1726人阅读
操作系统（22）
文件系统引导扇区数据结构
起始地址（16进制）
起始地址（10进制）
长度（字节）
跳转语句（通常为EB XX 90jmp short rel8, nop，在一些旧的驱动器上可能使用E9 XX XXjmp near rel16）
‘MSDOS5.0’，‘MSWIN4.0’或‘MSWIN4.1’
BIOS参数块（BPB）
每个扇区的字节数（通常为512）
每个簇的扇区数
保留扇区数，最少为1
文件分配表（FAT）数，通常为2
根目录项数，通常为512
介质描述符
每个FAT的扇区数
每个磁道的扇区数
隐藏扇区数
拓展BIOS参数块
物理驱动器号，软盘为0，硬盘为80h
拓展BPB签名：29h或28h
卷ID，为一随机数，用于区分磁盘
系统ID：‘FAT12’或‘FAT16’
可引导磁盘签名0x55，0xAA
起始地址（16进制）
起始地址（10进制）
长度（字节）
跳转语句（通常为EB XX 90jmp short rel8, nop）
‘MSDOS5.0’，‘MSWIN4.0’或‘MSWIN4.1’
BIOS参数块（BPB）
每个扇区的字节数（通常为512）
每个簇的扇区数
保留扇区数，通常为32
文件分配表（FAT）数，通常为2
根目录项数（保留，为0）
小扇区数（保留，为0）
介质描述符
每个FAT的扇区数（保留，为0）
每个磁道的扇区数
隐藏扇区数（即该分区之前的扇区数，等于该VBR所在的扇区的序号）
每个FAT的扇区数
文件系统版本
根目录的首个簇
文件系统信息扇区
备份启动扇区
拓展BIOS参数块
物理驱动器号，软盘为0，硬盘为80h
拓展BPB签名：29h或28h
卷ID，为一随机数，用于区分磁盘
系统ID：‘FAT32’
可引导磁盘签名0x55，0xAA
起始地址（16进制）
起始地址（10进制）
长度（字节）
跳转语句（通常为EB XX 90jmp short rel8, nop）
‘NTFS &&&’
BIOS参数块（BPB）
每个扇区的字节数（通常为512）
每个簇的扇区数
保留扇区数
不被NTFS使用，为0
介质描述符，0F8h
每个磁道的扇区数，通常为63
磁头数，通常为255
隐藏扇区数（即该分区之前的扇区数，等于该VBR所在的扇区的序号）
不被NTFS使用
保留，总是h
文件$MFT的逻辑簇数
文件$MFTmirr的逻辑簇数
拓展BIOS参数块
每个文件记录段的簇数
每个索引块的簇数，通常为1
校验和，通常为0
可引导磁盘签名0x55，0xAA
参考知识库
* 以上用户言论只代表其个人观点，不代表CSDN网站的观点或立场
访问：70108次
排名：千里之外
原创：14篇
转载：21篇
评论：11条
(1)(1)(1)(6)(2)(3)(3)(1)(1)(2)(2)(1)(4)(2)(1)(1)(7)(3)(1)查看: 6177|回复: 12
NTFS分区的DBR备份在该分区的最后一个扇区如何查找?
下载分1833 分
原创币2 点
下载次数229 次
上传次数14 次
主题帖子积分
会员等级：
铜牌维客, 积分 190, 距离下一级还需 10 积分
FAT32可以跳转到第6扇区找出DBR的备份,NTFS的DBR备份怎么才能查找?大伙指点下,这一点不明白.还有第一分区表和第二分区表是什么意思.我在网上下的WINHEX教程有点看不明白,大伙帮助一下.
下载分1833 分
原创币2 点
下载次数229 次
上传次数14 次
主题帖子积分
会员等级：
铜牌维客, 积分 190, 距离下一级还需 10 积分
都不太愿意说啊,今天倒是把U盘镜像做成了,只可惜WINHEX的按文件类型恢复用不起,不知是不是要注册才能用?
下载分5 分
原创币0 点
下载次数31 次
上传次数2 次
主题帖子积分
会员等级：
小小白, 积分 4, 距离下一级还需 6 积分
回复 #1 旗舰电脑 的帖子
按找分区表找大小，用开始加上大小就是最后一个扇区，前后查找一下，以eb 52 90开始的就是备份。
下载分-40 分
原创币0 点
下载次数81 次
上传次数0 次
主题帖子积分
会员等级：
初学乍练, 积分 17, 距离下一级还需 13 积分
我也不是很懂用，现在研究中。。。。。
不遵守版规
下载分313 分
原创币0 点
下载次数29 次
上传次数9 次
主题帖子积分
会员等级：
初学乍练, 积分 20, 距离下一级还需 10 积分
找到第二个分区开始扇区！往上一个，不就是第一分区的最后一个扇区嘛！
下载分-40 分
原创币0 点
下载次数81 次
上传次数0 次
主题帖子积分
会员等级：
初学乍练, 积分 17, 距离下一级还需 13 积分
找到了然后地址怎么算啊？
下载分-12 分
原创币0 点
下载次数1 次
上传次数0 次
主题帖子积分
会员等级：
小小白, 积分 0, 距离下一级还需 10 积分
这要看分区是什么状态,如果没被破坏,可用当前扇区数+DBR中偏移28后的四个字节,就可以找到备份的DBR,当被破坏,要知道这个分区大约有多大,从后向前搜
下载分113 分
原创币0 点
下载次数15 次
上传次数0 次
主题帖子积分
会员等级：
小小白, 积分 7, 距离下一级还需 3 积分
你可以用WINHEX的查找功能，查EB5290 偏移512=0来找的。这样可能简单一些的
下载分313 分
原创币0 点
下载次数29 次
上传次数9 次
主题帖子积分
会员等级：
初学乍练, 积分 20, 距离下一级还需 10 积分
找到下一个分区的第一扇区！然后倒退一个扇区！就是要找分区的最后一个扇区了！
下载分-57 分
原创币0 点
下载次数47 次
上传次数0 次
主题帖子积分
会员等级：
小小白, 积分 6, 距离下一级还需 4 积分
&你可以用WINHEX的查找功能，查EB5290 偏移512=0来找的&我试验了 怎么不行？
下载分-57 分
原创币0 点
下载次数47 次
上传次数0 次
主题帖子积分
会员等级：
小小白, 积分 6, 距离下一级还需 4 积分
是不是因为是U盘的原因？
下载分-57 分
原创币0 点
下载次数47 次
上传次数0 次
主题帖子积分
会员等级：
小小白, 积分 6, 距离下一级还需 4 积分
可以用winhex搜索标志字啊。。。
下载分14 分
原创币0 点
下载次数53 次
上传次数0 次
主题帖子积分
会员等级：
小小白, 积分 4, 距离下一级还需 6 积分
不太懂，学习中。。。。
Powered by Discuz! X3.2 -wLicensed
& 2016 Comsenz Inc.FAT16 DBR参数与FAT16存储原理
来源：pconline 原创&
作者：非常可乐&
责任编辑：gongjianhui&
　　　　本文来自网络整理。　　　　当把一部分磁盘空间格式化为文件系统时，fat文件系统就将这个分区当成整块可分配的区域进行规划，以便于数据的存储。我们把部分提取出来，详细描述一下：　　FAT16是较早推出的文件系统，具有高度兼容性，目前仍然广泛应用于个人电脑尤其是移动存储设备中，FAT16简单来讲由6部分组成(主要是前5部分)。引导扇区(DBR)我们已经说过,FAT16在DBR之后没有留有任何保留扇区，其后紧随的便是FAT表。FAT表是FAT16用来记录磁盘数据区簇链结构的。像前面我们说过的例子一样，FAT将磁盘空间按一定数目的扇区为单位进行划分，这样的单位称为簇。通常情况下，每扇区512字节的原则是不变的。簇的大小一般是2n (n为整数)个扇区的大小，像512B,1K,2K,4K,8K,16K,32K，64K。实际中通常不超过32K。 之所以簇为单位而不以扇区为单位进行磁盘的分配，是因为当分区容量较大时，采用大小为512b的扇区管理会增加fat表的项数，对大文件存取增加消耗，文件系统效率不高。分区的大小和簇的取值是有关系的，见下表 　　分区的大小和簇的取值　　　　注意：少于32680个扇区的分区中，簇空间大小可最多达到每个簇8个扇区。不管用户是使用磁盘管理器来格式化分区，还是使用命令提示行键入format命令格式化，格式化程序都创建一个12位的FAT。少于16MB的分区，系统通常会将其格式化成12位的FAT，FAT12是FAT的初始实现形式，是针对小型介质的。FAT12文件分配表要比FAT16和FAT32的文件分配表小，因为它对每个条目使用的空间较少。这就给数据留下较多的空间。所有用FAT12格式化的5.25英寸软盘以及1.44MB的3.5英寸软盘都是由FAT12格式化的。除了FAT表中记录每簇链结的二进制位数与FAT16不同外，其余原理与FAT16均相同，不再单独解释。　　格式化FAT16分区时，格式化程序根据分区的大小确定簇的大小，然后根据保留扇区的数目、根目录的扇区数目、数据区可分的簇数与FAT表本身所占空间 来确定FAT表所需的扇区数目，然后将计算后的结果写入DBR的相关位置。　　FAT16 DBR参数的偏移0x11处记录了根目录所占扇区的数目。偏移0x16记录了FAT表所占扇区的数据。偏移0x10记录了FAT表的副本数目。系统在得到这几项参数以后，就可以确定数据区的开始扇区偏移了。　　FAT16文件系统从根目录所占的32个扇区之后的第一个扇区开始以簇为单位进行数据的处理，这之前仍以扇区为单位。对于根目录之后的第一个簇，系统并不编号为第0簇或第1簇 (可能是留作关键字的原因吧)，而是编号为第2簇，也就是说数据区顺序上的第1个簇也是编号上的第2簇。　　FAT文件系统之所以有12，16，32不同的版本之分，其根本在于FAT表用来记录任意一簇链接的二进制位数。以FAT16为例，每一簇在FAT表中占据2字节(二进制16位)。所以，FAT16最大可以表示的簇号为0xFFFF(十进制的65535)，以32K为簇的大小的话，FAT32可以管理的最大磁盘空间为：32KB×MB,这就是为什么FAT16不支持超过2GB分区的原因。　　FAT表实际上是一个数据表，以2个字节为单位，我们暂将这个单位称为FAT记录项，通常情况其第1、2个记录项(前4个字节)用作介质描述。从第三个记录项开始记录除根目录外的其他文件及文件夹的簇链情况。根据簇的表现情况FAT用相应的取值来描述，见表10　　FAT16纪录项的取值　　看一幅在winhex所截FAT16的文件分配表： 　　FAT16的文件分配表　　如图，FAT表以"F8 FF FF FF" 开头，此2字节为介质描述单元，并不参与FAT表簇链关系。小红字标出的是FAT扇区每2字节对应的簇号。　　相对偏移0x4~0x5偏移为第2簇(顺序上第1簇)，此处为FF,表示存储在第2簇上的文件(目录)是个小文件，只占用1个簇便结束了。　　第3簇中存放的数据是0x0005，这是一个文件或文件夹的首簇。其内容为第5簇，就是说接下来的簇位于第5簇——〉 FAT表指引我们到达FAT表的第5簇指向，上面写的数据是"FF FF",意即此文件已至尾簇。　　　　第4簇中存放的数据是0x0006，这又是一个文件或文件夹的首簇。其内容为第6簇，就是说接下来的簇位于第6簇——〉FAT表指引我们到达FAT表的第6簇指向，上面写的数据是0x0007，就是说接下来的簇位于第7簇——〉FAT表指引我们到达FAT表的第7簇指向……直到根据FAT链读取到扇区相对偏移0x1A~0x1B，也就是第13簇，上面写的数据是0x000E，也就是指向第14簇——〉14簇的内容为"FF FF"，意即此文件已至尾簇。　　　　后面的FAT表数据与上面的道理相同。不再分析。　　　　FAT表记录了磁盘数据文件的存储链表，对于数据的读取而言是极其重要的，以至于Microsoft为其开发的FAT文件系统中的FAT表创建了一份备份，就是我们看到的FAT2。FAT2与FAT1的内容通常是即时同步的，也就是说如果通过正常的系统读写对FAT1做了更改，那么FAT2也同样被更新。如果从这个角度来看，系统的这个功能在数据恢复时是个天灾。　　　　FAT文件系统的目录结构其实是一颗有向的从根到叶的树，这里提到的有向是指对于FAT分区内的任一文件(包括文件夹)，均需从根目录寻址来找到。可以这样认为：目录存储结构的入口就是根目录。　　　　FAT文件系统根据根目录来寻址其他文件(包括文件夹)，故而根目录的位置必须在磁盘存取数据之前得以确定。FAT文件系统就是根据分区的相关DBR参数与DBR中存放的已经计算好的FAT表(2份)的大小来确定的。格式化以后，跟目录的大小和位置其实都已经确定下来了：位置紧随FAT2之后，大小通常为32个扇区。根目录之后便是数据区第2簇。　　　　FAT文件系统的一个重要思想是把目录(文件夹)当作一个特殊的文件来处理，FAT32甚至将根目录当作文件处理(旁：NTFS将分区参数、安全权限等好多东西抽象为文件更是这个思想的升华)，在FAT16中，虽然根目录地位并不等同于普通的文件或者说是目录，但其组织形式和普通的目录(文件夹)并没有不同。FAT分区中所有的文件夹(目录)文件，实际上可以看作是一个存放其他文件(文件夹)入口参数的数据表。所以目录的占用空间的大小并不等同于其下所有数据的大小，但也不等同于0。通常是占很小的空间的，可以看作目录文件是一个简单的二维表文件。其具体存储原理是：　　　　不管目录文件所占空间为多少簇，一簇为多少字节。系统都会以32个字节为单位进行目录文件所占簇的分配。这32个字节以确定的偏移来定义本目录下的一个文件(或文件夹)的属性，实际上是一个简单的二维表。　　　　这32个字节的各字节偏移定义如下表：　　各字节偏移定义
服务器论坛帖子排行
最新资讯离线随时看
聊天吐槽赢奖品DBR（硬盘DBR）_百度百科
声明：百科词条人人可编辑，词条创建和修改均免费，绝不存在官方及代理商付费代编，请勿上当受骗。
（硬盘DBR）
本词条缺少名片图，补充相关内容使词条更完整，还能快速升级，赶紧来吧！
分区引导扇区也称，是由FORMAT高级格式化命令写到该扇区的内容，DBR是由硬盘的MBR装载的程序段。DBR装入内存后，即开始执行该引导程序段，其主要功能是完成操作系统的自举并将控制权交给操作系统。每个分区都有引导扇区，但只有被设为活动分区才会被MBR装的DBR入内存运行。[1]
（1）DBR位于柱面0、磁头1、1，其逻辑扇区号为0
（2）DBR包含DOS引导程序和BPB。
（3）BPB十分重要，由此可算出与。
以上仅DOS（FAT16）为例，由于DOS（FAT16）已经退出历史舞台，但现在0柱面1磁头1扇区这个位置仍然是起着类似的作用，所以准确地说，DBR应该改称为（OS Boot Record）即操作系统，如WINXP的OBR（FAT32或NTFS）就是在DOS的DBR基础逐步演变而来的。OBR（DBR）是程序产生的，如FORMAT、PM、DM、DISKPART、WINXP。
DBR常见问题
DBR（DOS BOOT RECORD，DOS），位于柱面0，磁头1，1，即逻辑扇区0。DBR分为两部分：DOS引导程序和BPB（BIOS参数块）。其中DOS引导程序完成DOS系统文件（IO.SYS，）的定位与装载，而BPB用来描述本DOS分区的磁盘信息，BPB位于DBR偏移0BH处，共13字节。 它包含逻辑格式化时使用的参数，可供DOS计算磁盘上的，目录区和数据区的起始地址，BPB之后三个字提供物理格式化（低格）时采用的一些参数。引导程序或根据这些信息将磁盘逻辑地址（DOS扇区号）转换成（绝对扇区号）。
DBR相关数据参数
BPB格式 序号意义
1 03H－0AH OEM号
2 0BH－0CH 每扇区字节数
3 0DH 每簇扇区数
4 0EH－0FH 保留扇区数
5 10H FAT备份数
6 11H－12H 根目录项数
7 13H－14H 磁盘总扇区数
8 15H 描述介质
9 16H－17H 每FAT扇区数
10 18H－19H 每磁道扇区数
11 1AH－1BH
12 1CH－1FH 特殊隐含扇区数
13 20H－23H 总扇区数
14 24H－25H 物理驱动器数
15 26H 扩展引导签证
16 27H－2AH 卷系列号
17 2BH－35H号
18 36H－3DH 文件系统号
DBR（DOS BOOT RECORD）DOS
X分区（FAT32）
X分区数据区 DATA
DBR位置：分区内第一个即：0S备份：6 S
DBR大小：一般为 32S或34S或36S或38S其中之一
BPB（BIOS参数块）参数块含义
0DH每簇注：数据区起始簇为2 C
搜点（. ）法 偏移 1A 1B 为文件所在簇
第二点所在- 第一点所在扇区/ 第二点所在簇- 第一点所在簇
第一点：55816 S ，（B7 04）1207 C
第二点：56040 S ，（BE 04）1214 C
= 224 / 7 = 32
OEHOFHDBR大小注：FAT表的起始为：F8 FF FF
20H--23H本分区大小
24H --27HFAT表大小
DOS引导记录公式
DOS引导记录公式：
根目录≡保留扇区数+FAT的个数×每个FAT的扇区数
数据区≡根目录逻辑号+（32×根目录中目录项数+（每扇区字节数－1））DIV每扇区字节数
绝对扇区号≡逻辑扇区号+隐含扇区数
扇区号≡（绝对扇区号MOD每扇区数）+1
磁头号≡（绝对扇区号DIV每磁道）MOD
磁道号≡（绝对扇区号DIV每磁道扇区数）DIV磁头数
．百度百科[引用日期]　　摘要：NTFS文件系统的DBR扇区存储着文件系统的重要信息，由于病毒、断电、误操作等各种原因引起DBR损坏，出现未格式" />
免费阅读期刊
论文发表、论文指导
周一至周五
9：00&22：00
NTFS文件系统的DBR恢复研究与实践
2013年11期目录
&&&&&&本期共收录文章20篇
　　摘要：NTFS文件系统的DBR扇区存储着文件系统的重要信息，由于病毒、断电、误操作等各种原因引起DBR损坏，出现未格式化现象。通过分析NTFS文件系统结构，提出了一种通过寻找MFT表和计算DBR中BPB重要参数的方法，利用磁盘编辑工具WinHex对NTFS文件系统的DBR信息损坏进行恢复实践，实践证明该方法可行。 中国论文网 /8/view-4608547.htm　　关键词关键词：NTFS文件系统；DOS引导记录（DBR）；MFT主文件表；Wihex；文件恢复技术 　　中图分类号：TP393文献标识码：A文章编号文章编号：13） 　　0引言 　　随着信息化建设的推进，计算机存储日益重要，但由于病毒、断电、误操作、振动等原因会导致硬盘中NTFS文件系统分区中的DBR扇区信息被损坏、硬盘分区出现未格式化故障现象，从而无法访问分区中的数据和信息，如果重新进行格式化分区，可能会导致此分区的数据被破坏，难以完整恢复出分区中的数据。本文提出了通过重写BPB中的重要参数来重建DBR的方法，利用磁盘编辑工具Winhex针对不同的情况采用不同的方法来重建DBR扇区信息，从而访问NTFS分区中的数据。 　　1NTFS文件系统 　　NTFS（NT File System）是Microsoft推出的一种新型文件系统，已是Windows类操作系统中的主力分区格式了，主要目的是将其作为Windows NT/2000/XP和服务器版本的默认文件系统，获得可靠性、高效性、稳定性和安全性，在使用中不易产生文件碎片，对用户权限有非常严格的限制，每个用户只能按系统赋予的权限进行操作，同时还提供了容错结构日志，可以将用户的操作全部记录下来，从而保护了系统的安全。NTFS设计上能够快速实现标准的文件操作，例如读写和查询，甚至实现了在超大容量硬盘上的文件系统恢复操作。本文主要针对NTFS在DBR出现损坏而导致系统崩溃或磁盘出现未格式化故障现象时，如何安全地恢复NTFS文件系统的DBR，从而访问分区内数据。 　　NTFS是一个具备错误预警的文件系统。由于NTFS对关键文件系统的系统信息采用了冗余存储，故当磁盘上某个扇区损坏时，NTFS仍可以访问卷上的关键数据。NTFS分区最开始的16个扇区是分区引导扇区，用以保存分区引导代码，然后是主文件表（MFT），如果MFT所在的磁盘扇区出现损坏，NTFS文件系统会将MFT转移到硬盘其他扇区，这样保证了NTFS文件系统和Windows操作系统的正常运行。 　　NTFS文件系统一般包括引导区、MFT、MFT备份区、数据区和DBR备份扇区几个部分，NTFS将所有数据都视为文件，其文件系统大致结构如图1所示。各部分含义如下： 　　（1）引导扇区。引导区部分包括DBR和引导代码，一般系统为其分配16个扇区，未完全使用。 　　（2）MFT区。MFT是一个连续的簇空间，除非其他空间已全部被分配使用，否则不会在此空间中存储用户文件或目录。在WINXP下创建的NTFS，其MFT通常距离引导扇区较远，但在WIN2000下创建的NTFS，其MFT通常起始于4号簇位置。 　　（3）MFT备份区。由于MFT备份的重要性，在文件系统的中部为其保存了一个备份，不过这个备份很小，只是MFT前几项的备份。 　　（4）引导扇区备份扇区。在卷的最后一个扇区，保存了一份DBR扇区的备份。这个扇区包含在分区表（Disk Partition Table，DPT）描述的该分区大小中，但却不在DBR描述的文件系统大小范围之内。DBR描述文件系统大小时，总是比分区表描述的扇区数小1个扇区。图1NTFS文件系统结构 　　2NTFS文件系统结构分析 　　2.1NTFS文件系统的DBR数据结构 　　NTFS文件系统的DOS引导记录（DOS Boot Record，DBR），位于柱面0，磁头1，扇区1，即逻辑0号扇区。DBR分为两部分：DOS引导程序和BIOS参数块（BIOS Parameter Block，BPB）。其中DOS引导程序完成DOS系统文件（IO.SYS，MSDOS.SYS）的定位与装载，而BPB用来描述本DOS分区的磁盘信息，BPB从DBR的偏移OBH开始，到偏移53H结束，此部分参数记录着整个NTFS分区的许多重要信息，其具体内容如表1所示。它包含逻辑格式化时使用的参数，可供DOS计算磁盘上的文件分配表，目录区和数据区的起始地址，引导程序或设备驱动程序根据这些信息将磁盘逻辑地址（DOS扇区号）转换成物理地址。
转载请注明来源。原文地址：
【xzbu】郑重声明：本网站资源、信息来源于网络，完全免费共享，仅供学习和研究使用，版权和著作权归原作者所有，如有不愿意被转载的情况，请通知我们删除已转载的信息。
xzbu发布此信息目的在于传播更多信息，与本网站立场无关。xzbu不保证该信息（包括但不限于文字、数据及图表）准确性、真实性、完整性等。