修复GHOST拷盘锁定源盘的灾难故障.doc
-为了给正在使用的硬盘做整盘备份，笔者使用U盘WINPE启动笔记本电脑，这时候硬盘一切正常，无异常。在使用GHOST8.0进展硬盘对拷做备份的时候，GHOST提示“由于可能存在冲突，建议采用 Force dismount 防止冲突和错误。可以理解，如果不“dismount，对拷的时候可能会发生不一样的数据，有可能造成复制的硬盘和原版不一样，比方更换后启动会“蓝屏等。“知识越多越反动，懂得太多真不一定是好事情，想当然对GHOST的建议理解和认可，确认了选项。结果，杯具了。GHOST也意外退出。再进入ghost以后，虽然GHOST认出各个分区，但每个分区都是全部满数据。Windows7已经不能启动，将该磁盘接入别的可以接收GPT格式硬盘的系统，也同样不能识别。已经20多年没有碰硬盘数据恢复了。上网查了查，没有找到有价值的信息，也没有找到GHOST在dismount后，如何mount。只能迎接这个大考，恶补新的知识，自己动手恢复系统，信息太重要，而且重装系统、软件、数据，几百G信息，那可不是12天的事情了。别人实在信不过，放下一切，亲自干吧。找了假设干工具，感觉 PTDD Partition Table Doctor 3.0挺顺手，可以在Win下面读取、修改物理盘的数据。对磁盘进展访问后，这个是“损坏后的MBR分区信息。GHOST8.0更改的这个信息虽然指向指向一个正确的GPT的分区信息表，经过验证，这个头是完整和系统的。但是造成实际的“损坏，各个磁盘均不能访问，应该说这个更改，是错误的。不能进展GPT修复，而且原来也不应该是GPT模式，以后使用GPT方式会遇到很多限制和麻烦。因此修复的思路还是设法完全恢复到MBR传统方式。这个是“损坏后的MBR分区信息。采用PTDD找到很多盘，一个个检查，核对数据指向链，初步估计仅仅是MBR损坏。找到下面这个扇区，显然是第一个硬盘的引导扇区，应该把他放在MBR的第一个主盘信息。下面这个扇区也是一个NTFS盘，从尺寸、位置上看，显然是第二个硬盘。然后往前找，看看有没有适宜的扩展硬盘的“MBR分区扇区，很快找到相应的扇区信息如下：该分区的LBA地址 209728512。如果这个分区是扩展分区的开场，则这个地址就成为后续所有逻辑分区逻辑盘的起始地址。找到下面这个扇区，显然是一个扩展硬盘的“MBR扇区，应该把他放在MBR的第二个主盘信息，这个分区的数据后面需要仔细确定。对上面这个扇区的信息进展验证：该扇区绝对地址：2097285121分区信息：类型：00，非引导激活盘起始磁头：00起始扇区：C1，最高两位给柱面，扇区号实际是01起始柱面：FF，获得扇区字节的最高两位，实际是3FF，已经不准确了，应忽略。分区类别：07，NTFS盘终止磁头：FE终止扇区：FF，不正常，已经可以断定不能采用CHS方式，而已经必须使用LBA模式。终止柱面：FF起始扇区：3F 00 00 00，十进制：63，注意：是相对本扇区而言的相对指针位置！扇区绝对地址：209728512+63=209728575扇区总数：3F 34 80 0C，十进制：2097285752分区信息：类型：00，非引导激活盘起始磁头：00起始扇区：FF，已经不准确了，应忽略。起始柱面：FF，已经不准确了，应忽略。分区类别：05，下一个扩展磁盘区。终止磁头：FE，标准通用的标志，指示使用LBA模式。终止扇区：FF，终止柱面：FF起始扇区：BC 34 80 0C，十进制：209728700，注意：是相对本扇区而言的相对指针位置！扇区总数：01 34 80 0C，十进制：209728513扇区绝对地址：209728512+209728700=419457212正确注意，十六进制数这里都是低位在前，高位在后。经过验证，确实指向下一个扩展分区信息扇区，形成正确的磁盘链了。对上面这个扇区的信息进展验证：该扇区绝对地址：4194572121分区信息：类型：00，非引导激活盘起始磁头：00起始扇区：C1，最高两位给柱面，扇区号实际是01起始柱面：FF，获得扇区字节的最高两位，实际是3FF，已经不准确了，应忽略。分区类别：07，NTFS盘终止磁头：FE，使用LBA模式。终止扇区：FF终止柱面：FF起始扇区：01 00 00 00，十进制：1，注意：是相对本扇区而言的相对指针位置！扇区绝对地址：419457212+1=419457213扇区总数：00 34 80 0C，十进制：2097285122分区信息：类型：00，非引导激活盘起始磁头：00起始扇区：FF，已经不准确了，应忽略。起始柱面：FF，已经不准确了，应忽略。分区类别：05，下一个扩展磁盘区。终止磁头：FE，标准通用的标志，指示使用LBA模式。终止扇区：FF，终止柱面：FF起始扇区：FB 68 00 19，十进制：419457275，注意：是相对本扇区而言的相对指针位置！扇区总数：01 34 80 0C，十进制：209728513扇区绝对地址：209728512+419457275=629185787正确注意，十六进制数这里都是低位在前，高位在后。经过验证，确实指向下一个扩展分区信息扇区，形成正确的磁盘链了。对上面这个扇区的信息进展验证：该扇区绝对地址：6291857871分区信息：类型：00，非引导激活盘起始磁头：01起始扇区：C1，最高两位给柱面，扇区号实际是01起始柱面：FF，获得扇区字节的最高两位，实际是3FF，已经不准确了，应忽略。分区类别：07，NTFS盘终止磁头：FE，使用LBA模式。终止扇区：FF终止柱面：FF起始扇区：01 00 00 00，十进制：1，注意：是相对本扇区而言的相对指针位置！扇区绝对地址：629185787+1=629185788扇区总数：00 34 80 0C，十进制：2097285122分区信息：类型：00，非引导激活盘起始磁头：00起始扇区：FF，已经不准确了，应忽略。起始柱面：FF，已经不准确了，应忽略。分区类别：05，下一个扩展磁盘区。终止磁头：FE，标准通用的标志，指示使用LBA模式。终止扇区：FF，终止柱面：FF起始扇区：3A 9D 80 25，十进制：629185850，注意：是相对本扇区而言的相对指针位置！扇区总数：01 34 80 0C，十进制：209728513扇区绝对地址：209728512 + 629185850 =838914362正确注意，十六进制数这里都是低位在前，高位在后。对上面这个扇区的信息进展验证：该扇区绝对地址：8389143621分区信息：类型：00，非引导激活盘起始磁头：01起始扇区：C1，最高两位给柱面，扇区号实际是01起始柱面：FF，获得扇区字节的最高两位，实际是3FF，已经不准确了，应忽略。分区类别：07，NTFS盘终止磁头：FE，使用LBA模式。终止扇区：FF终止柱面：FF起始扇区：01 00 00 00，十进制：1，注意：是相对本扇区而言的相对指针位置！扇区绝对地址：838914362+1=838914363扇区总数：00 34 80 0C，十进制：2097285122分区信息：类型：00，非引导激活盘起始磁头：00起始扇区：FF，已经不准确了，应忽略。起始柱面：FF，已经不准确了，应忽略。分区类别：05，下一个扩展磁盘区。终止磁头：FE，标准通用的标志，指示使用LBA模式。终止扇区：FF，终止柱面：FF起始扇区：79 D1 00 32，十进制：838914425，注意：是相对本扇区而言的相对指针位置！扇区总数：BA 7C 7E 0C，十进制：209616058扇区绝对地址：209728512 + 838914425 = 1048642937正确注意，十六进制数这里都是低位在前，高位在后。对上面这个扇区的信息进展验证：该扇区绝对地址：10486429371分区信息：类型：00，非引导激活盘起始磁头：01起始扇区：C1，最高两位给柱面，扇区号实际是01起始柱面：FF，获得扇区字节的最高两位，实际是3FF，已经不准确了，应忽略。分区类别：07，NTFS盘终止磁头：FE，使用LBA模式。终止扇区：FF终止柱面：FF起始扇区：01 00 00 00，十进制：1，注意：是相对本扇区而言的相对指针位置！扇区绝对地址：1048642937+1=1048642938扇区总数：B9 7C 7E 0C，十进制：2096160572分区信息：类型：00，非引导激活盘起始磁头：00起始扇区：FF，已经不准确了，应忽略。起始柱面：FF，已经不准确了，应忽略。分区类别：05，下一个扩展磁盘区。终止磁头：FE，标准通用的标志，指示使用LBA模式。终止扇区：FF，终止柱面：FF起始扇区：71 4E 7F 3E，十进制：1048530545，注意：是相对本扇区而言的相对指针位置！扇区总数：01 34 80 0C，十进制：209728513扇区绝对地址：209728512 + 1048530545=1258259057正确注意，十六进制数这里都是低位在前，高位在后。下面的NTFS引导扇区信息中,282B为磁盘扇区总数:B8 7C 7E 0C=B9 7C 7E 0C- 01,正确.对上面这个扇区的信息进展验证：该扇区绝对地址：12582590571分区信息：类型：00，非引导激活盘起始磁头：01起始扇区：C1，最高两位给柱面，扇区号实际是01起始柱面：FF，获得扇区字节的最高两位，实际是3FF，已经不准确了，应忽略。分区类别：07，NTFS盘终止磁头：FE，使用LBA模式。终止扇区：FF终止柱面：FF起始扇区：01 00 00 00，十进制：1，注意：是相对本扇区而言的相对指针位置！扇区绝对地址：1258259057+1=1258259058扇区总数：00 34 80 0C，十进制：2097285122分区信息：类型：00，非引导激活盘起始磁头：00起始扇区：FF，已经不准确了，应忽略。起始柱面：FF，已经不准确了，应忽略。分区类别：05，下一个扩展磁盘区。终止磁头：FE，标准通用的标志，指示使用LBA模式。终止扇区：FF，终止柱面：FF起始扇区：B0 82 FF 4A，十进制：1048530545，注意：是相对本扇区而言的相对指针位置！扇区总数：01 34 80 0C，十进制：209728513扇区绝对地址：209728512 + 1048530545=1258259057 正确注意，十六进制数这里都是低位在前，高位在后。下面的NTFS引导扇区信息中,282B为磁盘扇区总数:FF 33 80 0C= 00 34 80 0C- 01,正确.对上面这个扇区的信息进展验证：该扇区绝对地址：14679876321分区信息：类型：00，非引导激活盘起始磁头：01起始扇区：C1，最高两位给柱面，扇区号实际是01起始柱面：FF，获得扇区字节的最高两位，实际是3FF，已经不准确了，应忽略。分区类别：07，NTFS盘终止磁头：FE，使用LBA模式。终止扇区：FF终止柱面：FF起始扇区：01 00 00 00，十进制：1，注意：是相对本扇区而言的相对指针位置！扇区绝对地址：1467987632+1=1467987633扇区总数：00 34 80 0C，十进制：2097285122分区信息：类型：00，非引导激活盘起始磁头：00起始扇区：FF，已经不准确了，应忽略。起始柱面：FF，已经不准确了，应忽略。分区类别：05，下一个扩展磁盘区。终止磁头：FE，标准通用的标志，指示使用LBA模式。终止扇区：FF，终止柱面：FF起始扇区：EF B6 7F 57，十进制：1467987695，注意：是相对本扇区而言的相对指针位置！扇区总数：D2 6E 70 10，十进制：275803858扇区绝对地址：209728512 + 1467987695=1677716207正确注意，十六进制数这里都是低位在前，高位在后。下面的NTFS引导扇区信息中,282B为磁盘扇区总数:FF 33 80 0C= 00 34 80 0C- 01,正确.对上面这个扇区的信息进展验证：该扇区绝对地址：1677716207 =209728512 + 1467987695 正确最后只有一个分区信息：类型：00，非引导激活盘起始磁头：01起始扇区：C1，最高两位给柱面，扇区号实际是01起始柱面：FF，获得扇区字节的最高两位，实际是3FF，已经不准确了，应忽略。分区类别：07，NTFS盘终止磁头：FE，使用LBA模式。终止扇区：FF终止柱面：FF起始扇区：01 00 00 00，十进制：1，注意：是相对本扇区而言的相对指针位置！扇区绝对地址：1677716207+1=1677716208扇区总数：D1 6E 70 10，十进制：275803857下面的NTFS引导扇区信息中,282B为磁盘扇区总数:D0 6E 70 10 = D1 6E 70 10- 01,正确.这个扇区是第一个NTFS扇区的引导区备份,在磁盘的最后一个扇区.经核对,和第一个一样.这最后一个扇区的LBA号1953520064，将永远计算扩展分区的总量时参考使用。核对最后一个盘的引导扇区,发现和物理硬盘的最后一个扇区的容一样.证明计算正确。可以利用NTFS盘的第一个在本盘最后一个扇区做备份，仔细核对其它磁盘，看看定义的容是否一样。笔者认为不会有误，也就不再验证了。下面这个是同时找到的逻辑分区信息扇区，对上面这个扇区的信息进展验证：该扇区绝对地址：4194571501分区信息：类型：00，非引导激活盘起始磁头：01起始扇区：C1，最高两位给柱面，扇区号实际是01起始柱面：FF，获得扇区字节的最高两位，实际是3FF，已经不准确了，应忽略。分区类别：07，NTFS盘终止磁头：FE，使用LBA模式。终止扇区：FF终止柱面：FF起始扇区：3F 00 00 00，十进制：63，注意：是相对本扇区而言的相对指针位置！扇区绝对地址：419457150+63=419457213扇区总数：00 34 80 0C，十进制：2097285122分区信息：类型：00，非引导激活盘起始磁头：00起始扇区：FF，已经不准确了，应忽略。起始柱面：FF，已经不准确了，应忽略。分区类别：05，下一个扩展磁盘区。终止磁头：FE，标准通用的标志，指示使用LBA模式。终止扇区：FF，终止柱面：FF起始扇区：3F 34 80 0C，十进制：209728575，注意：是相对本扇区而言的相对指针位置！扇区总数：3F 34 80 0C，十进制：209728575扇区绝对地址：209728512 + 209728575=419457087但是，对应的扇区不是下一个分区定义扇区，是数据：因此前述的分区定义扇区是以前的分区垃圾残留。应该忽略。从前述推理、梳理可以得到完整的硬盘链，209728512 应该是扩展分区的入口。这样得出结论是磁盘系统MBR中只有两个有效分区，具体数据如下：1分区信息：类型：80，引导激活盘起始磁头：01起始扇区：01起始柱面：00分区类别：07，NTFS盘终止磁头：FE终止扇区：FF，必须使用LBA模式。终止柱面：FF起始扇区：3F 00 00 00，十进制：63，注意：是相对本扇区而言的相对指针位置！扇区总数：01 34 80 0C 根据NTFS盘引导扇区282B数据+1获得2分区信息：类型：00，非引导激活盘起始磁头：FE起始扇区：FF，已经不准确了，应忽略。起始柱面：FF，已经不准确了，应忽略。分区类别：0F，扩展磁盘区。终止磁头：FE，标准通用的标志，指示使用LBA模式。终止扇区：FF，终止柱面：FF起始扇区：00 34 80 0C，十进制：209728512，注意：是相对本扇区而言的相对指针位置！扇区总数：C0 25 F0 67，十进制：195352012=1743791552扇区总数是珍贵的关键数据只有32个字节，折腾了这么半天：80 01 01 00 07 FE FF FF 3F 00 00 00 01 34 80 0C00 FE FF FF 0F FE FF FF 00 34 80 0C C0 25 F0 67写入后DK盘都正常了,能看到盘标.但是C盘仍不正常.看到两个扇区里面的扇区总数不一样.最后一个扇区定义的扇区数是:D0 6E 70 10 = 275803856,和实际相差太远,不考虑.根据计算,实际扇区总数,不能超过第二个分区起始-第一个盘的起始扇区号-1,应该是209728512 - 63 =209728449= C1 33 80 0C引导扇区里面,282B字节,应该是 C0 33 80 0C或更小.80 01 01 00 07 FE FF FF 3F 00 00 00 C1 33 80 0C00 FE FF FF 0F FE FF FF 00 34 80 0C C0 25 F0 67这次有所好转,C盘从逻辑上显示,正常了.但是,看不到卷标,还是有问题:翻看引导扇区后续的扇区,都是空白,和其他NTFS盘的情况对照,那些NTFS盘的第二个扇区都是类似下述容:因此,疑心,这个扇区的前一个扇区2048才应该是第一个NTFS起始引导扇区.再修改MBR分区信息里面第一分区指向2048 而不是63 :80 20 21 00 07 FE FF FF 00 08 00 00 00 2C 80 0C00 FE FF FF 0F FE FF FF 00 34 80 0C C0 25 F0 67NTFS引导扇区里面,282B字节,应该是 FF 2B 80 0C或更小.209728512 - 2048 =209726464= 00 2C 80 0C再把这个复制到0 和 2048(00 08)扇区。2048扇区是填充了F6，这应该是GHOST干的。恢复成：分区信息恢复成：写入后，为了平安起见，彻底破坏GPT信息，即将扇区14清空，防止系统误读GPT信息。注意，到了这时，PTDD已经不能正确读取磁盘分区解释了，他只能是一个底层的编辑工具。把这个磁盘节电一个windows系统中，包括*P、Win7，都可以识别所有盘符和标签。我们是用主板连接和USB硬盘盒都可以识别。遗憾的是，Windows启动过程比拟复杂，光回复所有文件，包括NTFS盘的隐藏文件，也不能保证他顺利启动。启动过程中死机。一种解决方法是修复，但是不敢冒险；另外一个方法，是在做一个系统引导盘，来带动这个原来得系统。最后重新在一个新硬盘上安装一个windows系统，然后再加挂这个硬盘，再启动，系统出现两个选项：第一个，是新安装的，第二个是原来的。选择第二个，也可以顺利启动，所有的功能、软件、文件都全部恢复，和以前一样。区别就是启动的时候选择一下，另外新增加一个硬盘。也算不幸中之万幸了！. z.
