效率源DataCompass對于硬盤數(shù)據(jù)區(qū)壞道嚴(yán)重直接提取關(guān)

1、效率源信息安全技術(shù)有限責(zé)任公司 地址:成都市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算機(jī)研究所603 郵編:610041 效率源DataCompass 對于硬盤數(shù)據(jù)區(qū)壞道嚴(yán)重直接提取關(guān)鍵數(shù)據(jù)的數(shù)據(jù)恢復(fù)教程數(shù)據(jù)的數(shù)據(jù)恢復(fù)教程DataCompass 主要針對的故障為主要針對的故障為:1、簡單故障簡單故障:(1分區(qū)丟失(2文件丟失破壞(3病毒破壞(4誤格式化(5誤刪除(6誤克隆2、復(fù)雜故障復(fù)雜故障:(1硬盤由于固件區(qū)物理壞道,通過正常的修復(fù)方法無法修復(fù)的數(shù)據(jù)恢復(fù)(注:目前只支持日立/IBM 硬盤,其它系列的硬盤后期會(huì)陸續(xù)免費(fèi)升級支持(2硬盤固件區(qū)嚴(yán)重問題通過DataCompass 熱交換數(shù)據(jù)恢復(fù)(3被摔過有

2、輕微敲擊聲,但硬盤能夠訪問到數(shù)據(jù)區(qū)的數(shù)據(jù)恢復(fù)(4硬盤扇區(qū)有嚴(yán)重的物理壞道的數(shù)據(jù)恢復(fù)(5由于硬盤的磁頭徹底損壞,更換磁頭后不穩(wěn)定讀取、產(chǎn)生大量壞道的數(shù)據(jù)恢復(fù)效率源信息安全技術(shù)有限責(zé)任公司 地址:成都市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算機(jī)研究所603 郵編:610041 (6磁頭本身不穩(wěn)定或者電機(jī)本身不穩(wěn)定的數(shù)據(jù)恢復(fù)(7硬盤大量壞道、由于更換磁頭以后產(chǎn)生的磁頭不穩(wěn)定或者大量壞道需要快速獲取指定數(shù)據(jù)的數(shù)據(jù)恢復(fù)(8需要全盤數(shù)據(jù)的數(shù)據(jù)恢復(fù),即硬盤鏡像DataCompass 不能直接處理的情況不能直接處理的情況:如果硬盤物理上有徹底完全損壞的情況,DataCompass 是不能直接進(jìn)行數(shù)據(jù)恢復(fù)的。下邊列舉

3、一些不能直接通過DataCompass 進(jìn)行數(shù)據(jù)恢復(fù)的情況:硬盤電路板有問題硬盤磁頭徹底損壞硬盤電機(jī)徹底損壞硬盤盤片數(shù)據(jù)介質(zhì)層有嚴(yán)重劃傷硬盤被做過全盤清零或目標(biāo)數(shù)據(jù)區(qū)被覆蓋無法查看到數(shù)據(jù)區(qū)數(shù)據(jù)的情況本教程以日立硬盤(MODEL:HTS424040M9AT00,SN:Q2JE8JKL做數(shù)據(jù)恢復(fù)為例。首先對硬盤的外觀進(jìn)行檢測,查看盤體是否有撞擊、開盤等情況,并且可以向客戶詢問相關(guān)情況,檢查硬盤螺絲是否有被擰開過的痕跡,這主要是了解硬盤是否已被人開啟過;詳細(xì)觀查盤體上有沒有明顯的物理損壞痕跡,這樣的損壞不是軟件能夠修復(fù)的。所以在通電前效率源信息安全技術(shù)有限責(zé)任公司 地址:成都市一環(huán)路南二段中國科學(xué)院

4、成都分院計(jì)算機(jī)研究所603 郵編:610041 一定要做好這些方面的詳細(xì)檢查。硬盤的電路板是硬盤故障的高發(fā)區(qū)。因?yàn)殡娐钒蹇赡鼙粺龤?、被更換、或者是電路板上的電子器件損壞等等。我們拿到硬盤后首先要確定硬盤的電路板是否是硬盤的原配電路板。這是一個(gè)非常重要的步驟,很多問題往往都是由于電路板不是硬盤的原配電路板造成的。之后還要檢查硬盤的電路板有無明顯的原器件燒毀現(xiàn)象,一般可以通過聞電路板有沒有燒焦的氣味來判斷。如果電路板原器件被燒毀,那么也會(huì)導(dǎo)致硬盤無法正常工作,這屬于物理損壞的范疇,需通過更換匹配的電路板等方法來先解決。硬盤標(biāo)簽是在沒有接入程序前判斷硬盤型號以及各項(xiàng)參數(shù)的重要標(biāo)志。現(xiàn)在市場上充斥著許

5、多的假標(biāo)硬盤,而這些假標(biāo)會(huì)嚴(yán)重誤導(dǎo)技術(shù)人員,所以必須要掌握一定的識別假標(biāo)盤的技巧。通常假標(biāo)盤的標(biāo)簽都相當(dāng)?shù)拇植?假標(biāo)盤的標(biāo)簽所反映的信息一般是不完整的。假標(biāo)硬盤的標(biāo)簽一般都是手工貼上去的,在硬盤的邊緣會(huì)露出手工操作的不精確位置,這也是判斷假標(biāo)的重要依據(jù)。還可以在檢查完硬盤的電路板以及確定硬盤大致無物理損傷后進(jìn)入程序,通過程序來確定硬盤的具體參數(shù)型號。判斷硬盤的標(biāo)簽情況可以在平時(shí)的修盤過程中多總結(jié)觀察,經(jīng)驗(yàn)自會(huì)慢慢養(yǎng)成!檢測結(jié)果為該硬盤外觀完好,沒有開過盤的跡象,P CB 電路板也看不出看有明顯的燒毀痕跡。效率源信息安全技術(shù)有限責(zé)任公司 地址:成都市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算機(jī)研究所60

6、3 郵編:610041 硬盤表現(xiàn)出來的現(xiàn)象:把此硬盤直接連到電腦作為從盤,打開電腦的電源,在COMS 下邊可以正常識別到此硬盤的相關(guān)參數(shù);但是,進(jìn)入操作系統(tǒng)的速度非常慢,基本上不能正常進(jìn)入操作系統(tǒng),由于速度太慢,我們關(guān)掉電腦的電源,把硬盤取下來,先啟動(dòng)操作系統(tǒng),通過移動(dòng)硬盤的接線方式連接到電腦的U SB 口上,其現(xiàn)象是鼠標(biāo)失去控制,所有程序失去響應(yīng)。操作系統(tǒng)表現(xiàn)出假死機(jī)的現(xiàn)象,主機(jī)的系統(tǒng)分區(qū)也看不到。 初步判斷,硬盤應(yīng)該是數(shù)據(jù)區(qū)壞道比較嚴(yán)重,為了更直觀的查看硬盤的數(shù)據(jù)區(qū)損壞情況,將此硬盤掛從盤,啟動(dòng)電腦進(jìn)入DOS 模式下,使用MHDD 軟件來掃描壞道:效率源信息安全技術(shù)有限責(zé)任公司 地址:成都

7、市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算機(jī)研究所603 郵編:610041 從掃描的過程來看,此盤的壞道非常嚴(yán)重,有大量紅綠塊和X ;綠塊代表存取速度較慢,紅塊代表此處讀取很困難, X 是代表有壞道或者有錯(cuò)誤的地方,從前邊的情況分析來看,將此盤直接掛從盤拷數(shù)據(jù)基本上是不可能的,因?yàn)椴僮飨到y(tǒng)在啟動(dòng)以后,會(huì)自動(dòng)檢查所有硬件設(shè)備,當(dāng)發(fā)現(xiàn)硬盤驅(qū)動(dòng)器的時(shí)候,會(huì)去讀取硬盤的所有分區(qū)信息,但是一旦遇到有壞扇區(qū),就會(huì)不斷的去循環(huán)讀取損壞的扇區(qū),導(dǎo)致整效率源信息安全技術(shù)有限責(zé)任公司 地址:成都市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算機(jī)研究所603 郵編:610041 個(gè)系統(tǒng)處于死循環(huán)中,從而造成系統(tǒng)崩潰。通過客戶反饋的

8、信息,了解到了此盤詳細(xì)的重要數(shù)據(jù)的存放位置和文件大概的容量。介于此種情況,我們使用DataCompass 來進(jìn)行此硬盤的重要數(shù)據(jù)的快速提取。首先,把DATACOM P ASS 正確連接到電腦上,數(shù)據(jù)原盤正確的連接到DATACOM P ASS 上,此處以移動(dòng)硬盤的方式將影子硬盤連接好。DATACOM P ASS 可以操作在任意的筆記本和臺式機(jī)電腦上,連接圖可以參見下圖的接線 方式:啟動(dòng)DATACOM P ASS 底層控制軟件,進(jìn)入Ha rdw a re Co n t rl 控制面板:效率源信息安全技術(shù)有限責(zé)任公司 地址:成都市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算機(jī)研究所603 郵編:610041

9、打開控制面板上的電源開關(guān),等待硬盤的狀態(tài)R EAD Y 。打開數(shù)據(jù)原硬盤的讀取功能:效率源信息安全技術(shù)有限責(zé)任公司 地址:成都市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算機(jī)研究所603 郵編:610041 “E n a ble Wri t e”是對原盤的寫操作控制。在數(shù)據(jù)恢復(fù)的過程中,保證原盤的絕對原始性是很重要的,DATACOM P ASS 保留了對原盤的寫入功能,但是必須要同時(shí)滿足兩個(gè)條件:1、 手動(dòng)打開對原盤寫入功能2、 關(guān)閉影子功能,因?yàn)槿绻白颖P功能打開,寫入的數(shù)據(jù)是寫到影子盤里邊,而不會(huì)寫到數(shù)據(jù)原盤上。通常情況下,不建議對數(shù)據(jù)原盤進(jìn)行寫入數(shù)據(jù)操作。效率源信息安全技術(shù)有限責(zé)任公司 地址:成都

10、市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算機(jī)研究所603 郵編:610041 “E n a ble U DMA ”功能將控制對數(shù)據(jù)原盤的讀取模式,默認(rèn)情況下是使用“P IO ”,打開這個(gè)功能以后就使用“U DMA ”模式。U DMA 是高速數(shù)據(jù)讀取模式。對于壞道比較多的盤,建議使用P IO 模 式。底層控制程序提供了多組設(shè)置來對數(shù)據(jù)原盤壞道的讀取控制,包效率源信息安全技術(shù)有限責(zé)任公司 地址:成都市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算機(jī)研究所603 郵編:610041 括:延遲時(shí)間讀、重復(fù)次數(shù)、軟復(fù)位次數(shù)、硬復(fù)位次數(shù)、關(guān)電開電復(fù)位次數(shù)等控制讀取流程設(shè)置如下圖所示 :“W a i t ing f o r

11、re a dine ss t i m e”延遲時(shí)間讀取:讀取扇區(qū)的時(shí)間不得超過規(guī)定的延遲時(shí)間。要是超過了這個(gè)規(guī)定的延遲讀取時(shí)間,系統(tǒng)將認(rèn)為讀取數(shù)據(jù)不成功,并以0x 40返回?！癛e t ry t i m e s ”重復(fù)讀取次數(shù):重復(fù)讀取次數(shù)就是在規(guī)定的延遲讀取時(shí)間范圍內(nèi)失敗后,為了獲取該扇區(qū)的數(shù)據(jù),再重新讀取該扇區(qū)的次數(shù),每讀取一次的最長時(shí)間都不得超過規(guī)定的延遲讀取時(shí)間 “So f t Re s e t t i m e s ”軟復(fù)位次數(shù):在重復(fù)讀取多次以后,都不能正確獲取到數(shù)據(jù),然后在讀取下一個(gè)扇區(qū)時(shí),仍然失去響應(yīng),不能正確獲取到有效數(shù)據(jù),系統(tǒng)則會(huì)自動(dòng)執(zhí)行軟復(fù)位操作發(fā)送重置指令效率源信息安全技

12、術(shù)有限責(zé)任公司 地址:成都市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算機(jī)研究所603 郵編:610041 “Ha rd Re s e t t i m e s ”硬復(fù)位次數(shù):在達(dá)到軟復(fù)位設(shè)定的次數(shù)后,硬盤仍然失去響應(yīng),在硬盤不掉電的情況下,數(shù)據(jù)指南針控制器發(fā)送一個(gè)電源信號進(jìn)行復(fù)位?！癙 o wer s u pp ly Re s e t t i m e s ”電源復(fù)位次數(shù):在達(dá)到硬復(fù)位次數(shù)以后,硬盤仍然失去響應(yīng),不能及時(shí)就緒,則數(shù)據(jù)指南針控制器就將進(jìn)行電源復(fù)位,所謂的電源復(fù)位就是指數(shù)據(jù)指南針控制器將停止給源硬盤供電,然后再重新給源硬盤開啟電源。對于一般的用戶來說,是不需要關(guān)心參數(shù)的設(shè)置問題,只需要使用參數(shù)

13、默認(rèn)的設(shè)定值就完全可以了。對于少數(shù)特殊情況的硬盤,如硬盤的壞道特別嚴(yán)重等,可以根據(jù)自己平時(shí)數(shù)據(jù)恢復(fù)的經(jīng)驗(yàn)去修改默認(rèn)設(shè)定值,在平時(shí)的數(shù)據(jù)恢復(fù)過程中,通常情況下,建議使用默認(rèn)設(shè)定值。因?yàn)檫@些默認(rèn)設(shè)定值都是經(jīng)過效率源開發(fā)人員大量實(shí)際操作中研究得出的理想結(jié)果。點(diǎn)擊“D ef a ul t S e tt ing”后,再點(diǎn)“Sa v e”保存設(shè)置,“Re sta r t ”復(fù)位以后就可以馬上生效。可以設(shè)定隱藏LBA 為0值,表示將從磁盤的0拄面0磁頭1扇區(qū)(C/H/S 為0/0/1,即磁盤的第一個(gè)扇區(qū)開始,也可以將隱藏LBA 的值設(shè)為小于磁盤總的LBA 值的任意非負(fù)值,則表示將跳過前面隱藏的扇區(qū),直接從隱

14、藏的LBA 值開始讀取數(shù)據(jù)。屏蔽1扇區(qū)的效率源信息安全技術(shù)有限責(zé)任公司 地址:成都市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算機(jī)研究所603 郵編:610041 目的:可以防止操作系統(tǒng)讀取原盤的分區(qū),造成系統(tǒng)被卡死或操作系統(tǒng)反應(yīng)慢,此功能通常情況下用在硬盤壞道比較 嚴(yán)重的情況。如果硬盤不能正常讀取,建議客戶手動(dòng)把LBA 值改為硬盤的實(shí)際容量,因?yàn)槿绻J(rèn)的LBA 值比硬盤實(shí)際LBA 值小的話,那么程序只能讀取到設(shè)定的LBA 值范圍內(nèi)的內(nèi)容。比如假設(shè)我們是一個(gè)500G 的故障硬盤,不能正常識別,通過虛擬技術(shù)以后,如果不手動(dòng)修改對應(yīng)的LBA 值,那么程序只能讀取前默認(rèn)的128G 的內(nèi)容,后面剩余容量則無法

15、讀取。反之如果默認(rèn)LBA 值大于硬盤實(shí)際容量,則不修改也無大礙,后邊的LBA 將無內(nèi)容。點(diǎn)Tota l LBA,從硬盤上獲取硬盤的真實(shí)容量。效率源信息安全技術(shù)有限責(zé)任公司 地址:成都市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算機(jī)研究所603 郵編:610041 由于該盤的壞道嚴(yán)重,為了保險(xiǎn)起見,還是把影子硬盤加載好,這樣可以最大限度減少對原盤的讀取次數(shù),保護(hù)原盤,避免硬盤壞道造成的卡死等問題。當(dāng)然如果知道硬盤并沒有多少壞道,也可以不打開影子功能,提高數(shù)據(jù)拷貝的速度。影子技術(shù)是不同于傳統(tǒng)的磁盤鏡像技術(shù),影子盤所起的作用不是簡單地作為源盤的鏡像盤,并不是將源盤的數(shù)據(jù)作一對一的強(qiáng)力復(fù)制到影子盤。傳統(tǒng)的鏡像技

16、術(shù)并且只能是在鏡像建立完成后,才能再對鏡像盤進(jìn)行數(shù)據(jù)恢復(fù)。但在這里,采用的影子技術(shù)是無須等到影子建立完成后再進(jìn)行數(shù)據(jù)恢復(fù),他們是同時(shí)進(jìn)行的,并且影子技術(shù)不是直接從影子盤上進(jìn)行數(shù)據(jù)恢復(fù),而是直接對源盤上進(jìn)行恢復(fù),在恢復(fù)的時(shí)候,首先檢查源盤的LBA 值是否已經(jīng)建立了影子,若已經(jīng)建立了就效率源信息安全技術(shù)有限責(zé)任公司 地址:成都市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算機(jī)研究所603 郵編:610041 直接從影子盤上讀取數(shù)據(jù),若是沒有建立影子,則直接從源盤上讀取數(shù)據(jù),并根據(jù)讀取的結(jié)果再判定是否建立影子。從傳統(tǒng)的鏡像技術(shù)的角度來看,鏡像必須是完全建立成功后才能再恢復(fù)數(shù)據(jù),并且對中間部分有壞道的LBA 值的

17、數(shù)據(jù)不能讀出的處理是相當(dāng)脆弱的,甚至影響到并不是壞道的數(shù)據(jù)恢復(fù)。采用影子技術(shù)就不會(huì)存在這種問題,對讀取失敗的LBA 值并不建立影子,只是對該值的數(shù)據(jù)做了特殊處理,全部填充0x 40用于欺騙系統(tǒng)不要進(jìn)行自動(dòng)掃描磁盤,避免系統(tǒng)讀壞道卡死的問題。使用影子技術(shù)的好處還在于操作極其方便、簡單,可以讓用戶任意設(shè)定LBA 的范圍建立影子,若在一定的時(shí)間內(nèi)沒有建完,可以任意關(guān)閉程序,在下次有時(shí)間時(shí)再操作,對已經(jīng)建立了影子的地方就是不會(huì)重新在建立影子了,直接讀取數(shù)據(jù),只會(huì)對沒有建立影子的LBA 值進(jìn)行讀取并創(chuàng)建影子。選擇影子盤,特別指出對影子盤的要求:1. 建議選擇容量大于等于數(shù)據(jù)原盤的硬盤做影子盤。2. 確定

18、磁盤作為影子盤前,請務(wù)必先將影子盤中的數(shù)據(jù)備份,避免造成沒有必要的損失。3、所選擇的影子硬盤一定要保證沒有壞道,完好,否則會(huì)影響數(shù)據(jù)恢復(fù)的成功率。進(jìn)入S h a d o w D i s k 控制面板,在S h a d o w D i s k 中選擇影子盤。系統(tǒng)會(huì)自動(dòng)屏蔽掉當(dāng)前的操作系統(tǒng)盤。效率源信息安全技術(shù)有限責(zé)任公司 地址:成都市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算機(jī)研究所603 郵編:610041 選中影子盤以后,”I ni t i a li z e S h a d o w D i s k ”這個(gè)按扭就可以使用了?！癐 ni t i a li z e S h a d o w D i s k

19、”是初始化影子盤,對于每一個(gè)需要數(shù)據(jù)恢復(fù)的壞盤在第一次做數(shù)據(jù)的時(shí)候,程序只需要初始化一次即可。注:如果是第一次建立影子盤,需要初始化;如果是一次沒做完,第二次接著做,只需要將影子盤關(guān)閉,第二次接著做點(diǎn)擊打開影子盤,即可,因?yàn)橹白x取的數(shù)據(jù)已經(jīng)在影子盤中建立了索引,重新開始后程序會(huì)自動(dòng)讀取影子硬盤上已有的數(shù)據(jù),減少對故障原盤讀取的同時(shí),節(jié)省大量的時(shí)間。效率源信息安全技術(shù)有限責(zé)任公司 地址:成都市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算機(jī)研究所603 郵編:610041 點(diǎn)擊初始化影子盤以后,程序?qū)延白颖P初始化三部分:1、保留區(qū);2、索引區(qū);3、影 子數(shù)據(jù)區(qū);影子盤初始化完成以后,可以設(shè)置影子盤與源盤

20、對應(yīng)的范圍,在效率源信息安全技術(shù)有限責(zé)任公司 地址:成都市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算機(jī)研究所603 郵編:610041 “Sta r t LBA ”中輸入原盤的開始位置,“E nd LBA ”中輸入原盤的結(jié)束位置?！癝 h a d o w D i s k La bel”可以對該影子盤建立標(biāo)簽,以便于區(qū)分不同的影 子盤。點(diǎn)擊“E n a ble S h a d o w D i s k ”就可以開啟影子的功能,從原盤讀取的所有扇區(qū)都會(huì)在影子硬盤上寫入一份 。效率源信息安全技術(shù)有限責(zé)任公司 地址:成都市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算機(jī)研究所603 郵編:610041 影子技術(shù),針對磁頭和

21、扇區(qū)不穩(wěn)定情況,最大限度減少對源盤的讀操作,從而有效解決磁頭頻繁讀寫和劃傷扇區(qū)的二次損傷問題。建立影子完成以后,進(jìn)入S e c to r V iew 面板,可以查看硬盤任意扇區(qū)內(nèi)容。查看數(shù)據(jù)的目的,主要是確定該盤是否能讀取數(shù)據(jù),是否還存在固件級的問題。比如:硬盤能就緒,但是相關(guān)固件模塊有損壞,不能看到數(shù)據(jù),日立硬盤能夠就緒,但是N V R OM 有問題或者不匹配,等等。這些都是不能直接拷取數(shù)據(jù)的,所以需要通過扇區(qū)查看來最后確認(rèn)是否以能進(jìn)行數(shù)據(jù)提取。在DEC 框或HE X 框中輸入要查看扇區(qū)的LBA 地址,DEC 表示十進(jìn)制數(shù),HE X 表示16進(jìn)制數(shù)。任意在一框中輸入數(shù)據(jù),系統(tǒng)會(huì)在另一框中顯示

22、出對應(yīng)的數(shù)值來 。當(dāng)查看到的數(shù)據(jù)全是4040時(shí),表示當(dāng)前訪問的扇區(qū)是壞的,讀不出數(shù)據(jù)來,系統(tǒng)默認(rèn)以4040顯示。效率源信息安全技術(shù)有限責(zé)任公司 地址:成都市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算機(jī)研究所603 郵編:610041 當(dāng)確定查看到數(shù)據(jù)不全是4040,能真正讀到硬盤數(shù)據(jù)區(qū)的數(shù)據(jù)時(shí),就可以使用效率源Data Compass E x p l o rer 來拷取數(shù)據(jù)了。點(diǎn)擊面板上的“DC E x p l o rer”,系統(tǒng)自動(dòng)起用上層的數(shù)據(jù)恢復(fù)程序,或在安裝目錄下雙擊DCE XP .E X E 也是一樣效果 。進(jìn)入DC E XP 程序界面后,選擇F ile Re c o v ery 面板。這一

23、面板效率源信息安全技術(shù)有限責(zé)任公司 地址:成都市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算機(jī)研究所603 郵編:610041 可以直接查看系統(tǒng)分區(qū)和文件目錄,是最直觀的數(shù)據(jù)查看和提取功 能。點(diǎn)擊“Op en D i s k ”,上層數(shù)據(jù)恢復(fù)軟件,自動(dòng)查找讀取該硬盤的邏輯分區(qū)。效率源信息安全技術(shù)有限責(zé)任公司 地址:成都市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算機(jī)研究所603 郵編:610041 在很短的時(shí)間內(nèi)就正常看到硬盤的分區(qū),其原因是DCE XP 采用的是分層掃描技術(shù),首先只對硬盤的根目錄進(jìn)行掃描讀取,這樣大大縮短了讀取目錄信息的時(shí)間,客戶再根據(jù)其有用數(shù)據(jù)進(jìn)行選擇性的數(shù)據(jù)效率源信息安全技術(shù)有限責(zé)任公司 地

24、址:成都市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算機(jī)研究所603 郵編:610041 恢復(fù),一層一層向下推進(jìn),最大程度的節(jié)省了數(shù)據(jù)恢復(fù)的時(shí)間;可以直接提取文件,也可以對硬盤進(jìn)行鏡像,在做數(shù)據(jù)恢復(fù)的過程中,可以對數(shù)據(jù)源盤進(jìn)行全盤、分區(qū)、或者任意LBA 范圍內(nèi)的鏡像,鏡像的目標(biāo)可以鏡像到文件,也可以鏡像到磁盤;鏡像的過程中提供快速正向、快速反向、精確正向、精確反向等功能進(jìn)行靈活選擇,同時(shí)通過位圖技術(shù),還可以選擇快速鏡像有效數(shù)據(jù)所有讀取的分區(qū)信息將在左上方的方框中顯示?？梢酝ㄟ^點(diǎn)擊“+”“-”來控制是否顯示分區(qū)信息 。該盤只有一個(gè)分區(qū),顯示的內(nèi)容為(F AT32:LBA 63 SI Z E 7813902

25、5=38153MB。說明該分區(qū)格式為F AT32,分區(qū)開始位置為63效率源信息安全技術(shù)有限責(zé)任公司 地址:成都市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算機(jī)研究所603 郵編:610041 扇區(qū),分區(qū)大小是38153MB。雙擊該分區(qū)記錄,在其下方將顯示4個(gè)文件目錄:R OOT,DELETED,LOST,SEA R CHED。R OOT 顧名思義就是根目錄,將顯示該分區(qū)下的所有文件和目錄。 DELETED 將顯示已被刪除掉的文件LOST 顯示的是,丟失了上一級目錄的文件和文件夾SEA R CHED 顯示的是使用了S e a r ch Do c u m en t 功能以后所查看到的文件。雙擊R OOT 目

26、錄,程序自動(dòng)讀取目錄表,在右方顯示出文件目錄。效率源信息安全技術(shù)有限責(zé)任公司 地址:成都市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算機(jī)研究所603 郵編:610041 雙擊任意一個(gè)目錄就可以打開該目錄的下級文件目錄。對應(yīng)左邊的目錄樹也會(huì)相應(yīng)的變化。DCE XP 數(shù)據(jù)恢復(fù)工具,采用逐層讀取技術(shù),可以節(jié)約大量的讀盤時(shí)間,并能更直觀的查看數(shù)據(jù)。效率源信息安全技術(shù)有限責(zé)任公司 地址:成都市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算機(jī)研究所603 郵編:610041 將需要恢復(fù)的數(shù)據(jù)前的小方框打上勾以后,就表示已經(jīng)選中了該文 件。鼠標(biāo)選中需要恢復(fù)的數(shù)據(jù)以后,點(diǎn)右鍵,彈出一系統(tǒng)菜單。選擇效率源信息安全技術(shù)有限責(zé)任公司 地

27、址:成都市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算機(jī)研究所603 郵編:610041 Re c o v er Ma r k ed 將進(jìn)入文件保存選項(xiàng) 。在數(shù)據(jù)恢復(fù)選項(xiàng)中,左邊表示的是文件保存路徑,可以手動(dòng)選擇文件保存位置,也可以建立新的文件目錄。效率源信息安全技術(shù)有限責(zé)任公司 地址:成都市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算機(jī)研究所603 郵編:610041 右邊的參數(shù)選項(xiàng)依次表示為:S k i p file s w h en re a ding f a iled 當(dāng)讀取文件失敗時(shí),直接跳過該文件。S k i p file if i t h as a en t ire s e c to r o f 4

28、0 ch a r a c t er 當(dāng)讀取的扇區(qū)全是40字符時(shí),跳過該文件。效率源信息安全技術(shù)有限責(zé)任公司 地址:成都市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算機(jī)研究所603 郵編:610041 S k i p file if i t h as 00 ch a r a c t er o nly in sta r t s e 當(dāng)文件的開始扇區(qū)全為00時(shí),跳過該文件。S k i p file if i t h as in v a lid file h e a der 當(dāng)文件頭是無效的時(shí)候,跳過該文件。Re s e t po wer w h en re a ding f a iled 當(dāng)讀取文件失敗的時(shí)候,重起電源。Re t ry o n file f a iled to be re c o v erd 當(dāng)恢復(fù)數(shù)據(jù)失敗時(shí),是否重試 。在拷貝數(shù)據(jù)的時(shí)候,可以靈活運(yùn)用以上的選項(xiàng)。這樣可以節(jié)省大量的時(shí)間和提高數(shù)據(jù)恢復(fù)出來文件的打開成功率。設(shè)置完成以后,點(diǎn)OK,程序就開始恢復(fù)選取的數(shù)據(jù)。效率源信息安全技術(shù)有限責(zé)任公司 地址:成都市一環(huán)路南二段中國科學(xué)院成都分院計(jì)算