第二篇、数据恢复的准备知识

    1、系统工作机理的简单介绍（本节由lowpower缩写）这一部分在原作中是最重要的一章，考虑到篇幅关系，进行了大量的删节。

    ①、 DOS（DOS兼容系统）硬盘数据的构成

    DOS磁盘系统，可以按照逻辑分区的概念管理物理空间，不同分区可以装载不同的OS系统。示意如下：

    硬盘空间

    第一扇区　|　分区1 |　分区2|　分区3 |分区4　|

    主引导扇区|引导扇区|引导扇区|引导扇区|引导扇区|

    各分区公用|各个分区相对独立，可安装不同操作系统。

    对FAT结构的分区每一分区都有独立的引导记录，FDT表，FAT表等。同时，系统还有一个最为重要的主引导记录。在0柱0面1扇区，今后我们用CYL代表柱、SIDE代表面，SEC代表扇区。以下一个FAT结构分区的简图。

    保留区－－磁盘参数表、DOS引导记录

    控制区－－FAT表1、FAT表2根目录区

    数据区－－数据区

    以下简单介绍一下重要的部分：

    主引导记录又称主分区表、MBR等等：MBR占一个扇区，在CYL 0、SIDE 0 、SEC 1，由代码区和数据区构成。其中代码区是一端标准的程序，完成 BIOS自举到OS BOOT之间的工作，为OS启动做最后的准备。标准代码区可以由FDISK/MBR重建，但对于多系统引导的不标准MBR，将被这一操作破坏。MBR的数据区记录了分区情况。

    系统扇区：CYL 0、SIDE 0 、SEC 1-CYL 0、SIDE 0 、SEC 63，共62个扇区引导区又称BOOT区：CYL 0、SIDE 1 、SEC 1 这是我们过去称的DOS引导区。也占一个扇区。

    文件分配表又称FAT：是记录文件占用簇的情况和连接关系的地方。一般有两个FAT表，起到备份的作用。FAT12、FAT16的第一FAT表一般均在0-1-2，FAT32的第一FAT表在0-1-33。由于FAT表记录文件占用扇区连接的地方，如果两个FAT表都坏了，后果不堪设想。

    由于FAT表的长度与当前分区的大小有关所以FAT2的地址是需要计算的。

    根目录区（ROOT、FDT）：这里记录了根目录里的目录文件项等，ROOT区跟在FAT2后面。

    数据区：跟在ROOT区后面，这才是数据内容。

    其实， MBR、隐含扇区、BOOT区，重建都比较容易。数据恢复的关键在于恢复数据文件。由于FAT表记录了文件在硬盘上占用扇区的链表，如果2个FAT表都完全损坏了。那么恢复文件，特别是占用多个不连续扇区文件就相当困难了。

    ②、 主引导记录简单说明：

    主引导记录是硬盘引导的起点，关于代码区不多说了，其数据区，比较重要的是2个标志，80H和55AA，80H一般在偏移1BE处，80是分区激活的标志的标记表示系统可引导，且整个分区表只能有一个80标记。另一个就是结尾的55AA标记，用来表示主引导记录是一个有效的记录。另外，各个分区自身的引导记录，也是以55AA结束，这是我们查找分区的标志。我们后面在介绍如何主引导记录中，给出了一个完整的分区表的例子，大家可对照查看。数据区中，用10H字节表示一个分区，最多可表示4个分区，分别从1BE、1CE、1DE、1EE开始，我们后面给出了分区表项对应地址的含义。大家可以对应分析一下以下分区的情况。

    80 01 01 00 0B FE BF FC 3F 00-00 00 7E 86 BB 00

    ① ② ③ ④ ⑤ ⑥