(完整word版)數(shù)據(jù)恢復技術實訓報告0001

1、 班級:計機101 學號:1013250130 姓名：林旭鈿 扌旨導老師：朱定善 廣東交通職業(yè)技術學院 交通信息學院 目錄 引言 3 內容摘要 3 一、數(shù)據(jù)技術概述 3 1. 傳統(tǒng)機械硬盤數(shù)據(jù)恢復技術概論 3. 2. 固態(tài)硬盤的數(shù)據(jù)恢復技術概述 4. 數(shù)據(jù)恢復原理一 -分區(qū)表 4. 數(shù)據(jù)恢復原理二 -目錄區(qū)與數(shù)據(jù)區(qū) 4. 數(shù)據(jù)恢復原理三 -引導扇區(qū)與分配表操作系統(tǒng)引導扇區(qū)（ OBR ） 4 二、數(shù)據(jù)恢復的可能性 5 三、常用數(shù)據(jù)恢復軟件簡介 5 Easyrecovery 5 Finaldata 5. R-Studio 6. Drive Rescue6. Recover4all 6. File

2、Scavenger6 Getdataback7. RecoverNT 7. Search and Recover 7 DataExplore （數(shù)據(jù)恢復大師）7 Lost 一般來說， 在用戶發(fā)現(xiàn)數(shù)據(jù)災丟失后， 如果沒有自行采取帶有破壞性的恢復嘗試， 如： 殺病毒、 直接用各種方法恢復數(shù)據(jù)等操作， 這種情況下數(shù)據(jù)恢復的成功率可以達到： 85以 上，有些情況下如病毒破壞、誤刪除及誤格式化等問題甚至可以接近100%。 第二種：情況是介質設備硬件損壞，電路板有明顯的燒毀痕跡或設備（如硬盤 ）有異響 或 BIOS 不認硬盤參數(shù)： 這種情況下的數(shù)據(jù)恢復是更為復雜和困難的，首先要排除硬件故障，使介質在特殊的

3、 工作平臺上能正確的工作，其次是要確認所發(fā)生的硬件故障沒有破壞存儲數(shù)據(jù)的介質本身， 當然這種情況下數(shù)據(jù)恢復的概率就更有戲劇性了。 三、常用數(shù)據(jù)恢復軟件簡介 Easyrecovery Easyrecovery 是一個非常著名的老牌數(shù)據(jù)恢復軟件。該軟件功能可以說是非常強大。無 論是誤刪除 /格式化還是重新分區(qū)后的數(shù)據(jù)丟失，其都可以輕松解決，其甚至可以不依靠分 區(qū)表來按照簇來進行硬盤掃描。 但要注意不通過分區(qū)表來進行數(shù)據(jù)掃描， 很可能不能完全恢 復數(shù)據(jù)， 原因是通常一個大文件被存儲在很多不同的區(qū)域的簇內，即使我們找到了這個文件 的一些簇上的數(shù)據(jù)， 很可能恢復之后的文件是損壞的。 所以這種方法并不是萬

4、能的， 但其提 供給我們一個新的數(shù)據(jù)恢復方法， 適合分區(qū)表嚴重損壞使用其他恢復軟件不能恢復的情況下 使用。 Easyrecovery 最新版本加入了一整套檢測功能，包括驅動器測試、分區(qū)測試、磁盤空 間管理以及制作安全啟動盤等。 這些功能對于日常維護硬盤數(shù)據(jù)來說， 非常實用， 我們可以 通過驅動器和分區(qū)檢測來發(fā)現(xiàn)文件關聯(lián)錯誤以及硬盤上的壞道。 Finaldata Finaldata2.0 是目前 Finaldata 的最新版本。 Finaldata 是一個日本人開發(fā)的數(shù)據(jù)恢復軟件， Finaldata 自身的優(yōu)勢就是恢復速度快， 可以免去搜索丟失數(shù)據(jù)漫長的時間等待。 不僅恢復速 度快，而且其在數(shù)

5、據(jù)恢復方面功能也十分強大， 不僅可以按照物理硬盤或者邏輯分區(qū)來進行 掃描， 還可以通過對硬盤的絕對扇區(qū)來掃描分區(qū)表， 找到丟失的分區(qū)。 Finaldata 在對硬盤掃 描之后會在其瀏覽器的左側顯示出文件的各種信息， 并且把找到的文件狀態(tài)進行歸類， 如果 狀態(tài)是已經被破壞， 那么也就是說如果對數(shù)據(jù)進行恢復也不能完全找回數(shù)據(jù)。 這樣方便我們 了解恢復數(shù)據(jù)的可能性。 同時此款軟件還可以通過擴展名來進行同類文件的搜索， 這樣就方 便我們對同一類型文件進行數(shù)據(jù)恢復。 Finaldata 的速度之快不僅表現(xiàn)在對硬盤掃描時迅速， 把已經找到要恢復的文件進行保存 的速度也非常迅速， Finaldata 能充分

6、利用 IDE 硬盤的 ATA133 、ATA100 等最大接口速度， 對數(shù)據(jù)進行快速保存，在保存數(shù)據(jù)時間方面， Finaldata 比其他同類型軟件要快一倍以上。 R-Studio R-Studio 是損壞硬盤上資料的救星。它能針對各種不同版本的 Windows 操作系統(tǒng)之文 件系統(tǒng)都能應付自如。 甚至連非 Windows 系列的 Linux 操作系統(tǒng)， R-Studio 軟件也照樣能夠 應付。而在 Windows NT ，Windows2000 等操作系統(tǒng)上所使用的 NTFS 文件系統(tǒng)， R-Stduio 亦具有處理的能力， 而且 R-Studio 甚至也能處理 NTFS 文件系統(tǒng)的加密與壓

7、縮狀態(tài)， 并將發(fā) 生問題的文件復原。 除了本地磁盤以外， R-Studio 甚至能透過網(wǎng)絡去檢測其他電腦上硬盤的 狀況。且在挽救資料損毀的文件以外， R-Studio 也包括了誤刪文件的復原能力，讓未使用回 收站或是已清空回收站的文件， 都照樣能夠找回來。 最特別的一點是在標準的磁盤安裝方式 以外， R-Studio 也能支持 RAID 磁盤陣列系統(tǒng)。 Drive Rescue Drive Rescue 是一款優(yōu)秀而且免費的磁盤數(shù)據(jù)拯救程序，它能恢復驅動器（例如硬盤） 上誤刪或遺失的數(shù)據(jù)，即使已經失去分區(qū)表或硬盤已被快速格式化或者遭遇系統(tǒng)崩潰等情 況，找回驅動器重要文件系統(tǒng)信息如分區(qū)表、引導記

8、錄、FAT、文件/目錄記錄等。當然對于 物理損壞的硬盤它也無能為力。 Drive Rescue 支持 FAT 12/16/32 分區(qū)和 Windows 全系列操作 系統(tǒng)以及雙硬盤。 Recover4all Recover4all 是一款非常優(yōu)秀的文件恢復軟件?？梢曰謴腿魏斡捎诿笆Ф鴦h除的文件， 只需輕輕點擊鼠標， 刪除的文件便可失而付返。 不管你丟失的文件是故意的還是直接的刪除， 也不管刪除了多久，次數(shù)有多少，對 Recover4all 來說，一切都不是問題。本軟件無需安裝， 可在軟盤上直接運行 . File Scavenger File Scavenger 能夠恢復在 NTFS 格式下意外刪

9、除的文件工具，提供了找尋文件類型功 能，如*.doc及*.txt，能夠救回的文件不只單一文件，還包括整個目錄及壓縮文件，也支持 救回來的文件選擇在原來所在位置恢復或儲存到其它的硬盤 Getdataback GetDataBack 能幫我們在 5 個步驟之內輕輕松松的還原數(shù)據(jù)，不管您的硬盤是否還能被 操作系統(tǒng)所辨認，也不管您的根目錄或者是所有的目錄都已經丟失了。 RecoverNT RecoverNT 是一套功能強大的硬盤資料恢復軟件，可以在 Windows9x 下將你不小心格 式化 ；硬盤資料給起死回生，適用于 FAT、FAT32 、NTFS 系統(tǒng)下，可以挽救單獨的文件或 是整個目錄的文件。

10、Search and Recover Search and Recover 是出品 System Mechanic 的 iolo 公司發(fā)布的一款硬盤數(shù)據(jù)恢復工具。 可以使用向導方式快速恢復已刪除數(shù)據(jù)，也可以通過高級數(shù)據(jù)恢復工具最大限度的挽救數(shù) 據(jù)。它的另一大特色是可以恢復Outlook 、Outlook Express 、 Netscape 等郵件程序中刪除的 郵件信息， 現(xiàn)在即使誤刪除的郵件也可以恢復了。 同時 Search and Recover 還附帶一個安全 刪除工具，可以通過多次（最多 100 次）覆蓋的方法以達到安全刪除數(shù)據(jù)的目的。在 Win2000/XP 下， Search an

11、d Recover 還提供了一個驅動器映像工具，可以對某一驅動器進 行 100% 的完全克隆， 避免已刪除數(shù)據(jù)由于磁盤操作被覆蓋， 提供最高的數(shù)據(jù)恢復可能性。 DataExplore （數(shù)據(jù)恢復大師） DataExplore 是一款功能強大 ,提供了較低層次恢復功能的數(shù)據(jù)恢復軟件,只要數(shù)據(jù)沒有 被覆蓋掉 ,文件就能找得到 ,本軟件無須安裝 ,解壓后可以直接運行 ,請不要在待恢復的分區(qū)上 運行本軟件 .其支持 FAT12,FAT16,FAT32,NTFS,EXT2 文件系統(tǒng) ,能找出被刪除 /被格式化 /完全 格式化 /刪除分區(qū) /分區(qū)表被破壞后磁盤里文件 ,分區(qū)被刪除或分區(qū)表被破壞的情況下可以

12、以 虛擬卷方式加載 ,并以資源瀏覽器的方式進行管理,文件 /文件夾可以拖放 ,被刪除的文件以打 紅 X 的方式加以標志 ,能組織磁盤扇區(qū)成文件 .能顯示文件信息和文件在磁盤中的位置,方便 的磁盤扇區(qū)瀏覽功能 ,內置有文本 ,十六進制 ,圖片和網(wǎng)頁等多種視圖 （可打印 ）, 可以在在未恢 復出文件的情況下預覽文件 .可瀏覽網(wǎng)絡硬盤 .提供 JScript 腳本編輯和解析 ,相應的有 API 供 腳本調用 ,并將腳本執(zhí)行結果列表顯示 ,通過腳本可以查找特殊的磁盤信息并存成文件,也可 以用來搜索復雜的數(shù)據(jù) .所有操作均在內存中完成 , 不破壞源數(shù)據(jù) ,加載分析的結果可以保存 成文件 .界面友好 .有

13、遠程恢復功能 ,只要在用戶遠程運行服務器 ,專業(yè)人員就可以遠程恢復導 出客戶的數(shù)據(jù)文件 ,很有實用價值的一款功能 ,是做數(shù)據(jù)恢復業(yè)務的好幫手 . 最新功能 : 支持無分區(qū)的恢復 ,以物理方式加載整個硬盤 ,做卷分析 ,本程序根據(jù)硬盤上殘 留文件信息自動在內存中建立出 FAT32,NTFS 分區(qū) ,按原目錄結構分類文件。 Lost&Found Lost&Found 由出品 Partition Magic 的 PowerQuest 公司所出的產品 , 是一套恢復硬盤因 病毒感染， 意外格式化等因素所導至損失的資料工具軟件 , 能將已刪除的文件資料找出并救 回, 也能找出已重新格式化的硬盤 , 被破

14、壞的 FAT 分配表 , 啟動扇區(qū)等等 , 幾乎能找出及發(fā) 現(xiàn)任何在硬盤上的資料 （支持 FAT16 和 FAT32 及長文件名 ）, 并盡可能的救回 , 并提供了分析 和提示恢復的可能性功能 ,救回來的資料能選擇在原來所在位置恢復或儲存到其它可寫入資 料的的硬盤 , ZIP, MO 支持所有 IDE, EIDE 及 SCSI 設備 , 亦提供了自動備份目錄 , 文件和系 統(tǒng)配置文件 , 能在任何時間恢復 PCtools（DOS） 該軟件具有初級的數(shù)據(jù)恢復功能，使用計算機時間較長時間的用戶對此軟件較為熟悉。 由于只在 DOS 下使用改工具，目前此款軟件的應用范圍已經大大縮小，取代它的則是在 w

15、indows 操作系統(tǒng)下使用的數(shù)據(jù)恢復軟件。 四、數(shù)據(jù)恢復案例 （ 一 ） 恢復重裝 XP 后的 Ubuntu 引導分區(qū) windows xp崩潰了，于是重裝xp,把原來的Ubuntu引導分區(qū)表 mbr給沖掉了，不過沒 關系，修復一下 mbr 就可以了。 首先說一下 mbr 的作用：當我們啟動計算機時。計算機首 先運行Power On Self Test（POST），即加電自檢。POST檢測系統(tǒng)的總內存以及其他硬件設備 的現(xiàn)狀。如果計算機系統(tǒng)的BIOS （基礎輸入 /輸出系統(tǒng)）是即插即用的，那么計算機硬件設 備將經過檢驗以及完成配置。計算機的基礎輸入/輸出系統(tǒng)（BIOS ）定位計算機的引導設備

16、， 然后 MBR（Master Boot Record 硬盤主導記錄 ）被加載并運行。 如果用戶僅安裝 Windows98 , 則被自動引導到桌面。如果是 WindowsXP/2000/2003 ,那么則會將控制權交給 NTLDR 系 統(tǒng)加載器,調用 Boot.ini ,顯示多重選單文件。抹 MBR 就是抹硬盤引導記錄。 當我們重裝了 windows 以后,由于硬盤 mbr 被重寫,即把原來 mbr 中 grub 的信息清除 了,那么 grub 自然就不能啟動了, 也就不能引導 linux 了,此時很多人可能就只能重裝 linux 了，但其實只需簡單的對 mbr修復一下就可以了。 下面就說一下

17、修復 mbr 的方法： 首先,把 Ubuntu 的安裝光盤放進去 ,然后啟動 .正常進入安裝界面,打開終端： 1、輸入：sudo grub，于是變成 grub 2、 先找到你的ubuntu的啟動分區(qū)在哪（就是你的/boot目錄所在的分區(qū)） 輸入： find /boot/grub/stage1 我機器上回車之后顯示：（hd0,2）這里hdO是指第一個硬盤,2代表第3個分區(qū)，即Ubuntu 根目錄所在分區(qū) （0 代表第一個分區(qū) ）。 3、輸入： grubroot （hd0,2） 4、輸入： grubsetup （hd0） 如果出現(xiàn)successed,就表示成功了。 5、輸入： grubquit ，

18、然后重啟。 對于有多個硬盤的朋友， 請但是注意一點， 如果你的 windows 裝在第一塊磁盤， 而 linux 裝在第二塊磁盤，而你的 bios 設置為從第一塊磁盤啟動，那么在進行以上第 3 步的時候， 一定要把參數(shù)設為你的第一塊磁盤。即要把 grub 裝入引導硬盤的 mbr 里，當然，比較傻瓜 的，你可以將 grub裝入每塊硬盤的 mbr，不信你試試看，肯定可以啟動，這只是一個先后 次序問題 （二）NTFS格式大硬盤數(shù)據(jù)恢復特殊案例 一塊 80G 邁拓金九硬盤，某天突然進不了分區(qū)，提示為 “無法訪問 X ： 參數(shù)錯誤 ”。硬 盤上為該公司為本市攝制和編輯的運動會視頻和音頻文件，攝錄磁帶中已

19、清除， 運動會也不 可能再開一次。 先前到某電腦公司去試過， 結果沒能解決問題。 廣告公司經理和我的一個朋 友是朋友，知道此事后就轉來我處。 修復過程：該硬盤為只有一個 NTFS 分區(qū)的數(shù)據(jù)盤，先在 DOS 下用扇區(qū)編輯軟件查看 LBA0-63 扇區(qū)，結果發(fā)現(xiàn)分區(qū)表和 63 扇區(qū)都有錯誤， 1 62 扇區(qū)間有大量扇區(qū)被寫上不明 代碼， 87-102扇區(qū)不正常，先手工修復分區(qū)表，恢復 63引導扇區(qū)，刪除 162 扇區(qū)間的代 碼。 87-102 扇區(qū)之間暫不處理，到 WINDOWS 下檢查，結果還是出現(xiàn)同樣的提示，試用恢 復軟件 1，可以看到目錄結構，再試 FINALDATE ，這個軟件此時太不盡

20、人意；用恢復軟件 1選擇某目錄進行試恢復，結果 28個試恢復文件只恢復 2 個，其余的全部為 0 字節(jié)，恢復 工作陷入困境。再次對 79-102 扇區(qū)進行分析， 79 扇區(qū)面目全非，被嚴重篡改破壞， 80-86 扇區(qū)被清空， 87-102 扇區(qū)的內容也不正常。經過一番苦思冥想，對某些扇區(qū)進行備份后做 清除，備份被放到 1-62 扇區(qū)之間，以備不測時改回原樣。 再次在 WINDOWS 下用恢復軟件 1 進行恢復， 讓其讀該盤約 10秒鐘， 停止掃描， 看到 的內容和前面提到的相同， 試恢復一個文件夾， 從恢復過程能看到這時恢復動作正常了， 隨 后對其余的文件和文件夾進行恢復，近3個多小時后， 6

21、3.9G 資料全部恢復，文件中幾乎就 AVI、WAV、PSD 和其它格式的圖形文件，逐個打開完全正常。恢復工作順利結束，大功告 成。 后來一個朋友說這個分區(qū)應該是 2000 格式化出來的， mft 在分區(qū)的前面，很容易被破 壞，象此案里里面 87-102 扇區(qū)里大約有 6 個左右的用戶文件 /文件夾是恢復不出來的，但 102以后的文件應該能完全恢復的。 在ntfs里面，一般90扇區(qū)以后的mft才是用戶的文件 信息，前面的是系統(tǒng)的一些元文件，對數(shù)據(jù)恢復影響不大的。 個人覺得 ntfs 還是比較先進的， 文件碎片都放在一個 mft 里面， 只要這個扇區(qū)沒有被破 壞，就可以恢復。 NTFS 的結構確實比較復雜，正常情況下所有的操作 MFT 中有記錄。但是，那些扇區(qū) 被使用，那些沒被使用，這些概念還是很有用的。 實驗盤被刪除 79-102 扇區(qū)內容后，開機后不需要第三方軟件，文件和目錄直接可以讀 出拷貝到其它地方。