Winhex查看MBR以及MBR內(nèi)容結(jié)構(gòu)的介紹

一、硬盤（U盤、移動硬盤）MBR、DBR簡介http://819671119./blog/static/128457552200982433422268/一、幾個概念

BIOS（BasicInput/OutputSystem）

基本輸入輸出系統(tǒng)，全稱是ROM－BIOS，是只讀存儲器基本輸入／輸出系統(tǒng)的簡寫，它實際是一組被固化到電腦中，為電腦提供最低級最直接的硬件控制的程序。

CMOS（ComplementaryMetalOxideSemiconductor）

本意是指互補金屬氧化物半導(dǎo)體，一種大規(guī)模應(yīng)用于集成電路芯片制造的原料，在計算機領(lǐng)域，CMOS常指保存計算機基本啟動信息(如日期、時間、啟動設(shè)置等)的芯片。

CMOS的功耗很低，計算機主板上一個紐扣電池就可以給它長時間地提供電力，即使系統(tǒng)掉電，信息也不會丟失。而當(dāng)主板電池供電不足時CMOS的信息會丟失，此時啟動機器會有一些特殊的現(xiàn)象，如啟動時提示CMOS參數(shù)丟失需重新設(shè)置，甚至機器黑屏，不能啟動，更換主板上的紐扣電池即恢復(fù)正常。

有時人們會把CMOS和BIOS混稱，其實CMOS是主板上的一塊可讀寫的RAM芯片，是用來保存BIOS的硬件配置和用戶對某些參數(shù)的設(shè)定。而對CMOS中各項參數(shù)的設(shè)定要通過專門的程序，現(xiàn)在多數(shù)廠家將CMOS設(shè)置程序做到了BIOS芯片中，在開機時通過按下某個特定鍵就可進入CMOS設(shè)置程序而非常方便地對系統(tǒng)進行設(shè)置，因此這種CMOS設(shè)置又通常被叫做BIOS設(shè)置。

ESCD（ExtendedSystemConfigurationData）

擴展系統(tǒng)配置數(shù)據(jù)，ESCD是系統(tǒng)BIOS用來與操作系統(tǒng)交換硬件配置信息的一種手段，這些數(shù)據(jù)被存放在CMOS（一小塊特殊的RAM，由主板上的電池來供電）之中，通常ESCD數(shù)據(jù)只在系統(tǒng)硬件配置發(fā)生改變后才會更新

扇區(qū)（Sector）

硬盤劃分的最小單位，一個扇區(qū)固定為512個字節(jié)（Byte）

MBR（masterbootrecord）

即主引導(dǎo)記錄，有時也稱主引導(dǎo)扇區(qū)。位于整個硬盤的0扇區(qū)（硬盤的0~62即前63個扇區(qū)為保留扇區(qū)，目前只有MBR占用其中的第一個或前幾個扇區(qū)），可以看作是硬盤的第一個扇區(qū)，通常只占用這一個扇區(qū)，如XP的MBR，grub4dos占用0~17共18個扇區(qū)

DBR（DOSbootrecord）

即操作系統(tǒng)引導(dǎo)記錄區(qū)，也稱分區(qū)的主啟動代碼，位于分區(qū)的第0扇區(qū)，通常只占用這一個扇區(qū)，特殊情況也要占用其它保留扇區(qū)，而grub4dos如果是寫入硬盤MBR方式則不修改也不使用DBR

以H結(jié)尾或以0x開頭的數(shù)字表示該數(shù)字為十六進制數(shù)

二、主機啟動過程

1.內(nèi)部電源打開，初始化，等待一小段時間用來產(chǎn)生穩(wěn)定的電流。如果主板芯片和CPU收到了不符合規(guī)定的電流，將自動產(chǎn)生一個RESET信號。在主板沒有收到電源的PowerGood信號之前，重復(fù)步驟1

2.執(zhí)行BIOS中0FFF0h處的代碼。這里只有一條JMP指令，將跳轉(zhuǎn)到真正的BIOS啟動程序處

3.BIOS開始加電自檢（Power-OnSelfTest,POST），如果出現(xiàn)錯誤，啟動停止

4.BIOS開始尋找顯卡，找到的話將執(zhí)行顯卡的BIOS，接著顯卡初始化，將顯示一段顯卡信息，我們開機看到的第一屏就是它

5.BIOS開始執(zhí)行所有其他設(shè)備的BIOS，包括軟驅(qū)，硬盤、光驅(qū)等

6.BIOS顯示啟動信息

7.BIOS開始額外的檢測。一般有內(nèi)存檢測，如果內(nèi)存有問題，將顯示錯誤消息

8.BIOS探測所有的硬件，將顯示如硬盤、光驅(qū)信息等

9.BIOS給出一個已知硬件的列表

10.BIOS更新ESCD

10.BIOS按照設(shè)置的驅(qū)動器順序找驅(qū)動器，如果驅(qū)動器存在的話繼續(xù)找MBR，如果找不到驅(qū)動器，系統(tǒng)顯示錯誤信息并停止

11.MBR從分區(qū)表中找到第一個活動分區(qū)（分區(qū)描述中第一個字節(jié)為80H），然后讀取并執(zhí)行這個活動分區(qū)的分區(qū)引導(dǎo)記錄，而分區(qū)引導(dǎo)記錄將負責(zé)引導(dǎo)系統(tǒng)（如XP）

步驟11中若為grub4dosMBR則依次查找各個分區(qū)的根目錄是否有g(shù)rub4dos的啟動文件（通常為grldr，寫入MBR時可以指定此文件名），也就是說若是grub4dosMBR可以不設(shè)置活動分區(qū)

上面是打開電源開關(guān)（或按Reset鍵）進行冷啟動時的過程，在DOS下按Ctrl＋Alt＋Del組合鍵（或從Windows中選擇重新啟動計算機）來進行熱啟動時將從步驟8開始

三、硬盤（U盤、移動硬盤）MBR簡介

這里用到一個強大的磁盤查看編輯工具WinHex，可以手動保存和恢復(fù)MBR、DBR

運行WinHex，選擇工具->打開磁盤，如圖

其中HD0為本機硬盤，RM1為U盤，選擇HD0，確定

上方為硬盤的分區(qū)情況，下方為硬盤的內(nèi)容，打開是默認(rèn)位置在0扇區(qū)，即上方的“起始扇區(qū)”，點擊上方的分區(qū)即可切換到各分區(qū)的起始扇區(qū)

完整的0扇區(qū)（XP的MBR）如下

其中0x0000~0x01FF即為硬盤的0扇區(qū)，這個扇區(qū)的內(nèi)容分為3部分

第1部分（0x0000~0x01BD）446個字節(jié)為完整的XPMBR，選中這部分內(nèi)容保存到文件即可作為MBR的備份，將此備份內(nèi)容寫入硬盤的0x0000~0x01BD位置即可恢復(fù)XPMBR，其中左邊可讀的部分即為MBR找不到活動分區(qū)時的錯誤信息，使用ParagonPartitionManager、PTDD磁盤分區(qū)表醫(yī)生等工具均可將硬盤的MBR恢復(fù)為（寫入）XPMBR

第2部分（0x01BE~0x01FD）64個字節(jié)為硬盤的分區(qū)表（DiskPartitionTable,DPT），每16個字節(jié)描述一個主分區(qū)，所以一個硬盤最多可以有4個主分區(qū)

分區(qū)表的每一分區(qū)的第1個字節(jié)是活動標(biāo)志，其值為80H時，表示該分區(qū)是當(dāng)前活動分區(qū)，可引導(dǎo)，其值為00H時，表示該分區(qū)不可引導(dǎo)

第3部分（0x01FE~0x01FF）2個字節(jié)“55AA”是分區(qū)有效結(jié)束標(biāo)志

下圖為grub4dosMBR的第一個扇區(qū)

其他扇區(qū)內(nèi)容請參考附件

其中0x0003處一個字節(jié)為啟動時等待按鍵的延時，圖中為0x06就是6秒

四、硬盤（U盤、移動硬盤）DBR簡介

沒有深入研究DBR到底占用幾個扇區(qū)，對于ntldr的DBR，用WinHex查看時可以看到ntfs分區(qū)的前7個扇區(qū)有內(nèi)容，fat32前3個扇區(qū)有內(nèi)容，不同的分區(qū)軟件可能會有不同，有興趣者可以試試先將有內(nèi)容的前幾個扇區(qū)保存為文件，然后清除第1個扇區(qū)（分區(qū)的0扇區(qū)）之外的其他扇區(qū)的內(nèi)容（用0填充，可以用U盤或者光盤啟動PE再用WinHex恢復(fù)），若能正常啟動表示只用第1個扇區(qū)即可，否則后面的內(nèi)容也是有效內(nèi)容

NTBOOT.EXE（#1附件中有）可以修復(fù)ntldr的DBR

Bootsect.exe（好像vista安裝盤中有，沒有使用過）可以修復(fù)bootmgr和ntldr的DBR，微軟官方說法：Bootsect.exe更新硬盤分區(qū)的主啟動代碼以在BOOTMGR和NTLDR之間切換?？梢允褂么斯ぞ哌€原計算機上的啟動扇區(qū)。此工具會替換FixFAT和FixNTFS

這兩個工具都是只能修改DBR，而不能修改MBR

下面是ntfs分區(qū)中ntldrDBR的第一個扇區(qū)（用XP做的分區(qū)）

其中左邊可讀的部分即為DBR在分區(qū)根目錄找不到ntldr文件時的錯誤信息，最后兩個字節(jié)“55AA”是分區(qū)有效結(jié)束標(biāo)志

下面是fat32分區(qū)中ntldrDBR的第一個扇區(qū)（用ParagonPartitionManager做的分區(qū)）

五、使用WinHex保存或?qū)懭氪疟P

寫入操作具有一定危險性，請慎用

保存磁盤的前63（0~62）個扇區(qū)的內(nèi)容到文件

1.計算62扇區(qū)的結(jié)束位置為63*512-1=32555=0x7DFF

2.在十六進制代碼區(qū)右鍵選擇編輯->定義選區(qū)，輸入開始0，結(jié)束7DFF，確定

如果只保存當(dāng)前扇區(qū)，右鍵選擇編輯->復(fù)制扇區(qū)->至新文件即可

3.右鍵選擇編輯->復(fù)制選塊->至新文件，若復(fù)制到剪貼板則右鍵選擇編輯->復(fù)制選塊->正常

將硬盤中的XPMBR復(fù)制到U盤

1.選中硬盤0扇區(qū)的0x0000~0x01BD，右鍵選擇編輯->復(fù)制選塊->正常

注意不可以選中整個扇區(qū)，否則會覆蓋U盤（目標(biāo)盤）的分區(qū)表

2.將光標(biāo)移至U盤的0x0000處，如下圖

3.右鍵選擇編輯->剪貼板數(shù)據(jù)->寫入，此時會提示寫入的偏移地址，注意檢查偏移地址是否正確

4.還有可能會提示選擇剪貼板格式，選擇ASCIIHex，如果用這種格式寫入不正確，試試選擇別的格式

5.如果寫入正確，選擇保存，否則選擇撤銷（Ctrl+Z）二、硬盤主引導(dǎo)記錄(MBR)及其結(jié)構(gòu)/blog/static/73261092007614102218135/硬盤的0柱面、0磁頭、1扇區(qū)稱為主引導(dǎo)扇區(qū)，F(xiàn)DISK程序?qū)懙皆撋葏^(qū)的內(nèi)容稱為主引導(dǎo)記錄（MBR）。該記錄占用512個字節(jié)，它用語硬盤啟動時將系統(tǒng)控制權(quán)交給用戶指定的，并在分區(qū)表中登記了的某個操作系統(tǒng)區(qū)。

1.MBR的讀取

硬盤的引導(dǎo)記錄（MBR）是不屬于任何一個操作系統(tǒng)，也不能用操作系統(tǒng)提供的磁盤操作命令來讀取它。但我們可以用ROM-BIOS中提供的INT13H的2號功能來讀出該扇區(qū)的內(nèi)容，也可用軟件工具Norton8.0中的DISKEDIT.EXE來讀取。

用INT13H的讀磁盤扇區(qū)功能的調(diào)用參數(shù)如下：

入口參數(shù)：AH=2（指定功能號）

AL=要讀取的扇區(qū)數(shù)

DL=磁盤號（0、1-軟盤；80、81-硬盤）

DH=磁頭號

CL高2位+CH=柱面號

CL低6位=扇區(qū)號

CS:BX=存放讀取數(shù)據(jù)的內(nèi)存緩沖地址

出口參數(shù)：CS:BX=讀取數(shù)據(jù)存放地址

錯誤信息：如果出錯CF=1AH=錯誤代碼

用DEBUG讀取位于硬盤0柱面、0磁頭、1扇區(qū)的操作如下：

A>DEBUG

-A100

XXXX:XXXXMOVAX,0201（用功能號2讀1個扇區(qū)）

XXXX:XXXXMOVBX,1000（把讀出的數(shù)據(jù)放入緩沖區(qū)的地址為CS:1000）

XXXX:XXXXMOVCX,0001（讀0柱面，1扇區(qū)）

XXXX:XXXXMOVDX,0080（指定第一物理盤的0磁頭）

XXXX:XXXXINT13

XXXX:XXXXINT3

XXXX:XXXX（按回車鍵）

-G=100（執(zhí)行以上程序段）

-D100011FF（顯示512字節(jié)的MBR內(nèi)容）

2.MBR的組成

一個扇區(qū)的硬盤主引導(dǎo)記錄MBR由如圖6-15所示的4個部分組成。

·主引導(dǎo)程序（偏移地址0000H--0088H），它負責(zé)從活動分區(qū)中裝載，并運行系統(tǒng)引導(dǎo)程序。

·出錯信息數(shù)據(jù)區(qū)，偏移地址0089H--00E1H為出錯信息，00E2H--01BDH全為0字節(jié)。

·分區(qū)表（DPT,DiskPartitionTable）含4個分區(qū)項，偏移地址01BEH--01FDH,每個分區(qū)表項長16個字節(jié)，共64字節(jié)為分區(qū)項1、分區(qū)項2、分區(qū)項3、分區(qū)項4。

·結(jié)束標(biāo)志字，偏移地址01FE--01FF的2個字節(jié)值為結(jié)束標(biāo)志55AA,如果該標(biāo)志錯誤系統(tǒng)就不能啟動。MasterBootRecord主引導(dǎo)程序出錯信息數(shù)據(jù)區(qū)分區(qū)表結(jié)束標(biāo)志0000-0088主引導(dǎo)程序0089-01BD數(shù)據(jù)區(qū)01BE-01CD分區(qū)項1（16字節(jié)）01CE-01DD分區(qū)項2（16字節(jié)）01DE-01ED分區(qū)項3（16字節(jié)）01EE-01FD分區(qū)項4（16字節(jié)）01FE5501FFAA圖6-15MBR的組成結(jié)構(gòu)圖3.MBR中的分區(qū)信息結(jié)構(gòu)

占用512個字節(jié)的MBR中，偏移地址01BEH--01FDH的64個字節(jié)，為4個分區(qū)項內(nèi)容（分區(qū)信息表）。它是由磁盤介質(zhì)類型及用戶在使用FDISK定義分區(qū)說確定的。在實際應(yīng)用中，F(xiàn)DISK對一個磁盤劃分的主分區(qū)可少于4個，但最多不超過4個。每個分區(qū)表的項目是16個字節(jié)，其內(nèi)容含義如表6-19所示。

表6-19分區(qū)項表（16字節(jié)）內(nèi)容及含義存貯字節(jié)位內(nèi)容及含義第1字節(jié)引導(dǎo)標(biāo)志。若值為80H表示活動分區(qū)，若值為00H表示非活動分區(qū)。第2、3、4字節(jié)本分區(qū)的起始磁頭號、扇區(qū)號、柱面號。其中：

磁頭號——第2字節(jié)；

扇區(qū)號——第3字節(jié)的低6位；

柱面號——為第3字節(jié)高2位+第4字節(jié)8位。第5字節(jié)分區(qū)類型符。

00H——表示該分區(qū)未用（即沒有指定）；

06H——FAT16基本分區(qū)；

0BH——FAT32基本分區(qū)；

05H——擴展分區(qū)；

07H——NTFS分區(qū)；

0FH——（LBA模式）擴展分區(qū)（83H為Linux分區(qū)等）。第6、7、8字節(jié)本分區(qū)的結(jié)束磁頭號、扇區(qū)號、柱面號。其中：

磁頭號——第6字節(jié)；

扇區(qū)號——第7字節(jié)的低6位；

柱面號——第7字節(jié)的高2位+第8字節(jié)。第9、10、11、12字節(jié)本分區(qū)之前已用了的扇區(qū)數(shù)。第13、14、15、16字節(jié)本分區(qū)的總扇區(qū)數(shù)。4.MBR的主要功能及工作流程

啟動PC機時，系統(tǒng)首先對硬件設(shè)備進行測試，測試成功后進入自舉程序INT19H,然后讀系統(tǒng)磁盤0柱面、0磁頭、1扇區(qū)的主引導(dǎo)記錄（MBR）內(nèi)容到內(nèi)存指定單元0：7C00地址開始的區(qū)域，并執(zhí)行MBR程序段。

硬盤的主引導(dǎo)記錄（MBR）是不屬于任何一個操作系統(tǒng)的，它先于所有的操作系統(tǒng)而被調(diào)入內(nèi)存，并發(fā)揮作用，然后才將控制權(quán)交給主分區(qū)（活動分區(qū)）內(nèi)的操作系統(tǒng)，并用主分區(qū)信息表來管理硬盤。

MBR程序段的主要功能如下：

·檢查硬盤分區(qū)表是否完好。

·在分區(qū)表中尋找可引導(dǎo)的“活動”分區(qū)。

·將活動分區(qū)的第一邏輯扇區(qū)內(nèi)容裝入內(nèi)存。在DOS分區(qū)中，此扇區(qū)內(nèi)容稱為DOS引導(dǎo)記錄（DBR）。

MBR引導(dǎo)程序段的執(zhí)行流程如圖6-16所示。圖6-16MBR引導(dǎo)程序段執(zhí)行流程硬盤邏輯驅(qū)動器的分區(qū)表鏈結(jié)構(gòu)

硬盤是由很多個512字節(jié)的扇區(qū)組成，而這些扇區(qū)會被組織成一個個的“分區(qū)”。

硬盤的分區(qū)規(guī)則是：一個分區(qū)的所有扇區(qū)必須連續(xù)，硬盤可以有最多4個物理上的分區(qū)，這4個物理分區(qū)可以時個主分區(qū)或者3個主分區(qū)加一個擴展分區(qū)。在DOS/Windows管理下的擴展分區(qū)里，可以而且必須再繼續(xù)劃分邏輯分區(qū)（邏輯盤）。

從MS-DOS3.2問世以后，用戶就可以在一個物理硬盤驅(qū)動器上劃分一個主分區(qū)和一個擴展分區(qū)，并在擴展分區(qū)上創(chuàng)建多個邏輯驅(qū)動器，也即我們常說的一個物理盤上多個邏輯盤。

舉一個例子，一個10G的硬盤，安裝Windows,有C:、D:、E:三個邏輯盤，那么它的分區(qū)情況可以是如下的方式：

分區(qū)一：主分區(qū)2GB，格式化為C:盤。

分區(qū)二：擴展分區(qū)8GB。它被再劃分為兩個各4GB的邏輯盤，格式化為以D:和E:盤。

在一個劃分有多個主分區(qū)的硬盤上，則可安裝多個不同的操作系統(tǒng)。如Windows、Linux、Solaris等。每個操作系統(tǒng)自己去管理分配給自己的分區(qū)。但是，每個操作系統(tǒng)對分區(qū)的操作方式是不同的。對于DOS/Windows來說，它能夠把它所能管轄的一個主分區(qū)和一個擴展分區(qū)格式化，然后按照C:、D:、E:邏輯盤的方式來管理。而Linux則不同，它是把“分區(qū)”看作一個設(shè)備，既沒有“擴展分區(qū)”的概念，也沒有“邏輯盤”的概念。

1.邏輯盤的鏈接關(guān)系

在FAT文件系統(tǒng)中，硬盤的邏輯盤字符用字符C:、D:、E:、...、Z:來表示。主分區(qū)一般被格式化成C:盤，從D:盤開始的邏輯盤是建立在擴展分區(qū)之上的。在系統(tǒng)進行讀寫操作時，DOS首先查看主引導(dǎo)記錄（MBR）中的分區(qū)信息表，分區(qū)項將指向活動主分區(qū)的DOS引導(dǎo)記錄（DBR）。

MBR中的分區(qū)表位于0柱面、0磁頭、1扇區(qū)內(nèi)，以位移1BEH開始的第一分區(qū)表作為鏈?zhǔn)?，有表?nèi)的鏈接表項指示下一分區(qū)表的物理位置（xx柱面、0磁頭、1扇區(qū)），在該位置的扇區(qū)內(nèi)同樣位移1BEH處，保存著第2張分區(qū)表，依次類推，直至指向最后一張分區(qū)表的物理位置（yy柱面、0磁頭、1扇區(qū)）。因該分區(qū)表內(nèi)不存在鏈接表項，即作為分區(qū)表鏈的鏈尾。如圖6-17所示。硬盤第一個虛擬第二個虛擬第三個虛擬MBR分區(qū)表MBR分區(qū)表MBR分區(qū)表MBR分區(qū)表定義C:盤―>定義D:盤－>定義E:盤－>定義F:盤描述剩余空間描述剩余空間描述剩余空間描述剩余空間未用未用未用未用未用未用未用未用55AA55AA55AA55AA圖6-17具有4個邏輯盤的分區(qū)鏈表示意圖

舉例來說，本來位于柱面0、磁頭0、扇區(qū)1上的分區(qū)表的每一項記錄和主分區(qū)的DBR之間有一對應(yīng)的關(guān)系，但是，如果在擴展分區(qū)中建立了多個邏輯盤，例如D:、E:、F:,該分區(qū)表中的分區(qū)項可指向第一個邏輯盤：，但對于其它的邏輯