MBR、EBR与DBR详解

╰+攻爆jí腚メ 2022-05-25 22:40 1011阅读 0赞

原文链接：https://blog.csdn.net/hilavergil/article/details/79270379

先看一张硬盘图片（一个盘面）：

![SouthEast][]

## MBR ##

主引导记录（MBR，Main Boot Record）是位于磁盘最前边的一段引导（Loader）代码。它负责磁盘操作系统(DOS)对磁盘进行读写时分区合法性的判别、分区引导信息的定位，它由磁盘操作系统(DOS)在对硬盘进行初始化时产生的。              --摘自百度百科

MBR扇区位于物理硬盘的0柱面，0磁头，1扇区，也就是整个硬盘的第一个扇区（偏移量为0），共占512个字节（即一个扇区），每个物理硬盘只有一个MBR扇区。

MBR扇区由三部分构成：第一部分是446字节的引导代码，也就是上面提到的MBR；第二部分是DPT（Disk Partition Table，硬盘分区表），包含4个表项，每个表项16字节，共占用64字节；第三部分是2个字节的结束标志，0x55AA。其结构如下图：

![SouthEast 1][]

## DBR ##

分区引导扇区也称DBR（DOS BOOT RECORD），是由FORMAT高级格式化命令写到该扇区的内容，DBR是由硬盘的MBR装载的程序段。DBR装入内存后，即开始执行该引导程序段，其主要功能是完成操作系统的自举并将控制权交给操作系统。每个分区都有引导扇区，但只有被设为活动分区才会被MBR装的DBR入内存运行。                 --摘自百度百科

在对硬盘分区之后，每一个分区均有一个DBR与之对应。DBR位于每个分区的第一个扇区，大小为512字节。

DBR的结构与分区格式有关，NTFS与FAT32的DBR格式是不同的。

## EBR ##

EBR（Extended Boot Record）是与MBR相对应的一个概念。前边已经讲过，MBR里有一个DPT的区域，它一共是64字节，按每16个字节作为一个分区表项，它最多只能容纳4个分区。能够在MBR的DPT里进行说明的分区称为主分区。如果我们想分区多于4个的时候，MBR的DPT里就会容纳不下来，于是微软就想出了另一个解决方案，在MBR里，只放不多于三个主分区，剩下的分区，则由与MBR结构很相像的另一种分区结构（EBR，也就是扩展分区引导记录）进行说明。一个EBR不够用时，可以增加另一个EBR，如此像一根链条一样地接下去，直到够用为止。                --又摘自百度百科

实际上，EBR中有用的部分仅为其DPT的前两个表项，第一个表项记录了本扩展分区的逻辑偏移地址和扇区个数，第二个表项记录了下一个扩展分区的必要信息，本质上是一个链表的结点。

## 实例分析 ##

下面给出我的一个Windows7虚拟机的分区结构图（所有的分区文件系统格式均为NTFS）：

![SouthEast 2][]

在Winhex下读取到的硬盘信息如下：

![SouthEast 3][]

其中MBR、DBR和EBR的位置如下图：

![SouthEast 4][]

从上图可以看到，整个物理硬盘被分成了6个分区，其中C、E和F是主分区，G、H和I是扩展分区。写代码获得各个分区的信息如下：

![SouthEast 5][]

## MBR扇区数据分析 ##

读取MBR如下（在硬盘偏移量为0处读取512个字节），找到其中64个字节的DPT数据：

![SouthEast 6][]

提取出来如下：

80  20 21 00 07  FE FF FF  00 08 00 00 00 F0 3F 06

00  FE FF FF 07  FE FF FF  00 F8 3F 06 00 F8 7F 02

00  FE FF FF 07  FE FF FF  00 F0 BF 08 00 00 40 02

00  FE FF FF 0F  FE FF FF  00 F0 FF 0A 00 08 40 00

上面四个表项分别指向分区C、E、F和G。

刚刚已经提到，DPT中最多包含4个表项，每个表项16字节，每个表项的结构如下：

\[cpp\]  [view plain][]  [copy][view plain]

1.  //DPT表项  
2.    
3.  typedefstruct\_PartTableEntry \{  
4.      BYTE bootSignature;//引导标志  
5.      BYTE startHead;//CHS寻址方式，起始磁头  
6.      BYTE startSector;//起始扇区，本字节低六位  
7.      BYTE startCylinder;//起始磁道(柱面)，startSector高二位和本字节  
8.      BYTE systemSignature;//文件系统类型标志  
9.      BYTE endHead;//终止磁头  
10.     BYTE endSector;//终止扇区  
11.     BYTE endCylinder;//终止磁道  
12.     unsignedint startSectorNo;//LBA寻址，起始扇区号  
13.     unsignedint totalSectorsNum;//该分区扇区总数  
14. \}PartTableEntry,\*pPartTableEntry;

先看第一个表项：

80  20 21 00 07  FE FF FF  00 08 00 00 00 F0 3F 06

第一个字节为引导标志，0x80表示活动分区，0x00表示非活动分区。接下来三个字节用来表示CHS寻址方式的起始地址，具体含义已经在上面结构体中给出。接下来一个字节表示分区文件系统的类型，0x07表示NTFS（参考最后的附表）。接下来的三个字节表示CHS寻址方式的终止地址（0xFEFFFF表示该字段无效，因为3个字节最大的寻址能力为2^(3\*8)个扇区，即8GB。当分区大小超过8GB时该字段无效）。再后面的四个字节表示LBA（Logical Block Address）寻址方式的起始扇区（可以计算出最大支持2TB的硬盘），要注意小端字节序（数据存储时低字节在前），也就是说C盘的起始扇区为00 00 08 00。最后四个字节表示该分区的扇区数量，同样是小端模式，即C盘共0x063FF000个扇区。

接下来让我们跳转到C盘的起始扇区（00 00 08 00），读取该处512字节的数据如下：

![SouthEast 7][]

你会看到熟悉的结束标志0x55AA，实际上这是C盘的DBR扇区。DBR扇区各个字段的含义在后面展开。

## EBR扇区分析 ##

MBR扇区的硬盘分区表的第二和第三个表项与第一个类似，这里不再展开，我们主要来看一下第四个表项：

00  FE FF FF 0F  FE FF FF  00 F0 FF 0A 00 08 40 00

第一个字节表示非活动分区，CHS寻址无效，第五个字节分区类型为0x0F，表示扩展分区。LBA寻址的起始扇区为0x0AFFF000，包含扇区个数为0x00400800。跳转到该扩展分区的起始扇区0x0AFFF000处读取512字节数据：

![SouthEast 8][]

最后两个字节是结束标志0x55AA又看到了这512字节实际上是一个EBR扇区，其结构与MBR扇区相同，但有用的部分仅为DPT的前两个表项，数据如下：

00  FE FF FF 07  FE FF FF  00 08 00 00 00 90 21 00

00  FE FF FF 05  FE FF FF  00 98 21 00 00 70 1E 00

第一个表项表示本扩展分区（逻辑驱动器G）的起始地址和扇区数量，其中LBA寻址的起始扇区为00 00 08 00，但是该地址为相对偏移，实际的起始扇区为本扇区的实际地址加上相对偏移量，即0x0AFFF000 + 0x00000800 = 0x0AFFF800。读取0x0AFFF800扇区的数据如下：

![SouthEast 9][]

这个扇区实际上是逻辑驱动器G的DBR扇区，记录了G盘的基本信息。

第二个表项记录了下一个扩展分区（逻辑驱动器H）的EBR扇区的起始地址和扇区总数量。其中，EBR扇区的起始地址为00 21 98 00，同样是一个相对地址，实际扇区为0x0AFFF000 + 0x00219800 = 0x0B218800，读取0x0B218800扇区的数据如下：

![SouthEast 10][]

这512字节是逻辑驱动器H的EBR扇区，同样提取DPT的前两个表项：

00  FE FF FF 07  FE FF FF  00 08 00 00 00 B8 0B 00

00  FE FF FF 05  FE FF FF  00 58 2D 00 00 B0 12 00

与上一个EBR扇区类似，第一个表项的LBA寻址的起始扇区（00 00 08 00）仍是一个相对偏移，指向本扩展分区的起始地址，其实际扇区为：0x0B218800 + 0x00000800 = 0x0B219000，实际字节偏移为0x0B219000 \*512字节每扇区 = 0x1643200000，从该字节处读取512字节数据可以得到分区H的DBR扇区，这里就不再截图。第二个表项的LBA寻址起始扇区（00 2D 58 00）同样是一个相对偏移，指向下一个扩展分区（I:）的EBR扇区，其实际扇区为MBR扇区DPT第四个表项的起始扇区加上该相对偏移，即0x0AFFF000 + 0x002D5800 = 0x0B2D4800。该扇区的数据为：

![SouthEast 11][]

在该EBR扇区中，DPT的第一个表项仍使用相对偏移指出本扩展分区（I:）的起始扇区，这个扇区就是分区I:的DBR扇区。第二个表项全0，表示该扩展分区即是最后一个扩展分区。

总结一下，在Windows系统下如果采用MBR的引导方式，当分区个数大于等于4的时候，一般情况下系统会将前三个分区设为主分区，第四个及其之后的分区作为扩展分区。MBR扇区的DPT中前三个表项可以直接定位前三个主分区的DBR扇区，第四个表项指向第一个扩展分区的EBR扇区，根据EBR中的DPT前两个表项分别可以定位本扩展分区的DBR扇区和下一个扩展分区的EBR扇区，由此扩展分区链接成一条链进行管理。

## DBR扇区分析 ##

下面给出NTFS和FAT32的DBR扇区格式，注意一点：NTFS下的备份DBR在分区的最后一个扇区，FAT32下的备份DBR一般在第六个扇区。

\[cpp\]  [view plain][]  [copy][view plain]

1.  //NTFS DBR扇区  
2.    
3.  typedefstruct\_NTFSDBR \{  
4.      BYTE JMP\[3\]; //跳转指令  
5.      BYTE FsID\[8\]; //文件系统ID  
6.      unsignedshortint bytePerSector;  //每扇区字节数  
7.      BYTE secPerCluster;       //每簇扇区数  
8.      BYTE reservedBytes\[2\];    //2个保留字节  
9.      BYTE zeroBytes\[3\];    //三个0字节  
10.     BYTE unusedBytes1\[2\]; //2个未用字节  
11.     BYTE mediaType;//媒体类型  
12.     BYTE unusedBytes2\[2\]; //2个未用字节  
13.     unsignedshortint secPerTrack;    //每磁道扇区数  
14.     unsignedshortint Heads; //磁头数  
15.     unsignedint hideSectors; //隐藏扇区数  
16.     BYTE unusedBytes3\[4\]; //4个未用字节  
17.     BYTE usedBytes\[4\];    //4个固定字节  
18.     unsigned\_\_int64 totalSectors; //总扇区数  
19.     unsigned\_\_int64 MFT; //MFT文件起始簇号  
20.     unsigned\_\_int64 MFTMirror;    //MFTMirror文件起始簇号  
21.     char fileRecord;  //文件记录  
22.     BYTE unusedBytes4\[3\]; //3个未用字节  
23.     char indexSize;   //索引缓冲区大小  
24.     BYTE unusedBytes5\[3\]; //未用字节  
25.     BYTEvolumeSerialID64\[8\]; //卷序列号  
26.     unsignedint checkSum;    //校验和  
27.     BYTE bootCode\[426\];   //引导代码  
28.     BYTE endSignature\[2\]; //结束标志  
29. \}NTFSDBR,\*pNTFSDBR;

\[cpp\]  [view plain][]  [copy][view plain]

1.  typedefstruct\_FAT32\_Sector\{  
2.      unsignedint   Sectors\_per\_FAT\_FAT32;    //FAT32每个FAT表占用扇区数  
3.      unsignedshortint Extend\_Flag;    //0-3位表示活动FAT数，7位：0表示在运行时FAT映射到所有FAT 1表示只有一个FAT是活动的，其他位保留  
4.      unsignedshortint FS\_Version;  //文件系统版本，高字节表示主要修订号，低直接表示次要修订号  
5.      unsignedint   Root\_Cluster\_Number;                              //根目录簇号，一般取值为2  
6.      unsignedshortint FS\_Info\_Sector;                                //文件系统扇区号，一般取1  
7.      unsignedshortint Backup\_Sector;                                 //备份引导扇区，一般取值为6  
8.      BYTE   Reserved\_Sector\[12\];        //保留扇区    
9.  \}FAT32\_Sector, \*pFAT32\_Sector;  
10. typedefstruct\_Basic\_BPB\{  
11.     unsignedshortint    Bytes\_per\_Sector;                  //每个扇区字节数，可取512，1024，2048，4096，通常取512  
12.     BYTE     Sectors\_per\_Cluster;   //每簇扇区数，可取1，2，4，8，16，32，64，128，FAT32最多跟踪268,435,445个簇  
13.     unsignedshortint    Reserved\_Sector;                   //保留扇区，表示第一个FAT前的扇区数，通常取32  
14.     BYTE     FATs;                                   //FAT表个数，通常取2  
15.     unsignedshortint    RootEntry;                             //根目录项数，对FAT32，取值必为0  
16.     unsignedshortint    SmallSector;                       //小扇区数，对FAT32，取值必为0  
17.     BYTE     Media;                                 //存储介质描述，F8表示硬盘，F0表示3.5软盘  
18.     unsignedshortint    Sector\_per\_FAT\_FAT16;              //针对FAT12/16的每个FAT扇区数，对FAT32，取值为0  
19.     unsignedshortint    Sector\_per\_Track;                  //每道扇区数，描述磁盘物理结构  
20.     unsignedshortint    Heads;                                 //磁头数  
21.     unsignedint      Hidden\_Sector;                         //该块硬盘前用于存放引导代码及分区表的扇区数  
22.     unsignedint      Large\_Sector;      //总扇区数，若SmallSector为0，此处表示分区上扇区总数  
23.                                      //可用扇区数 = 总扇区数-保留扇区-FAT表占用扇区  
24.     \_FAT32\_Sector     Fat32\_Sector;                      //FAT32文件系统扇区信息                  
25. \}Basic\_BPB, \*pBasic\_BPB;  
26. typedef  struct\_FAT32\_Extend\_BPB\{  
27.     BYTE Physical\_Drive;                            //物理驱动器号，0x80表示物理硬盘，0x00表示软盘驱动器  
28.     BYTE Reserved;                                       //保留  
29.     BYTE Extend\_Singure;                            //0x28或0x29以供Windows NT识别  
30.     unsignedint  Vol\_Serial;                                //卷序列号，由格式化时随机获得  
31.     BYTE Vol\_Label\[11\];            //卷标示  
32.     BYTE System\_ID\[8\];                 //系统ID，根据格式化的格式为FAT32，FAT16等  
33. \}FAT32\_Extend\_BPB, \*pFAT32\_Extend\_BPB;  
34.   
35. //FAT32 DBR扇区  
36. typedefstruct\_FAT32\_DBR\{  
37.     BYTE     JumpInstrction\[3\]; //0x00,跳转指令，通常为EB5890，其中58指示了,跳转位置，在X86中，58+2就代表跳转到5A处  
38.     BYTE     OEMID\[8\];                 //0x03，厂商标示和OS版本信息  
39.     \_Basic\_BPB            BPB;                               //0x0B  
40.     \_FAT32\_Extend\_BPB Extend\_BPB;                            //0x40  
41.     BYTE Boot\_Strap\[420\];              //文件系统引导代码                              //0x5A，引导区代码  
42.     BYTE endSignature\[2\];                  //0x01FE,结束标示  
43. \}FAT32\_DBR, \*pFAT32\_DBR;

下面是一个FAT32分区的DBR扇区数据，具体含义在上述结构体中已做声明，这里就不再展开：

![SouthEast 12][]

下面是一张以前的FAT32分区DBR扇区的数据，部分字段含义做了解释：

![SouthEast 13][]

附-磁盘分区类型标志表：

![SouthEast 14][]

[SouthEast]: /images/20220526/b60d1ed1cc4c4e8b96c31e59689c91cb.png
[SouthEast 1]: /images/20220526/289cba6bdc0b421da16d071517cea1e1.png
[SouthEast 2]: /images/20220526/37ba707c0abd48d1b5eb4760b33e87ad.png
[SouthEast 3]: /images/20220526/6c7bf10d67764e9fa4afafcd9163e1bf.png
[SouthEast 4]: /images/20220526/ad56b8709f83464785f5ff76ad6fbe62.png
[SouthEast 5]: /images/20220526/6d88cc80935e41fea6404e14d1e50fcf.png
[SouthEast 6]: /images/20220526/1bf6ed08968840e7b3f52fe0787fcc8a.png
[view plain]: https://blog.csdn.net/hilavergil/article/details/79270379#
[SouthEast 7]: /images/20220526/268edfd0543e40ebbebd45a3d28cbd46.png
[SouthEast 8]: /images/20220526/e4029ba2011b43668438d2d7faaa5a97.png
[SouthEast 9]: /images/20220526/0dc740c4342a433aa45813a8eccef61f.png
[SouthEast 10]: /images/20220526/26d28af515284c60b3e39de7ad93e2ca.png
[SouthEast 11]: /images/20220526/e1b165ee1d834ad9876229f7792e97cc.png
[SouthEast 12]: /images/20220526/a20e4f9478604aa1a74234a8a208d1f0.png
[SouthEast 13]: /images/20220526/7d06bb6f880b4b0da81d26756686d13c.png
[SouthEast 14]: /images/20220526/8fbba978bfa4439bb76847d459699f29.png