gaoshuang78 发表于 2010-2-11 15:05:20

案例分享（高爽）-用winpe变成4个分区的恢复

qq：61621946的朋友，用winpe的盘将320g的硬盘快速分成了4个区，造成以前分区丢失。

问题描述：qq：61621946的朋友有2块硬盘，500g和320g。想对500g的分区，所有在bios中屏蔽了320g的盘，然后在winpe中快速分成了4个区。重启一看，其实分的是320g的盘，这样造成了320g盘上的分区全部丢失。

情况分析：沟通后发现qq：61621946的朋友不知道以前是几个区，可能是4个，也有可能是6个。不管是几个，这样的情况全部视为重新分区情况。

恢复操作：
1、给他了一个TeamViewerQS，和winhex。用TeamViewer远程过去。
2、用winhex开320g的盘，分析。0，63都正常（肯定的），1到62没有留下残存的信息。
3、跳到盘尾，向上找55aa，30秒没有找到，问对方分区格式，对方说以前c是ntfs，其他是fat32，那盘尾肯定就没有dbr备份了。（他重分的4个区也是fat32的）
4、用finaldata扫整盘，只找X柱1头1扇，看在不在固定位置，1分钟内找到一个可能的分区
5、通过找到的信息，和现有的分区信息，确定找到的是以前的分区，跳过去看dbr，dbr没有问题，直接以这dbr为分区起始，虚拟出来一个分区，看数据是否正常。数据没有问题，确定就是要找的分区。
6、他的盘比较奇怪，没有第一个ebr，后面的有，但是是乱的。所以，还是直接在mbr中指dbr会更快，而且可以排除ebr错乱的干扰。
7、还有一点比较奇怪，他的每个分区之间都有间隙，这到不难，可以按照分区大小跳到正常位置，然后再上下跑1分钟55aa就可以找到了，当然，先向下跑的可能大一些。
8、把他的后面的几个区在mbr中直接指向dbr，数据全部恢复，整个过程10分钟左右。

tmdge 发表于 2010-2-11 15:41:22

好帖,大概都看懂了.

carbotex 发表于 2010-2-11 15:51:27

谢谢啊 LZ啊~

innovation 发表于 2010-2-11 16:31:49

分享一下你的TeamViewerQS。我的用一点时间就不让我用了。只能看到对方的屏幕。
谢谢。

lyw4682 发表于 2010-2-11 18:02:13

支持！！！！！！！！

mahuafeng 发表于 2010-2-11 20:35:41

支持！！！！！！！！

hanxuefei 发表于 2010-2-12 08:18:43

谢谢老师的经验只谈（38：

wyh198011 发表于 2010-2-12 08:21:25

谢谢高老师学习了

zbss 发表于 2010-2-18 21:40:44

只是说了一下表面的经历，没有什么技术分析，这样的文章可作为娱乐性看看

awolfs8888 发表于 2010-2-26 10:05:29

呵呵...不错的方法...........
页: [1] 2
查看完整版本: 案例分享（高爽）-用winpe变成4个分区的恢复