<![CDATA[凌云]]> http://451461198.qzone.qq.com Mon, 30 Nov 2009 03:48:57 GMT Qzone zh-cn Copyright (C), 2005-2008, Tencent Tech. Co., Ltd. Sat, 14 Nov 2009 07:38:21 GMT <![CDATA[[转]疯狂街舞一定要看看哦]]> http://451461198.qzone.qq.com/blog/1258184301 见过这么疯狂呢街舞吗？ 佟二堡的捡破烂的都会跳街舞啦~·~· ]]> http://451461198.qzone.qq.com/blog/1258184301#comment 134218248 Sat, 14 Nov 2009 07:38:21 GMT http://451461198.qzone.qq.com/blog/1258184301 <![CDATA[[转]极品嗨！！看看！！]]> http://451461198.qzone.qq.com/blog/1258184221 ]]> http://451461198.qzone.qq.com/blog/1258184221#comment 4104 Sat, 14 Nov 2009 07:37:01 GMT http://451461198.qzone.qq.com/blog/1258184221 <![CDATA[[转]能把李咏都弄傻了的女人]]> http://451461198.qzone.qq.com/blog/1257754702
]]> http://451461198.qzone.qq.com/blog/1257754702#comment 134222344 Mon, 09 Nov 2009 08:18:22 GMT http://451461198.qzone.qq.com/blog/1257754702 <![CDATA[U盘提示未格式化数据的恢复]]> http://451461198.qzone.qq.com/blog/1249280180 格式化数据的恢复一例
同事拿来一32M的U盘，提示未格式化，插上电脑一看，容量都可以认到，恢复有希望。打开WinHex，首先做好镜像，接下来分析U盘内容，转到0扇区，有MBR，在MBR中入指明DBR从32扇区开始，如下图：
转向32扇区，出来内容都是FFFF填充，如下图：
继续往下翻，发现下面的好多扇区都和32扇区一样，都是FFFF填充。用WinHexr的搜索功能搜eb5890，也没有找到，说明DBR已经被破坏了。接下来看看FAT表是否被破坏，用WinHex 的搜索功能搜找F8ff，结果在96扇区找到了一个FAT表，继续往下找，没再找到，就一个FAT表。
在这里算了一下，96-33=63，再用96+63=159，这里63是扇区的个数，表示DBR开始的FAT1表到FAT2表之间的扇区数，也就是FAT表的大小（现在只是猜想），转到159扇区，看到159扇区中数据，前面的158扇区全部是0，说明从159扇区开始是FDT，再下翻32扇区，转到191扇区，正好有一个根目录，至此，这个U盘的结构已经清楚了：
MBR 0扇区
DBR 32扇区
FAT1 33扇区开始，大小 63个扇区，FAT2 96扇区开始，
FDT 159 扇区开始，数据区从191扇区开始。
接下格式化U盘，把U盘的DBR写入到镜像的32扇区中，
在这里要修改下一DBR参数，按我们前面所算的，FAT1表从33扇区 开始，Fat2表从96扇区开始，DBR在32扇区，按照清源大侠的懒人改Fat表法，修改FAT表的个数、大小 ，保留扇区数，这里分别设置为1、63、64，（原来的为2、248、8可以对照下面两个图，前面有星号表示是修改过的）然后保存并重新打开，怪事，竟然不对，仔细算了一下，应该没错啊，做了几次都不行。后来突然想到，是不是簇大小有问题，格式化后的簇大小是01，按照公式算了一下，簇总数是63*512/2-2=16126，数据区大小是64000-2*63-32-32-1=63809，簇大小是63809-16126=3.95，我们取4，修改簇大小，保存再打开，数据完美恢复。
]]> http://451461198.qzone.qq.com/blog/1249280180#comment 134218241 Mon, 03 Aug 2009 06:16:20 GMT http://451461198.qzone.qq.com/blog/1249280180 <![CDATA[Winhex镜像硬盘与镜像中恢复数据图文]]> http://451461198.qzone.qq.com/blog/1249280058 WinHex镜像硬盘和Ghost备份是完全不同的，Ghost只能克隆或者镜像分区内正常的数据，删除的数据他是不会克隆的，所以在数据恢复应用中，Ghost对我们来讲作用就不大了，而使用WinHex备份（镜像）硬盘数据就不同了，WinHex会对每一个扇区数据拷贝，下边我们分别对WinHex的硬盘镜像成img文件和硬盘克隆做一个图文教程；
打开WinHex如下图：
选择克隆硬盘：
工具-磁盘工具-克隆磁盘如下图
一：硬盘克隆到镜像文件
首先说明来源与目标的区别，来源是将要克隆的硬盘，目标是来原盘的备份盘，两者千万不要搞错了，搞错了造成数据严重损坏的；如图：
我们先来备份到镜像文件，选择原盘后，点目标右侧的镜像到文件，出现下图：
选择存储路径，并给文件命名，一般我们使用img为后缀的，因为他的通用性较强，下节我们讲述其他软件的备份和从镜像中恢复数据恢复说明这点；
二：硬盘克隆到硬盘
如下图：
这里我们没有使用容量相同的硬盘，拷贝方法和镜像到文件基本相同，就是注意选择的方式；
注意：
钩选复制整个媒体选项，如果是硬盘到硬盘的方式，目标盘开始扇区从0开始即可，镜像到文件不需要设置此选项。镜像硬盘与镜像中恢复数据图文
镜像文件img等于镜像硬盘LBA大小，例如:一个80G硬盘要镜像出来，那么容量要大于80G，反之不能备份，如果采用其他方式也可以和Ghost那样压缩
下面就是：
WinHex镜像文件恢复到硬盘操作图文
一：运行WinHex程序，如图：
二：工具--磁盘工具-克隆硬盘
三：选定镜像文件，恢复到目标硬盘驱动器，如下图
至此备份与恢复全部完毕，我在下一篇会给大家讲述其他软件的镜像，这些操作都完毕后，开始对镜像文件的数据提取，数据删除恢复，分区丢失恢复，各种Raid的组合与数据恢复。 ]]> http://451461198.qzone.qq.com/blog/1249280058#comment 134218241 Mon, 03 Aug 2009 06:14:18 GMT http://451461198.qzone.qq.com/blog/1249280058 <![CDATA[WINHEX手工修正分区文件系统结构法]]> http://451461198.qzone.qq.com/blog/1249279801 数据恢复基础原理知识。在这里我们只描述常用几种系统结构位的手工修正，包括DBR、FAT表头部、MFT头部。
欢迎阅读本文，这是我们的《走进科学--探索发现--硬盘分区信息丢失之谜》的第三篇《WinHex应用之奇怪的未格式化》这篇文章是三篇文章中最绕的一篇，充分认识硬盘数据结构的“CT” 运行 WINHEX之后你会觉得，这个可以学，很好很强大。在第一篇《寻找丢失的硬盘分区》文章里，我们恢复了客户故障硬盘的分区信息，但仍然有三个分区是未格式化状态，在这篇文章中我们利用非常强大的Winhex来进行手工修复文件系统。第二篇《DiskGenius 恢复提示格式化的数据》中使用硬盘数据恢复软件的新星DiskGenius恢复这三个分区的数据，使用的是扫描重组目录法，直接提取数据。

前面恢复的6个分区中，有3个48.8G的NTFS分区是提示“未格式化”的，我们在前面介绍的是使用磁盘精灵直接扫描恢复数据，除扫描方法恢复数据，我们还可以使用WINHEX磁盘编辑工具直接修改异常扇区，达到恢复数据的目的。除了恢复结果原汁原味，而且恢复迅速，熟练后只需几分钟恢复这三个异常分区。

运行WINHEX，点取打开磁盘，选择我们要编辑恢复的硬盘，然后确定打开,这里选择物理驱动器，有的时候如果单一分区文件系统有问题，打开逻辑驱动器会出现问题，最好是打开物理驱动器后在对单一分区进行操作。

打开物理驱动器后，6个分区信息一目了然，其中2、3、4分区格式位置是未知的文件系统，显示？号，看来这三个分区引导信息扇区DBR肯定出问题了。

点击分区1，扇区内容栏将跳到分区1开始的地方，也就是分区的DBR位置。我们看到分区1从63扇区开始，其DBR的开始字节为 EB 58 90

点击分区2，扇区内容栏将跳到分区2的DBR位置。我们看到分区2在40965813扇区，其DBR的开始字节为 7F EB 52 90

点击分区3，扇区内容栏将跳到分区3的DBR位置。我们看到分区3在143364123扇区，其DBR的开始字节也为 7F EB 52 90

点击分区4，扇区内容栏将跳到分区4的DBR位置。我们看到分区4在245762433扇区，其DBR的开始字节还是为 7F EB 52 90

点击正常的分区5，扇区内容栏将跳到分区5的DBR位置348160743扇区。但其DBR的开始字节为 EB 52 90 ，与前三个问题分区对比，少了一个 7F ,仔细观察对比分析，原来三个“提示格式化”的NTFS分区，其DBR引导指令 EB 52 90 被顺延后移了一位，并在前面加上一个 7F

知道了问题所在，开始尝试修复恢复问题分区的DBR,首先修复硬盘分区2，在分区2上双击打开。

双击后，WINHEX将在一个新窗口中打开分区2，在窗口选项卡上可自由切换编辑整个硬盘还是单个分区。图中是错误的DBR引导指令

系统引导扇区DBR的结束标志 55 AA 被顺延掉了，55跑到 AA 的位置上了。Winhex扇区分割线把硬盘上每512字节划分为一个扇区，方便编辑。

因为DBR对操作系统非常重要，NTFS格式分区，在其分区最后的扇区上，备份了DBR，如果它是正常的，我们只需将最后一个扇区的内容复制到DBR位置，如果没有其它问题，这个分区就正常了。恢复DBR之前，首先将当前问题DBR备份，一定要养成备份这个习惯.在DBR开始字节上单击右键，定义选择扇区块的起始

在DBR扇区最后一个字节上单击右键，定义结束位置。

被选择DBR内容背景将被突出加深。我们在扇区任意位置右键--编辑--

点击编辑之后--复制选块--至新文件

为问题DBR备份输入一个文件名，自己要容易记住这个文件名，如：bad_250g_2p_dbr ，然后保存到一个位置，这里我们放到桌面。

WINHEX会多出一个备份内容的窗口选项卡，方便编辑调用

桌面上刚刚备份的分区2有问题的DBR。

备份DBR之后，我们在分区2窗口内，将滚动条拖到最底部。准备复制分区2底部的备份DBR，粘贴写入到分区2开始的引导DRB位置，达到修复异常问题DRB，进而解决修复分区打开提示格式化的故障。同样在扇区开始位置右键--选块起始位置，定义块首。

在扇区最后一个字节上右键定义块尾，可以看到，正常DBR的结束字节为55AA

选块后，背景加深，然后WINHEX菜单栏--编辑--复制选块--正常，快捷键为标准的Ctrl+C

拖动分区2的滚动条，拉到顶端分区2扇区0的位置，在有问题的DBR的第一个字节 7F 处点击定位一下,然后点击编辑菜单

编辑菜单--剪贴板数据--写入，使用快捷键的话，不是Ctrl+V是Ctrl+B

为防止误操作，WINHEX将做提示

OK，正常的DBR回来了，浅蓝色表示没有保存。

DBR扇区的尾部正常结束标志 55 AA 也对了。

点击保存图标，保存我们复制过来的DBR

再次给出提示，数据无价，小心驶得万年船

如果你对刚刚自己的操作很有自信，就直接一路狂点确定。

扇区颜色正常了，保存完毕。然后关闭所有WINHEX选项窗口

我们需要关闭修改的硬盘，再次打开，WINHEX才能生效识别刚才修改的分区2的DBR。

依然选择物理驱动器，再次打开ST250硬盘。

WINHEX已经识别显示分区2为正常分区了，双击打开

WINHEX在对分区2的目录列表进行分析，列出所有目录。

文件出来了，可以双击打开每个目录看看。这些是删除过的文件

非常重要的文件可以右键--恢复/复制出来，先做个备份，注意导出存放位置如果在目录中，不能为中文。分区2只是DBR位置被破坏了，其它的地方没有被破坏，在我们进行过修改后，电脑重新启动，就OK了，操作系统就能认到这个分区了，直接打开就能看见里面的东西了。双击这里返回到上级目录

删除过的文件，也可以导出恢复。

无效路径目录下有时也有很多可以使用，需要的文件，也可以恢复导出。

以上就是分区2的整个修复过程，分区3，分区4和这个都是一样的故障，只要按照上面对它们做同样的操作数据都会被恢复。 ]]> http://451461198.qzone.qq.com/blog/1249279801#comment 134218241 Mon, 03 Aug 2009 06:10:01 GMT http://451461198.qzone.qq.com/blog/1249279801 <![CDATA[winhex恢复误GHOST系统造成的数据丢失]]> http://451461198.qzone.qq.com/blog/1249279624 WinHex恢复误Ghost系统造成的数据丢失
Ghost让众多的用户享受到了恢复系统的便利，在方便快速的同时，偶尔的疏忽。导致了多年的心血，美好的回忆，公司企业数据等等数据被破坏，硬盘数据被破坏让大家十分苦恼，重要的数据如何恢复呢，以下我就一个典型事例给大家讲讲具体数据恢复过程。
Ghost误克隆的一个硬盘，我们开始恢复数据，原先分了2个主分区和1个扩展分区，扩展分区里有2个逻辑分区，这样就一共c,d,e,f四个分区。本来想用Ghost让系统装在c盘，但是由于误操作，选择了“文件to硬盘”，使得原来4个分区变成了一个分区。
Finadata数据恢复工具恢复误Ghost图1
看到这里，可千万别以为数据都删除了，其实除了c盘数据由于有新的系统覆盖上去会丢失部分数据以外，别的分区是可以完全恢复的。接下来我们就来说说怎么利用WinHex（此数据恢复软件文章结尾提供）和Finadata（此 数据恢复软件文章结尾提供）来手工恢复分区。
Finadata恢复方法篇：
首先，我们打开Finadata
Finadata数据恢复工具恢复误Ghost图2
选择“打开”－“物理驱动器”－“所需要恢复数据的磁盘”－“确定”
Finadata数据恢复工具恢复误Ghost图3
此时，Finadata开始自动搜索该硬盘里的分区情况
Finadata数据恢复工具恢复误Ghost图4
我们可以看到finadata扫描出了6个分区，因为有几个分区是以前分的，后来删了，但是分区表还在，这也是我们可以恢复数据的原因所在。
接着我们可以按照原先记忆中的分区大小来判断哪几个是我们要找的分区，当然如果忘记了也没关系，我们可以点击进入某个分区，看看是否里面的数据是我们要的数据。
Finadata数据恢复工具恢复误Ghost图5
WinHex恢复Ghost误克隆方法篇：
如果是就如图记下他们的开始扇区号,图中“21179m”是此分区开始位置，是相对整个硬盘来说的，“43375563”就是很关键的开始扇区号了。我们记下所有要恢复的分区头开始扇区号。
接着我们就可以开始用WinHex来修改硬盘分区了，我们打开WinHex
WinHex数据恢复工具恢复误Ghost图6
选择“打开磁盘”－“物理磁盘”－“所需要恢复的硬盘”－“确定”
WinHex数据恢复工具恢复误Ghost图7
图中扇区就是所谓的硬盘0扇区，里面一个大的红圈就是分区信息，其实我们每次分区，改的分区大小，分区类型都在这5行里面，这也是一个硬盘只能分4个主分区的原因，从下面那个小红圈看到，0扇区表都是以“55AA”结尾的。
WinHex数据恢复工具恢复误Ghost图8
接下来我们选择“访问”-“分区”－“分区表（模板）”
WinHex数据恢复工具恢复误Ghost图9
我们可以在这个窗口里方便的修改分区信息
WinHex数据恢复工具恢复误Ghost图10
我们先填写好前面用finadata扫描出来的分区起始扇区，分区类型，其他空格可以抄分区1，分区的大小我们要用
下一个分区起始扇区（43375500）－这个分区起始扇区（31085775）＝这个分区的大小（12289725）
这样我们就恢复好了这个硬盘的分区了，因为有两个分区是在扩展分区里面的，所以我们无需对其恢复，因为他们的分区信息在扩展分区开头处，并没有被破坏，我们只要恢复了扩展分区，其里面的分区就会全部恢复。
重新启动一下电脑看看自己的成果吧！！！
数据恢复恢复误Ghost最后效果图11
]]> http://451461198.qzone.qq.com/blog/1249279624#comment 134218241 Mon, 03 Aug 2009 06:07:04 GMT http://451461198.qzone.qq.com/blog/1249279624 <![CDATA[WinHex教程]]> http://451461198.qzone.qq.com/blog/1249279344 WinHex教程
WinHex
数据恢复分类：硬恢复和软恢复。所谓硬恢复就是硬盘出现物理性损伤，比如有盘体坏道、电路板芯片烧毁、盘体异响，等故障，由此所导致的普通用户不容易取出里面数据，那么我们将它修好，同时又保留里面的数据或后来恢复里面的数据，这些都叫数据恢复，只不过这些故障有容易的和困难的之分；所谓软恢复，就是硬盘本身没有物理损伤，而是由于人为或者病毒破坏所造成的数据丢失（比如误格式化，误分区），那么这样的数据恢复就叫软恢复。
这里呢，我们主要介绍软恢复，因为硬恢复还需要购买一些工具设备（比如Pc3000,电烙铁，各种芯片、电路板），而且还需要懂一点点电路基础，我们这里所讲到的所有的知识，涉及面广，层次深，既有数据结构原理，为我们手工准确恢复数据提供依据，又有各种数据恢复软件的使用方法及技巧，为我们快速恢复数据提供便利，而且所有软件均为网上下载，不需要我们投资一分钱。
数据恢复的前提：数据不能被二次破坏、覆盖！
关于数码与码制：
关于二进制、十六进制、八进制它们之间的转换我不想多说，因为他对我们数据恢复来说帮助不大，而且很容易把我们绕晕。如果你感兴趣想多了解一些，可以到百度里面去搜一下，这方面资料已经很多了，就不需要我再多说了。
数据恢复我们主要用十六进制编辑器：WinHex （数据恢复首选软件）
我们先了解一下数据结构：
下面是一个分了三个区的整个硬盘的数据结构
MBRC盘EBRD盘EBRE盘MBR，即主引导纪录，位于整个硬盘的0柱面0磁道1扇区，共占用了63个扇区，但实际只使用了1个扇区（512字节）。在总共512字节的主引导记录中，MBR又可分为三部分：第一部分：引导代码，占用了446个字节；第二部分：分区表，占用了64字节；第三部分：55AA，结束标志，占用了两个字节。后面我们要说的用WinHex软件来恢复误分区，主要就是恢复第二部分：分区表。
引导代码的作用：就是让硬盘具备可以引导的功能。如果引导代码丢失，分区表还在，那么这个硬盘作为从盘所有分区数据都还在，只是这个硬盘自己不能够用来启动进系统了。如果要恢复引导代码，可以用DOS下的命令：FDISK /MBR；这个命令只是用来恢复引导代码，不会引起分区改变，丢失数据。另外，也可以用工具软件，比如DISKGEN、WINHEX等。
但分区表如果丢失，后果就是整个硬盘一个分区没有，就好象刚买来一个新硬盘没有分过区一样。是很多病毒喜欢破坏的区域。
EBR，也叫做扩展MBR（Extended MBR）。因为主引导记录MBR最多只能描述4个分区项，如果想要在一个硬盘上分多于4个区，就要采用扩展MBR的办法。
MBR、EBR是分区产生的。
比如MBR和EBR各都占用63个扇区，C盘占用1435329个扇区……那么数据结构如下表：
631435329631435329631253889MBRC盘EBRD盘EBRE盘 扩展分区而每一个分区又由DBR、FAT1、FAT2、DIR、DATA5部分组成：比如C 盘的数据结构：
C 盘DBRFAT1FAT2DIRDATAWinHex
WinHex是使用最多的一款工具软件，是在Windows下运行的十六进制编辑软件，此软件功能非常强大，有完善的分区管理功能和文件管理功能，能自动分析分区链和文件簇链，能对硬盘进行不同方式不同程度的备份，甚至克隆整个硬盘；它能够编辑任何一种文件类型的二进制内容（用十六进制显示）其磁盘编辑器可以编辑物理磁盘或逻辑磁盘的任意扇区，是手工恢复数据的首选工具软件。
首先要安装WinHex，安装完了就可以启动WinHex了，启动画面如下：首先出现的是启动中心对话框。
这里我们要对磁盘进行操作，就选择“打开磁盘”，出现“编辑磁盘”对话框：
在这个对话框里，我们可以选择对单个分区打开，也可以对整个硬盘打开，HD0是我现在正用的西部数据40G系统盘，HD1是我们要分析的硬盘，迈拓2G。这里我们就选择打开HD1整个硬盘，再点确定.然后我们就看到了WinHex的整个工作界面。
最上面的是菜单栏和工具栏，下面最大的窗口是工作区，现在看到的是硬盘的第一个扇区的内容，以十六进制进行显示，并在右边显示相应的ASCII码，右边是详细资源面板，分为五个部分：状态、容量、当前位置、窗口情况和剪贴板情况。这些情况对把握整个硬盘的情况非常有帮助。另外，在其上单击鼠标右键，可以将详细资源面板与窗口对换位置，或关闭资源面板。（如果关闭了资源面板可以通过“察看”菜单——“显示”命令——“详细资源面板”来打开）。
最下面一栏是非常有用的辅助信息，如当前扇区 /总扇区数目……等
向下拉拉滚动条，可以看到一个灰色的横杠，每到一个横杠为一个扇区，一个扇区共512字节，每两个数字为一个字节，比如00。
下面我们来分析一下MBR，因为前面我们说过，前446个字节为引导代码，对我们来说没有意义，这里我们只分析分区表中的64个字节。
分区表64个字节，一共可以描述4个分区表项，每一个分区表项可以描述一个主分区或一个扩展分区（比如上面的分区表，第一个分区表项描述主分区C盘，第二个分区表项描述扩展分区，第三第四个分区表项填零未用）
每一个分区表项各占16个字节，各字节含义如下：（H表示16进制）
字节位置内容及含义第1字节引导标志。若值为80H表示活动分区；若值为00H表示非活动分区。第2、3、4字节本分区的起始磁头号、扇区号、柱面号第5字节分区类型符： 00H——表示该分区未用
06H——FAT16基本分区
0BH——FAT32基本分区
05H——扩展分区
07H——NTFS分区
0FH——（LBA模式）扩展分区
83H—— Linux分区第6、7、8字节本分区的结束磁头号、扇区号、柱面号第9、10、11、12字节本分区之前已用了的扇区数第13、14、15、16字节本分区的总扇区数此硬盘的第一分区表（即MBR）分析如下：
第一个分区表项（C盘）
第1字节80：表示此分区为活动分区；
第5字节0B：表示分区类型为Fat32；
第9、10、11、12字节 系统隐含扇区3F 00 00 00：所谓系统隐含扇区就是本分区（C盘）之前已用了的扇区数，这是一个十六进制数，但要注意：真正的隐含扇区数应该反过来填写（比如：隐含扇区数为3E 4D 5A 6F，则反过来就是6F 5A 4D 3E ，这才是实际的隐含扇区数）。那么，3F 00 00 00反过来写就是00 00 003F，也就是3F，将他转成十进制数我们才能知道实际的隐含扇区数是多大。这可以使用计算器来算，单击工具栏上的“计算器”按钮，如下图：
这样就启动了计算器
计算器有两种型号，我们要进行进制转换，就要选择“科学型”
比如我们要将十六进制3F转换为十进制，就要先选中“十六进制”，然后输入3F
再选中“十进制”，十六进制3F转为十进制等于63。想一想我们前面所讲的，MBR占用63个扇区，也就是C盘之前已用了的扇区数为63，第64个扇区就是C盘的第一个扇区，但要注意的是，整个硬盘的LBA地址是从零开始的，0~62的扇区为MBR。
第13、14、15、16字节本分区总扇区数(当然，这也就是C盘的大小)：C1 E6 15 00，同样，实际的十六进制数也要反过来才对，也就是00 15 E6 C1，将它转换成十六进制数是1435329。给你出个题，你知道D盘的EBR在哪个扇区吗？我们一起来算一下，还记得前面数据结构那个表吗？C盘后面不就是D盘的EBR吗？D盘EBR的第一个扇区=MBR+C盘的大小，也就是 63+1435329=1435392。
我们来看看对不对，单击工具栏上的 “转到扇区”按钮，出现一个“转到扇区”对话框
然后输入1435392，再点“确定”，就到了1435392扇区了（你可以使用它再转回到0扇区）
这个就是 D盘的EBR，也就是D盘的分区表了，怎么知道的呢？因为MBR和EBR的结构是完全一样的，都是占用了63个扇区，但只用了第一个扇区，其余62个扇区填零不用。第一个扇区前446个字节都为引导代码，后64个字节为分区表，最后2个字节为55AA结束标志。因为EBR不是活动分区，不需要引导代码，所以前446个字节为零。
还有另一种方法直接找到 D盘的EBR，单击“访问”下拉按钮——“分区二”——“分区表”，直接就到1435392扇区.
这样，分区表中的第一个分区表项共十六个字节分析完毕，下面我们再来看看第二个分区表项（扩展分区）。
第 1字节00：表示非活动分区
第 5字节05：表示扩展分区
第 9、10、11、12字节00 E7 15 00：本分区之前的扇区数（扩展分区前面也就是MBR和C盘，好像我们前面算过这个数？）同样，先将它反过来，就是00 15 E7 00 ，再转为十进制是1435392，看来我们前面真的算过这个数。
第13、14、15、16字节40 09 29 00：本分区的总扇区数。也就是扩展分区的总扇区数。转为十进制应该是2689344。想一想，用这个数加上前面的1435392，不正好是整个硬盘的总扇区数4124736吗？
这样，如果分区表被破坏，我们只要把这些数值都计算出来并填上，分区表不就恢复了？那么，这里我们为什么不分析第2、3、4字节（本分区的起始磁头号、扇区号、柱面号）和第6、7、8字节（本分区的结束磁头号、扇区号、柱面号）呢？这是因为C/H/S(柱面/磁头/扇区)是老式硬盘的寻址方式，这种寻址方式来管理硬盘效率很低；而现在几乎所有的硬盘都支持LBA(全称是Logic Block Address，即扇区的逻辑块地址)寻址方式，这种管理方式简单高效。在LBA方式下，系统把所有的物理扇区都统一编号，按照从零到某个最大值排列，这样只用一个序数就确定了一个唯一的物理扇区。
小知识：具体一个硬盘有多少个 LBA(扇区)不需要我们去记忆，因为用各种工具软件（如Mhdd WINHEX等）都可以检测到。我们只要知道个大概就行了：如10G的硬盘大概有2000万个扇区；20G的硬盘大概有4000万个扇区；40G的硬盘大概有8000万个扇区……那么，2G的硬盘大概有400万个扇区。
那么，你可能要问了：如果要恢复分区表，这个起始磁头号、扇区号、柱面号还有结束磁头号、扇区号、柱面号应该怎么填呢？简单得很，在后面恢复分区表的时候我会告诉你，直接填，都不用计算。
还有兴趣来分析一下D盘的EBR吗？
其实 D盘的EBR和Ｅ盘的EBR我们不分析也罢，因为无非也是分区表，跟MBR的结构是一样的，但却很容易把我们绕晕，又因为EBR一般不容易被破坏，所以我不建议分析EBR。
但如果你一定要分析，那就分析吧。
单击 “访问”下拉按钮——“分区二”——“分区表”，直接就到1435392扇区，即D盘的分区表EBR。
第一个分区表项（D盘）：
第 1个字节00：表示非活动分区
第 5个字节06：表示FAT16分区
第 9、10、11、12字节3F 00 00 00：本分区之前已用了的扇区数，也就是EBR的数目，63个。
第 13、14、15、16字节C1 E6 15 00：本分区的总扇区数，也就是D盘的扇区数，先反过来排列就是00 15 E6 C1，转为十进制就是1435329。
第二个分区表项（ D盘后面的）：
第 1个字节00：表示非活动分区
第 5个字节05：表示扩展分区
第 9、10、11、12字节00 E7 15 00：本分区之前已用了的扇区数，也就是D盘的EBR加D盘总共的大小， 63+1435329=1435392
第13、14、15、16字节40 22 13 00：本分区的总扇区数，1253952,也就是E盘的大小再加上一个EBR的数目。
单击 “访问”下拉按钮——“分区三”——“分区表”，直接就到2870784扇区，即E
盘的分区表EBR。因为E盘后面没有分区了，所以没有第二个分区表项。这里我们就不再研究了，有兴趣的话可以自己多备一块硬盘作从盘，然后自己分分区研究研究。
通过以上的研究我们总结一下，MBR在定义分区的时候，将多余的容量定义为扩展分区，指定该扩展分区的起止位置，根据起始位置指向硬盘的某一个扇区，作为下一个分区表项，接着在该扇区继续定义分区，如果只有一个分区，就定义该分区，然后结束；如果不止一个分区，就定义一个基本分区和一个扩展分区，扩展分区再指向下一个分区描述扇区，在该分区上按照上述原则继续定义分区，直至分区定义结束。这些用来描述分区的扇区形成一个“分区链”，通过这个分区链，就可以描述所有的分区。系统在启动时按照分区链的连接顺序查找分区，直至找出所有分区。这个链显然是个开链结构，如果形成一个环，系统本身并不会去判断它，它只是按照这个链忠实的查找分区，而不进行任何额外的检测与处理。所谓硬盘逻辑锁，就是让分区链形成一个环，这样系统在启动时就在分区表内循环，表现为系统无法引导，就是从软盘启动，也不能进入硬盘。明白了其结构原理，解决这个问题就简单了，目前有很多种方法解决这个问题，后面我们还会讲到。系统就是利用这种方法使一个硬盘分区后看起来象多个硬盘。系统能够找到C盘以外的其他逻辑盘的唯一办法就是，沿着EBR所描述的分区链查找分区。
其实，通常情况下 EBR是不会被破坏的，或者破坏的几率极低极低，通常情况下，都是只有MBR被破坏，那么这种情况下，我们只要把MBR的分区表64个字节复原，其他的分区顺着分区表所提供的链自然而然就出来了。那么，如何才能将分区表复原呢？这就要通过计算结合WinHex强大的功能来实现了。
下面我们就来模仿分区表被病毒破坏的情况，将 MBR全部填零。我们首先将MBR所在的扇区选中。鼠标指向第一个字节，单击右键，选择“选块开始”
然后鼠标指向MBR的最后一个字节，单击右键，选择“选块结尾”
然后我们在选区内部单击鼠标右键，选择“编辑”
这样就有出来一个菜单
然后我们选“填充选块”，这样就出来一个填充选块对话框
在“用十六进制填充”的输入框中输入“00”，再点“确定”
这样MBR所在扇区全部被我们填充为“00”
如果想取消选区，那就用鼠标拖动随便选中一块区域，那么原来的选区就会取消。注意，如果扇区数据被修改了而没有存盘就会变为别的颜色。
修改了扇区，这时候还没有存盘生效，如果你想存盘生效的话，就选择 “文件”菜单“保存扇区”命令。
这时候就会出现一个提示，如果你不想存盘了就点取消，如果想存盘，就点确定，再点是。
好，这样就存盘了，扇区被修改的数据又变为黑色。
这样我们就把分区表给删除了，这时候必须重新启动才能生效，如果你打开我的电脑，会发现三个分区（ F 、G、 H）还在那里，并且里面的数据还能正常使用。
现在，我们关闭所有程序将电脑重新启动……
经过不长时间的等待，电脑启动起来了，我们打开我的电脑看看，发现 F 、G 、H三个分区不见了。
再打开WinHex发现MBR全部为零了，下面我们就着手开始手工恢复分区表
首先恢复引导代码，这最简单了，只要用WinHex到别的系统盘把引导代码复制过来就行了。我现在的机器上不是挂着两个硬盘吗？一个迈拓2G，一个西数40G，西数40G是我的系统盘，那就从这个盘上复制就行了。
单击“磁盘编辑器”按钮
出现“编辑磁盘”对话框
选择“HD0 WDC WD400EB---00CPF0”,点“确定”
这样我们就把系统盘的分区表给打开了，注意，现在我们是打开了两个窗口，当前的窗口是“硬盘0”，在标题栏上有显示。另外，打开窗口菜单也能看出来，当前窗口被打上一个勾，如果想切换回原来的窗口，就点击“硬盘1”。
首先选中系统盘的引导代码
然后在选区中单击鼠标右键，选“编辑”
又出来一个菜单，然后我们选“复制选块”——“正常”
然后我们切换回硬盘1窗口，在零扇区的第一个字节处单击鼠标右键，选“编辑”
然后选“剪贴板数据”——“写入……”
出现一个窗口提示，点“确定”
这样，我们就把一个正常系统盘上的引导代码复制过来了。
下面，我们就开始恢复分区表（共64个字节，分为4个分区表项，每个分区表项占用16个字节，一般只使用前两个分区表项），我们首先来恢复第一个分区标项（也就是用来描述C盘的）。
首先，在第1个字节处（0扇区倒数第五行，倒数第二个字节）填上分区引导标志，因为C盘是活动分区，所以填上80。
接着是第 2、3、4字节（本分区起始磁头号、扇区号、柱面号），填上：01 01 00。
第 5字节是分区类型符，因为原先C盘是Fat32格式，所以填上：0B。那么，如果你不知道C盘是什么格式怎么办呢？你会说问问客户呀，那么如果他也不知道呢？别着急，后面在说恢复DBR的时候我会教你怎么分辨分区的格式。
第 6、7、8字节是本分区的结束磁头号、扇区号、柱面号，这怎么知道呢？别着急，现在的磁盘都是按照LBA方式寻址，并不按照C/H/S(及柱面、磁头、扇区)方式寻址，所以这个地方你填些什么一般关系不大，但是我要告诉你有一个通用的填法，那就是：FE FF FF。
第 9、10、11、12字节，本分区之前已用了的扇区数，也就是MBR所占用的扇区数，那不是63吗？对，但是要将63转为十六进制数，再反过来倒着填写上。还记得怎么用计算器吗？将63转为十六进制数是3F，不够四个字节前面加零，也就是00 00 00 3F，再将此数从右向左依次序反过来就是3F 00 00 00。
第13、14、15、16字节是本分区的总扇区数，也就是C盘的大小，这就要通过稍微一点点计算来得到了。因为C盘是从第63个扇区开始，而C盘后面紧接着的是EBR，所以用EBR所在的第一个扇区数减去63就是C盘的大小。那么如何才能找到EBR所在的第一个扇区呢？我们前面说过，EBR的结构和MBR是一样的，所以，EBR的结束标志也一定是55AA，那么，只要我们找到这个结束标志，再看看这个扇区是不是EBR不就行了？
单击“搜索”——“查找十六进制数值……”，然后出来一个对话框
在文本框中输入“55AA”，搜索框中选“全部”，然后选中“条件”，把偏移量设置为“512=510”。
再单击“确定”。画面如下：
首先找到第一个“55AA”，我们看到，个扇区在第63个扇区上，并不是我们要找的EBR，再按F3继续查找
又找到好几个扇区，都不是，那么下面这个扇区是不是？
前面我们说过，EBR的结构和MBR的结构是一样的，所以在倒数第五行倒数第二个字节应该是00 01，并且前446个字节应该是0，显然这也不是EBR，继续按F3查找……终于找到了真正的EBR，在1435392扇区。
小技巧：现在的硬盘都比较大，要逐个扇区的查找55AA确实太慢了，那么有没有办法快点呢？有，那就是先问问客户C盘大概有多大，大多数客户还是知道的，比如他说C盘大概有10个G，那么你就不要从头开始找了，因为那实在太慢了。10个G大概是2000万个扇区，那么你可以用转到扇区命令直接到1900万扇区，从那个地方再开始找不就省事多了。
用1435392减去63，得到1435329，再转为16进制，就是15E6C1，将他倒转过来就是C1E61500，这就是C盘的大小。这样，第一个分区表项填写完毕，我们保存一下，再接着填写第二个分区表项。
第二个分区表第1个字节：因为是非活动分区，所以写00
第2、3、4字节，填写01 01 00（通用的）
第 5字节：因为是扩展分区，所以填写0F
第6、7、8字节：填写FE FF FF(通用)
第9、10、11、12字节是本分区之前已用了的扇区数，应该就是C盘大小加63，也就是1435392，前面刚计算出来的，转为十六进制数再反过来就是00 E7 15 00
第13、14、15、16字节是本分区的总扇区数，也就是扩展分区的总扇区数，也就是用整个硬盘的大小减去C盘的大小再减去63，即4124736-1435329-63=2689344，转为十六进制就是290940，反过来就是40092900。
这样，第二个分区表项就填写完了。
不要忘了把最后的结束标志55AA填上，这样，MBR就全恢复完了，最后，保存，再重新启动……
启动完毕，迫不及待的打开我的电脑，发现三个分区全部又回来了，并且里面的数据完好无损。
再右击“我的电脑”，选“管理”
出现一个对话框，选“磁盘管理”，在右边可以看到磁盘一的三个分区(Fat32、Fat16、Ntfs)全部都回来了，至此，手工恢复分区表顺利完成。
手工恢复数据恢复成功率比较高，而且比较有趣味和挑战性，能找回许多傻瓜似的软件所找不回来的文件，但是要求工程师一定要有耐性，而且一定要保持清醒，清楚自己正在操作什么，操作完了会有什么后果，能不能退回到上一步状态。特别是对一些破坏性操作，一定要考虑周到，只要条件允许，就一定要在操作之前进行备份，否则会造成“血”的教训，切记！！！ ]]> http://451461198.qzone.qq.com/blog/1249279344#comment 134218241 Mon, 03 Aug 2009 06:02:24 GMT http://451461198.qzone.qq.com/blog/1249279344 <![CDATA[公交车上巨搞笑的一幕]]> http://451461198.qzone.qq.com/blog/1247630217 公交车上巨搞笑的一幕，不笑你抽我 今天在公交车上，由于拥挤一男一女发生了碰撞。
　　时髦女郎回头飞眼道：“你有病啊？”
　　男子觉得莫名其妙回道：“你有药吗？”
　　车上人窃笑！
　　女子觉得生气回道：“你有精神病啊？”
　　男子冷面对道：“你能治啊？”
　　全车人爆笑！
　　公交司机停车，趴在方向盘上大笑！
　这是上班的朋友遇见的
　　 公交车上超挤，有一女人站在门口，
　　从车后面挤过来一个ＧＧ要下车，
　　跟那女的说了一句“让一下，下车”，那个女滴没有动。
　　ＧＧ挤过去时就踩到她了。
　　结果那女人好厉害的，不停的骂“神经病啊你！神经病啊你！~~”，还超大声，搞得全车都看呀。
　　ＧＧ一直没有说话，下车时忍不了了，回头对那女人说，“复读机呀你！”
　　全车人暴笑~！
　　后边有几个搞笑的小孩，不停的伴演刚才的一幕，
　　甲说“你神经病呀你！。。。。。乙说“你复读机呀你”。。。。。。
　　全车人暴笑~！
　　后来，有个小ＭＭ也要下车，挤过去怯怯滴说“偶~偶~偶想下去，偶不是神经病~！”
　　全车人再次暴笑~！
　　那个女人木有说话，可是从边上飘来一句话“你是不是没电了”
　　全车人暴笑不止~！

]]> http://451461198.qzone.qq.com/blog/1247630217#comment 134218240 Wed, 15 Jul 2009 03:56:57 GMT http://451461198.qzone.qq.com/blog/1247630217 <![CDATA[史上最强最全的变态楼主的暴强回复！！！！(精简未完)]]> http://451461198.qzone.qq.com/blog/1244018879 论坛沙发：嗯，以前我也有这么一辆破车～
2.论坛楼主：帅有个屁用——到头来还不是被卒吃掉！
论坛回复：帅有士陪，有炮打，有马骑，有车坐，有相暗恋……帅怎么不好？！！
3.论坛楼主：为什么生下的孩子要跟父亲一个姓？
　论坛沙发：因为取款机里吐出的钱归插卡人所有。
4.论坛楼主：美军在伊拉克不能抽身说明美国是个负责任的国家！！！
论坛沙发：那我股票被套牢说明我是个负责任的中国股民？？？
5.论坛楼主：为什么pol.ice抓坏人时都要鸣警笛？难道不怕坏人老大远就听到跑了？
论坛沙发：上级单位来检查之前一般都会事先通知下级单位的～
6.论坛楼主：老娘我简直太有钱了，我该给保姆买辆什么车呢？
论坛回复：那就要看她跟你老公发展到什么关系了～
7.论坛楼主：他今天山盟海誓说我是他生命中的一部分，我是他身体中的一部分，如果没有了 我，他就活不下去啦~
　论坛沙发：我的前男友也是这么说的，后来我才知道，我是他盲肠、阑尾、仔耳、六指这类可有可无的玩意儿！
8.论坛楼主：大家说我长得像不像伍佰？
论坛回复：只有一半像！ （二百五？？！！）
9.论坛楼主：CPI让全国人民更让中央高层睡不着觉。
论坛沙发：骗谁呢！会有睡不着觉的领导？？？那我倒要看看哪个小姐这么牛逼！！！
10.论坛楼主：我们的go-vern-ment最体贴最关心人民了！
　论坛沙发：楼主忘打“币”字了……
11.论坛楼主：大家看我的头像牛逼吗？
论坛回复：像
12.论坛楼主：我有一百万，想买一辆车，大家给个建议吧。
论坛回复：你可以卖30辆QQ，组个车队开，一会排成S型，一会排成B型。
13.变态楼主：李宇春和芙蓉姐姐同时掉水里，你手里有一块砖，你砸谁？
　暴强回复：谁救砸谁。
14.变态楼主：一学生，成绩年年倒数第一，常与人打架，按领导要求老师想给学生好 听一点 的期末评语，怎么写啊？
　暴强回复：该生成绩稳定，动手能力强。
15.说说中国的30分钟新闻联播。
　暴强回复：有什么说的：前十分钟，领导们很忙。中十分钟，全国人民都很幸
　　福。后十分钟，世界上其它国家人民都生活在水深火热之中。
16.变态楼主：为什么越来越多人不想要小孩呢？
　暴强回复：北京派来的高官说了，要从娃娃抓起。
17.变态楼主：亲身经历者讲叙-深圳宝安石岩交警中队及派出所被砸事件。
　暴强回复：又有国产大片看了
18.请用一句话形容中国国家地震台。
　回复：事后诸葛亮，事前猪一样
19.上大学我跳过课、挂过科、甩过人、被甩过、打过架、记过过、……哎，能干的我都干过了～
　回复：你死过吗？
20.我把我家的狗给揍了！地震它也不告诉我，平时叫得那么欢，刚才地震时竟像没事似的在窝里睡觉！
　回复：唉，毕竟不是亲生的…… ]]> http://451461198.qzone.qq.com/blog/1244018879#comment 134218240 Wed, 03 Jun 2009 08:47:59 GMT http://451461198.qzone.qq.com/blog/1244018879