硬盘主引导记录详解

硬盘主引导记录详解硬盘的数据结构对于一些朋友来说总是很神密！为什么我们删除了的文件用软件能找到？为什么我们格式化了的硬盘数据还能找回来？要回答这一切，你就得对硬盘的数据结构有个清醒的认识。

硬盘上的数据由五大部分组成，它们分别是：MBR区、DBR区，FAT区，DIR区和DATA区。

1.MBR（Main Boot Record）区,即主引导记录区，位于整个硬盘的0磁道0柱面1扇区.2.DBR（Dos Boot Record）区,操作系统引导记录区。

位于硬盘的0磁道1柱面1扇区，是操作系统可以直接访问的第一个扇区.3.FAT（File Allocation Table文件分配表）区;4.DIR（Directory）根目录区，记录着根目录下每个文件（目录）的起始单元，文件的属性等;5.DATA区是真正意义上的数据存储的地方，位于DIR区之后，占据硬盘上的大部分数据空间。

了解了硬盘数据的基本结构，今天我们把重点放在mbr所在的扇区：主引导扇区。

主引导扇区包括：mbr,dpt和结束标志。

位于硬盘的0磁道0柱面1扇区，用diskman可以读出其中的内容，下面是一次操作的结果：表一:这块10.2G（以下显示为9766MB，误差原因不用我解释了吧？）的硬盘共分了四个区：分区结构如下：主引导扇区中前446字节--偏移地址从0000H-01BDH为mbr区，存放着主引导程序，从上面的显示中，读者可能已经看出，这个硬盘以linux系统的grub为引导程序。

接下来的64字节为硬盘分区表--dpt，偏移地址从01BEH-01FDH,共分为四个分区表项，每个分区表项占16字节，表示一个分区，从这里大家就可以知道为什么硬盘只能分四个主分区了吧？但有时我们需要更多的分区来规划我们的硬盘，为解决这个问题，就把这四个分区表项中的一个定义为扩展分区（与主分区是并列关系），扩展分区中又可以定义逻辑分区（与扩展分区是包含与被包含的关系）。

但读者不要以为这些信息都在这一个16字节的分区表项中。

事实上是:被定义为扩展分区的这一个分区表项只包含了指向逻辑分区的信息。

而逻辑分区的分区表在其它的扇区中存放！本文重点介绍dpt中的内容，上面已经提到，dpt分为四个分区表项，每个分区表项占16个字节，下面着重讲述这16个字节是怎么分配的。

表三：第1字节引导标志，该值为80H表示为可自举分区(活动分区，仅有一个)，该值为00H表示其余分区第2字节分区起始磁头第3字节低6位是分区起始扇区，高2位是分区起始的柱面的头两位第4字节分区起始柱面的低8位第5字节系统标志第6字节分区终止磁头第7字节低6位为分区终止扇区，高2位为终止柱面的前2位第8字节分区终止柱面的低8位。

第9-12字节本分区前的扇区数，低位字节在前(注：不是低位在前)第13-16字节本分区总的扇区数，低位字节在前现在根据上面的列表详细解释一下：我们提取出下面四个分区表项：表四：分区 | 字节序号表项 | 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 161： | 80 01 01 00 0B FE 3F D8 3F 00 00 00 5A 31 35 002： | 00 00 01 D9 0F FE FF FF 99 31 35 00 04 FF FB 003： | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 004： | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00由于数据以16进制显示，每个数字占一个字节的四位，所以两个数字占一个字节。

对于第一个分区表项：第1字节为80，表示活动分区；第2字节为01，十进制为1，表示起始磁头号；第3字节为01，二进制为00000001,低6位000001,对应的十进制为1,表示起始扇区；第4字节为00，二进制为00000000,与第三字节的高2位00组成0000000000,十进制为0，表示起始柱面；第5字节为0B，为系统标志；第6字节为FE，十进制为254，表示终止磁头；第7字节为3F，二进制为00111111,低6位为111111，转换为十进制为63,表示终止扇区；第8字节为D8，二进制为11011000,与第7字节的高2位00组成0011011000,十进制为216,表示终止柱面；第9-12字节为3F 00 00 00，按低位字节在前的原则排列为：00 00 00 3F，转换为十进制为63,表示该分区前的扇区数目；第13-16字节为5A 31 35 00，按低位字节在前的原则排列为：00 35 31 5A,转换为十进制为3486042,表示该分区占用的扇区数目。

我们可以与表2对照，发现两者完全统一！同理，我们还可以分析第2个分区表项，这就交给感兴趣的读者自己完成吧。

在第3和第4个分区表项中，所以数据都为0，表示这两个分区表项没有分配。

最后两个字节--偏移地址从01FEH-01FFH，为结束标志，通常为55 AA,如果改为其它值，则硬盘可能不被引导。

通过以上的讲解，你是不是对硬盘的数据结构又有了更深的认识？对于使用windows和lin ux双系统的用户，经常要与mbr打交道，有很多网友问:装了linux和windows双系统，现在又不想使用linux了，于是把linux的分区格式化为fat32回收，但当初装在mbr的引导信息老是去不掉。

这里我可以告诉你一个方法，就是用windows98启动盘启动电脑，然后运行fdisk/mbr命令就可以了，这条命令是重建mbr（前446字节），但并不破坏dpt中的数据，也就是并不破坏硬盘的分区表，可以安全使用。

你可以在使用这条命令前后各查看一下主引导扇区，就会发现从447字节开始以后的数据都没有改变。

如果你没有diskman这个软件，下面的C程序一样可以帮你搞掂！以下是程序的源码：#include <bios.h>#include <stdio.h>int main(){register int i;unsigned char buffer[512] = {0}; biosdisk(2, 0x80, 0, 0, 1, 1, buffer); for (i=0; i<512; i++){if (!(i%8)){printf(" ");if (!(i%16)){printf("\n");printf("%04x:", i);}}printf("%02x ", buffer);}}在turboc2.0中可编译通过。

运行biosdisk()函数，你还可进一步编写备份mbr,恢复mbr的程序或把mbr清0的程序，是不是很想试试。

主引导扇区释疑、引导扇区在每个分区里都存在，但是我们常说的*主引导扇区*是硬盘的第一物理扇区。

它由两个部分组成：即主引导记录MBR（Master Boot Record）和硬盘分区表DPT（Disk Partition Table）。

在总共512字节的主引导分区里其中MBR占446个字节（偏移0--偏移1BDH)，DPT占64个字节（偏移1BEH--偏移1FDH),最后两个字节“55，AA”（偏移1FEH偏移1FFH)是分区的结束标志。

大致的结构如下图：0000 |------------------------------------------------|| || || Main Boot Record || || |主引导记录(446字节) ||| || || |01BD | |01BE |------------------------------------------------|| |分区信息1(16字节) |01CD |01CE |------------------------------------------------|| |01DD | 分区信息2(16字节) |01DE |------------------------------------------------|| |01ED | 分区信息3(16字节) |01EE |------------------------------------------------|| |01FD | 分区信息4(16字节) ||------------------------------------------------|| 01FE | 01FF ||| 55 | AA|------------------------------------------------|图一：主引导扇区结构图主引导记录中包含了硬盘的一系列参数和一段引导程序。

引导程序主要是用来在系统硬件自检完后引导具有激活标志的分区上的操作系统。

它执行到最后的是一条JMP指令跳到操作系统的引导程序去。

这里往往是引导型病毒的注入点，也是各种多系统引导程序的注入点。

但是由于引导程序本身完成的功能比较简单，所以我们可以完全地判断该引导程序的合法性（看JMP指令的合法性），因而也易于修复。

象命令fdisk/mbr可以修复MBR和KV300这类软件可以查杀任意类型的引导型病毒，就是这个原因。

往下来是硬盘的分区表，由4个16字节的分区信息表组成。

每个信息表的结构如下：偏移 长度 所表达的意义0 字节 分区状态：如0-->非活动分区--> 活动分区801 字节 该分区起始头（HEAD)2 字 该分区起始扇区和起始柱面4 字节 该分区类型：如82--> Linux Native分区--> Linux Swap 分区835 字节 该分区终止头（HEAD）6 字 该分区终止扇区和终止柱面8 双字 该分区起始绝对分区C 双字 该分区扇区数最后的两个标志“55 AA”是分区表的结束标志，如果这两个标志被修改（有些病毒就会修改这两个标志），则系统引导时将报告找不到有效的分区表。

硬盘分区表详解硬盘主引导扇区 = 硬盘主引导记录（MBR）+ 硬盘分区表（DPT）--------------------------------------------------------------物理位置：0面0道1扇区（clindyer 0, side 0, sector 1)大小： 512字节其中：MBR 446字节（0000--01BD），DPT 64字节（01BE--01FD），结束标志2字节（55 AA）功能：MBR通过检查DPT分区信息引导系统跳转至DBR；读取: 使用NORTON DISKEDIT, 在OBJECT菜单中选择DRIVE——>PHYSICAL DISK-—HARD DISK,然后, 在OBJECT菜单中选择DISK PARTITION TABLE即可读取, 并使用TOOLS菜单中的WRITE OBJECT TO 选项存入指定文件备份;写入: 使用NORTON DISKEDIT, 在OBJECT菜单中选择DRIVE——>FLOOPY DISK, 选择备份的DPT文件, 然后使用TOOLS菜单中的WRITE OBJECT TO——>PHYSICAL SECTOR 选项写入001(clindyer 0, side 0, sector 1);详解:000H--08AH MBR启动程序(寻找开机分区)08BH--0D9H MBR启动字符串0DAH--1BCH 保留("0")1BEH--1FDH 硬盘分区表1FEH--1FFH 结束标志(55AA)活动分区主引导扇区（DBR）--------------------------物理位置：1面0道1扇区（clindyer 0, side 1, sector 1)大小： FAT16 1扇区 512字节FAT32 3扇区 1536字节功能：包含机器CMOS等信息（0000--0059）, 核对该信息并引导指定的系统文件, 如NTLDR等；读取: 使用NORTON DISKEDIT, 在OBJECT菜单中选择DRIVE——>LOGICAL DISK-—DISK C,然后, 在OBJECT菜单中选择BOOT RECORD即可读取, 并使用TOOLS菜单中的WRITE OBJECT TO 选项存入指定文件备份;写入: 使用NORTON DISKEDIT, 在OBJECT菜单中选择DRIVE——>FLOOPY DISK, 选择备份的DBR文件, 然后使用TOOLS菜单中的WRITE OBJECT TO——>PHYSICAL SECTOR 选项写入011(clindyer 0, side 1, sector 1);详解:000H--002H 3 BYTE的跳转指令(去启动程序, 跳到03EH)003H--03DH BIOS参数区03EH--19DH DOS启动程序19EH--1E5H 开机字符串1E6H--1FDH 文件名(IO.SYS, MSDOS.SYS)1FEH--1FFH 结束标记(55AA)硬盘分区表（DPT）---------------------偏移地址字节数含义分析01BE 1 分区类型：00表示非活动分区：80表示活动分区；其他为无效分区。