基于WinHex的對GPT分區表的恢復研究

施 陶 王劍雄 李宗陽 李晨昊

(河北建筑工程學院，河北 張家口 075000)

0 引 言

GPT分區模式是一種區別于傳統的主引導記錄(MBR)分區方案的一種新的磁盤分區表結構標準，具有更加靈活的分區機制.由于Windows10操作系統在個人PC中的普及，以及用來引導Windows10操作系統的磁盤必須采用GPT分區模式，這導致使用GPT分區模式的磁盤在個人PC磁盤中所占比例非常高.與傳統的MBR分區模式相比，GPT模式具有很多明顯的優點.首先，GPT磁盤支持大小超過2TB的磁盤，而且每個分區的大小也不在受到2TB的約束.其次，Windows系統下的GPT磁盤最多可以有128個主分區，而不再僅限于MBR模式下的4個.再者，GPT磁盤的分區表自帶備份，相比于MBR磁盤則更加安全.即便如此，在日常生活中，還是會常常出現由于誤操作、病毒或者物理損壞等原因造成磁盤無法讀取，從而損失里面重要的數據.而這其中，有很大一部分是由于分區表損壞引起的，由此可見，GPT分區表的恢復是至關重要的.

1 GPT磁盤的結構

GPT磁盤主要由6個部分組成，按照前后順序分別為保護MBR、GPT頭、分區表、分區區域、分區表備份、GPT頭備份.

保護MBR位于GPT磁盤的第一個扇區，也就是0號扇區，是為了防止某些無法識別GPT磁盤的程序誤以為磁盤沒有進行分區進而對磁盤進行一些錯誤的操作，對于文件系統本身來說沒有什么實際的作用.

GPT頭位于GPT磁盤的第二個扇區，即1號扇區.它記錄了GPT磁盤中各個重要組成部分所在的位置以及它們的一些屬性信息，如分區表的起始位置和結束位置、分區表的項數以及每一項的字節數等.除此之外，還記錄了分區表和GPT頭本身的CRC校驗和.需要指出的是，GPT頭中記錄的分區區域起始位置有時并不準確，實際情況以分區表中的記錄為準.

分區表占用了GPT磁盤第2到33號扇區，總共32個扇區，最多可以容納128個分區表項，其中每個分區表項占用128個字節.分區表是GPT磁盤中極其重要的組成部分，它記錄了分區類型GUID、分區GUID、分區的起始地址和結束地址、分區的屬性以及分區的名字，如圖1所示.

分區表之后便是分區區域，通常起始于34號扇區，但不一定，比如圖1中所示分區表中的第一個分區就起始于2048號扇區.分區區域通常由多個具體的分區組成，如EFI系統分區、微軟保留分區、主分區等.分區區域之后緊跟著分區表的備份，同樣占用32個扇區，再之后便是GPT頭的備份，占用整個GPT磁盤的最后一個扇區.需要注意的是GPT頭的備份并不是和GPT頭完全一樣，它們的結構相同，但個別參數不同.

圖1 2號扇區的分區表

2 GPT分區表恢復的原理

分區表中每一個表項都對應著分區區域的一個具體分區，記錄著這些分區的分區類型GUID、分區GUID、分區的起始地址和結束地址、分區的屬性以及分區的名字等信息.當分區表損壞導致磁盤無法使用時，我們可以根據分區區域存儲的數據手動計算出分區的數量以及它們的起始地址和結束地址，然后利用WinHex軟件填入被損壞的分區表的對應位置即可.在這個過程中，我們可能會遇到使用不同文件系統的分區，比如最常見的FAT32和NTFS文件系統.在FAT32文件系統的DBR中，偏移20H～23H處的四個字節記錄了整個分區的扇區總數，該分區結束地址=分區起始地址+分區扇區總數-1.同樣，在NTFS文件系統DBR的偏移28H～2FH處，也記錄了整個NTFS分區的扇區總數，當然，這不包括最后一個扇區，即DBR備份扇區，因此該分區結束地址=分區起始地址+分區扇區總數.

除了各個分區的起始地址和結束地址，分區表中剩下的參數經過多次實驗驗證發現，對于數據恢復來說并非是必填不可的，因此我們可以隨意填入一些合理的數據即可，甚至可以不填.在這之后，利用WinHex軟件提供的工具計算出整個分區表區域和GPT頭的CRC校驗碼，分別填入GPT頭中對應的位置.GPT頭中的其它參數除了GPT頭備份所在扇區號和分區區域結束扇區號都是固定不變的，將它們對應的值依次填入即可.而GPT頭備份所在扇區號和分區區域結束扇區號則可以根據之前重建分區表時得出的數據獲得.至此，整個分區表的重建工作就已經完成，無法識別的磁盤可以正常工作，丟失的文件也可以正常訪問了.

3 實 驗

本次實驗的平臺是Windows10操作系統，數據恢復和分析工具是WinHex18.3軟件，使用的工具是一塊采用GPT分區模式的磁盤.為了模擬分區表損壞，磁盤無法打開的情況，利用WinHex將該磁盤的GPT頭、分區表以及它們的備份全部填充為0.進行本步操作后，操作系統已無法正常讀取該磁盤.本次實驗的目標即重建該磁盤的GPT頭和分區表，使得該磁盤可以被操作系統正常訪問.

下面開始恢復操作，具體步驟如下：

第一步：使用WinHex打開該磁盤，由于GPT磁盤的第一個分區通常起始于34號扇區或者2048號扇區，我們利用WinHex直接跳轉到這兩個扇區查看，果然在2048號扇區找到了一個FAT32分區的DBR，接著由這個扇區偏移20H～23H處的記錄得到這個分區的大小為614400個扇區，由此計算出第一個分區的起始地址為2048，結束地址為2048+614400-1=616447.

第二步：跳轉到第一個分區結束后的下一個扇區，即616448號扇區，發現這個扇區并沒有寫入任何數據.其實這是由于在Windows環境下，GPT磁盤的第二個分區通常用作微軟保留分區，在沒有特殊情況下不寫入任何數據.接著利用WinHex提供的搜索功能向后搜索FAT32或NTFS文件系統DBR的首字節值EB，很快在681984號扇區找到一個NTFS分區的DBR，因此，第二個分區(即微軟保留分區)的起始地址為616448，結束地址為681983.

第三步：由687983號扇區偏移28H～2FH處的記錄可知，當前NTFS分區的大小為10190847個扇區，由此可計算出第三個分區的起始地址為681984，結束地址為681984+10190847=10872831.

第四步：跳轉到10872832號扇區，發現此扇區是FAT32文件系統的DBR，同樣，由其偏移20H～23H處的記錄可得當前分區的大小為10190848個扇區，進而可得，該分區起始地址為10872832，結束地址為10872832+10190848-1=21063679.

第五步：接著跳轉到21063680號扇區，又發現了一個NTFS分區的DBR，同樣由其偏移28H～2FH處記錄的參數得到此分區的大小為9508574個扇區，所以這第五個分區的起始地址為21063680號扇區，結束地址為21063680+9508574=30572254.

第六步：同樣跳轉到30572255號扇區，發現這個扇區并不是文件系統的DBR且當前扇區距離磁盤尾部已經非常近，由此便可判斷從當前扇區開始的32個扇區，即30572255～30572286號扇區，是分區表備份的位置.之后的30572287號扇區便是GPT頭備份的地址.至此，各個分區的起始地址和結束地址都已明了，如表1所示.

表1 各分區位置信息

第七步：將前面得到的地址數據轉換成十六進制依次填入2號扇區中的對應位置，同時，填入分區的GUID.由于分區GUID用于唯一標識分區，故5個分區的GUID只需不同即可，可以填入任意數據.填好后的分區表如圖2所示.

第八步：將0x4546492050415254000001005C000000填入位于1號扇區的GPT頭的前16個字節，再將GPT頭所在扇區號、GPT頭備份所在扇區號、分區區域起始扇區號、分區區域結束扇區號和分區表起始扇區號等信息依次填入對應位置.需要注意的是，此處記錄的分區區域起始扇區號通常為34，即分區表之后的第一個扇區.

第九步：使用WinHex計算出整個分區表區域的CRC32校驗碼，填入1號扇區中偏移58H～5BH中的位置，再計算GPT頭的CRC32校驗碼填入1號扇區偏移10H～13H處，保存.至此，恢復工作已經全部完成，重新打開資源管理器，發現磁盤已經可以正常識別，打開磁盤，里面的文件也已全部恢復.

圖2 重建后的分區表

4 總 結

GPT分區模式的磁盤在個人電腦領域非常常見，而GPT分區表的恢復又在GPT磁盤數據恢復領域占有舉足輕重的地位.本文通過實驗的方式，總結出了一種快速恢復GPT分區表，進而恢復磁盤數據的方法.實驗結果表明，這種方法確實快速、有效.然而，美中不足的是，此方法比較依賴各個分區的DBR，在DBR也被損壞時便無法工作，因此這種情況下的恢復還有待研究.