NTFS分析的DBR和备份DBR都被破坏的修复。
1、修复思路：我们可以把一个正常的NTFS分区的正常DBR拷贝到0号扇区，然后在对其中的参数进行修改。
1、我们需要修改的参数也就是:
每簇扇区数——在DBR的偏移地址（0x0D）8 扇区总数——在DBR的偏移地址（0x28——0x2F） $MFT起始簇号——在DBR的偏移地址（0x30——0x37） $MFTMirr起始簇号——在DBR的偏移地址（0x38——0x3F）
好的我们分别来找这几个参数。
1 搜索$MFTMirr的起始扇区，因为$MFTMirr一般处于卷的中间位置。所以找起来比较方便。我们先转到卷的中间偏上一些位置。这里就是305172/2=152586.我们就转到152586扇区吧。
这里全是零。好的我们下面开始搜索$MFTMirr的开始标志46494C45
很快在152648号扇区找到了$MFTMirr。在查找$MFTMirr时。你可以在卷的中间位置上下查找。。。好的我们已经找到了$MFTMirr。下面我们就来分析它。我们都知道$MFTMirr是$MFT的前几个记录项的备份。第一个备份当然就是备份的$MFT本身了。。要重构DBR我们需要在$MFT中找到80属性。就是$MFT的数据属性。具体的分析我在前面的教程都讲过了。我们看到它的起始VCN是00 00 00 00 00 00 00 00 结束VCN是 5F 00 00 00 00 00 00 00 。那么所占的簇数为96个簇。我们有看到分配给它的空间是 00 C0 00 00 00 00 00 00 也就是49152个字节，把它化为扇区：49152/512=96（扇区）。它的运行处也表明了它占用96个簇。96个扇区刚好分给它96个簇， 96（扇区）/96（簇）=1扇区/簇。这里我们的一个参数已经出来了。就是每簇扇区数为1个。 还有$MFTMirr起始扇区数是152648号扇区，换算成簇也就是152648号簇。（还可以去看$MFTMirr的MFT记录项的数据运行）
好的。现在我们已经知道了$MFTMirr起始簇号，每簇扇区数，扇区总数又可
以很容易找到，下面就只需要知道$MFT的起始簇号就OK了。。。。 怎么找呢。很简单。上面就有了。。看到运行处。。31 60 5C 8D 01 说明$MFT的起始簇号就是 5C 8D 01 也就是101724号簇。。呵呵。大功告成了。。。。下面的工作就是把这些参数填回去了。
手工修复NTFS文件系统的 DBR
