重建GPT分区与NTFS_DBR的研究

2020-04-15 02:59陈培德吴建平王丽清朱辰龙
计算机技术与发展 2020年2期
关键词:扇区磁盘字节

陈培德,吴建平,王丽清,朱辰龙,邓 剑

(1.云南省电子计算中心,云南 昆明 650223;2.云南大学 信息学院,云南 昆明 650223)

0 引 言

GPT是GUID partition table的缩写,其含义是“全局唯一标识磁盘分区表”[1]。它是Windows Server 2003中的一种新型磁盘架构,是一种基于Itanium计算机中的可扩展固件接口使用的磁盘分区架构[1]。GPT的出现替代了旧式的MBR(master boot record)[2-3],解决了MBR分区表不支持容量大于2 TB分区的问题[4]。

而NTFS文件系统则是Windows操作系统重要的组成部分,但是由于计算机病毒的破坏、掉电、用户误Ghost、GPT分区至MBR分区误转等各种原因,导致GPT分区表被破坏的情况时有发生。当GPT分区表被破坏后,用户通过查找的方式获得GPT分区中各卷的容量,并通过重建GPT分区的来恢复。

然而在GPT分区的硬盘中,当GPT分区表、NTFS_DBR和NTFS_DBR备份同时被破坏后,恢复数据的难度系数也就更大。鉴于目前国内尚未有人展开同时恢复GPT分区、NTFS_DBR和NTFS_DBR备份的相关研究工作,文中针对这种情况进行了开创性的探索与研究。

1 GPT磁盘结构

一个GPT磁盘主要由保护的MBR、GPT头、GPT分区表、GPT分区区域等6个部分组成,大致结构如图1所示,6个部分说明如下:

在图1中,n为GPT磁盘的总扇区数,GPT磁盘的扇区号范围为0 ~(n-1)。

第1部分为保护MBR,存储在整个GPT磁盘的0号扇区,该扇区由磁盘签名[5]、1个MBR分区表和结束标志3个部分组成。其中,MBR分区表固定如下:

00 00 02 00 EE FF FF FF 01 00 00 00 FF FF FF FF

从MBR分区表可知:分区标志为0XEE,而相对扇区为1(存储形式为01 00 00 00),总扇区数为4 294 967 295(存储形式为FF FF FF FF),也就是该分区总数的最大值[6]。也就是说,该磁盘已经没有剩余空间再进行MBR分区,即该磁盘已经成为GPT磁盘。

第2部分为GPT头,存储在整个GPT磁盘的1号扇区[7],在1号扇区中,只使用了92个字节;主要描述了GPT头签名、版本号、GPT头所占字节数(注:一般为92)、GPT头CRC校验和、GPT头所在扇区号(注:一般为1)、GPT头备份所在扇区号、GPT分区区域开始扇区号(注:一般为34)、GPT分区区域结束扇区号、GPT磁盘的GUID、GPT分区表开始扇区号、每个GPT分区表所占字节数(注:一般为128)、GPT分区表的个数(注:固定为128)、GPT分区表的CRC校验和等信息。

第3部分为GPT分区表,存储在GPT磁盘的2~33号扇区,共占用32个扇区[8];从GPT头可知,每个GPT分区表占128字节[9],所以,在这32个扇区中最多可以存放128个GPT分区表[9],而每个GPT分区表管理一个分区;在每个分区表中记录着该分区的开始扇区号、结束扇区号、分区类型的GUID、分区名、分区属性和分区GUID。第1个分区表为系统保留,因此,用户在GPT磁盘上最多还可以再建立127个分区。

第4部分为GPT分区区域,是GPT磁盘中最大的一块区域[8],也是GPT磁盘最重要的组成部分;位于GPT磁盘的中间位置,其开始扇区号和结束扇区号在GPT头已定义。一般情况下,该区域的开始扇区号为34,而结束扇区号为GPT磁盘总扇区数减去35。该区域由该GPT磁盘中各个具体的分区组成,各分区的开始扇区号和结束扇区号在各分区表中均有定义。

第5部分为GPT分区表备份,存储在GPT磁盘的倒数33号扇区~倒数2号扇区,也是占用32个扇区[8]。是第3部分,即GPT磁盘的2 ~ 33号扇区的备份。

第6部分为GPT头备份,存储在GPT磁盘的倒数2号扇区[10],但该扇区不是GPT头的简单复制。在这个扇区中,也是使用了92个字节;主要描述了GPT头签名、版本号、GPT头所占字节数(注:一般为92)、GPT头CRC校验和、GPT头备份所在扇区号、GPT头所在扇区号(注:一般为1)、GPT分区区域开始扇区号(注:一般为34)、GPT分区区域结束扇区号、GPT磁盘的GUID、GPT分区表开始扇区号、每个GPT分区表所占字节数(注:一般为128)、GPT分区表的个数(注:固定为128)、GPT分区表的CRC校验和等信息。

2 NTFS文件系统

当用户将硬盘中的一个分区采用NTFS文件系统对其格式化后,在该分区上就建立了一个NTFS文件系统的结构,NTFS文件系统的结构大致如图2所示。

元文件SBOOT…某元文件…数据或文件某元文件数据或文件…DBR备份

图2 某NTFS文件系统的总体布局

从图2可知,NTFS文件系统主要由元文件、文件夹、数据和其他用户文件等组成[11-12]。其中:一些信息对于NTFS文件系统来说是非常重要的,存储这些重要信息所对应的文件就是元文件[13]。元文件是NTFS系统最重要的组成部分,它主要负责管理整个NTFS文件系统。在NTFS文件系统中,元文件主要有$MFT、$MFTMirr、$LogFile、$Volume、$Attrdef、$Root、$Bitmap、$Boot等。

其中:元文件$Boot在NTFS卷中的位置是固定不变的,位于NTFS卷的0号簇[11],该元文件所占簇数与每个簇的扇区数有关,NTFS_DBR则是元文件$Boot的重要组成部分,位于NTFS卷的0号扇区。由于NTFS_DBR比较重要,所以,在NTFS卷的最后一个扇区存储着NFTS_DBR备份。如果NTFS_DBR被破坏,可以通过NTFS_DBR备份来恢复;但是如果NTFS_DBR和NTFS_DBR备份同时被破坏,只有通过计算NTFS_DBR中BPB参数的形式来恢复。

3 实验环境与制作实验素材

(1)实验环境。

操作系统:Windows 7。

硬盘:虚拟硬盘。

数据恢复软件:WinHex 15.08。

(2)制作实验素材的步骤。

步骤1:在Windows 7桌面上,右击“计算机”图标,从弹出的快捷菜单中选择“管理”,出现“计算机管理”窗口,在导航窗格中选择“存储→磁盘管理”,选择菜单栏上的“操作→创建VHD”后,在“创建和附加虚拟硬盘”窗口中指定虚拟硬盘位置为G盘的根目录,虚拟硬盘文件名为a2.vhd,虚拟硬盘大小为2 GB。

步骤2:选择菜单栏上的“操作→附加VHD”后,附加a2.vhd文件为虚拟磁盘1,将光标移动到磁盘1处,将磁盘1初始化成GPT磁盘。

步骤3:在磁盘1上建立1个分区,分区大小为450 MB,文件系统选择NTFS,将其进行格式化。

步骤4:重复步骤3共计3次,在磁盘1上依次再建立3个分区,分区大小分别为390 MB、630 MB和510 MB文件。

完成以上操作后,在磁盘1中4个分区对应4个逻辑盘情况如下:

序号盘符文件系统容量(单位:MB)1H盘 NTFS4502I盘 NTFS3903J盘 NTFS6304K盘 NTFS510

分别复制一定数量的文件夹和文件到4个逻辑盘中;并记录下4个逻辑盘的NTFS_DBR和NTFS_DBR备份所在扇区号。

分离虚拟磁盘1,使用Winhex软件打开a2.vhd文件;将4个逻辑盘的NTFS_DBR和NTFS_DBR备份所在扇区号填充为00。

将a2.vhd文件附加为虚拟磁盘1,并删除4个逻辑盘,然后再转换成MBR磁盘。

至此,实验素材已制作完成。

4 重建GPT分区

4.1 重建GPT分区的基本思路与方法

重建GPT分区的基本思路:分别计算H盘、I盘、J盘和K盘的容量;重建GPT分区的方法如下:

(1)通过NTFS元文件$MFT或者元文件$MFTMirr的0号记录80H非常驻属性计算出NTFS文件系统每个簇的扇区数。

(2)通过NTFS元文件$MFT的8号记录80H属性计算NTFS总簇数。

(3)通过NTFS卷总簇数和每个簇的扇区数,计算NTFS卷的容量。

4.2 重建GPT分区的操作步骤

重建GPT分区操作步骤如下:

步骤1:启动WinHex软件。

步骤2:打开a2.vhd文件,并映象为磁盘。

步骤3:查找元文件$MFT或者$MFTMirr的0号记录,在65 680号扇区找到,如图3所示。

步骤4:计算每个簇的扇区数。

从图3可知,NTFS文件系统分配给元文件$MFT的空间为524 288字节,占512个簇;在元文件$MFT或者$MFTMirr的0号记录80H属性中的存储形式分别为“00 00 08 00 00 00 00 00”和“00 02”。

根据元文件NTFS文件系统分配给元文件$MFT的空间和所占簇数,可以计算出第1个卷(即H盘)每个簇的扇区数。

图3 第1个NTFS元文件$MFT或者$MFTMirr的0号记录80H属性

NTFS文件系统分配给元文件$MFT的空间=每个簇的扇区数×所占簇数×512字节/簇

524 288字节=每个簇的扇区数×512簇×

512字节/簇

每个簇的扇区数=2

步骤5:查找元文件$MFT的8号记录,在372 880号扇区找到,如图4所示。

从图4可知,NTFS文件系统的最后一个簇号为460 799,其存储形式为“FF 07 07”。

步骤6:计算NTFS卷的容量。

NTFS文件系统的簇号范围为0~460 799,即总簇数为460 800。

图4 第1个NTFS元文件$MFT的8号记录80H属性

步骤7:重复步骤3至步骤5,可以计算出第2个(即I盘)至第4个(即K盘)卷中NTFS系统的每个簇扇区数和容量。在GPT磁盘中,4个卷的基本情况如下:

序号每个簇的扇区数卷的容量(单位:MB) 12450212839033263042510

NTFS卷的容量=总簇数×每个簇的扇区数×

512字节/扇区÷1 024÷1 024 MB=

460 800×2×512÷1 024÷1 024 MB=

450 MB步骤8:退出WinHex。

步骤9:进入“计算机”管理窗口,选择菜单栏上的“操作→附加VHD”后,附加G盘根目录的a2.vhd文件为虚拟磁盘1,并转换成GPT磁盘。

步骤10:在磁盘1上依次建立4个GPT分区,磁盘1中4个分区依次对应4个卷的容量分别为450 MB、390 MB、630 MB和510 MB。

注:千万不要对4个卷进行(快)格式化操作。

至此,4个卷的GPT分区已经重建完成。

步骤11:分离a2.vhd,使用WinHex打开a2.vhd,并映象为磁盘,从主窗口可以得到分区2、分区3、分区4和分区5的开始扇区分别为65 664、987 264、1 785 984和3 076 224(注:分区1为微软保留分区)。

5 重建NTFS_DBR

5.1 重建NTFS_DBR的基本思路与方法

重建NTFS_DBR的基本思路:计算NTFS_DBR中的每个簇的扇区数、隐藏扇区数、总扇区数等七个BPB参数。基本方法如下:

(1)每个簇的扇区数:通过NTFS元文件$MFT或者元文件$MFTMirr的0号记录80H非常驻属性计算出NTFS文件系统每个簇的扇区数。

(2)隐藏扇区数:通过NTFS_DBR所在扇区号获得,即建立GPT分区后,每个卷在整个硬盘中的开始扇区号。

注:系统对该参数的正确性不进行校验,也可以不计算该参数,重建NTFS_DBR中没有计算该参数。

(3)总扇区数:总容量转换为扇区数后减1。

(4)元文件$MFT的开始簇号:从元文件$MFT或$MFTMirr的0号记录80H属性数据运行列表中的开始簇号获得。

(5)元文件$MFTMirr的开始簇号:从元文件$MFT或$MFTMirr的1号记录80H属性数据运行列表中的开始簇号获得。

(6)元文件$MFT每条记录大小描述和索引节点大小描述[1]:以每个簇的扇区数为依据通过查询表1获得,见表1。

表1 每个簇的扇区数与$MFT记录大小、索引节点大小对应表

将同一版本的NTFS_DBR复制到每个NTFS_DBR所在扇区号,并修改每个簇的扇区数、隐藏扇区数等这七参数[14]。

5.2 重建NTFS_DBR的操作步骤

重建NTFS_DBR操作步骤如下:

步骤1:启动WinHex软件。

步骤2:打开a2.vhd文件,并映象为磁盘。

步骤3:查找元文件$MFT或者$MFTMirr的0号记录,在65680号扇区找到,如图3所示。

步骤4:计算每个簇的扇区数。

NTFS文件系统分配给元文件$MFT的空间=每个簇的扇区数×所占簇数×512字节/簇

524 288字节=每个簇的扇区数×512簇×

512字节/簇

每个簇的扇区数=2

步骤5:计算总扇区数。

总扇区数=总容量×1 024×1 024÷512-1=

450×1 024×1 024÷512-1=

921 599

步骤6:元文件$MFT的开始簇号:从图3可知,元文件$MFT的开始簇号为153 600(注:存储形式为00 58 02)。

步骤7:元文件$MFTMirr的开始簇号:将光标移动到65 682号扇区,即元文件$MFT或$MFTMirr的1号记录开始扇区号,可以得到元文件$MFTMirr的开始簇号为8(注:存储形式为08)。

步骤8:以每个簇的扇区数为依据,通过查询表1获得元文件$MFT每条记录大小描述和索引节点大小描述。

第1个NTFS文件系统每个簇的扇区数为2,从表1可以查找到,元文件$MFT每条记录大小描述为1,每个索引节点大小描述为4。

步骤9:综合步骤4至步骤8,重建第1个NTFS_DBR需要计算的BPB参数,如下所示。

字节偏移字节数含义值0X0D1每个簇的扇区数20X288扇区总数921 5990X308$MFT的开始簇号153 6000X388$MFTMirr的开始簇号80X401每个$MFT记录大小描述1个簇0X441每个索引节点大小描述4个簇

转换成在NTFS_DBR中的存储形式,如下所示:

字节偏移含义在NTFS_DBR中的存储形式0X0D每个簇的扇区数020X28扇区总数FF 0F 0E 00 00 00 00 000X30$MFT的开始簇号00 58 02 00 00 00 00 000X38$MFTMirr的开始簇号08 00 00 00 00 00 00 000X40每个$MFT记录大小描述010X44每个索引节点大小描述04

步骤10:重复步骤4至步骤9,重建第2个NTFS_DBR需要计算的BPB参数,如下所示:

字节偏移字节数含义值0X0D1每个簇的扇区数1280X288扇区总数798 7190X308$MFT的开始簇号2 0800X388$MFTMirr的开始簇号10X401每个$MFT记录大小描述1 024字节0X441每个索引节点大小描述4 096字节

转换成在NTFS_DBR中的存储形式,如下所示:

字节偏移含义在NTFS_DBR中的存储形式0X0D每个簇的扇区数800X28扇区总数FF2F 0C 00 00 00 00 000X30$MFT的开始簇号20 08 00 00 00 00 00 000X38$MFTMirr的开始簇号01 00 00 00 00 00 00 000X40每个$MFT记录大小描述F60X44每个索引节点大小描述F4

步骤11:重复步骤4至步骤9,重建第3个NTFS_DBR需要计算的BPB参数,如下所示:

字节偏移字节数含义值0X0D1每个簇的扇区数320X288扇区总数1 290 2390X308$MFT的开始簇号13 4400X388$MFTMirr的开始簇号10X401每个$MFT记录大小描述1 024字节0X441每个索引节点大小描述4 096字节

转换成在NTFS_DBR中的存储形式,如下所示:

字节偏移含义在NTFS_DBR中的存储形式0X0D每个簇的扇区数200X28扇区总数FF AF 13 00 00 00 00 000X30$MFT的开始簇号80 34 00 00 00 00 00 000X38$MFTMirr的开始簇号01 00 00 00 00 00 00 000X40每个$MFT记录大小描述F60X44每个索引节点大小描述F4

步骤12:重复步骤4至步骤9,重建第4个NTFS_DBR需要计算的BPB参数,如下所示:

字节偏移字节数含义值0X0D1每个簇的扇区数20X288扇区总数1 044 4790X308$MFT的开始簇号1740800X388$MFTMirr的开始簇号80X401每个$MFT记录大小描述1簇0X441每个索引节点大小描述4簇

转换成在NTFS_DBR中的存储形式,如下所示:

字节偏移含义在NTFS_DBR中的存储形式0X0D每个簇的扇区数020X28扇区总数FF EF 0F 00 00 00 00 000X30$MFT的开始簇号00 A8 02 00 00 00 00 000X38$MFTMirr的开始簇号08 00 00 00 00 00 00 000X40每个$MFT记录大小描述010X44每个索引节点大小描述04

步骤13:将同一版本NTFS_DBR复制到65 664号扇区,并修改第1个NTFS_DBR中的BPB参数并存盘,如图5所示,至此,第1个卷的NTFS_DBR已经恢复完成。

图5 恢复第1个卷的NTFS_DBR

步骤14:将同一版本NTFS_DBR复制到987 264号扇区,修改第2个NTFS_DBR中的BPB参数;将同一版本NTFS_DBR复制到1 785 984号扇区,并修改第3个NTFS_DBR中的BPB参数;将同一版本NTFS_DBR复制到3 076 224号扇区,并修改第4个NTFS_DBR中的BPB参数[14]。

至此,第2~4个卷的NTFS_DBR已经恢复完成。

步骤15:通过NTFS_DBR恢复NTFS_DBR备份。由于NTFS_DBR备份位于每个NTFS卷的最后一个扇区[15],4个NTFS_DBR备份依次分别位于987 263、1 785 983、3 076 223和4 120 703号扇区,分别将65 664号扇区复制到987 263号扇区,将987 264号扇区复制到1 785 983号扇区,将1 785 984号扇区复制到3 076 223号扇区,将3 076 224号扇区复制到4 120 703号扇区。

注:由于NTFS文件系统对NTFS_DBR备份是否存在并不进行校验,步骤15也可以省略。

6 结束语

由于计算机病毒的破坏、用户使用Ghost软件对GPT磁盘误操作、误将GPT磁盘转换为MBR磁盘、突然掉电等因素等,导致GPT分区、NTFS_DBR和NTFS_DBR备份同时被破坏的现象时有发生。通过实验的方式,依据NTFS文件系统元文件$MFT的0号记录、1号记录和6号记录的80H属性相关参数,提出重建GPT分区、NTFS_DBR和NTFS_DBR备份的基本思路、方法与步骤。作者在该实验中过程中,只使用了15分钟的时间,就恢复了GPT磁盘中的4个逻辑盘中的全部文件夹和文件。实践证明:该方法具有方便、快捷、简单实用的特点。

猜你喜欢
扇区磁盘字节
No.11 字节跳动计划自研芯片:仅供内部使用
MBR磁盘转换为GPT磁盘的研究与实现
分阶段调整增加扇区通行能力策略
No.8 字节跳动将推出独立出口电商APP
它的好 它的坏 详解动态磁盘
解决Windows磁盘签名冲突
浅述“4K对齐”及其发展前景
U盘故障排除经验谈
Windows系统下动态磁盘卷的分析与研究
克隆硬盘很简单