深入淺出硬碟分區表

                                                       深入淺出硬碟分區表

    人們在使用電腦時，有時由於異常操作，有時由於病毒侵襲，會導致某個分區消失或硬碟無法啟動。究其原因，就是硬碟分區表受損。硬碟分區表可以說是支援硬碟正常工作的骨架.作業系統正是通過它把硬碟劃分為若干個分區,然後再在每個分區裡面建立檔案系統,寫入資料檔案.本文主要講述的是分區表的位置,結構以及各個分區表是如何連結起來的.當掌握了這些知識後,即使分區表受到破壞,一樣也可以根據殘存的資料手工修複分區表，從而修複分區。

一.分區表的位置及識別標誌
    分區表一般位於硬碟某柱面的0磁頭 1扇區.而第1個分區表(也即主要磁碟分割表)總是位於 
(0柱面,1磁頭,1扇區),剩餘的分區表位置可以由主要磁碟分割表依次推匯出來．分區表有64個位元組,佔據其所在扇區的[441-509]位元組.要判定是不是分區表,就看其後緊鄰的兩個位元組(也即[510-511])是不是 "55AA",若是,則為分區表．

二.分區表的結構
分區表由4項組成，每項16個位元組.共4×16 = 64個位元組．每項描述一個分區的基本資料.每個位元組的含義如下:
分區表項含義

位元組	含義
0	Activeflag.活動標誌.若為0x80H,則表示該分區為使用中的磁碟分割.若為0x00H,則表示該分區為非使用中的磁碟分割.
1,2,3	該分區的起始磁頭號,扇區號,柱面號磁頭號 -- 1位元組, 扇區號 -- 2位元組低6位,柱面號 -- 2位元組高2位 + 3位元組
4	分區檔案系統標誌： 分區未用: 0x00H. 擴充分區: 0x05H, 0x0FH. FAT16分區: 0x06H. FAT32分區: 0x0BH, 0x1BH, 0x0CH, 0x1CH. NTFS分區: 0x07H.
5,6,7	該分區的結束磁頭號,扇區號,柱面號，含義同上.
8,9,10,11	邏輯起始扇區號。表示分區起點之前已用了的扇區數.
12,13,14,15	該分區所佔用的扇區數.

分區表項有幾個位元組比較重要，下面分別闡述之：

1、（1，2，3）位元組    磁頭號由（1）位元組8位表示，其範圍為（0 -- 28 - 1），也即（0 磁頭-- 254磁頭）。   扇區號由（2）位元組低6位表示，其範圍為（0 -- 26 - 1），由於扇區號從1開始，所以其範圍是（1扇區-- 63扇區）。   柱面號由（2）位元組高2位 + （3）位元組，共10位表示，其範圍為（0 --2 10 - 1），也即（0 柱面-- 1023柱面）。當柱面號超過1023時，這10位依然表示成1023，需要注意。   （5，6，7）位元組含義同上。

2、（8, 9, 10, 11）位元組      如果是主要磁碟分割表，則這4 個位元組表示該分區起始邏輯扇區號與邏輯0扇區（0柱面，0磁頭，1扇區）之差。如果非主要磁碟分割表，    則這4 個位元組要麼表示該分區起始邏輯扇區號與擴充分區起始邏輯扇區號之差，要麼為63。詳細情況在後面有所闡述。    

注意：

1、扇區上的位元組是按左邊低位，右邊高位的順序排列的。所以在取值時，需要把位元組再反一下，讓高位位元組在左邊，低位位元組在右邊，這一點在讀取邏輯起始扇區號和分區大小時需要注意。舉個例子:第一項的邏輯起始扇區為(3F 00 00 00)，轉換為十進位前要先反一下位元組順序，為（00 00 00 3F）然後在轉換為十進位，即63 .同理分區大小為（3F 04 7D 00），先反為（00 7D 04 3F）再轉換為十進位，即8193087。  

2、邏輯扇區號與（柱面，磁頭，扇區）的相互轉換：令L = 邏輯扇區號，C = 柱面號，H = 磁頭號，S = 扇區號。每道扇區數 =  63每柱面磁頭數 = 255每柱面扇區數 = 每道扇區數* 每柱面磁頭數                 = 63 × 255        = 16065柱面號下標從0開始。磁頭號[0 -- 254]，扇區號[1 -- 63]。邏輯扇區號下標也從0開始。(柱面，磁頭，扇區)轉換成邏輯扇區號的公式為：L = C×16065 + H ×63 + S - 1 ;比如（1柱面，1磁頭，1扇區），其邏輯扇區號為：L = 1×16065 + 1×63 + 1 - 1= 16128邏輯扇區號轉換成(柱面，磁頭，扇區) 公式為：C = L / 16065H = (L % 16065) / 63S = (L % 16065) % 63 + 1比如邏輯扇區號 16127：C = 16127 / 16065 = 1H = (16127 % 16065) / 63 = 0S = (16127 % 16065) % 63 + 1 = 63即（1柱面，0磁頭，63扇區）  

3、分區表上有四項，每一項表示一個分區，所以一個分區表最多隻能表示4個分區。主分 區表上的4項用來表示主要磁碟分割和擴充分區的資訊。因為擴充分區最多隻能有一個，所以硬碟 最多可以有四個主要磁碟分割或者三個主要磁碟分割，一個擴充分區。餘下的分區表是表示邏輯分區的。 這裡有必要闡述一點：邏輯區都是位於擴充分區裡面的，並且邏輯分區的個數沒有限制。 

4、分區表所在扇區通常在（0磁頭，1扇區），而該分區的開始扇區通常位於（1磁頭，1扇區），中間隔了63 個隱藏扇區。  

三.分區錶鏈的尋找
 　分區錶鏈實際上相當於一個單向鏈表結構。第一個分區表，也即主要磁碟分割表，可以有一項 描述擴充分區。而這一項就相當於指標，指向擴充分區。然後我們根據該指標來到擴充分 區起始柱面的0頭1扇區，找到第二個分區表。對於該分區表，通常情況下：第一項描述了 擴充分區中第一個分區的資訊，第二項描述下一個分區,而這第二項就相當於指向第二個分 區的指標，第三項，第四項一般均為0。我們可以根據該指標來到擴充分區中第二個分區起 始柱面的0頭1扇區，找到第三個分區表。以此類推，只到最後一個分區表。而最後一個分 區表只有第一項有資訊,餘下三項均為0.相當於其指標為空白.所以只要找到了一個分區表就可 以推導找出其後面所有分區表。不過該分區表前面的分區表就不好推匯出來了。但令人高興 的是這個鏈表的前端節點，也即主要磁碟分割表的位置是固定的位於（0柱面, 0磁頭, 1扇區）處， 我們可以很輕易的找到它，然後把剩下的所有分區表一一找到。
以筆者的硬碟為例:一個主要磁碟分割（C盤）, 一個擴充分區.擴充分區中有兩個邏輯分區（D盤,E盤）其分區錶鏈如下:

圖一 分區錶鏈

(一).讀取（0柱面，0磁頭，1扇區）處C盤的主要磁碟分割表：

 [80 01 01 00 0B FE 7F FD 3F 00 00 00 3F 04 7D 00 ]                                     [00 00 41 FE 0F FE FF FF 7E 04 7D 00 1F 2C B4 00 ] [00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ]    [00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ]

第一項：（80）（01 01 00）（0B）（FE 7F FD ）（3F 00 00 00 ）（3F 04 7D 00）描述的是C盤的情況。1.（80）：表示C盤為使用中的磁碟分割。即系統會從C盤啟動。2.（01 01 00）：表示C盤的起始扇區為（0柱面，0磁頭，1扇區）。3.（0B）：表示C盤的檔案系統為FAT32。4．（FE 7F FD）：(FE) 16  =  (254) 10  (7F) 16  =  (0111 1111) 2  (FD) 16  =  (1111 1101) 2磁頭號：(254) 10；扇區號：(11 1111) 2  =  (63) 10.柱面號：(01 1111 1101) 2  =  (509) 10故C盤結束扇區為（509柱面，254磁頭，63扇區）。5.（3F 00 00 00）：反向，(00 00 00 3F) 16  =  (63) 10,為C盤起始邏輯扇區號與邏輯0扇區號之差。表示C盤前面已有63個扇區，這63個扇區為系統隱藏扇區。6. (3F 04 7D 00)：反向，(00 7D 04 3F) 16  =  (8193087) 10。表明C盤有8193087個扇區。即（0柱面，1磁頭，1扇區）至（509柱面，254磁頭，63扇區）共有8193087個扇區。

第二項：(00）（00 41 FE）（0F）（FE FF FF）（7E 04 7D 00）（1F 2C B4 00）描述的是擴充分區的情況。1. (00): 表示該分區不是使用中的磁碟分割。2. (00 41 FE):(00) 16  =  (0) 10　 (41) 16  =  (0100 0001) 2  (FE) 16  =  (1111 1110) 2磁頭號：(0) 10；扇區號：(00 0001) 2  =  (1) 10.柱面號：(01 1111 1110) 2  =  (510) 10所以擴充分區的起始扇區為（510柱面，0磁頭，1扇區）。3. (0F): 表示該分區為擴充分區。4. (FE FF FF):(FE) 16  =  (254) 10  (FF) 16  =  (1111 1111) 2  (FF) 16  =  (1111 1111) 2;磁頭號：(254) 10；扇區號：(11 1111) 2  =  (63) 10.柱面號：(11 1111 1111) 2  =  (1023) 10但這是不準確的，因為當柱面號的真實值超過1023時，表示柱面號的10位也依然是1023。5. (7E 04 7D 00):反向，(00 7D 04 7E) 16  =  (8193150) 10. 表示擴充分區的起始扇區號為8193150，即(510 柱面，0磁頭，1扇區)。這是真實準確的，我一般都用這一項來定位分區起點。6. (1F 2C B4 00):反向, (00 B4 2C 1F) 16  =  (11807775) 10. 表示擴充分區共有11807775個扇區。通過上面得到的起點和分區的大小，可以推匯出擴充分區的結束位置：8193150 + 11807775 = 20000925號扇區，即（1244 柱面，254磁頭，63扇區）。

二．尋找D盤分區表 　根據上面的資訊，第二個分區表，也即D盤分區表在（510柱面，0磁頭，1扇區）處。讀取該扇區，得到分區表如下：

[00 01 41 FE 0B FE FF 7B 3F 00 00 00 BF A3 5D 00 ]                                     [00 00 C1 7C 05 FE FF FF FE A3 5D 00 21 88 56 00 ] [00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ] [00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ]

第一項：（00）（01 41 FE）（0B）（FE FF 7B）（3F 00 00 00 ）（BF A3 5D 00）  描述的是D盤的情況。1.（00）：表示D盤不是使用中的磁碟分割。2.（01 41 FE）：  (01) 16  =  (1) 10  (41) 16  =  (0100 0001) 2  (FE) 16  =  (1111 1110) 2.磁頭號：(1) 10；扇區號：(00 0001) 2  =  (1) 10.柱面號：(01 1111 1110) 2  =  (510) 10;故D盤開始扇區為（510柱面，1磁頭，1扇區）。3.（0B）：表示D盤的檔案系統為FAT32。4．（FE FF 7B）：(FE) 16  =  (254) 10 。 (FF) 16  =  (1111 1111) 2  (7B) 16  =  (0111 1011) 2.磁頭號：(254) 10；扇區號：(11 1111) 2  =  (63) 10.柱面號：(11 0111 1011) 2  =  (891) 10故D盤結束扇區為（891柱面，254磁頭，63扇區）。5.（3F 00 00 00）：反向，(00 00 00 3F)16  =  (63)10,為D盤起始邏輯扇區號（510柱面，1磁頭，1扇區）與擴充分區起始邏輯扇區號（510柱面，0磁頭，1扇區）之差。表示D盤前面已有63個扇區，這63個扇區為系統隱藏扇區。6. (BF A3 5D 00)：反向，(00 5D A3 BF) 16  =  (6136767) 10。表明D盤有6136767個扇區。通過上面得到的起點和分區的大小，可以推匯出D盤的結束位置：8193150 + 63 + 6136767 = 14329980號扇區。即（891柱面，254磁頭，63扇區）。與上面的正好吻合。

第二項：(00)（00 C1 7C）（05）（FE FF FF）（FE A3 5D 00）（21 88 56 00）描述的是E盤的情況。1. (00)： 表示E盤不是使用中的磁碟分割。2. (00 C1 7C)：(00) 16  =  (0) 10  (C1) 16  =  (1100 0001) 2  (7C) 16  =  (0111 1100) 2磁頭號：(0) 10扇區號：(00 0001) 2  =  (1) 10柱面號：(11 0111 1100) 2  =  (892) 10所以E盤的起始扇區為（892柱面，0磁頭，1扇區）。3. (05): 表示E盤的在擴充分區裡面。4．(FE FF FF)：(FE) 16  =  (254) 10  (FF) 16  =  (1111 1111) 2  (FF) 16  =  (1111 1111) 2磁頭號：(254) 10扇區號：(11 1111) 2  =  (63) 10柱面號：(11 1111 1111) 2  =  (1023) 10但這是不準確的，原因同上。5．(FE A3 5D 00): 反向，(00 5D A3 FE) 16  =  (6136830) 10. 這一項非常重要，它定位了E盤分區表所在扇區。其值為E盤分區表所在扇區號 與擴充分區起始扇區號之差。所以，E盤分區表所在扇區號為：8193150 + 6136830 = 14329980。即（892柱面，0磁頭，1扇區）。6．(21 88 56 00):反向，(00 56 88 21) 16  =  (5670945) 10.表示E盤共有11807775個扇區。通過上面得到的起點和分區的大小，可以推匯出E盤的結束位置：14329980 + 5670945 = 20000925號扇區，即（1244 柱面，254磁頭，63扇區）。

三．尋找E盤分區表 根據上面的資訊，第三個分區表，也即E盤分區表在（892柱面，0磁頭，1扇區）處。讀取該扇區，得到分區表如下：

[00 01 C1 7C 0B FE FF FF 3F 00 00 00 E2 87 56 00][ 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ][00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ][00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ]該分區表第二項全為0，說明沒有下一個分區表了。該分區表就是分區錶鏈的最後一個節點。

第一項：（00）（01 C1 7C）（0B）（FE FF FF）（3F 00 00 00 ）（E2 87 56 00）該項與D盤分區表的第二項描述的都是E盤的情況，但它們在某些細節上又有所區別。1.（00）：表示E盤不是使用中的磁碟分割。2.（01 C1 7C）：  (01) 16  =  (1) 10  (C1) 16  =  (1100 0001) 2  (7C) 16  =  (0111 1100) 2.磁頭號：(1) 10扇區號：(00 0001) 2  =  (1) 10柱面號：(11 0111 1100) 2  =  (892) 10故E盤起始扇區為（892柱面，1磁頭，1扇區）。3.（0B）：表示E盤的檔案系統為FAT32。4．（FE FF FF）：(FE) 16  =  (254) 10 。 (FF) 16  =  (1111 1111) 2  (FF) 16  =  (1111 1111) 2.磁頭號：(254) 10；扇區號：(11 1111) 2  =  (63) 10.柱面號：(11 1111 1111) 2  =  (1023) 10但這是不準確的，原因同上。5.（3F 00 00 00）：反向，(00 00 00 3F) 16  =  (63) 10.這一項與D盤分區表相應項有所不同.為E盤起始邏輯扇區號（892柱面，1磁頭，1扇區）與（892柱面，0磁頭，1扇區）之差。表示E盤前面已有63個扇區, 這63個扇區為系統隱藏扇區。作業系統無法對這些扇區進行讀寫,所以可以把自己的秘密資訊寫在這裡.6. (E2 87 56 00): 反向，(00 56 87 E2) 16  =  (5670882) 10。表明E盤有5670882個扇區。而D盤分區表相應項為5670945. 5670945 - 5670882 = 63.正好等於63個隱藏扇區.這是因為D盤分區表描述的是(892柱面,0磁頭，1扇區) 到 (1244 柱面，254磁頭，63扇區) 之間的扇區數。而E盤分區表描述的是(892柱面, 1磁頭,1扇區) 到 (1244 柱面，254磁頭，63扇區) 之間的扇區數。

四.結束語
    至此,我們已經打通了整個分區錶鏈.以後在某個鏈節點資料受損時,也可以根據上下節點的資訊而手工定位並修複之。
修複工具可採用可讀寫磁碟的Winhex.

l轉載自：http://www.vckbase.com/document/viewdoc/?id=443
作者：武漢市中國地質大學 印濤,秦劍