WIN2000的秘密武器之磁牒

[psac]

WIN2000的秘密武器之磁牒

--------------------------------------------------------------------------------

DSKPROBE.EXE:它位於Windows 2000/XP安裝光碟裡的\SUPPORT\TOOLS目錄下的SUPPORT.cab壓縮包下

一.簡介

　　硬碟中的資料與電腦的啟始和執行程序密切相關，其中的訊息可以很明顯地分成兩類：第一類是完全不對用戶透明的資料，只可以被電腦讀取和使用，主要包括：硬碟分區表（Master Boot Record (MBR)）、分區表和啟始扇區。


這類訊息在硬碟中佔據的空間不大，資料量也很小，但所起的作用卻非常重要，此處資料一旦出現損壞，對整個電腦來說，往往是致命性的故障。第二類訊息是一般的文件或資料，對用戶是透明的，或者即使隱含的也可以通過修改文件 內容看到。

　　硬碟分區表位於硬碟的第一個物理扇區，一個物理扇區是512個字元。


從第一個字元開始就是真正的啟始記錄程式碼，啟始記錄到結束。接著是分區表，分區表如果以80開頭，這個分區就是所謂可啟動分區，即可以充當啟始分區。這512個字元的最後兩個字元是5 5AA，這是啟始成功的標誌。在這三部分之間的空閒部分，都以0來填充。

　　一個物理硬碟可以分成一個或多個區域，稱為分區。一個分區之下可以再劃分成一個或多個邏輯磁碟機。由於第一類硬碟訊息極其重要但又不為用戶所見，所以要對這裡進行修改就必須借助於特定的工具軟體，能夠完成這樣操作的軟體工具有微軟自己開發的，也有第三 方開發的。例如著名的諾頓工具中的磁牒編輯器就是一個典型例子。

　　本次介紹的Dskprobe.exe是一個微軟自己開發的、套用於windows 2000環境下的磁牒扇區編輯工具，主要用於硬碟扇區的編輯。


這個工具允許使用者以本機管理員的身份或權限直接對硬碟的物理扇區進行：
讀取、編輯、修改、儲存及制作備份。這是用別的方法難以實現的操作。是微軟支持工具中的一個。

　　大概你也會聽說過，這類工具的威力大破壞性也大，如果你確實熟悉硬碟的訊息結構，Dskprobe就是你手中的利器。如果盲目亂動，結果無疑是災難性的。


所以，給你提出以下強烈建議：如果要為練手獲得經驗的話，最好有行家在場指導，或找一塊空閒的、沒 有什麼關緊資料的硬碟試驗。就是出問題，也不致給你帶來嚴重後果。

　　Dskprobe的套用有以下限制和適用範圍：

1. 這個工具與諾頓工具的最大區別就是引入了對工具使用者權限的要求，當執行Dskprobe的時候，它會先要求你輸入管理員的登入密碼。


2.由於每台電腦配備的硬碟都可能不一樣，所安裝的操作系統的檔案類型、版本也參差不一；如果利用了多系統啟始安裝，則還存 在怎樣組合問題，凡此種種，都會影響硬碟分區表和分區表乃至啟始扇區的內容。

所以，進行對比的時候，決不能照搬書本上的例子。


3.該工具不能在FAT32上使用，即不支持FAT32系統。

4.該工具不能用在動態磁牒上。
該工具在使用時可分成兩個階段：

　　1.制作備份階段，這是指系統尚屬正常的時候，事先使用Dskprobe來將重要訊息讀出、並儲存為一個或多個文件。需要儲存的有：硬碟分區表、分區表和啟始扇區。


　　2.排除故障，當發現啟始故障後，如果驗證是硬碟分區表、分區表和啟始扇區的問題。就可以用Dskprobe先將原來制作備份的文件讀出來，然後進行取代並儲存到相應的物理扇區。

進一步說：由於Dskprobe工具實際可以對硬碟的任意物理扇區進行編輯修 改，所以，它也決不限於只能完成上面三部分取代。

二.如何進行針對硬碟分區表的操作？

　　硬碟上電後，系統首先訪問硬碟控制電路中儲存的諸如廠商、型號等等基本訊息備用。


隨後系統執行BIOS中的一段例行程式碼，首先讀取的硬碟的硬碟分區表（Master Boot Record (MBR)）到記憶體中，然後執行啟始記錄中的程式碼，就可以完成啟始程序並最終將整個系統的控制權交給操作系統。這就是電腦啟始程序的粗略描述。



如果要組態多個操作系統，希望在啟始程序中可以被用戶選項，就需要修改啟始記錄中的程式碼來實現這些功能。當然， 這種情況下的硬碟分區表要比單一啟始更為複雜。

要訪問硬碟分區表，可以先啟動程序：Dskprobe.exe，啟動成功的界面如圖所顯示。


然後可以按照下列步驟：

1.先指定要讀取（硬碟分區表所在）的驅動器，可用滑鼠點擊功能表中的：Drives－＞Physical Drive，會顯示一個用來指定物理驅動器的對話視窗。

2.這個對話視窗的編輯欄中預設顯示一個〞Physical Drive 0〞，這就是第一個物理驅動器??硬碟。


3.滑鼠點擊〞Physical Drive 0〞，再點擊按鈕Set Active，就完成了指定物理驅動器的工作了。4.然後指定要讀取的物理扇區位置。可以點擊圖１功能表中的Sectors－＞Read Sectors。又出現的對話視窗可以用來指定扇區的起始位置和要連續讀取的扇區數。


如Starting Sector（起始扇區）＝０，Number of Sectors（扇區數）＝１，點擊ＯＫ按鈕後，立即顯示出來的內容如圖1視窗中所顯示。這就是物理硬碟0磁柱0磁牒面第一扇區的訊息，也就是硬碟分區表的內容（包含分區表訊息）。


如果將這些訊息單獨截取出來，以文本方式顯示，基本上與下面的類似：之所以說 成基本類似，是因為這些內容中有些部分不是每台電腦都相同的，例如分區表會隨分區數多少而不同，啟始記錄程式碼也會因是否加入多啟始選項而不同。

5.將顯示結果儲存為一個文件：
上面已經說過物理硬碟0磁柱0磁牒面第一扇區的訊息非常重要，我們何不趁現在電腦正常時將這些訊息儲存起來呢？你可以點擊〞File－＞Save as…〞,指定一個文件的儲存路徑和名稱，就可以予以儲存，預設的後面是.ｄｓｋ。

6.用完好的硬碟分區表取代當前（損壞）的這個：如果你自己的電腦存在啟始問題並驗證是主啟始扇區的問題，況且以前儲存有完好的啟始記錄文件，那麼，你就可以進行這個操作了。


首先點擊〞File－＞Open〞,找到啟始記錄文件並開啟，如果核對一下沒有 問題，就可以再點擊〞Write －＞ Write Sector〞，然後會有對話視窗讓你指定（要寫入的）起始扇區，選好後點擊〞ＯＫ〞，就可以完成改寫。


必須說明的是：這種操作非常關鍵，一步也不能錯。否則後果是非常嚴重的，為防萬一，動手之前重要資料先作好制作備份。
　　　　
　　能導致硬碟分區表損壞的原因主要有：

ａ.病毒，許多病毒都修改這裡，因為硬碟分區表被執行的時候，操作系統還沒有在記憶體中完全取得系統控制權，這種修改的結果是病毒先取得了系統控制權。


如果真是這種情況，病毒程式碼往往還會接著存放在後續的扇區中，而正 常情況下，0磁柱0磁面上應當是除了硬碟分區表外什麼也沒有的。


假設，你的硬碟是每面63個扇區，如果你發現0磁柱0磁牒面第一扇區之後的哪些扇區上並不是以0填充的，而是有別的非0值，就可以肯定你的硬碟存在問題。


ｂ.分區表損壞。這也是一般的問題，我 們留在後面詳細討論。ｃ.分區操作不當，這主要發生在沒有安裝操作系統之前，所以也用不上本次所介紹的工具。
三.啟始記錄結構。

[psac]

　　下面是一個硬碟分區表區的內容：最左邊的：號前的數位是相對的物理位址；中間的那些16進制數位是記錄內容（限於藍色的部分）；粉紅色的字體是磁牒簽名，在以前的ｄｏｓ中是沒有這一項的；以80開頭的紅色字體部分是分區表；末尾的55AA是啟始結束標 志。

Physical Sector: Cyl 0, Side 0, Sector 1
00000000: 33 C0 8E D0 BC 00 7C FB - 50 07 50 1F FC BE 1B 7C 3.....|.P.P...|
00000010: BF 1B 06 50 57 B9 E5 01 - F3 A4 CB BD BE 07 B1 04 ...PW...........
00000020: 38 6E 00 7C 09 75 13 83 - C5 10 E2 F4 CD 18 8B F5 8n.|.u..........
00000030: 83 C6 10 49 74 19 38 2C - 74 F6 A0 B5 07 B4 07 8B ...It.8,t.......
00000040: F0 AC 3C 00 74 FC BB 07 - 00 B4 0E CD 10 EB F2 88 ..<.t...........
00000050: 4E 10 E8 46 00 73 2A FE - 46 10 80 7E 04 0B 74 0B N..F.s*.F..~..t.
00000060: 80 7E 04 0C 74 05 A0 B6 - 07 75 D2 80 46 02 06 83 .~..t....u..F...
00000070: 46 08 06 83 56 0A 00 E8 - 21 00 73 05 A0 B6 07 EB F...V...!.s.....
00000080: BC 81 3E FE 7D 55 AA 74 - 0B 80 7E 10 00 74 C8 A0 ..>.}U.t..~..t..
00000090: B7 07 EB A9 8B FC 1E 57 - 8B F5 CB BF 05 00 8A 56 .......W.......V
000000A0: 00 B4 08 CD 13 72 23 8A - C1 24 3F 98 8A DE 8A FC .....r#..$?.....
000000B0: 43 F7 E3 8B D1 86 D6 B1 - 06 D2 EE 42 F7 E2 39 56 C..........B..9V
000000C0: 0A 77 23 72 05 39 46 08 - 73 1C B8 01 02 BB 00 7C .w#r.9F.s......|
000000D0: 8B 4E 02 8B 56 00 CD 13 - 73 51 4F 74 4E 32 E4 8A .N..V...sQOtN2..
000000E0: 56 00 CD 13 EB E4 8A 56 - 00 60 BB AA 55 B4 41 CD V......V.`..U.A.
000000F0: 13 72 36 81 FB 55 AA 75 - 30 F6 C1 01 74 2B 61 60 .r6..U.u0...t+a`
00000100: 6A 00 6A 00 FF 76 0A FF - 76 08 6A 00 68 00 7C 6A j.j..v..v.j.h.|j
00000110: 01 6A 10 B4 42 8B F4 CD - 13 61 61 73 0E 4F 74 0B .j..B....aas.Ot.
00000120: 32 E4 8A 56 00 CD 13 EB - D6 61 F9 C3 49 6E 76 61 2..V.....a..Inva
00000130: 6C 69 64 20 70 61 72 74 - 69 74 69 6F 6E 20 74 61 lid partition ta
00000140: 62 6C 65 00 45 72 72 6F - 72 20 6C 6F 61 64 69 6E ble.Error loadin
00000150: 67 20 6F 70 65 72 61 74 - 69 6E 67 20 73 79 73 74 g operating syst
00000160: 65 6D 00 4D 69 73 73 69 - 6E 67 20 6F 70 65 72 61 em.Missing opera
00000170: 74 69 6E 67 20 73 79 73 - 74 65 6D 00 00 00 00 00 ting system.....
00000180: 00 00 00 00 00 00 00 00 - 00 00 00 00 00 00 00 00 ................
00000190: 00 00 00 00 00 00 00 00 - 00 00 00 00 00 00 00 00 ................
000001A0: 00 00 00 00 00 00 00 00 - 00 00 00 00 00 00 00 00 ................
000001B0: 00 00 00 00 00 2C 44 63 - 32 31 37 31 35 0C 80 01 .....,Dc21715...
000001C0: 01 00 07 FE 7F 7D 3F 00 - 00 00 BF A3 5D 00 00 00 ....}?.....]...
000001D0: 41 7E 06 FE BF 62 FE A3 - 5D 00 A5 22 38 00 00 00 A~...b..].."8...
000001E0: 81 63 0B FE FF 7A A3 C6 - 95 00 18 A3 44 00 00 00 .c...z......D...
000001F0: C1 7B 05 FE FF FF BB 69 - DA 00 E2 48 D4 00 55 AA .{.....i...H..U.
磁牒編輯之一是針對硬碟分區表的操作，這次介紹針對分區表的操作。



一、分區與分區表的背景知識：

　　分區表存放位置在硬碟的0磁柱0磁面1扇區的512個字元中的硬碟分區表之後，分區表訊息在主啟始扇區中存放的起始位置是固定的，都是從扇區的2BEH處開始連續存放，一個分區的記錄訊息共佔用16個字元，分區表直到到該扇區倒數第三個字元結束（包括 倒數第三個字元在內）。


一共64個字元，所以一個硬碟最多可以分成４個分區。實際中如果分區數不滿4個時，不使用的分區記錄位置分區指令程序可以自動以0填充。

　　每條分區記錄中的這16個字元含義如下：（以分區表位址偏移來表示）
偏移量 含義 記錄長度（字元）


00Ｈ 啟始指示符 1
01Ｈ 分區啟始記錄磁頭號 1
02Ｈ 分區啟始記錄扇區號 1
03Ｈ 分區啟始記錄磁柱號 1
04Ｈ 系統指示符 1
05Ｈ 分區結束磁頭號 1
06Ｈ 分區結束扇區號 1
07Ｈ 分區結束磁柱號 1
08Ｈ 分區前面的總扇區數 4
0ＣＨ 分配給分區的扇區數 4

　　表中啟始指示符是指該分區是否可以啟始，如果為80Ｈ，就是可啟始的，是00Ｈ就是不可啟始的，在使用FDISK程序中，有一項啟動分區的操作，實質就是將該字元寫為80Ｈ。

系統指示符是表明該分區屬於哪種分區格式的，01Ｈ表示FAT16.

　　由於每一個分區都是可再往下劃分邏輯磁碟機的，所以，啟動的本質是啟動哪個邏輯磁碟機。


例如，很多機器都是將一個10Ｇ左右的物理硬碟先劃分為兩個分區，然後將第一分區再劃分成C、D兩個邏輯磁碟機，啟動邏輯磁碟機C為可啟始；到這一步特別注意：

不可 再啟動邏輯磁碟機D。如果想安裝兩個操作系統，必須先在第二分區中劃分好邏輯磁碟機，再啟動該分區中的一個邏輯磁碟機。

　　針對硬碟分區表可進行的操作主要有：

ａ.如何在硬碟狀態完好的時候將分區表訊息讀出並儲存？

ｂ.如何在分區表發生故障後，用制作備份的分區表來替代損壞的分區表？

ｃ.如果沒有可用的分區表的制作備份，如何手工重建分區表訊息？
其中難度最大，當然也是技術要求最 高的也就是手工重建分區表了。

　　在說明 文件中，明確指出DiskProbe不支持FAT32，所以，DiskProbe對FAT32的分區表不能操作。

從這一點說，它的功能受到了相當的限制。

[psac]

但以前曾經發現過，某些工具說明 文件中介紹的功能與實際具備的功能確實有出入，所以你也不能 將說明 文件中的說法太當真了，但由於我自己電腦上不是採用的FAT32分區方法，也就沒有進行針對FAT32的試驗。

如果哪位有FAT32的硬碟，可以自己試驗一下。


解決分區表故障的步驟中，首先是讀取和檢查硬碟分區表中的分區表訊息。這部分描述：

二、取得分區表訊息的方法

　　不論是制作備份分區表或是僅僅檢視一下，都需要先取得分區表訊息，其步驟是：

　　1. 執行程序：DiskProbe

　　2. 在功能表Drives 中,滑鼠點擊： Physical Drive.

　　3. 在功能表 Open Physical Drive 的對話視窗中, 以滑鼠雙按你準備顯示分區表的那個驅動器名稱。例如：Physical Drive 0

　　4. 在 Handle 0範圍內的 Open Physical Drive 對話視窗中,點擊 Set Active,之後按下 OK.
　　5. 在功能表的 Sectors一項中,點擊 Read一項。.

　　6. 在接下來出現的 Read Sectors 對話視窗中輸入將要讀取的起始扇區和扇區號, 即Starting Sector一項填寫0， Number of Sectors 一項中填寫1，實際這兩個數位也是預設值。

然後點擊Read，讀取扇區訊息。

以上這六步驟實際就是讀取硬碟分區表扇區；

　　7. 在View功能表中，點擊 Partition table。立即顯示分區表訊息的對話視窗如圖所顯示。



圖中所顯示的是含義（從左到右）：
系統分區（即可啟始分區）；SystemID是指NTFS檔案類型的分區；Partition table index是指當前顯示的是哪個分區，圖中顯示的是Partition1。

圖1中現在是以對話視窗形式顯示的分區表訊息，如果想以字元形式顯示，可以：點擊〞View－＞Byte〞，視窗中就變換為字元顯示的形式。


8. 要在 Partition table index 的列表項中,用滑鼠雙按分區表的號碼，圖中相應的分區表訊息會自動變化。

從圖中可以也看出來：
分區表訊息和上面表中是相對應的，有：分區起始磁頭號和分區結束磁頭號；分區起始扇區號和分區結束扇區號；分區起始磁柱號和分區結束磁柱號；

　　9. 按說應當將分區表儲存為一個文件，但由於只有區區64個字元，並且和硬碟分區表共存在同一個扇區中，一般也就將它與硬碟分區表一併進行儲存到同一個文件中。


　　10. 如果使用你會使用dos的debug工具，可以編寫一段彙編程序，將這個扇區的內容讀取出來，用拷貝螢幕的方式進行列印，可以將主啟始扇區的內容儲存在紙上，作分析參考之用。

由於採用了彙編語言，所以這種方法局限性小，所有windows9.x系列或ｄｏ ｓ均可用。在ｄｏｓ下按鍵輸入：Debug　Enter鍵
（以下程式碼手工輸入，注意空格不可省略）
　 -a0
　　mov ax 201
　　mov bx 100
　　mov cx 1
　　mov dx 80
　　int 13
　　int 3
　　-g=0

　　然後用指令：-ｄ100顯示內容，在列印機聯機狀態下，按下鍵盤的PrintScreen鍵，就可以將螢幕上當時顯示的內容完全列印到紙上。


但我沒有試驗這個辦法的在NTFS分區下是否可用。

　　可能有的朋友會有這樣的疑問：windows2000是對安全性要求非常高的系統，不使用密碼而在彙編中使用INT13中斷，來直接讀取主啟始扇區。


會不會成功或者影響安全性呢？

這種擔心是多餘的，因為安全性是針對操作系統和執行在操作系統之上的文件 而言的，而主啟始扇區並不屬於任何操作系統，即機器在執行硬碟分區表程式碼的時候，操作系統還沒有在記憶體中建立起來，一切都還沒有顯現，當然是安全的。


所以，這和保證資料檔案安全並不矛盾。



三、如何用制作備份的分區表（或主啟始扇區訊息）來恢復損壞的分區表：

　　1. 首先執行程序：DiskProbe.


　　2. 在功能表Drives 中,滑鼠點擊： Physical Drive.


　　3. 　在功能表 Open Physical Drive 的對話視窗中, 以滑鼠雙按你準備修理分區表的那個驅動器名稱。例如：Physical Drive 0


　　4. 在 Handle 0範圍內的 Open Physical Drive 對話視窗中,點擊 Set Active,之後按下 OK.
　　5. 　在功能表的 Sectors一項中,點擊 Read一項。


　　6. 在接下來出現的 Read Sectors 對話視窗中輸入將要讀取的起始扇區和扇區號, 即Starting Sector一項填寫0， Number of Sectors 一項中填寫1，實際這兩個數位也是預設值。然後點擊Read，讀取扇區訊息。


　　7. 在View功能表中，點擊 Partition table。顯示現用的分區表訊息

　　8. 要在 Partition table index 的列表項中,用滑鼠雙按準備維修的分區表的號碼，選定後，對話視窗下半部分立即顯示相應的分區表訊息。

（這些訊息肯定是沒有修理之前的數值了）。


上面這些操作與讀取分區表甚至與讀取硬碟分區表的操作都是大同小異，但以下的就比較關鍵了：


　　9. 在對話視窗中各個參數中填寫入新的數值。這些新的數值應當是查對制作備份分區表訊息文件後取得的。


當然也可以是從制作備份的分區表文件直接轉換為分區訊息。


如果編輯時不想使用對話視窗形式，可用上面介紹的方法將顯示轉換為字元形式，在字元形式下，僅顯示選定的分區訊息 ，其它部分（包括硬碟分區表）都是0。


　　10. 在Sectors（扇區）功能表中 ,滑鼠點擊：Write.


　　11. 這時將出現 Write Sector 對話視窗, 在起始扇區的 Starting sector一項中選0，然後點擊 Write it 儲存。



　　12. 點擊 Yes，這時就完成了覆蓋原來資料的操作。

四、手工重建分區表

　　這種方法需要使用者非常熟悉分區結構，最好硬碟分區較少，分區情況也比較簡單。


如果分區多而複雜，難度太大。即使簡單的情形，不到萬不得已也不要用這種方法。

　　手工建立分區表主要難在分區資料的計算上。計算之前需要已知的資料有：硬碟的磁柱數，磁頭數，每磁軌的扇區數。這些資料在硬碟標籤上可以很容易地尋找出來。

　　首先，因為0磁柱0磁頭（面）1扇區不屬於任何分區而且是隱藏的，所以第一個分區應當從0磁柱1磁頭1扇區開始。

現在的硬碟都比較大，一般的是每磁軌63扇區，每個扇區是512字元，磁柱數和磁頭數則隨著硬碟容量的增大而不同。

計算時先選定容量，根據 需要的容量，推算出第一分區結束的扇區號、磁頭號和磁柱號。最後填寫的值要轉換為16進制。


緊鄰上一個結束位置，就是第二分區的起始位置，依此類推，直至結束。

磁頭數可以理解為與磁面數相等，磁柱數可以理解為一個磁面上可劃分的磁軌數。


這樣，一個磁面的容 量就是512*63（扇區）*磁柱數。


例如第一分區要用到最前面的125個磁面（或磁頭），下一分區必須從第126磁面（或磁頭）開始。


則容量是＝512*63*125*磁柱數。扇 區數磁柱數推算也和這相仿。


更詳細的計算請參考有關資料。算出的資料填寫在分區表中，其操作同上。

五、注意問題

　　1. 上面介紹的，與其說是手工重建分區，不如說是手工新增分區。危險性很大。

且沒有針對NTFS試驗過。


　　2. 如果是恢復原有分區，不推薦手工重建，因為一旦輸入錯誤的分區表，將丟失掉原有資料。


　　3. 計算必須將結果轉換為16進制，可以使用附件中的計算器。（設定為函數型）。