硬盤數(shù)據(jù)恢復(fù)原理與方法(上)

1、數(shù)據(jù)恢復(fù)的原理和一些常用的數(shù)據(jù)恢復(fù)方法。 硬盤使用和維護(hù)注意事項(xiàng) 1定期使用Windows自帶的磁盤整理工具Defrag或其他如Vopt、Norton Speed等磁盤碎片整理優(yōu)化工具進(jìn)行整理你的硬盤數(shù)據(jù)，一般一個(gè)月整理一次，可以提高硬盤訪問速度。即使發(fā)生不測(cè)，也可提高你的數(shù)據(jù)文件恢復(fù)概率！ 2硬盤是機(jī)電一體化的高度精密設(shè)備，盡管現(xiàn)在硬盤抗沖擊力大大提高，但為了安全和保險(xiǎn)必須輕拿輕放；在主機(jī)內(nèi)安裝時(shí)硬盤的四個(gè)固定位都應(yīng)該使用螺絲固定牢靠。開機(jī)后絕對(duì)不能移動(dòng)主機(jī)。關(guān)機(jī)1分鐘硬盤馬達(dá)停轉(zhuǎn)后，方可進(jìn)行搬動(dòng)，這也是原來的小硬盤專門有一個(gè)磁頭歸位程序，提供搬運(yùn)機(jī)器時(shí)使用的原因。硬盤指示燈正在閃亮?xí)r不可斷

2、電關(guān)機(jī)，如此操作有可能會(huì)損壞硬盤。 3正常硬盤運(yùn)行時(shí)噪聲很小，會(huì)有硬盤讀盤時(shí)均勻的“嗒嗒”聲。若你的硬盤運(yùn)行時(shí)的聲響較大或不正常，這一般是故障的前兆，此時(shí)宜及時(shí)備份重要數(shù)據(jù)以防不測(cè)！ 4使用GHOST作恢復(fù)分區(qū)時(shí)，一定要選對(duì)目標(biāo)分區(qū)，否則可能導(dǎo)致分區(qū)丟失或重要數(shù)據(jù)不能恢復(fù)。建議恢復(fù)分區(qū)前，對(duì)分區(qū)加Lable,這樣能分清目標(biāo)分區(qū)，不會(huì)導(dǎo)致你選錯(cuò)目標(biāo)分區(qū)造成不必要的損失。 5在使用Format命令格式化硬盤時(shí)，最好先使用Fdisk/Status命令查看一下硬盤的分區(qū)信息，是否存在NTFS分區(qū)，防止誤格式化丟失數(shù)據(jù)。 6要充分利用分區(qū)的特性，數(shù)據(jù)文件一般不要放在C區(qū)和系統(tǒng)區(qū)，因?yàn)镃區(qū)和系統(tǒng)區(qū)屬事故多

3、發(fā)區(qū)。 硬盤數(shù)據(jù)丟失的原因 1軟件故障的類型 受病毒感染；誤格式化或誤分區(qū)；誤克??；誤刪除或覆蓋；黑客軟件人為破壞；零磁道損壞；硬盤邏輯鎖；操作時(shí)斷電；意外電磁干擾造成數(shù)據(jù)丟失或破壞；系統(tǒng)錯(cuò)誤或癱瘓?jiān)斐晌募G失或破壞。 軟件現(xiàn)象一般表現(xiàn)為操作系統(tǒng)丟失，無法正常啟動(dòng)系統(tǒng)，磁盤讀寫錯(cuò)誤，找不到所需要的文件、文件打不開、文件打開后亂碼，硬盤沒有分區(qū)、提示某個(gè)硬盤分區(qū)沒有格式化等。 2硬件故障的類型 磁盤劃傷；磁頭變形；磁臂斷裂；磁頭放大器損壞；芯片組或其它元器件損壞。 硬件故障一般表現(xiàn)為系統(tǒng)不認(rèn)硬盤，常有一種“咔嚓咔嚓”的磁組撞擊聲或電機(jī)不轉(zhuǎn)、通電后無任何聲音、磁頭定們不準(zhǔn)造成讀寫錯(cuò)誤等現(xiàn)象。一些具

4、體的表現(xiàn)如下： 開機(jī)時(shí)，系統(tǒng)沒有找到硬盤，同時(shí)也沒有任何錯(cuò)誤提示。注意有的主板在硬盤出現(xiàn)故障時(shí)會(huì)給出相應(yīng)的提示信息和提示代碼。我們?cè)谂懦脖P的供電正常，電源線連接無誤，數(shù)據(jù)線安裝正確，數(shù)據(jù)線沒有質(zhì)量問題時(shí)，也就可以確定是硬盤壞了。 啟動(dòng)系統(tǒng)時(shí)間特別長(zhǎng)，或讀取某個(gè)文件，運(yùn)行某個(gè)軟件時(shí)經(jīng)常出錯(cuò)，或者要經(jīng)過很長(zhǎng)時(shí)間才能操作成功，其間硬盤不斷讀盤并發(fā)出刺耳的雜音，這種現(xiàn)象意味著硬盤的盤面或硬盤的定位機(jī)構(gòu)出現(xiàn)問題。 經(jīng)常出現(xiàn)系統(tǒng)癱瘓或者死機(jī)藍(lán)屏，但是硬盤重新格式化后，再次安裝系統(tǒng)一切正常。這種情況是因?yàn)橛脖P的磁頭放大器和數(shù)據(jù)糾錯(cuò)電路性能不穩(wěn)定，造成數(shù)據(jù)經(jīng)常丟失。 開機(jī)時(shí)系統(tǒng)不能通過硬盤引導(dǎo)，軟盤啟動(dòng)后可

5、以轉(zhuǎn)到硬盤盤符，但無法進(jìn)入，用SYS命令傳導(dǎo)系統(tǒng)也不能成功。這種情況比較嚴(yán)重，因?yàn)楹苡锌赡苁怯脖P的引導(dǎo)扇區(qū)出了問題。 或者是無法重新分區(qū)，也可能是重新分區(qū)后的信息無法寫入主引導(dǎo)扇區(qū)。 一直能夠正常使用，但是突然有一天，硬盤在正常使用過程中出現(xiàn)異響，接著找不到硬盤。但是在停機(jī)一段時(shí)間以后，再次開機(jī)時(shí)還能找到硬盤，并且能夠正常啟動(dòng)系統(tǒng)。當(dāng)出現(xiàn)這種情況時(shí)，如果硬盤上有重要數(shù)據(jù)時(shí)，一定在最短的時(shí)間內(nèi)把數(shù)據(jù)備份出來，防止硬盤徹底報(bào)廢時(shí)丟失重要數(shù)據(jù)。 磁盤數(shù)據(jù)格式的相關(guān)知識(shí) 上述的各種原因都可能導(dǎo)致硬盤或軟盤上的數(shù)據(jù)損壞或丟失，使部分(或全部數(shù)據(jù)無法讀出和使用。數(shù)據(jù)恢復(fù)就是使用各種軟件和硬件的技術(shù)方法把數(shù)

6、據(jù)重新找回，使寶貴的信息得以重新使用。 說到數(shù)據(jù)恢復(fù)，我們就不得不提到硬盤的數(shù)據(jù)結(jié)構(gòu)、文件的存儲(chǔ)原理，甚至操作系統(tǒng)的啟動(dòng)流程，這些是你在恢復(fù)硬盤數(shù)據(jù)時(shí)必須使用的基本知識(shí)。即使你不需要恢復(fù)數(shù)據(jù)，了解這些知識(shí)（即使只是稍微多知道一些），對(duì)于你平時(shí)的電腦操作和應(yīng)用也是很有幫助的。 硬盤的文件系統(tǒng)結(jié)構(gòu) 初買來一塊硬盤，我們是沒有辦法使用的，你需要將它分區(qū)、格式化，然后再安裝上操作系統(tǒng)才可以使用。就拿我們一直沿用到現(xiàn)在的Win9x/Me系列來說，我們一般要將硬盤分成主引導(dǎo)扇區(qū)、操作系統(tǒng)引導(dǎo)扇區(qū)、FAT表、DIR目錄區(qū)和Data數(shù)據(jù)區(qū)等五部分。我們通常所說的主引導(dǎo)扇區(qū)MBR在一個(gè)硬盤中是是唯一的，MBR區(qū)

7、的內(nèi)容只有在硬盤啟動(dòng)時(shí)才讀取其內(nèi)容，然后駐留內(nèi)存。其它幾項(xiàng)內(nèi)容隨你的硬盤分區(qū)數(shù)的多少而異。 主引導(dǎo)扇區(qū)（MBR） 主引導(dǎo)扇區(qū)位于整個(gè)硬盤的0磁道0柱面1扇區(qū)，包括硬盤主引導(dǎo)記錄MBR（Main Boot Record）和分區(qū)表DPT（Disk Partition Table）。其中主引導(dǎo)記錄的作用就是檢查分區(qū)表是否正確以及判別哪個(gè)分區(qū)為可引導(dǎo)分區(qū)，并在程序結(jié)束時(shí)把該分區(qū)的啟動(dòng)程序（也就是操作系統(tǒng)引導(dǎo)扇區(qū)）調(diào)入內(nèi)存加以執(zhí)行。 分區(qū)表（DPT） 在主引導(dǎo)區(qū)中，從地址BE開始，到FD結(jié)束為 止的64個(gè)字節(jié)中的內(nèi)容就是通常所說的分區(qū)表。分區(qū)表以80H或00H為開始標(biāo)志，以55AAH為結(jié)束標(biāo)志，每個(gè)分區(qū)

8、占用16個(gè)字節(jié)，一個(gè)硬盤最多只能分成四個(gè)主分區(qū)，其中擴(kuò)展分區(qū)也是一個(gè)主分區(qū)。隨著硬盤容量的迅速擴(kuò)大，引入的擴(kuò)展分區(qū)可以不受四個(gè)主分區(qū)的限制，把硬盤分區(qū)數(shù)擴(kuò)展到“Z”。 值得一提的是，MBR是由分區(qū)程序（例如DOS的Fdisk.exe）產(chǎn)生的，不同的操作系統(tǒng)可能這個(gè)扇區(qū)的內(nèi)容代碼是不相同，但是實(shí)現(xiàn)的功能只有一個(gè)，使其中的一個(gè)活動(dòng)分區(qū)獲得控制區(qū)，正常啟動(dòng)系統(tǒng)。 。 (在D盤，E盤前面都有一個(gè)粉紅色的扇區(qū)，就是所謂的擴(kuò)展分區(qū)表所在的位置，其后的62個(gè)扇區(qū)空閑，共同占有一個(gè)隱含磁道。） 主分區(qū)是一個(gè)比較單純的分區(qū)，通常位于硬盤的最前面一塊區(qū)域中，構(gòu)成邏輯C磁盤。在主分區(qū)中，不允許再建立其它邏輯磁盤。也

9、可以通過分區(qū)軟件，在分區(qū)的最后建立主分區(qū)，或在磁盤的中部建立主分區(qū)。 擴(kuò)展分區(qū)的概念則比較復(fù)雜，也是造成分區(qū)和邏輯磁盤混淆的主要原因。由于硬盤僅僅為分區(qū)表保留了64個(gè)字節(jié)的存儲(chǔ)空間，而每個(gè)分區(qū)的參數(shù)占據(jù)16個(gè)字節(jié)，故主引導(dǎo)扇區(qū)中總計(jì)可以存儲(chǔ)4個(gè)分區(qū)的數(shù)據(jù)。操作系統(tǒng)只允許存儲(chǔ)4個(gè)分區(qū)的數(shù)據(jù)，如果說邏輯磁盤就是分區(qū)，則系統(tǒng)最多只允許4個(gè)邏輯磁盤。對(duì)于具體的應(yīng)用，4個(gè)邏輯磁盤往往不能滿足實(shí)際需求。為了建立更多的邏輯磁盤供操作系統(tǒng)使用，系統(tǒng)引入了擴(kuò)展分區(qū)的概念。 所謂擴(kuò)展分區(qū)，嚴(yán)格地講它不是一個(gè)實(shí)際意義的分區(qū)，它僅僅是一個(gè)指向下一個(gè)分區(qū)的指針，這種指針結(jié)構(gòu)將形成一個(gè)單向鏈表。這樣在主引導(dǎo)扇區(qū)中除了主分

10、區(qū)外，僅需要存儲(chǔ)一個(gè)被稱為擴(kuò)展分區(qū)的分區(qū)數(shù)據(jù)，通過這個(gè)擴(kuò)展分區(qū)的數(shù)據(jù)可以找到下一個(gè)分區(qū)（實(shí)際上也就是下一個(gè)邏輯磁盤）的起始位置，以此起始位置類推可以找到所有的分區(qū)。無論系統(tǒng)中建立多少個(gè)邏輯磁盤，在主引導(dǎo)扇區(qū)中通過一個(gè)擴(kuò)展分區(qū)的參數(shù)就可以逐個(gè)找到每一個(gè)邏輯磁盤。 需要特別注意的是，由于主分區(qū)之后的各個(gè)分區(qū)是通過一種單向鏈表的結(jié)構(gòu)來實(shí)現(xiàn)鏈接的，因此，若單向鏈表發(fā)生問題，將導(dǎo)致邏輯磁盤的丟失。這就是當(dāng)硬盤被CIH病毒破壞后，我們可以通過KV3000的F10功能來找到丟失的D，E及以后的邏輯分區(qū)的原因。 操作系統(tǒng)引導(dǎo)扇區(qū)（OBR） OBR（OS Boot Record）即操作系統(tǒng)引導(dǎo)扇區(qū)，通常位于硬盤

11、的0磁道1柱面1扇區(qū)（這是對(duì)于DOS來說的，對(duì)于那些以多重引導(dǎo)方式啟動(dòng)的系統(tǒng)則位于相應(yīng)的主分區(qū)/擴(kuò)展分區(qū)的第一個(gè)扇區(qū)），是操作系統(tǒng)可直接訪問的第一個(gè)扇區(qū)，它也包括一個(gè)引導(dǎo)程序和一 據(jù)清除，只是重寫了FAT表而已，除非你使用了“Format X: /U”命令，強(qiáng)制對(duì)每一扇區(qū)寫“F6”。 至于硬盤分區(qū)，也只是修改了MBR和OBR，絕大部分的DATA區(qū)的數(shù)據(jù)并沒有被改變，這也是許多硬盤數(shù)據(jù)能夠得以修復(fù)的原因。但即便如此，MBR，OBR，F(xiàn)AT，DIR之一被破壞的話，我們的數(shù)據(jù)也無法正常讀取。 需要提醒大家的是，如果你經(jīng)常整理磁盤，那么你的數(shù)據(jù)區(qū)的數(shù)據(jù)可能是連續(xù)的，這樣即使MBR/FAT/DIR全部壞

12、了，我們也可以使用磁盤編輯軟件（比如DOS下的DiskEdit，DDD，KV3000，EasyRevoery等），只要找到一個(gè)文件的起始保存位置，那么這個(gè)文件就有可能被恢復(fù)。 數(shù)據(jù)恢復(fù)的原理 我們?cè)诹私饬藬?shù)據(jù)在磁盤上存儲(chǔ)格式后，我們就會(huì)明白為什么數(shù)據(jù)在被刪除后還能夠再次被找回來的原因。 一塊新的硬盤在買回來后，必須首先分區(qū)，再用Format對(duì)相應(yīng)的分區(qū)實(shí)行格式化，這樣以后我們才能在這個(gè)硬盤存儲(chǔ)數(shù)據(jù)。硬盤的分區(qū)就象是對(duì)一塊地方建倉庫，每個(gè)倉庫就好比是一個(gè)分區(qū)。格式化就好比是為了在倉庫內(nèi)存放東西，必須有貨架來規(guī)定相應(yīng)的位置。我們有時(shí)接觸到的引導(dǎo)分區(qū)就是倉庫大門號(hào)，上面要記載這個(gè)分區(qū)的容量的性質(zhì)及相

13、關(guān)的引導(dǎo)啟動(dòng)信息。FAT表就好比是倉庫的貨架號(hào)，目錄表就好比是倉庫的帳簿。如果我們需要找某一物品時(shí)，就需要先查找?guī)つ浚俚侥骋回浖苌先|西。正常的文件讀取也是這個(gè)原理，先讀取某一分區(qū)的BPB參數(shù)至內(nèi)存，當(dāng)需要讀取某一文件時(shí)，就先讀取文件的目錄表，找到相對(duì)應(yīng)文件的首扇區(qū)和FAT表的入口后，再從FAT表中找到后續(xù)扇區(qū)的相應(yīng)鏈接，移動(dòng)磁臂到對(duì)應(yīng)的位置進(jìn)行文件讀取，就完成了某一個(gè)文件的讀寫操作。 文件的讀?。≧ead 操作系統(tǒng)從目錄區(qū)中讀取文件信息（包括文件名、后綴名、文件大小、修改日期和文件在數(shù)據(jù)區(qū)保存的第一個(gè)簇的簇號(hào)），我們這里假設(shè)第一個(gè)簇號(hào)是0028。 操作系統(tǒng)從0028簇讀取相應(yīng)的數(shù)據(jù)，然后再

14、找到FAT的0023單元，如果此外的內(nèi)容是文件結(jié)束標(biāo)志“FF”，則表示文件結(jié)束，否則從該處讀取下一個(gè)簇號(hào)，再讀取相應(yīng)單元的內(nèi)容，這樣重復(fù)下去直到遇到文件結(jié)束標(biāo)志。 文件的寫入(Write 當(dāng)我們要保存文件時(shí)，操作系統(tǒng)首先在DIR區(qū)中找到空閑區(qū)寫入文件名、大小和創(chuàng)建時(shí)間等相應(yīng)信息，然后在數(shù)據(jù)DATA區(qū)找出空閑區(qū)域?qū)⑽募４?，再將Data區(qū)的第一個(gè)簇寫入DIR區(qū)，同時(shí)完成FAT表的填寫，具體的動(dòng)作和文件讀取動(dòng)作差不多。 文件的刪除(Delete Win9X操作系統(tǒng)的文件刪除工作卻是很簡(jiǎn)單的，只是將目錄區(qū)中該文件的第一個(gè)字符改為“E5”來表示 該文件已經(jīng)刪除，同時(shí)改寫引導(dǎo)扇區(qū)的第二個(gè)扇區(qū)中表示該分區(qū)點(diǎn)用空間大小的相應(yīng)信息。 Fdisk的使用 和文件的刪除類似，利用Fdisk刪除再建立分區(qū)和利用Format格式化邏輯磁盤（假設(shè)你格式化的時(shí)候并沒有使用/U這個(gè)無條件格式化參數(shù)）都沒有將數(shù)據(jù)從DATA區(qū)直接刪除，前者只是改變了分區(qū)表，后者只是修改了FAT表，因此被誤刪除的分區(qū)和誤格式化的硬盤完全有可能恢復(fù) Fdisk /MBR可以用來再建主引導(dǎo)區(qū)，可以在使用光盤或軟盤啟動(dòng)系統(tǒng)后，使用該命令來去除