Test di eliminazione della partizione MBR: prima e dopo in WinHex
Questo Test di eliminazione della partizione MBR illustra come una partizione mancante possa diventare non allocata mentre il suo settore di avvio NTFS rimane leggibile. Nel caso in esame, l’eliminazione della partizione centrale ha comportato la rimozione della sua mappatura dalla tabella MBR. La partizione successiva occupava il secondo slot della tabella, mentre il terzo slot era vuoto. La successiva ricostruzione di una voce ha reso nuovamente visibile la partizione E: e i controlli successivi hanno confermato che i dati recuperati erano completi.
Il caso riguarda partizioni NTFS primarie su un disco dati MBR di base con settori logici da 512 byte. Viene fornita una spiegazione delle modifiche registrate in WinHex e delle loro conseguenze. Per la struttura di base, si veda il Guida alla tabella delle partizioni MBR.
Indice dei contenuti
Test Disk e prove
Il registro storico dei test mostra un disco separato denominato “Disco 1” in Gestione disco di Windows. I numeri dei dischi e le lettere delle unità identificano esclusivamente questo caso; non costituiscono istruzioni per la selezione del disco di un altro computer.
Articolo | Condizione registrata |
Disco di prova | Disco MBR di base, visualizzato come 2,00 GB |
Volumi iniziali | D: 1,00 GB; E: 500 MB; F: 521 MB, come indicato da Gestione disco |
Sistema di file | NTFS su tutti e tre i volumi |
Oggetto eliminato | Partizione centrale del disco primario, originariamente E: |
Strumenti di ispezione | Gestione disco di Windows e WinHex |
Dimensione del settore logico | 512 byte, codificati anche come |
Risultato del test | E: è ricomparsa come partizione primaria NTFS da 499 MB; controlli successivi hanno confermato che i dati recuperati erano completi |
Le schermate mostrano la struttura prima della cancellazione, l'area non allocata dopo la cancellazione, le informazioni residue del settore di avvio e la ricostruzione. La build di Windows, la versione di WinHex, il tipo di disco rigido/SSD/disco virtuale sottostante e la data del test non sono stati registrati.
Non è stato salvato alcun dump dell'LBA 0 precedente alla cancellazione. Di conseguenza, si tratta di un'analisi del caso piuttosto che di una verifica completa della cancellazione byte per byte. Non è possibile presentare i byte esatti della voce originale come riferimento di riferimento misurato.
Cosa è cambiato nella tabella delle partizioni MBR?
L'MBR si trova all'LBA 0 del disco. La sua tabella delle partizioni occupa gli offset 0x1BE–0x1FD, con quattro record da 16 byte. I byte della firma 55 AA occupare 0x1FE–0x1FF.
Ogni record include il tipo di partizione, l'LBA iniziale e il numero di settori. Questi dati descrivono una regione del disco; non contengono le cartelle né il contenuto dei file.
La partizione seguente occupava lo slot 2
Lo screenshot di WinHex relativo alla fase successiva alla cancellazione contiene questi due record occupati:
Campo MBR | Slot 1, associato a D: | Slot 2, associato a F: |
Inizio della registrazione |
|
|
Tipo |
|
|
Byte iniziali dell'LBA |
|
|
LBA iniziale, decimale | 128 | 3,121,280 |
Numero di settori in byte |
|
|
Numero di settori, decimale | 2,097,152 | 1,067,008 |
Le slot 3 e 4 sono riempite con zeri. Il volume centrale mancante non presenta alcun record che ne descriva l'inizio e la dimensione.
La sequenza registrata conferma quindi la compattazione dei record sopravvissuti: F: occupa lo slot 2 dopo la rimozione della partizione centrale. L'eliminazione della seconda partizione non comporta necessariamente che il secondo slot rimanga vuoto. Altri strumenti potrebbero cancellare un record senza riorganizzare le voci rimanenti.
LBA 0 dopo la cancellazione: le voci rimaste si riferiscono a D: e F:. Il terzo e il quarto record sono vuoti, mentre è presente la firma MBR.
WinHex elenca anche una regione NTFS intermedia priva di lettera di unità. Il suo elenco delle partizioni può includere file system rilevati oltre a quelli attualmente registrati nell'MBR. I record grezzi stabiliscono ciò che la tabella contiene effettivamente; il solo fatto che venga rilevata una regione NTFS non significa che Windows l'abbia montata.
Leggere correttamente i byte
I campi di indirizzo multibyte dell'MBR utilizzano l'ordine little-endian. Ad esempio:
- 80 A0 2F 00 -> 0x002FA080 -> LBA 3.121.280
Si tratta di indirizzi di settore logico. Il Guida all'indirizzamento a blocchi logici spiega in che modo le dimensioni del settore e l'origine dell'indirizzo influenzano la loro interpretazione.
Perché la lettera E: è diventata non allocata?
Windows utilizza normalmente i record di partizione per identificare le aree del disco che contengono i volumi. Quando l'area centrale non dispone più di una mappatura valida, non è più accessibile come volume E: originale tramite la normale procedura di accesso ai file.
Questo spiega la barra nera "Non allocata". Ciò non significa che ogni settore in quell'area contenga solo zeri.
L'eliminazione di una partizione è diversa dall'eliminazione dei singoli file in essa contenuti. L'eliminazione di un file modifica i record del file system. L'eliminazione di una partizione modifica invece la struttura del disco attraverso la quale il sistema operativo accede a quel file system. Il Tabella file master NTFS memorizza i record dei file all'interno del volume; è separato dai quattro record di partizione dell'MBR.
Le schermate mostrano i metadati di avvio sopravvissuti. Senza un confronto completo dei dischi, non dimostrano che ogni altro settore sia rimasto invariato. Inoltre, non consentono di stabilire se il codice di avvio o i byte della firma del disco siano rimasti invariati, poiché il dump originale dell'LBA 0 non è disponibile.
Individuazione del settore di avvio NTFS della partizione cancellata
La prima partizione giunta fino a noi offre un'utile ipotesi di partenza:
- D: LBA iniziale = 128
- D: lunghezza della partizione = 2.097.152 settori
- Primo LBA dopo D: = 2.097.280
- Offset in byte con LBA da 512 byte = 2.097.280 × 512
- = 1,073,807,360
- = 0x40010000
Il record originale indica inoltre che il settore di avvio di backup di D: si trova all'LBA 2.097.279, immediatamente prima di questo indirizzo. Non è detto che una partizione adiacente debba iniziare immediatamente dopo, quindi questo calcolo identifica un possibile candidato, non una regola universale.
All'indirizzo LBA 2.097.280, WinHex visualizza un settore di avvio NTFS con diversi campi coerenti tra loro:
Offset del settore di avvio | Byte registrati | Interpretazione |
|
| Istruzione di salto del codice di avvio in questo settore NTFS |
|
| Identificativo OEM |
|
| 512 byte per settore |
|
| Campo "Settori nascosti": 2.097.280 |
|
| Campo "numero di settori" del file system NTFS: 1.021.951 |
|
| Indicatore di fine del settore di avvio |
Gli offset riportati in questa tabella sono relativi al settore di avvio NTFS, non a LBA 0.
L'immagine originale acquisita con WinHex mostra il settore di avvio NTFS candidato all'LBA 2.097.280. La sua posizione e il campo dei settori nascosti corrispondono.
Il valore di quattro byte all'indirizzo 0x1C è non il campo dei settori riservati NTFS. Confondere questi campi comporterebbe un'errata identificazione dell'inizio della partizione. Allo stesso modo, cercare EB 52 90 da solo non è sufficiente: copie obsolete del settore di avvio e byte corrispondenti non correlati possono generare risultati fuorvianti. Verificare insieme l’identificatore del file system, la dimensione del settore, i confini e i metadati accessibili.
Ricostruzione dell’ingresso: cosa emerge dai dati
La ricostruzione documentata ha innanzitutto conservato F: copiandone il contenuto nello slot 3. Ha poi compilato lo slot 2 per la regione NTFS mancante.
Lo slot 2 registrato contiene:
Campo | Valore registrato |
Indicatore di avvio |
|
Tipo di partizione |
|
Byte iniziali dell'LBA |
|
Numero di settori in byte |
|
Questo confronto "prima/dopo" della tabella delle partizioni MBR distingue gli stati osservati dai byte originali non disponibili:
Stato | Disposizione o risultato in Windows | Prove relative all'MBR |
Prima della cancellazione | D:, E: e F: visibili in "Gestione disco" | LBA originale: 0 byte non acquisiti |
Dopo la cancellazione | Regione centrale Non assegnata | Slot 1: D:; slot 2: F:; slot 3–4: vuoti |
Ricostruzione | E: ricompare in seguito | Slot 1: D:; slot 2: record NTFS ricostruito; slot 3: F: conservato |
La prima riga descrive il layout visibile originale; non definisce l'ordine originale degli slot byte per byte.
L'acquisizione della ricostruzione mostra i byte iniziali 80 00 20 00 e i byte di lunghezza FF 97 0F 00. Si tratta dei valori registrati, non di parametri di recupero generici.
Perché è necessario un ulteriore controllo della lunghezza
Un record MBR richiede la lunghezza completa della partizione. Il numero di settori di avvio NTFS non deve essere copiato automaticamente in quel campo.
Il volume D: precedente consente di effettuare una verifica incrociata all'interno dello stesso record: la lunghezza del suo MBR è di 2.097.152 settori, mentre il suo settore di avvio NTFS di backup contiene FF FF 1F 00 00 00 00 00, ovvero 2.097.151.
Per la struttura NTFS documentata nell'implementazione NTFS di Linux, il numero dei settori di avvio è inferiore di uno rispetto all'intervallo completo, compreso il settore di avvio di backup. Applicando tale relazione a questo candidato si ottiene:
- Numero di file NTFS registrati = 1.021.951
- Intervallo completo del candidato = 1.021.952 settori
- LBA di backup candidato = 2.097.280 + 1.021.951
- = 3,119,231
L'intervallo candidato verrebbe codificato come 00 98 0F 00, anziché quello registrato FF 97 0F 00. Quest'ultimo indica una partizione che termina un settore prima.
Si tratta di un calcolo approssimativo, non di un valore di sostituzione verificato. Verificare il settore di backup effettivo e l'estensione della partizione originale prima di scrivere qualsiasi cosa. La partizione originale potrebbe anche aver incluso spazio residuo oltre il volume NTFS. F: inizia all'LBA 3.121.280, lasciando 2.048 settori dopo l'estensione NTFS completa candidata; tale spazio non deve essere automaticamente assorbito nel volume recuperato.
Il test di recupero dopo la cancellazione dell'MBR ha avuto esito positivo?
Il test ha avuto esito positivo: la ricostruzione della voce MBR ha ripristinato l'accesso all'unità E: e i controlli successivi hanno confermato che i dati recuperati erano completi. Lo screenshot finale di Gestione disco mostra la partizione riconosciuta come NTFS con lo stato "Integrità garantita (partizione primaria)".
Dopo la ricostruzione, E: risulta visibile come partizione primaria NTFS da 499 MB.
Lo screenshot iniziale mostrava 500 MB; quello finale ne mostra 499 MB. Tale differenza, insieme al problema relativo al numero di settori, impedisce di affermare che siano stati ripristinati i confini originali esatti. La sola capacità visualizzata non può fornire il numero di settori originali mancanti. Il recupero completo dei dati e il ripristino esatto dell'estensione originale della partizione sono conclusioni distinte.
I dati presenti sulla partizione recuperata sono stati verificati dopo la ricostruzione e ne è stata confermata la completezza. Questo test ha quindi dimostrato sia il ripristino dell'accesso alla partizione sia il recupero completo dei dati. Il risultato vale per questo specifico test; il recupero su un altro disco dipende dal fatto che i metadati del file system e il contenuto dei file siano rimasti intatti.
Quando si ripete questo esperimento, verificare sia i file recuperati sia la struttura delle partizioni:
- I suoi confini comprendono l'estensione convalidata del file system e non si sovrappongono ad altre partizioni.
- Le posizioni del settore di avvio primario e di quello di backup corrispondono alla struttura proposta.
- È possibile leggere le directory e i nomi dei file previsti.
- I file importanti possono essere copiati su un altro disco e aperti nelle rispettive applicazioni.
- Confrontare le dimensioni dei file con il valore di riferimento originale, se disponibile. Se sono presenti hash precedenti alla cancellazione, confrontarli come ulteriore controllo di integrità.
Quando è possibile recuperare la partizione e i file in essa contenuti?
Un esperimento condotto su una voce di partizione MBR cancellata dimostra perché il recupero strutturale possa funzionare: la mappatura può scomparire, mentre una parte sufficiente del file system rimane intatta per consentirne l'identificazione.
Il percorso di recupero dipende da ciò che rimane:
Condizione | Implicazioni pratiche |
Settori di avvio coerenti, metadati NTFS leggibili, limiti noti | La ricostruzione delle partizioni potrebbe ripristinare l'accesso |
Confini incerti ma metadati del file leggibili | Recuperare i file su un altro disco prima di modificare la tabella |
Contenuto del file sovrascritto | La ricreazione della voce non consente di ripristinare i byte sovrascritti |
Dati crittografati senza la chiave necessaria | Il ripristino della mappa delle partizioni non decrittografa i contenuti |
Errori di lettura o hardware instabile | Dare priorità a esami diagnostici per immagini adeguati o a una valutazione specialistica |
Partition reconstruction writes disk-layout information. File recovery extracts surviving files to another destination. Boot repair addresses startup structures. These operations solve different problems.
For an actual missing drive, follow the lost partition recovery guide. Avoid creating or formatting a replacement volume over the missing region before protecting its files.
How to Inspect the Same Evidence Safely in WinHex
Use a disk image or disposable test disk for experiments. Preserve an untouched copy before any reconstruction.
- Identify the physical disk by capacity and layout, using Gestione disco di Windows for orientation.
- Open the corresponding physical disk or image in WinHex using read-only/view mode.
- Inspect LBA 0 and record all four entries at
0x1BE,0x1CE,0x1DE, e0x1EE. - Decode starting LBAs and lengths, then inspect candidate NTFS sectors using the correct logical-sector size.
- Keep inspection separate from writing. Test any proposed reconstruction on a copy and perform the validation above.
For a new controlled deletion test, save LBA 0 before deletion, immediately afterward, and after reconstruction. Also preserve the relevant boot sectors and a file inventory with hashes. Those records establish which bytes changed and whether the recovered files match the originals.
Domande frequenti
Cancellare una partizione equivale a cancellare l'MBR?
55 AA presenza della firma. La cancellazione completa dell'LBA 0 comporterebbe la rimozione di ulteriori informazioni e costituisce un'operazione diversa.Perché WinHex rileva il file system NTFS mentre Windows lo mostra come “Non allocato”?
La lettera di unità E: è presente in una voce dell'MBR?
È possibile ripristinare l'intero MBR utilizzando un settore di avvio NTFS di backup?
Questo esperimento permette di prevedere i risultati del recupero dei dati dagli SSD?
Lo stato “Sano” dimostra che tutti i file sono stati salvati?
