阿文一键恢复....遇到紧急问题

ttyp · 发表于 2008-5-19 16:48:46

原帖由紫狐于 2008-5-19 03:05 PM 发表

是不是partition explorer？

是的,准备做张集成光盘集成进去

ttyp · 发表于 2008-5-19 16:51:26

原帖由 netwinxp 于 2008-5-19 03:26 PM 发表

NTFS分区的第3字节之后是BPB数据区，紧接在后面的是扩展BPB数据区，扩展BPB数据区的最后面是4个字节的校验和，然后才是引导程序，所以任何修改NTFS分区引导但没有同时修改校验和的，都有可能使NTFS内核读取NT ...

FAT32的前3字节后是8个字节的OEM ID,然后才识BPB,NTFS这点不一样么?

netwinxp · 发表于 2008-5-19 16:58:45

个人认为OEMID属于BPB的一部分，否则你如何判断BPB及其格式？

lvyanan · 发表于 2008-5-19 20:25:59

原帖由 netwinxp 于 2008-5-19 03:26 PM 发表

NTFS分区的第3字节之后是BPB数据区，紧接在后面的是扩展BPB数据区，扩展BPB数据区的最后面是4个字节的校验和，然后才是引导程序，所以任何修改NTFS分区引导但没有同时修改校验和的，都有可能使NTFS内核读取NT ...

又得到了一些有用的信息，马上去验证，看看这个校验和在哪里？它校验的是哪些字节？仅仅是BPB表还是整个扇区？

netwinxp · 发表于 2008-5-19 20:31:04

原帖由 lvyanan 于 2008-5-19 20:25 发表

又得到了一些有用的信息，马上去验证，看看这个校验和在哪里？它校验的是哪些字节？仅仅是BPB表还是整个扇区？

好像整个扇区或者整个boot$(好像ntfs的所有记录项都有校验和)，你可以参照NT源码的ntfsboot.asm(目标代码占16个扇区如果我没猜错的话，这应该就是boot$)，把ntldr加载到2000:0000，当然xp用的是ntfs5会稍有点不同，但BPB和EBPB这部分、2000:0000是一样的。

[ 本帖最后由 netwinxp 于 2008-5-19 08:38 PM 编辑 ]

lvyanan · 发表于 2008-5-19 21:20:33

从偏移0050H处开始的双字就是字节和，图中红框框起来的，可是居然为0，有那么巧？

[ 本帖最后由 lvyanan 于 2008-5-19 09:45 PM 编辑 ]

netwinxp · 发表于 2008-5-19 21:55:24

如果其他字节加起来是0(可能是16扇区，否则应该不要用到双字)，那校验和就是0了，这叫无巧不成书:)

阿文 · 发表于 2008-5-19 22:01:55

很东西程序都用这种方法来校验的。

用FF或者00作结果，其中一个参数作基数，另一个就是变数了。我也曾见过类似的程序。
那个BE 58 90 4D也有几种，FAT32与NTFS也各有相同与区别，只是认为而已

netwinxp · 发表于 2008-5-19 22:04:39

ms很多校验和采用总累加和为0，校验和字段刚好是其他字段累加和的补码。

lvyanan · 发表于 2008-5-19 22:17:14

原帖由 netwinxp 于 2008-5-19 10:04 PM 发表
ms很多校验和采用总累加和为0，校验和字段刚好是其他字段累加和的补码。

我采用的校验和是FFFF，因为校验和为零容易和全零的扇区混淆，所以选用FFFF来作为我的汉字点阵扇区的校验和。

[ 本帖最后由 lvyanan 于 2008-5-19 10:18 PM 编辑 ]

		自动登录	找回密码
密码			注册