计算机数据恢复第四章逻辑分区和扩展分区分析篇

概览

第三章有讲到因为主分区最多可以创建4个，我们需要使用扩展分区打破4的限制。在磁盘上可以创建多个逻辑分区而创建的这些逻辑分区都被称为扩展分区，您可以用主分区和逻辑分区中储存数据，但是不能用扩展分区储存，因为扩展分区是我们对逻辑分区的总称，只是一中称呼。如下图:分区助手显示的逻辑分区个数，这些逻辑分区总称为扩展分区。（注意看红圈）

EBR概览

扩展分区中的每个逻辑驱动器都存在一个类似于MBR的扩展引导记录(Extended Boot Record, EBR)，也可以称为扩展mbr。  

  EBR扩展引导记录包括一个扩展分区表和该扇区的标签。扩展引导记录将记录只包含扩展分区中每个逻辑驱动器的第一个柱面的第一面的信息。一个逻辑驱动器中的引导扇区一般位于相对扇区32或63(取决于您所选对齐单位如下图)。

  如果磁盘上没有扩展分区，那么就不会有扩展引导记录和逻辑驱动器。第一个逻辑驱动器的扩展分区表中的第一项指向它自身的引导扇区。第二项指向下一个逻辑驱动器的EBR。如果不存在进一步的逻辑驱动器，第二项就不会使用，而且被记录成一系列零。如果有附加的逻辑驱动器，那么第二个逻辑驱动器的扩展分区表的第一项会指向它本身的引导扇区。第二个逻辑驱动器的扩展分区表的第二项指向下一个逻辑驱动器的EBR。扩展分区表的第三项和第四项永远都不会被使用。  

  EBR的出现是因为MBR(硬盘的主引导记录)里有一个DPT(Disk Partition Table,磁盘分区表)的区域，它一共是64字节，按每16个字节 作为一个分区表项，它最多只能容纳4个分区。能够在MBR的DPT里进行说明的分区称为主分区。当分区多于4个的时候，MBR的DPT里就会无法容纳，所以微软使用一个新的解决方案，在MBR里，存放不多于三个主分区(通常只放一个)，剩下的分区则由与MBR结构很相像的另一种分区结构(EBR，也就是扩展分区引导记录)里进行说明。当一个EBR不够用时，可以增加另一个EBR，如此像一根根链条一样地接下去，直到够用为止，所以扩展分区没有硬性限制。

EBR表结构

EBR表结构等同MBR分区信息(就是一个分区16个字节表示)，详细看下图:

细看会发现不同于MBR中的是，在EBR中只有两行是用来表达信息的，图中最重要部分为画红圈和篮圈的！

红圈内前16字节为当所表达分区的信息。后16字节为下一个EBR(逻辑分区表)所在扇区位置！蓝色部分为常用的结束标识“55AA”

总结：

我通常记法就是，把EBR当成MBR所在0扇区来记，这章还不能理解的我后面会单独出一份扩展分区讲解的案列！