取证小技能之Winhex手工恢复NTFS文件系统的U盘镜像的引导扇区

· Winhex手工恢复U盘镜像DBR，是针对U盘分区中的DBR进行恢复，U盘分区中的DBR被恢复后，Winhex和取证软件便可以对U盘镜像分区进行识别，便于进行下一步的取证操作

· 若MBR未被破坏，首先分析MBR的分区表，确定分区的文件类型，为DBR的再构建做好准备。【注意：在FAT文件系统中，分区的引导扇区是DBR。但是在NTFS文件系统中的引导扇区是$Boot，它的结构与FAT文件系统的DBR类似】

· 跳转至分区对应的DBR，确认DBR的破坏情况

· 挑战至DBR的备份分区，查看备份分区是否被破坏，如果备份分区正常，则直接复制备份分区的数据粘贴至DBR，便可完成恢复，若备份分区遭到破坏，则进入下一步

· 根据分区对应文件类型和相关数据内容，计算并修改BPB参数，实现DBR的再构建，从而达到恢复的目的

由于NTFS文件系统应用的广泛性，因此这一节的内容将以NTFS文件系统为例。

主引导扇区记录着硬盘本身的相关信息以及硬盘各个分区的大小以及位置信息。

主引导扇区由三部分组成：

· 主引导程序：占446字节

· 分区表：占64字节

· 有效标记55AA：占2字节

其中，对分区表的信息分析是我们对整个硬盘分析的关键步骤

MBR中分区表的相关信息如下：

· 占用64字节，其中包含4个磁盘分区表表项，每个磁盘分区表表项占用16个字节

· 描述了磁盘分区的状态。包括：分区的起始位置、终止位置、CHS地址、LBA地址、文件类型等

· 分区表的结构中包含六项参数：分区可引导性标志、分区的起始CHS地址、分区的文件类型代码、分区的结束CHS地址、分区的起始LBA地址、分区的大小（分区的扇区总数，在分区表每一条记录的最后4个字节）

在分区表中，常用的分区文件系统类型代码如下：

NTFS文件系统的引导扇区是$Boot的第一个扇区，便于理解和记忆，我们可以将其认为是DBR。

NTFS文件系统的引导扇区中重要的部分便是BPB，因为其记录了有关该文件系统的重要信息。下面为BPB参数以及相关含义

我们还可以使用Winhex中的模板管理器，打开其中NTFS的DBR模板来直接查看相关参数，并且可以通过该模板直接对NTFS的DBR进行修改和再构建，较大地提高工作效率。打开模板时，首先要定位到模板对应的位置。在定位与模板对应的位置相同的情况下，Winhex会提示当前的数据与模板不相同，此时点击确认即可。

查询Winhex中NTFS的DBR模板相关参数的中文含义，只需按照当前DBR分区的偏移量转换成相应的字节偏移量对照上面的表格查表即可。

Winhex打开NTFS的DBR模板方法如下：

利用Winhex手工恢复NTFS文件系统的DBR时，一般需要修改的参数有：

· 每簇的扇区数量

确定MFT中的80h属性体为非常驻80h属性，则利用该计算方法：(簇流大小/簇流长度)/512。其中簇流大小和簇流长度需要转换为十进制。

· 当前分区的起始扇区号（隐藏扇区数）

在DBR中搜索：EB 52H

· 该分区的扇区总数（分区大小）

· $MFT起始簇号

使用Winhex的搜索功能，搜索文本(字符串)：FILE，或者搜索十六进制数：46 49 4C 45 定位到$MFT，

· $MFTMirr的起始簇号

$MFT的文件记录的下一个记录便是$MFTMirr的文件记录。

BPB中的其余参数值一般按照NTFS文件系统中的BPB默认参数填写即可。

在MFT中80h中包含了相关文件数据内容的相关信息。80h在Winhex中的的位置是：取十六进制数46 49 4C 45所在的行为000h，那么80h从100h开始。

MFT的80h属性体可以分为两类：常驻属性和非常驻属性。

常驻属性：文件属性值能直接存储在MFT记录中，用于存储文件名。存储数据的量不大

非常驻属性：与常驻属性相反，非常驻属性时，文件属性值存储在MFT记录之外。

80h常驻属性的重要参数

80h非常驻属性中分析簇流长度（数据内容占用多少个簇）

例子：

起始位置（十六进制）：40

观察知：

当前例子中只有一个簇流信息/簇流记录，32这一数字分成两部分来看：

左半边的数字3表示当前簇流的起始簇号使用了3个字节来表示，右半边的数字2意思是：在表示当前簇流所占用的簇数时使用了2个字节来表示

由于Winhex的特性，因此我们在读取数据时应当时从右往左读取。

所以当前簇流的起始簇号为：08 00 00H，当前簇流所占用的簇数为：00 80H。

紧接着08H的后面是十六进制数00，因此该例子中只有一组簇流信息。

很明显这是一个损坏的U盘镜像，除了起始扇区之外便没有了其他信息，那么接下来的工作便是尝试着手工去恢复这个U盘镜像。

首先，我们先观察，Winhex打卡的U盘镜像的信息；

因此，推断MBR扇区是正常的状态，那么出问题的便是拓展名是？的分区1了。Winhex无法识别该分区的文件系统。因为MBR扇区属于正常的状态，所以我们第一步先去看一下MBR扇区中是否包含什么有用的信息。

看到这里，脑海中出现关于NTFS文件系统的相关内容。

接着，我们通过单击“分区1”，跳转至该分区所在的位置，查看其引导扇区：

发现该分区的第一扇区全为0，很干净。通过前面的分析我们可以知道：该分区的文件系统是NTFS，NTFS文件系统的DBR是存在备份的，这个DBR的备份存储在分区的最后一个扇区，如果备份存在，那么我们直接复制粘贴至DBR便可以完成恢复。

因此，我们直接跳转到DBR的备份扇区进行查看：

仍然还是全部都是十六进制数00，DBR的备份也被破坏了。所以，接下来，我们通过计算BPB的相关参数，来实现手工恢复DBR

根据之前提到的重要知识点，除了每簇的扇区数、隐藏扇区数、MFT起始簇号、MFTMirr起始簇号，该分区的扇区总数外，其他参数按照NTFS的DBR默认参数，在Winhex里进行填写即可。

在填写默认参数时，可以打开一个正常的NTFS文件系统的分区，在该分区内，打开NTFS的DBR模板，便可以得到其余DBR参数的默认值。填写完成后得到如下表格：

接下来，我们开始逐步计算BPB中的相关参数

锁定$MFT的80h属性体，即上图中的红框部分。同时关注到蓝框的部分，这一部分中包含了簇流的相关信息，黄框部分包含了当前簇流大小的信息。利用Winhex的显示特点，读取数据时应该从右往左依次读取数据，于是我们得到了簇流大小、当前簇流所占的簇数、当前簇流的起始位置

· 簇流大小：40000H = 262144

· 当前簇流所占的簇数（绿框中读取数据）：80H = 128

· 当前簇流的起始位置（褐色框中读取数据）：80000H = 524288

在获取$MFT的起始簇号时，我们便求出了簇流大小和当前簇流所占的簇数，因此，我们直接利用公式可以求出每簇的扇区数位：4

左下角的扇区便是隐藏扇区数，即：63

分区的大小便是每个分区记录的最后四个字节。

在本案例中为：777FC1H = 7831489

确定$MFTMirr起始簇号的方法与确定$MFT起始簇号的方法一样，寻找到80H中Run List的部分，从右往左依次读取十六进制数据，将其转换成十进制数得到$MFTMirr起始簇号。