基于windows操作平臺(tái)的數(shù)據(jù)恢復(fù)技術(shù)

1、摘 要 現(xiàn)代科技迅猛發(fā)展，電子產(chǎn)品充斥在我們生活中的每一個(gè)角落，給我們生活帶來便利的同時(shí)也帶來了諸多的問題，比如誤操作和惡意刪除導(dǎo)致原本的數(shù)據(jù)丟失，因此研究數(shù)據(jù)備份和數(shù)據(jù)恢復(fù)就顯得越來越重要。針對(duì)基于windows操作平臺(tái)出現(xiàn)數(shù)據(jù)丟失的情況，本論文將從數(shù)據(jù)結(jié)構(gòu)、數(shù)據(jù)存儲(chǔ)原理及相關(guān)的文管系統(tǒng)（fat/fat32/ntfs）等方面詳細(xì)分析存儲(chǔ)設(shè)備出現(xiàn)數(shù)據(jù)丟失的情況及相關(guān)的數(shù)據(jù)恢復(fù)技術(shù)，以及如何最大限度地還原本來已經(jīng)丟失的數(shù)據(jù)。在本論文的中篇部分針對(duì)數(shù)據(jù)的軟恢復(fù)，將詳細(xì)介紹目前流行的數(shù)據(jù)恢復(fù)應(yīng)用，對(duì)主流的幾個(gè)應(yīng)用做一個(gè)比較，最后介紹數(shù)據(jù)恢復(fù)實(shí)例。關(guān)鍵詞： windows操作平臺(tái) 數(shù)據(jù)存儲(chǔ) 數(shù)據(jù)恢復(fù)

2、數(shù)據(jù)安全ii 目 錄中文摘要.英文摘要.目錄.前言1一、數(shù)據(jù)恢復(fù)及常見存儲(chǔ)設(shè)備.1（一）常見的存儲(chǔ)設(shè)備.1二、第一章 相關(guān)存儲(chǔ)設(shè)備的文管系統(tǒng)介紹.3（一）常見的文管系統(tǒng)3(二)fat及其衍生系統(tǒng)簡(jiǎn)介3(三)ntfs簡(jiǎn)介.4三、常見的數(shù)據(jù)丟失的情況及癥狀7（一）常見的數(shù)據(jù)丟失情況（誤操作）7（二）數(shù)據(jù)出現(xiàn)問題的癥狀8（三）數(shù)據(jù)丟失的原因（非誤操作）9四、數(shù)據(jù)恢復(fù)應(yīng)用及恢復(fù)操作10（一）數(shù)據(jù)恢復(fù)的一般原則10（二）數(shù)據(jù)恢復(fù)的相關(guān)軟件及恢復(fù)操作10（三）預(yù)防和應(yīng)對(duì)數(shù)據(jù)丟失16總結(jié)與體會(huì).19參考文獻(xiàn).21前言當(dāng)今社會(huì),網(wǎng)絡(luò)成為人們?nèi)粘Ｉ钪胁豢苫蛉钡囊徊糠?無論是老師、學(xué)生、還是政府機(jī)構(gòu)和普通群眾

3、,年齡從學(xué)前兒童到耄耋之老,都將網(wǎng)絡(luò)當(dāng)成生活必不可少的一部分.但是隨著網(wǎng)絡(luò)的發(fā)展,網(wǎng)絡(luò)帶來的問題也越來越多,尤其是最近幾年,犯罪事件越來越多,作案人員也從當(dāng)初的單人作案,逐漸演變成現(xiàn)在的團(tuán)伙作案.而給罪犯定罪的證據(jù)也隨著網(wǎng)絡(luò)技術(shù)的發(fā)展變得越來越艱難,尤其是基層的辦案人員的科技素質(zhì)不夠,往往就令到犯罪人員越來越猖狂,甚至塵囂直上,入侵政府機(jī)構(gòu)網(wǎng)站,篡改網(wǎng)頁內(nèi)容,拍板政府權(quán)威.而在商業(yè)方面,銀行信用卡信息盜竊與網(wǎng)購安全的問題越來越突出,罪犯利用網(wǎng)絡(luò)進(jìn)行犯罪,導(dǎo)致證據(jù)難以搜集.而一些犯罪嫌疑人將數(shù)據(jù)銷毀,導(dǎo)致證據(jù)搜查難以進(jìn)行,也越來越不容易界定甚至是確定嫌疑人的罪名.而在民用方面,一些互聯(lián)網(wǎng)用戶的錯(cuò)

4、誤操作,將一些重要的文件刪除,而沒有足夠的科技素養(yǎng)的普通民眾也不知到該怎么恢復(fù),當(dāng)下的數(shù)據(jù)市場(chǎng)也沒有足夠普及的技術(shù)配套設(shè)施能幫助用戶恢復(fù)數(shù)據(jù)。這就更突出我國(guó)的數(shù)據(jù)恢復(fù)市場(chǎng)不夠完善、普及,更說明我國(guó)的數(shù)據(jù)恢復(fù)市場(chǎng)存在巨大的潛力。如果能將數(shù)據(jù)恢復(fù)的相關(guān)技術(shù)普及,那么這對(duì)我國(guó)的經(jīng)濟(jì)發(fā)展產(chǎn)生更大的推理,而且能提高民眾的科技素養(yǎng)水平,促使更多的科研人員涌現(xiàn),推使我國(guó)的科技迅速發(fā)展,形成一個(gè)良性的循環(huán),使得我國(guó)科技市場(chǎng)乃至國(guó)力發(fā)展往更大更繁榮的方向發(fā)展,最終成為世界科技發(fā)展的重要支柱.在硬件產(chǎn)業(yè)方面,存儲(chǔ)設(shè)備是電子科技的核心內(nèi)容,只有了解到存儲(chǔ)設(shè)備的工作過程乃至是存在的缺陷,才能讓硬件產(chǎn)業(yè)異軍突起,研發(fā)出

5、更加優(yōu)秀的存儲(chǔ)設(shè)備,打破由外國(guó)跨國(guó)公司的壟斷,使得長(zhǎng)久以來我國(guó)在高科技設(shè)備對(duì)外國(guó)依賴過高的問題能夠解決,不會(huì)再出現(xiàn)創(chuàng)新乏力,缺乏有競(jìng)爭(zhēng)力的電子硬件高科核心企業(yè)的尷尬處境.3 第一章 數(shù)據(jù)恢復(fù)及常見存儲(chǔ)設(shè)備（windows） 一、數(shù)據(jù)恢復(fù)的定義數(shù)據(jù)恢復(fù)是指原本的數(shù)據(jù)因?yàn)檎`操作、惡意刪除或者是自然、意外或人為的災(zāi)禍而遭受破壞或由硬件缺陷導(dǎo)致不可訪問，或不可獲取，或?qū)е聛G失的數(shù)據(jù)通過軟件或者是物理手段使原本的數(shù)據(jù)重現(xiàn)。但數(shù)據(jù)恢復(fù)不同于數(shù)據(jù)備份，不是所有的情況都可以恢復(fù)數(shù)據(jù)恢復(fù)不僅僅可以通過使用相關(guān)的軟件修復(fù)本來的數(shù)據(jù)，更可以通過物理的方法來修復(fù)存儲(chǔ)設(shè)備的物理損害，從而恢復(fù)原本數(shù)據(jù)的真正“面目”。因此

6、數(shù)據(jù)恢復(fù)也分成“軟恢復(fù)”與“硬恢復(fù)”，但是人們常說的數(shù)據(jù)恢復(fù)主要是“軟恢復(fù)”，而不涉及到“硬恢復(fù)”，這一來是因?yàn)槠湓O(shè)備成本高昂，二來是一般的數(shù)據(jù)丟失問題都可以使用軟恢復(fù)來修復(fù)，這就導(dǎo)致人們對(duì)硬恢復(fù)感覺陌生甚至是完全不認(rèn)識(shí)。由此可知，軟恢復(fù)是指在數(shù)據(jù)恢復(fù)過程中沒有使用物理設(shè)備對(duì)存儲(chǔ)設(shè)備進(jìn)行物理上的恢復(fù)，常見于一般的誤操作或者是惡意刪除導(dǎo)致的數(shù)據(jù)丟失、不可訪問、不可獲取，比如：如誤操作、網(wǎng)絡(luò)刪除、操作時(shí)斷電、誤分區(qū)、病毒感染、誤格式化、誤克隆等，一般表現(xiàn)為讀盤錯(cuò)誤，無操作系統(tǒng)，文件找不到、打不開，報(bào)告無分區(qū)、未格式化、密碼丟失、亂碼等，總而言之，軟恢復(fù)并不涉及到物理設(shè)備的修復(fù)問題。而硬恢復(fù)則是指主

7、要通過物理的手段來修復(fù)存儲(chǔ)設(shè)備的物理損壞，常見于因?yàn)樽匀弧⒁馔狻⑷藶榈臑?zāi)禍而遭受的破壞或硬件本身存在的缺陷而導(dǎo)致的數(shù)據(jù)不可訪問、不可獲取，可見硬恢復(fù)會(huì)涉及到硬件修理，如磁道損壞、磁盤劃傷、磁組損壞、主電機(jī)損壞、電路板芯片及其他原器件燒壞等，一般表現(xiàn)為不認(rèn)盤，常有一種“喀嚓喀嚓”的磁組撞擊聲或電機(jī)不轉(zhuǎn)，或通電后無任何聲音等。可見軟恢復(fù)與硬恢復(fù)兩者之間最明顯的特征或區(qū)別就是：存儲(chǔ)介質(zhì)本身是否需要進(jìn)行修理或更換部件才可以正常地進(jìn)行訪問。 二、（一）常見的存儲(chǔ)設(shè)備（windows）常見的windows存儲(chǔ)設(shè)備有：硬盤（hard disk drive，hdd），軟盤（floppy disk，現(xiàn)已淘汰），

8、u盤（universal serial bus，usb），存儲(chǔ)卡（cf/mmc/sd/mini-sd/tf/xd/ms）。硬盤（hdd）：ide硬盤（integrated drive electronics），屬于parallel-ata（并行）接口，九十年代初開始應(yīng)用于臺(tái)式機(jī)系統(tǒng)，初始設(shè)計(jì)的最大容量被限制在504mb內(nèi)，新一代enhanced ide(加強(qiáng)型ide，簡(jiǎn)稱為eide)最高傳輸速度高達(dá)100mb/秒(ultra ata/100) ，速度相對(duì)sata慢，只能內(nèi)置使用。stat硬盤（serial-ata），是串行接口，現(xiàn)在屬于主流接口。2001年，由intel、apt、dell、ib

9、m、希捷、邁拓這幾大廠商組成的serial ata委員會(huì)正式確立了serial ata 1.0規(guī)范。2002年，確立serial ata 2.0規(guī)范。2009年正式發(fā)布serial ata 3.0規(guī)范，其中1.0版本為150mb/s，2.0為300mb/s，3.0為600mb/s，在此之前的pata為133mb/s，而且sata的數(shù)據(jù)傳輸距離有很大的限制，3.0的傳輸距離只有兩米，但遠(yuǎn)比ide硬盤的速度快。 scsi硬盤（small computer system interface，小型計(jì)算機(jī)系統(tǒng)接口），專用于服務(wù)器和高檔工作站的數(shù)據(jù)傳輸，接口速度快，并且由于主要用于服務(wù)器，因此硬盤本身的性

10、能也比較高，硬盤轉(zhuǎn)速快，緩存容量大，cpu占用率低，擴(kuò)展性遠(yuǎn)優(yōu)于ide硬盤，并且支持熱插拔。此外，硬盤根據(jù)使用材料和結(jié)構(gòu)的不同分為：固態(tài)硬盤（solid state disk） 、機(jī)械硬盤。軟盤（floppy disk）：常見的軟盤有3.5英寸與5.25英寸的軟盤，但是由于軟盤的容量小，安全性能差早就被淘汰，但是因?yàn)闅v史遺留問題，有些公司還是會(huì)留有一些存有資料的軟盤。 u盤(universal serial bus，usb):現(xiàn)在常見的u盤有usb 1.1、usb 2.0和usb 3.0，理論上usb1.1的傳輸速度可以達(dá)到12mbps/秒，而usb2.0則可以達(dá)到速度480mbps/秒，并且

11、可以向下兼容usb1.1，而usb 3.0則高達(dá)640mb/s ，并向下兼容usb 1.1與usb 2.0，u盤是現(xiàn)在最流行的存儲(chǔ)設(shè)備，而且安全性比較高。存儲(chǔ)卡：現(xiàn)流行的小容量便捷式移動(dòng)存儲(chǔ)卡主要有：cf、mmc、sd、mini-sd、tf、xd、ms，由于現(xiàn)在的技術(shù)支持，存儲(chǔ)卡的容量已經(jīng)達(dá)到了64gb，一般用于手機(jī)、數(shù)碼相機(jī)、家庭娛樂設(shè)施以及gps設(shè)備、dv等，缺點(diǎn)是讀寫數(shù)據(jù)的速度慢。2第二章 相關(guān)存儲(chǔ)設(shè)備的文管系統(tǒng)介紹一、 常見的文管系統(tǒng)通常操作系統(tǒng)要對(duì)相關(guān)的存儲(chǔ)設(shè)備里面的文件進(jìn)行管理操作是通過文件系統(tǒng)（常用fat及其衍生文管系統(tǒng)、ntfs。）來實(shí)現(xiàn)的。其中fat文管系統(tǒng)是指對(duì)特定卷進(jìn)行格

12、式化時(shí)產(chǎn)生了一個(gè)fat（文件分配表），fat（文件分配表）里面對(duì)文件的起始位置等信息做了相關(guān)記錄,以方便用戶的查找;其中fat32是一種從fat派生而來的文管系統(tǒng), fat32能夠支持更小的簇以及更大的容量，從而能夠在fat32卷上更為高效的分配磁盤空間；ntfs文管系統(tǒng)則是一種能夠提供各種fat版本所不具備的性能、安全性、可靠性與先進(jìn)特性的高級(jí)文件管理系統(tǒng),綜合性能上遠(yuǎn)遠(yuǎn)超過了fat及其衍生系統(tǒng)。2、 fat及其衍生系統(tǒng)的介紹一個(gè)fat文管系統(tǒng)包括四個(gè)不同的部分。保留扇區(qū)位于最開始的位置。第一個(gè)保留扇區(qū)是引導(dǎo)區(qū)（分區(qū)啟動(dòng)記錄）。它包括一個(gè)稱為基本輸入輸出參數(shù)塊的區(qū)域（包括一些基本的文件系統(tǒng)信

13、息尤其是它的類型和其它指向其它扇區(qū)的指針），通常包括操作系統(tǒng)的啟動(dòng)調(diào)用代碼。保留扇區(qū)的總數(shù)記錄在引導(dǎo)扇區(qū)中的一個(gè)參數(shù)中。引導(dǎo)扇區(qū)中的重要信息可以被dos和os/2中稱為驅(qū)動(dòng)器參數(shù)塊的操作系統(tǒng)結(jié)構(gòu)訪問。fat區(qū)域它包含有兩份文件分配表，這是出于系統(tǒng)冗余考慮，盡管它很少使用，即使是磁盤修復(fù)工具也很少使用它。它是分區(qū)信息的映射表，指示簇是如何存儲(chǔ)的。根目錄區(qū)域它是在根目錄中存儲(chǔ)文件和目錄信息的目錄表。在fat32下它可以存在分區(qū)中的任何位置，但是在早期的版本中它永遠(yuǎn)緊隨fat區(qū)域之后（根目錄區(qū)，又稱root區(qū)，緊跟在fat2的下一個(gè)扇區(qū)，長(zhǎng)度為32個(gè)扇區(qū)）。根目錄區(qū)有許多目錄項(xiàng)(fdt，文件目錄表)

14、，文件目錄表（fdt）記錄著根目錄下的每個(gè)文件或子目錄的名稱、起始位置(簇號(hào))、文件大小、文件屬性(子目錄也是一種文件)、創(chuàng)建日期等信息。目錄項(xiàng)并非根目錄才有，在磁盤數(shù)據(jù)區(qū)中一樣有目錄項(xiàng)，而根目錄是許多目錄項(xiàng)的集合，也稱作目錄項(xiàng)的目錄。windows操作平臺(tái)采用的是樹型目錄結(jié)構(gòu)，從某個(gè)盤符的根目錄開始。早期的fatl6系統(tǒng)下的文件名最多只能有8個(gè)字符(或4個(gè)漢字)，擴(kuò)展名最多3個(gè)字符，且不能用一些特殊字符等，因此支持的目錄項(xiàng)有限制。數(shù)據(jù)區(qū)域是實(shí)際的文件和目錄數(shù)據(jù)存儲(chǔ)的區(qū)域，它占據(jù)了分區(qū)的絕大部分。通過簡(jiǎn)單地在fat中添加文件鏈接的個(gè)數(shù)可以任意增加文件大小和子目錄個(gè)數(shù)（只要有空簇存在）。然而需要

15、注意的是每個(gè)簇只能被一個(gè)文件占有，這樣的話如果在32kb大小的簇中有一個(gè)1kb大小的文件，那么31kb的空間就浪費(fèi)掉了。三、 ntfs簡(jiǎn)介 ntfs是windows nt以及之后的windows 2000、windows xp、windows server 2003、windows server 2008、windows vista和windows 7的標(biāo)準(zhǔn)文件系統(tǒng)。ntfs取代了文件分配表（fat）文件系統(tǒng)，為microsoft的windows系列操作系統(tǒng)提供文件系統(tǒng)。ntfs對(duì)fat和hpfs（高性能文件系統(tǒng)）作了若干改進(jìn)，例如，支持元數(shù)據(jù)，并且使用了高級(jí)數(shù)據(jù)結(jié)構(gòu)，以便于改善性能、可靠性和

16、磁盤空間利用率，并提供了若干附加擴(kuò)展功能，如訪問控制列表（acl）和文件系統(tǒng)日志。 ntfs結(jié)構(gòu)模式當(dāng)用戶將硬盤的一個(gè)分區(qū)格式化為ntfs分區(qū)時(shí)，就建立了一個(gè)ntfs文件系統(tǒng)結(jié)構(gòu)。ntfs與其他的文管系統(tǒng)一樣，也是以簇為基本單位對(duì)磁盤空間和文件存儲(chǔ)進(jìn)行管理。但ntfs是以卷為基礎(chǔ)的，而卷是建立在磁盤分區(qū)上，所以ntfs分區(qū)也被稱為ntfs卷，卷上簇的大小，稱為卷因子，所以簇的大小一定是扇區(qū)大小的整數(shù)倍。ntfs文件系統(tǒng)使用邏輯簇號(hào)(logical cluser number，lcn)和虛擬簇號(hào)(xrlrajal cluster number，vcn)對(duì)卷進(jìn)行管理。而lcn是對(duì)第一個(gè)簇到最后一個(gè)

17、簇進(jìn)行編號(hào)管理。 ntfs分區(qū)的引導(dǎo)扇區(qū)在boot區(qū)的第一個(gè)扇區(qū)，它在操作系統(tǒng)引導(dǎo)時(shí)必不可少的部分，它和fat32分區(qū)的結(jié)構(gòu)類似，也包括跳轉(zhuǎn)指令、oem版本號(hào)、bpb參數(shù)、引導(dǎo)代碼和結(jié)束標(biāo)志。而bpb參數(shù)則是從偏移0bh開始，到偏移53h結(jié)束，里面記錄著ntfs分區(qū)的許多重要信息?？傮w結(jié)構(gòu)如圖2-1所示：圖2-1 ntfs文件系統(tǒng)總體結(jié)構(gòu)主控文件表及元數(shù)據(jù)簡(jiǎn)介ntfs卷結(jié)構(gòu)的核心是主控文件表(mft)，操作系統(tǒng)是通過mft來確定文件在磁盤上的位置以及文件的所有屬性等。mft是一個(gè)與文件相對(duì)應(yīng)的文件屬性數(shù)據(jù)庫，它記錄了除文件數(shù)據(jù)外的所有屬性，甚至有些小文件的數(shù)據(jù)本身也包含在mft當(dāng)中，所以在nt

18、fs分區(qū)中每個(gè)文件至少有一個(gè)mft。 主控文件表(mft)由兩部分構(gòu)成，一部分是主控文件表頭，稱為文件記錄頭；另一部分是屬性列表，mft頭結(jié)構(gòu)如圖2-2所示：圖2-2 mft文件頭結(jié)構(gòu)mft是以文件數(shù)組來實(shí)現(xiàn)的，每個(gè)文件記錄占用兩個(gè)扇區(qū)。文件記錄在mft文件記錄數(shù)組中物理上是連續(xù)的，從0開始編號(hào)。為了保證其連續(xù)性，在它周圍保留了一個(gè)緩沖區(qū)，這個(gè)緩沖區(qū)的大小是可調(diào)的，可以是磁盤空間的125、25、375或50。每當(dāng)其余空間變滿時(shí)，緩沖區(qū)大小減半。 mft區(qū)域的前16個(gè)文件屬于系統(tǒng)文件，也稱為元文件，用來存放系統(tǒng)的元數(shù)據(jù)，元數(shù)據(jù)是指存儲(chǔ)在卷上支持文件系統(tǒng)管理的數(shù)據(jù)。只為系統(tǒng)服務(wù)，不能被應(yīng)用程序訪問

19、。不管簇的大小是多少，mft中的記錄大小一般是固定的，占用1k空間。這些記錄從零開始編號(hào)。mft僅供系統(tǒng)本身進(jìn)行文件管理使用（mft本身也是元數(shù)據(jù)）。在mft的前16條記錄是非常重要的操作系統(tǒng)使用的元數(shù)據(jù)文件，這些元數(shù)據(jù)文件的名字都是以“$”開頭，是系統(tǒng)管理卷不可缺少的。這16個(gè)文件是ntfs文件系統(tǒng)中唯一在mft表中具有固定地址的文件。元數(shù)據(jù)文件及它們的作用如圖2-3所示：圖2-3 ntfs元數(shù)據(jù)文件及其功能簡(jiǎn)介第三章、常見的數(shù)據(jù)的丟失情況及癥狀 數(shù)據(jù)丟失的原因有很多種，其中根據(jù)故障的原因可以分為邏輯原因和物理原因及固件本身的故障等。邏輯原因：病毒感染、誤格式化或誤分區(qū)、誤克隆、誤刪除或覆蓋

20、、黑客軟件人為破壞、0磁道損壞、硬盤邏輯鎖、操作時(shí)斷電、意外電磁干擾造成數(shù)據(jù)丟失或破壞以及系統(tǒng)錯(cuò)誤或癱瘓?jiān)斐晌募G失或破壞等。物理原因：磁盤劃傷、磁頭變形、磁臂斷裂、磁頭放大器損壞、芯片組或其他元器件損壞等。固件本身故障原因：硬盤的固件由于讀寫次數(shù)過多，常常會(huì)出現(xiàn)故障，常見的故障表現(xiàn)包括有尋道聲但不能正常認(rèn)盤、只認(rèn)廠家模式等。由固件原因引起的數(shù)據(jù)丟失占到數(shù)據(jù)丟失的40%左右。另外，自然損壞：如風(fēng)、雷電、洪水、地震以及意外事故也有可能導(dǎo)致數(shù)據(jù)丟失，只是這一因素的可能性要低很多。這時(shí)恢復(fù)數(shù)據(jù)就要專門的物理設(shè)備。 在這里，將數(shù)據(jù)丟失分成兩種原因，一種是直接用戶人為的誤操作導(dǎo)致數(shù)據(jù)丟失，另一種是非直接

21、用戶導(dǎo)致的數(shù)據(jù)丟失。一、常見的數(shù)據(jù)丟失情況（誤操作）刪除文件當(dāng)執(zhí)行刪除文件的操作,系統(tǒng)只是在該文件的文件目錄表(fdt)上做一個(gè)刪除標(biāo)記,即把該文件的文件目錄項(xiàng)第一個(gè)字符改為“e5h”來表示該文件已經(jīng)被刪除;另一個(gè)是把該文件的文件分配表(fat)中所占有的簇標(biāo)記為“空簇”，而data區(qū)域中的簇仍保存原文件內(nèi)容。其原理是系統(tǒng)在文件分配表中相應(yīng)位置檢測(cè)到“0”時(shí),就認(rèn)為該文件簇處于空閑狀態(tài),表示可寫入其他文件。子目錄的刪除操作系統(tǒng)對(duì)子目錄的管理和對(duì)文件的管理相同，所以操作系統(tǒng)對(duì)子目錄的刪除與文件的刪除的方式也相同。但fat16或fat32下子目錄的簡(jiǎn)單操作只是對(duì)描述子目錄的fdt做一個(gè)刪除標(biāo)記，該

22、子目錄下所有文件和下一級(jí)子目錄的所以記錄都沒有變動(dòng)，相當(dāng)于將該子目錄“移”到回收站里，里面的數(shù)據(jù)依舊可以恢復(fù)。硬盤的分區(qū)硬盤進(jìn)行分區(qū)操作時(shí),系統(tǒng)只是修改了mbr(硬盤主引導(dǎo)記錄)和dbr(dos引導(dǎo)記錄),data區(qū)的數(shù)據(jù)并沒有被全部覆蓋或者修改。由于mbr、dbr的改變導(dǎo)致文件的路徑被破壞,系統(tǒng)不能正常讀取文件。硬盤的高級(jí)格式化硬盤進(jìn)行高級(jí)格式化時(shí),系統(tǒng)并不將data區(qū)的數(shù)據(jù)清除,只是把相應(yīng)的fat表和fdt表重寫，即徹底刪除之前記錄的所有文件和子目錄的目錄,使其fdt和fat中都不再有文件或目錄記錄登記項(xiàng),只留有標(biāo)識(shí)磁盤空閑的記錄,回收站也給清除,從而釋放空間。一般快速格式化后,其子目錄下

23、的文件目錄項(xiàng)還保留著，不會(huì)被刪除。當(dāng)使用“format”命令時(shí)加上“/u”參數(shù),系統(tǒng)在對(duì)分區(qū)進(jìn)行格式化時(shí)將強(qiáng)制對(duì)每一扇區(qū)寫入“f6”,就完全把數(shù)據(jù)破壞，但執(zhí)行這個(gè)命令可能會(huì)對(duì)磁盤造成一定的損害。硬盤的低級(jí)格式化硬盤的低級(jí)格式化指在物理層面直接對(duì)硬盤里面的數(shù)據(jù)進(jìn)行清理，其作用是為整個(gè)硬盤劃分出柱面和磁道，再將磁道劃分為若干個(gè)扇區(qū)，在每個(gè)扇區(qū)的地址場(chǎng)中標(biāo)志地址信息，測(cè)試硬盤介質(zhì)缺陷。低級(jí)格式化后的數(shù)據(jù)完全損毀無法恢復(fù)。二、數(shù)據(jù)出現(xiàn)問題的癥狀 不能進(jìn)入系統(tǒng)有時(shí)coms檢測(cè)硬盤時(shí)顯示正常，但不能進(jìn)入系統(tǒng)，有時(shí)會(huì)出現(xiàn)提示死機(jī)或者無提示死機(jī)情況，也會(huì)出現(xiàn)coms能檢測(cè)到硬盤，但顯示的容量不對(duì)等，這通?？赡?/p>

24、是因?yàn)閙br損壞、dbr損壞、電源質(zhì)量不合格、數(shù)據(jù)線斷線、coms設(shè)置不正確、主從硬盤設(shè)置不正確、硬件沖突、coms電池電壓不足等其中一個(gè)或幾個(gè)原因?qū)е隆４疟P出現(xiàn)壞道硬盤的壞道分為邏輯壞道和物理壞道兩種。邏輯壞道通常是由于用戶使用不當(dāng)造成的，可用軟件進(jìn)行修復(fù)；后者則是物理故障，表明硬盤磁道產(chǎn)生物理級(jí)別的損傷，可以通過更改分區(qū)或是改變扇區(qū)等方法恢復(fù)使用，但里面的數(shù)據(jù)則需要通過相關(guān)的電子設(shè)備進(jìn)行恢復(fù)，而不能只靠軟件對(duì)其進(jìn)行恢復(fù)。分區(qū)丟失有時(shí)候系統(tǒng)顯示找不道分區(qū)，或分區(qū)進(jìn)不去。這種情況一般是由于病毒刪除分區(qū)表或是更改盤符等相關(guān)數(shù)據(jù)，導(dǎo)致分區(qū)“被”隱藏。文件丟失通常由誤操作引起，前面對(duì)誤操作的幾個(gè)形式

25、有提及。誤操作產(chǎn)生的問題可以通過專用工具軟件進(jìn)行恢復(fù)，但如低級(jí)格式化這一類情況則需要更專業(yè)的機(jī)器來恢復(fù)。密碼丟失主要指各類應(yīng)用程序的管理口令或文檔保護(hù)密碼丟失導(dǎo)致的文件數(shù)據(jù)不能讀取等，一般通過暴力破解解決。文檔打不開或顯示亂碼可能格式設(shè)置出現(xiàn)問題，或操作系統(tǒng)里沒有相關(guān)程序用來打開該種文件，或數(shù)據(jù)在傳輸或存儲(chǔ)的時(shí)候出現(xiàn)錯(cuò)誤導(dǎo)致文件傳輸不完整等引起，通常通過糾錯(cuò)、重新下載、重新計(jì)算crc校驗(yàn)、改正不正確的格式等方法，解決上述問題。三、數(shù)據(jù)丟失的原因（非誤操作）除誤操作導(dǎo)致的數(shù)據(jù)丟失外，出現(xiàn)數(shù)據(jù)出現(xiàn)丟失主要包括三個(gè)方面：惡意的程序惡意程序?qū)е聰?shù)據(jù)丟失是最常見的情況，因?yàn)椴《緦?dǎo)致分區(qū)找不到、數(shù)據(jù)被隱藏

26、、原數(shù)據(jù)被覆蓋、文件丟失、目錄被刪除等，更有病毒通過更改設(shè)置參數(shù)損壞設(shè)備。如cih/chernoby，它能刪除無比重要的bios數(shù)據(jù)，使感染的主板癱瘓。其他惡意的破壞常見的是利用木馬或者一些惡意蠕蟲、病毒對(duì)數(shù)據(jù)進(jìn)行復(fù)制、盜竊、刪除、覆蓋等。如：冰河、netspy（網(wǎng)絡(luò)精靈）、廣外女生、震蕩波和網(wǎng)絡(luò)天空等，還有最有名的熊貓燒香會(huì)直接更改文件的屬性和文件路線，致使文件無法正常打開。硬件失效這是數(shù)據(jù)丟失最大原因之一。硬件失效、電壓不穩(wěn)造成自動(dòng)重啟的過程中會(huì)使未保存的數(shù)據(jù)丟失。硬件失效往往是最嚴(yán)重的問題,包括了物理損壞、失竊等,使數(shù)據(jù)恢復(fù)的可能性降為零。第四章、數(shù)據(jù)恢復(fù)應(yīng)用及恢復(fù)操作四、（一）數(shù)據(jù)恢復(fù)

27、的一般原則數(shù)據(jù)安全實(shí)質(zhì)上是動(dòng)態(tài)的過程，一時(shí)的數(shù)據(jù)保護(hù)不能稱作數(shù)據(jù)安全。數(shù)據(jù)恢復(fù)技術(shù)只作為數(shù)據(jù)安全一個(gè)保護(hù)措施，在實(shí)施數(shù)據(jù)恢復(fù)的過程中，采用的方法、操作的每個(gè)步驟它也是一個(gè)過程，其中也有著一些不可預(yù)料的因素影響。因此在進(jìn)行數(shù)據(jù)恢復(fù)時(shí)要考慮周全，認(rèn)真對(duì)待，養(yǎng)成備份和記錄的好習(xí)慣。實(shí)施數(shù)據(jù)恢復(fù)之前，首先要完成以下幾個(gè)步驟：1.備份當(dāng)前還能工作的設(shè)備上所有數(shù)據(jù)，防止在數(shù)據(jù)恢復(fù)過程中出現(xiàn)誤操作致使數(shù)據(jù)二次損壞。2.將損壞的硬盤掛接到正常工作、同樣系統(tǒng)環(huán)境下進(jìn)行修復(fù)，不同系統(tǒng)可能會(huì)有標(biāo)識(shí)符識(shí)別等問題，甚至破壞原來的數(shù)據(jù)。3.詢問使用者，弄清楚數(shù)據(jù)丟失的大概原因，及使用者曾經(jīng)進(jìn)行的嘗試性補(bǔ)救工作，以方便針對(duì)

28、性地進(jìn)行數(shù)據(jù)恢復(fù)，節(jié)省時(shí)間。4.仔細(xì)分析原因，估計(jì)破壞程度，設(shè)計(jì)恢復(fù)步驟。5.恢復(fù)過程中注意備份好數(shù)據(jù)，恢復(fù)多少備份多少，以防止因停電或其它人力不可控的特殊情況損壞數(shù)據(jù)。四、（二）數(shù)據(jù)恢復(fù)的相關(guān)軟件及恢復(fù)操作目前常用的數(shù)據(jù)恢復(fù)軟件有：disk recovery、easy recovery、file rescue plus、file scavenger、final data、final recovery、handy recovery、recover my files、search and recover、易我數(shù)據(jù)恢復(fù)向?qū)У?而且各個(gè)恢復(fù)數(shù)據(jù)軟件也有些許不同之處。針對(duì)硬盤數(shù)據(jù)出現(xiàn)丟失的不同情況分為

29、以下幾種：分區(qū)表的恢復(fù)分區(qū)表損壞的原因有很多種，其中最常見的是病毒性破壞、誤操作導(dǎo)致分區(qū)表損壞、自然因素?fù)p壞分區(qū)表、分區(qū)表丟失與被隱藏等，總之是使分區(qū)表全部丟失或者部分丟失導(dǎo)致的原有的分區(qū)的數(shù)據(jù)在操作平臺(tái)中不可見、無法讀取、寫不進(jìn)數(shù)據(jù)等。但這種情況下的數(shù)據(jù)丟失通常都是整個(gè)分區(qū)的數(shù)據(jù)丟失，需要恢復(fù)的也是整個(gè)分區(qū)的數(shù)據(jù)。遇到這種情況，我們一般使用超級(jí)硬盤恢復(fù)數(shù)據(jù)軟件。該軟件可以很方便地恢復(fù)出分區(qū)表受損后的數(shù)據(jù)，包括由于mbr破壞、重新分區(qū)、修復(fù)壞道后導(dǎo)致分區(qū)丟失、在dos系統(tǒng)下面用 fdisk /mbr 命令清空分區(qū)表、在磁盤管理中刪除分區(qū)等等導(dǎo)致分區(qū)不可見、無法讀取、無法寫進(jìn)等情況。掃描速度快，

30、安全性能比較高。假設(shè)有一個(gè)160g的移動(dòng)硬盤，這個(gè)移動(dòng)硬盤原先有4個(gè)分區(qū)，包括ntfs分區(qū)和fat32分區(qū)，里面存放了影音圖片和工作文件，但因?yàn)橹苯訌?qiáng)制拔掉usb接口造成了分區(qū)丟失，現(xiàn)在全部分區(qū)都看不到，硬盤也變成了未指派狀態(tài)。如圖4-1所示：圖4-1丟失分區(qū)的磁盤運(yùn)行超級(jí)硬盤數(shù)據(jù)恢復(fù)軟件后，選第3項(xiàng)，恢復(fù)丟失的分區(qū)，點(diǎn)下一步后，如圖4-2所示：圖4-2 選擇恢復(fù)丟失的分區(qū)選擇這個(gè)移動(dòng)硬盤“磁盤2”，再點(diǎn)下一步按鈕。如圖4-3所示:圖4-3選定要恢復(fù)的磁盤到了下一步后，就開始進(jìn)行文分區(qū)的掃描，如圖4-4所示：圖4-4掃描分區(qū)等待掃描完畢，超級(jí)硬盤數(shù)據(jù)恢復(fù)軟件就可以列出了丟失的這幾個(gè)分區(qū)，可以根

31、據(jù)之前你對(duì)相關(guān)卷標(biāo)、大小等信息來確認(rèn)你要恢復(fù)的分區(qū)，然后選擇要恢復(fù)的分區(qū)點(diǎn)擊下一步，如圖4-5所示：圖4-5 找到的分區(qū)并選擇要恢復(fù)的分區(qū)刪除文件及格式化數(shù)據(jù)的恢復(fù)windows 操作系統(tǒng)刪除文件時(shí)會(huì)把文件先放到回收站里，如果確定不用刪除文件還能在回收站內(nèi)找回來，若要?jiǎng)h除就清空回收站再釋放空間。也可以使用shift + del不通過回收站直接刪除文件并釋放空間，如刪除的文件過大，操作系統(tǒng)會(huì)提示文件不能放入回收站而直接刪除并釋放空間。 目前常用的恢復(fù)軟件是easy recovery。通常easy recovery不會(huì)向原始驅(qū)動(dòng)器寫入任何東西，它主要是在內(nèi)存中重建文件分區(qū)表，使數(shù)據(jù)能夠安全地傳輸?shù)?/p>

32、其他驅(qū)動(dòng)器中,可以從被病毒破壞或是已經(jīng)格式化的硬盤中恢復(fù)數(shù)據(jù)?，F(xiàn)假設(shè)f盤里的一個(gè)文件“林志海.docx”如圖4-6不小心丟失，這時(shí)想要找回來，回收站里也沒有了。圖4-6 f盤的一個(gè)文件首先我們啟動(dòng)easy recovery，點(diǎn)擊“繼續(xù)”如圖4-7所示：圖4-7 啟動(dòng)easyrecovery軟件的界面先選擇媒體類型，選擇“硬盤驅(qū)動(dòng)器”，接著點(diǎn)擊“繼續(xù)”。如圖4-8所示：圖4-8 選擇要恢復(fù)的媒體形式點(diǎn)擊繼續(xù)后，再選擇要恢復(fù)的磁盤盤符。我們要恢復(fù)的是f：盤，則如圖4-9所示：圖4-9 選擇要恢復(fù)的磁盤點(diǎn)擊繼續(xù)后，就顯示以下的畫面，選擇要進(jìn)行的恢復(fù)方案如圖4-10所示：圖4-10 選擇恢復(fù)磁盤的方案

33、掃描完成后，再將文件保存到預(yù)先準(zhǔn)備好的磁盤或者是移動(dòng)設(shè)備中去，盡量不要保存在掃描盤內(nèi)，以免數(shù)據(jù)被覆蓋。四、（三）預(yù)防和應(yīng)對(duì)數(shù)據(jù)丟失數(shù)據(jù)恢復(fù)只能作為一種事故后的挽救手段,而不是一種萬能的修復(fù)手段,更不應(yīng)作為一種長(zhǎng)期的保護(hù)手段使用,對(duì)數(shù)據(jù)的保護(hù)應(yīng)從個(gè)人的日常使用存儲(chǔ)設(shè)備習(xí)慣入手。更何況數(shù)據(jù)恢復(fù)本身就不是能恢復(fù)所有的數(shù)據(jù)，如：文件不是連續(xù)存儲(chǔ)時(shí)，一旦丟失關(guān)聯(lián)文件連續(xù)性的列表，那么磁盤中剩下的文件碎片就難以恢復(fù)。所以，存儲(chǔ)重要數(shù)據(jù)的存儲(chǔ)設(shè)備要常備份。因此要正確使用存儲(chǔ)設(shè)備、嚴(yán)于律己（不隨意打開不明郵件、不上不健康的網(wǎng)址、不使用盜版軟件及下載未知的文件）、定時(shí)殺毒、及時(shí)打好補(bǔ)丁,最重要一點(diǎn)是不能隨便借個(gè)

34、人電腦給他人使用，不要隨便將自己的存儲(chǔ)設(shè)備連接在未知安全性能的系統(tǒng)上，防止意外發(fā)生。出現(xiàn)數(shù)據(jù)丟失的情況時(shí)，要注意不往丟失數(shù)據(jù)的磁盤里面寫數(shù)據(jù)，如是病毒導(dǎo)致數(shù)據(jù)丟失要做好備份，再進(jìn)行數(shù)據(jù)恢復(fù)。若是cih病毒則要注意以下事項(xiàng):一、不要重新啟動(dòng)計(jì)算機(jī)，防止從原來的盤引導(dǎo)系統(tǒng)。二、及時(shí)進(jìn)入cmos設(shè)置程序，將系統(tǒng)引導(dǎo)盤設(shè)置為其他盤，然后再用其他盤引導(dǎo)系統(tǒng)。三、用殺毒軟件進(jìn)行病毒查殺。這是因?yàn)閏ih病毒對(duì)于硬盤數(shù)據(jù)的破壞是從磁盤的“0”扇區(qū)開始向硬盤中填入垃圾代碼,若重啟后繼續(xù)在原來的盤引導(dǎo)會(huì)導(dǎo)致原數(shù)據(jù)被覆蓋,使得數(shù)據(jù)恢復(fù)變得更艱難。同時(shí)因?yàn)閏ih的特性會(huì)導(dǎo)致系統(tǒng)不能關(guān)機(jī),若強(qiáng)制關(guān)機(jī),更會(huì)導(dǎo)致正在使用的

35、文件出現(xiàn)數(shù)據(jù)丟失的情況。數(shù)據(jù)安全不是一勞永逸的事情，是一個(gè)長(zhǎng)期的過程，要時(shí)時(shí)刻刻打起精神，養(yǎng)成良好的習(xí)慣，不要等到數(shù)據(jù)丟失了再想方設(shè)法補(bǔ)救，可能有些重要數(shù)據(jù)的丟失就是完全失去。總結(jié)與體會(huì)數(shù)據(jù)恢復(fù)就是把遭受破壞、這種破壞可能是由硬件缺陷導(dǎo)致不可訪問或不可獲得、或由于誤操作等各種原因?qū)е聛G失的數(shù)據(jù)還原成正常數(shù)據(jù)。但數(shù)據(jù)恢復(fù)不同于數(shù)據(jù)備份，不是所有的情況都可以恢復(fù)。而且造成數(shù)據(jù)丟失的原因有很多，包括軟硬件故障、異常斷電、死機(jī)、病毒破壞、黑客入侵、誤操作、磁盤陣列損壞、口令丟失、文件結(jié)構(gòu)損壞等，均屬于數(shù)據(jù)修復(fù)的范疇。只有找對(duì)了原因才能針對(duì)性地做數(shù)據(jù)恢復(fù)，最大限度地保存原來的數(shù)據(jù)。數(shù)據(jù)恢復(fù)并不是簡(jiǎn)簡(jiǎn)單單地進(jìn)行數(shù)據(jù)恢復(fù)就可以，還要周全地考慮數(shù)據(jù)的備份、殺毒，甚至是預(yù)先還要準(zhǔn)備還放置恢復(fù)的數(shù)據(jù)的存儲(chǔ)設(shè)備等。數(shù)據(jù)恢復(fù)也不是對(duì)所有情況都能恢復(fù)，也不是所有的文