检材U盘的修复（检材来源：2020创享杯）

背景：

U盘的DBR区被破坏

前置知识（简易版）

MBR：

主引导记录 MBR(Master Boot Record)：一般为硬盘的第一个扇区，负责引导操作系统挂载硬盘完成启动工作，包含硬盘分区表（DPT），可以根据其找到操作系统所在分区并执行启动文件，并定位所有硬盘分区。

DBR：

分区引导扇区 DBR(DOS Boot Record)：是一段存储文件系统的基本参数和操作系统引导程序的代码，其在磁盘中独占一个扇区，一般标志着一个分区的开始。DBR 的格式比较固定，以 NTFS 文件系统为例，大部分变量为固定值，但仍有需要人工关注的自定义数值，即下表所列。

MFT：

主文件表 MFT（Main File Table）：是文件系统的核心，记录文件/文件夹的元数据和部分数据，每个 MFT 占用 2个扇区。

背景

用取证大师打开U盘镜像检材，只能识别“未分配簇”，然后用WinHex进行分析

修复流程

确定DBR状态

用WinHex打开

分区类型是MBR，识别到了起始扇区、分区1，MBR扇区应该是正常的，

点击“分区1”，发现都是00 00

可以断定唯一的分区DBR为空白，也是导致取证软件无法解析的原因

Tip：文件系统是NTFS，最后一个扇区是DBR备份

查看文件系统类型

偏移 5 的位置记录了分区文件系统类型，07 对应着 NTFS。

一些常用的文件系统类型

• 0x07：NTFS（Windows NT文件系统）
• 0x0B：FAT32（Windows的32位文件分配表）
• 0x0C：FAT32（LBA）（针对大容量磁盘优化的FAT32）
• 0x83：Linux Native（通常对应ext2、ext3、ext4等Linux文件系统）
• 0x05：Extended partition（扩展分区，不是实际的文件系统，而是用于包含逻辑分的容器）
• 0x06：FAT16（老式的16位文件分配表）
• 0x12：Compaq Diagnostics
• 0x17：Hidden HPFS/NTFS（隐藏的Windows或OS/2高性能文件系统）

既然DBR备份被破坏，就要进行下面的重建

重建DBR

拷贝一个其他分区的DBR或者逐字节写

这里的重建参考了文章的

记得要点击0000 0的第一位才能调用出NTFS的基本偏移量

无误之后就写入到分区一中，然后保存，进行取证

这里也识别的到NTFS

出现了文件

这里就可以直接看到了上一题txt文件的MD5值

找出其文件系统每个簇占用多少KB

WinHex 全局搜索46 49 4C 45（或字符串 FILE）定位到第一个 MFT 表，即 $MFT 的记录。