阿文一键恢复....遇到紧急问题

secowu · 发表于 2008-5-14 19:05:58

今天用阿文的那个Onekey,分区完成后,

出现提示"进入一键恢复系统,请按F10...",时,提示说无效的磁盘

XP也进不去了...

用什么模式都进不去

启动acronis,卡在"分析分区1/2",死活进不了

挂上PE,连PE也进不去了..

磁盘分区估计被弄坏了....怎么办,里面有很多重要资料...谢谢

lvyanan · 发表于 2008-5-19 22:17:14

原帖由 netwinxp 于 2008-5-19 10:04 PM 发表
ms很多校验和采用总累加和为0，校验和字段刚好是其他字段累加和的补码。

我采用的校验和是FFFF，因为校验和为零容易和全零的扇区混淆，所以选用FFFF来作为我的汉字点阵扇区的校验和。

[ 本帖最后由 lvyanan 于 2008-5-19 10:18 PM 编辑 ]

netwinxp · 发表于 2008-5-19 22:04:39

ms很多校验和采用总累加和为0，校验和字段刚好是其他字段累加和的补码。

阿文 · 发表于 2008-5-19 22:01:55

很东西程序都用这种方法来校验的。

用FF或者00作结果，其中一个参数作基数，另一个就是变数了。我也曾见过类似的程序。
那个BE 58 90 4D也有几种，FAT32与NTFS也各有相同与区别，只是认为而已

netwinxp · 发表于 2008-5-19 21:55:24

如果其他字节加起来是0(可能是16扇区，否则应该不要用到双字)，那校验和就是0了，这叫无巧不成书:)

lvyanan · 发表于 2008-5-19 21:20:33

从偏移0050H处开始的双字就是字节和，图中红框框起来的，可是居然为0，有那么巧？

[ 本帖最后由 lvyanan 于 2008-5-19 09:45 PM 编辑 ]

netwinxp · 发表于 2008-5-19 20:31:04

原帖由 lvyanan 于 2008-5-19 20:25 发表

又得到了一些有用的信息，马上去验证，看看这个校验和在哪里？它校验的是哪些字节？仅仅是BPB表还是整个扇区？

好像整个扇区或者整个boot$(好像ntfs的所有记录项都有校验和)，你可以参照NT源码的ntfsboot.asm(目标代码占16个扇区如果我没猜错的话，这应该就是boot$)，把ntldr加载到2000:0000，当然xp用的是ntfs5会稍有点不同，但BPB和EBPB这部分、2000:0000是一样的。

[ 本帖最后由 netwinxp 于 2008-5-19 08:38 PM 编辑 ]

lvyanan · 发表于 2008-5-19 20:25:59

原帖由 netwinxp 于 2008-5-19 03:26 PM 发表

NTFS分区的第3字节之后是BPB数据区，紧接在后面的是扩展BPB数据区，扩展BPB数据区的最后面是4个字节的校验和，然后才是引导程序，所以任何修改NTFS分区引导但没有同时修改校验和的，都有可能使NTFS内核读取NT ...

又得到了一些有用的信息，马上去验证，看看这个校验和在哪里？它校验的是哪些字节？仅仅是BPB表还是整个扇区？

netwinxp · 发表于 2008-5-19 16:58:45

个人认为OEMID属于BPB的一部分，否则你如何判断BPB及其格式？

ttyp · 发表于 2008-5-19 16:51:26

原帖由 netwinxp 于 2008-5-19 03:26 PM 发表

NTFS分区的第3字节之后是BPB数据区，紧接在后面的是扩展BPB数据区，扩展BPB数据区的最后面是4个字节的校验和，然后才是引导程序，所以任何修改NTFS分区引导但没有同时修改校验和的，都有可能使NTFS内核读取NT ...

FAT32的前3字节后是8个字节的OEM ID,然后才识BPB,NTFS这点不一样么?

ttyp · 发表于 2008-5-19 16:48:46

原帖由紫狐于 2008-5-19 03:05 PM 发表

是不是partition explorer？

是的,准备做张集成光盘集成进去

netwinxp · 发表于 2008-5-19 15:26:40

原帖由 lvyanan 于 2008-5-18 20:48 发表

说的没错，那前两个字节是一个绝对近跳转指令，第三个字节是一个空指令，这些都是不能改变的，包括空指令后面的系统信息也不能改变，前两天我在研究分区引导扇区的数据结构时，无意改动了空指令后面的系统描述 ...

NTFS分区的第3字节之后是BPB数据区，紧接在后面的是扩展BPB数据区，扩展BPB数据区的最后面是4个字节的校验和，然后才是引导程序，所以任何修改NTFS分区引导但没有同时修改校验和的，都有可能使NTFS内核读取NTFS分区文件失败(包括DOSNTFS)---NTLDR本身由NTFS分区引导程序读入，它不进行校验，所以没问题。校验和的算法是—该扇区除该双字的内容之外的所有字节内容之和的补码。

[ 本帖最后由 netwinxp 于 2008-5-19 03:34 PM 编辑 ]

紫狐 · 发表于 2008-5-19 15:05:29

原帖由 ttyp 于 2008-5-19 08:58 AM 发表

我先是用finaldata尝试修复数据的,备份好数据后我才敢大胆的用其他工具来玩,后来发现一个更好磁盘分区浏览器,在雨浪飘零第七版光盘里,可以直接导出数据,就只有这一个工具似乎不受那四个字节的影响,非常感谢 ...

是不是partition explorer？

ttyp · 发表于 2008-5-19 08:58:34

原帖由 lvyanan 于 2008-5-18 08:48 PM 发表

说的没错，那前两个字节是一个绝对近跳转指令，第三个字节是一个空指令，这些都是不能改变的，包括空指令后面的系统信息也不能改变，前两天我在研究分区引导扇区的数据结构时，无意改动了空指令后面的系统描述 ...

我先是用finaldata尝试修复数据的,备份好数据后我才敢大胆的用其他工具来玩,后来发现一个更好磁盘分区浏览器,在雨浪飘零第七版光盘里,可以直接导出数据,就只有这一个工具似乎不受那四个字节的影响,非常感谢你解释那四个字节的意思,本想找本FAT32的书看看

lvyanan · 发表于 2008-5-18 20:48:51

原帖由 ttyp 于 2008-5-18 07:19 PM 发表
问题也找出来了,PQ会把该扇区的DPT的头4个字节EBFE904D变成第二个扇区的头四个字节,原本都是EBFE904D(FAT32),用Secto Editor修改后就OK了,应该是PQ的BUG,说明下主引导扇区C盘是NTFS结构,其他是逻辑分区都是FAT3 ...

说的没错，那前两个字节是一个绝对近跳转指令，第三个字节是一个空指令，这些都是不能改变的，包括空指令后面的系统信息也不能改变，前两天我在研究分区引导扇区的数据结构时，无意改动了空指令后面的系统描述字节——NTFS字符后的空格字节，结果该分区的PE就不能启动了，提示说NTDETECT坏了，其实分区其它地方的文件数据都是好好的，就是其引导扇的问题，复原后什么事都没了，可见分区引导扇的脆弱性，产生的问题让人摸不清头脑，要是病毒这样攻击我们的主机，那就有大麻烦了，可能抢救数据的要发财了。

[ 本帖最后由 lvyanan 于 2008-5-18 09:00 PM 编辑 ]

secowu · 发表于 2008-5-18 19:38:34

或者换个PQ的版本是否可以解决呢.................

secowu · 发表于 2008-5-18 19:37:52

楼上的厉害.......

---在UBUNTU里,能认出来就开心了,赶紧修复....没来得及想问题出在哪

谢谢楼上的问题........

ttyp · 发表于 2008-5-18 19:19:40

问题也找出来了,PQ会把该扇区的DPT的头4个字节EBFE904D变成第二个扇区的头四个字节,原本都是EBFE904D(FAT32),用Secto Editor修改后就OK了,应该是PQ的BUG,说明下主引导扇区C盘是NTFS结构,其他是逻辑分区都是FAT32结构,硬盘是MATOR的40G硬盘

secowu · 发表于 2008-5-18 18:02:08

原帖由 jneny 于 2008-5-17 11:09 PM 发表
用修改过的io.sys文件的DOS就可以绕过逻辑锁,新DOS时代有下载

谢谢兄弟提供.................

ttyp · 发表于 2008-5-18 13:11:18

幸运的是现在数据基本恢复,总结这次的原因是没有给最后的盘做整理,不知道另外一个问题会不会有影响?就是硬盘设置成slave模式,硬盘拿回公司不认硬盘时也吓了一跳,后来改成master就好了.得到的教训是有数据的盘最好还是别做这么危险的动作,要做准备好移动硬盘备份数据后,或者是备份好分区表在做

ttyp · 发表于 2008-5-18 09:06:22

不知道LZ是用什么修复数据的?我想先全盘ghost后,用FDISK重建分区,不知道可行么

ttyp · 发表于 2008-5-18 09:04:49

真倒霉,昨天帮朋友修电脑,用的2008.4.8版本也出现这个问题了,由于赶时间没对最后盘进行整理就划分区,后来导致最后的F盘不认了,变成NTFS分区了,XP下能读出来,但是提示要格式化,现在在抢救数据,头大了

jneny · 发表于 2008-5-17 23:09:42

用修改过的io.sys文件的DOS就可以绕过逻辑锁,新DOS时代有下载

[ 本帖最后由 jneny 于 2008-5-17 11:11 PM 编辑 ]

nn2nn · 发表于 2008-5-17 21:43:04

提示: 作者被禁止或删除内容自动屏蔽

secowu · 发表于 2008-5-16 21:10:53

楼上的.........把软件传上来吧

nn2nn · 发表于 2008-5-16 10:37:35

提示: 作者被禁止或删除内容自动屏蔽

netwinxp · 发表于 2008-5-16 00:37:56

我觉得用freedos比较顺手，linux还不太习惯。一键还原确实容易造成分区表死循环(比如全0)，虽然不是有意的。

[ 本帖最后由 netwinxp 于 2008-5-16 12:39 AM 编辑 ]

keygen · 发表于 2008-5-16 00:32:33

楼主很少用linux吧
否则早解决了
linux live cd推荐slax

xuxuezeng · 发表于 2008-5-15 22:44:38

原帖由 secowu 于 2008-5-15 22:34 发表
非常的感谢,我最后用UBUNTU才认出硬盘,成功修复,数据毫发未损...吓出一身冷汗

再次感谢各位的热心提供解答
感谢此楼以上所有的兄弟们

祝贺楼主抢救成功!

secowu · 发表于 2008-5-15 22:34:35

非常的感谢,我最后用UBUNTU才认出硬盘,成功修复,数据毫发未损...吓出一身冷汗

再次感谢各位的热心提供解答
感谢此楼以上所有的兄弟们

		自动登录	找回密码
密码			注册

nn2nn nn2nn 当前离线积分 7903 IP卡狗仔卡	48^# 发表于 2008-5-17 21:43:04 \| 只看该作者提示: 作者被禁止或删除内容自动屏蔽
nn2nn nn2nn 当前离线积分 7903 IP卡狗仔卡
	回复使用道具举报显身卡

nn2nn nn2nn 当前离线积分 7903 IP卡狗仔卡	46^# 发表于 2008-5-16 10:37:35 \| 只看该作者提示: 作者被禁止或删除内容自动屏蔽
nn2nn nn2nn 当前离线积分 7903 IP卡狗仔卡
	回复使用道具举报显身卡