的起始记录下来，然后在找到下一个分区的起始。一般情况下分区与分区之间很紧凑，首尾相连。找到下一个分区的起始就可以推算出上一个分区的结束。分区的大小在每个分区的第一个扇区中有记录，由文件系统的类型决定记录的位置。FAT32类型:分区大小记录的位置在0x20H （也就是该分区起始扇区第三行的前四个字节）这四个字节表示该分区的实际扇区数；NTFS类型：分区大小记录的位置在0x28H（也就是该分区起始扇区第三行第8~12）这四个字节表示的扇区数比该分区的实际扇区数少一个扇区。
演示一个：
1、第一个分区 “访问”——“打开起始扇区”
这是第一个FAT32分区的大小： 00 82 3E 00
将十六进制的熟转换为十进制：4096512
用LBA表示起始扇区是：63
用C/H/S 表示起始扇区：0/1/1
2、第二个分区 “访问”——“打开起始扇区”
只需要看扇区：4096575 所以第一个分区的结束就是它的上一个扇区：4096574
3、总结分区起始和结束是：
LBA 63——4096574
C/H/S 0/1/1——254/254/63
按照以上方法算出每个分区的起始和结束。在算到第三个扇区时有点问题，它的起始和上一个分区的结束相差63个扇区。初步推断那应该有一个分区表。并且在第四个分区的前面也有一个分区表，该分区表保存完整不需要改动。只需要修复前两个分区表就行啦。所以我绘制了如下硬盘分区示意图
这样分区表中重要的数据就有啦。BIOS识别分区表主要是看它下面三项：
1、第一个字节（是否可引导）
2、第五个字节（文件系统的类型）
3、后八个字节（前四个字节分区之前的扇区数、后四个字节分区的大小）
接下来开始计算分区表，一共有三个分区表只需要恢复前两个就可以啦。下面是我经过计算得出来的分区表：
分区表<一>
分区表<二>
好啦！ 分区表已经恢复出来啦 ，只要保存后重启计算机。
分配新的盘符后打开数据都在。
并且数据可用，打开该版本的WinHex
数据都恢复啦！还有一种简单的方法用深山红叶工具盘中的“万用 MS-DOS 工具箱”
用Diskgen 重建分区表
请各位博友多宝贵意见！
转载于:https://blog.51cto.com/kaimj89/281577