第1章：MBR修复实战：使用fdisk/mbr修复主引导记录、重建MBR分区表、修复DPT

1.1 先搞懂MBR的结构

说实话，很多搞数据恢复的人，一上来就敲命令，结果越修越糟。我见过太多这样的案例了。

MBR，全称是Master Boot Record，也就是主引导记录。它位于硬盘的0号扇区，总共512字节。这512字节里，分了三块：

• 引导代码（446字节）：负责加载操作系统
• 磁盘分区表DPT（64字节）：记录分区信息，每个分区占16字节，最多4个主分区
• 结束标志（2字节）：固定为0x55AA

你想想看，如果MBR坏了，系统根本认不出硬盘。我有个客户，服务器突然起不来，急得团团转。结果我一查，就是MBR被覆盖了。嗯，这种情况其实很常见。

1.2 实战：用fdisk /mbr修复主引导记录

先讲最简单的场景——引导代码坏了，但分区表还在。这种情况，用一条命令就能搞定。

我个人习惯用Windows的启动盘或者PE系统。进入命令行，敲：

fdisk /mbr

这条命令的作用，就是重写0号扇区的前446字节。它不会动DPT，所以你的分区和数据都还在。

但要注意，fdisk /mbr只适用于Windows 9x/Me时代的系统。在Windows 2000及以后，微软推荐用fixmbr或者bootrec /fixmbr。不过，很多PE工具里依然保留了fdisk命令，兼容性还不错。

2.3 重建MBR分区表（DPT修复）

如果DPT坏了，光修复引导代码就没用了。这时候，你得重建分区表。

为什么会这样？因为DPT里记录了每个分区的起始扇区、结束扇区、类型和状态。一旦这些信息丢失，操作系统就不知道从哪里开始读数据。

重建DPT，我常用的方法是：

1. 用WinHex或DiskGenius扫描：这些工具能自动识别分区边界
2. 手动计算分区参数：根据文件系统的特征，推算起始位置
3. 写入新的DPT：把计算好的数据填回0号扇区

举个例子，假设你有一个NTFS分区，它的第一个扇区（DBR）通常以EB 52 90开头。你可以在硬盘上搜索这个特征，找到分区的起始位置。然后，把起始扇区号、大小等信息填入DPT。

// DPT中一个分区的16字节结构示例
// 偏移0: 引导标志 (0x80=可引导)
// 偏移1-3: 起始CHS地址
// 偏移4: 分区类型 (0x07=NTFS)
// 偏移5-7: 结束CHS地址
// 偏移8-11: 起始LBA扇区号 (小端序)
// 偏移12-15: 分区总扇区数 (小端序)

2.4 实战案例：一次完整的MBR修复过程

我记得有一次，一个客户的硬盘插上电脑后，提示“未初始化”。我一看，MBR全被清空了，0号扇区全是0。

修复步骤是这样的：

• 第一步：用DiskGenius扫描整个硬盘，找到了3个NTFS分区的边界
• 第二步：根据扫描结果，计算出每个分区的起始LBA和大小
• 第三步：用WinHex打开0号扇区，手动填入DPT数据
• 第四步：写入结束标志0x55AA
• 第五步：重启电脑，硬盘正常识别，数据全部找回

整个过程花了大概20分钟。客户问我怎么做到的，我说：“其实就是把丢失的信息重新填回去。”

2.5 MBR修复的核心逻辑图

下面这张图，是我自己总结的MBR修复决策流程。你一看就明白：

这张图的核心逻辑很简单：先判断MBR是否完整，再判断DPT是否完好。DPT坏了，就得扫描分区边界，手动重建。引导代码坏了，直接修复就行。

2.6 总结一下

MBR修复，说白了就是两件事：恢复引导代码和恢复分区表。引导代码好办，一条命令的事。分区表麻烦点，得靠工具扫描或者手动计算。

我个人建议，平时多备份MBR。用dd if=/dev/sda of=mbr.bak bs=512 count=1这种命令，几秒钟就能备份好。真出了问题，恢复起来也快。

嗯，今天就先聊到这儿。记住，数据恢复最怕的就是乱操作。动手之前，先搞清楚问题出在哪一步。