數(shù)據(jù)恢復技術詳解-課件

數(shù)據(jù)恢復技術專題1：數(shù)據(jù)恢復數(shù)據(jù)恢復技術內(nèi)容29/19/2023數(shù)據(jù)恢復技術數(shù)據(jù)恢復的定義和原理數(shù)據(jù)恢復技術分類介紹主引導記錄的恢復分區(qū)的恢復0磁道損壞的恢復硬盤邏輯鎖的處理磁盤壞道的處理DBR的恢復FAT的恢復數(shù)據(jù)文件的恢復RAID恢復數(shù)據(jù)恢復技術39/19/2023數(shù)據(jù)恢復技術基本知識按照數(shù)據(jù)恢復順序相關現(xiàn)狀列舉經(jīng)典案例故障分析解決方案推薦工具練好基本功（1）410/2/2023數(shù)據(jù)恢復技術硬盤數(shù)據(jù)存儲結(jié)構要分清剛買來的硬盤，我們是沒有辦法使用的，需要將它分區(qū)、格式化，然后再安裝上操作系統(tǒng)才可以使用。而在這一過程中，要將硬盤分成主引導區(qū)(MBR)、操作系統(tǒng)引導記錄區(qū)(DBR)、FAT表、DIR目錄區(qū)和Data數(shù)據(jù)區(qū)等五部分(如圖，硬盤存儲的五個部分練好基本功（2）510/2/2023數(shù)據(jù)恢復技術對癥下藥——數(shù)據(jù)610/2/2023數(shù)據(jù)恢復技術數(shù)據(jù)的定義位于計算機存儲介質(zhì)上的信息系統(tǒng)數(shù)據(jù)和用戶數(shù)據(jù)數(shù)據(jù)恢復一個把異常數(shù)據(jù)還原為正常數(shù)據(jù)的過程數(shù)據(jù)問題邏輯問題硬件問題對癥下藥——恢復一般情況下，只要數(shù)據(jù)區(qū)沒有被覆蓋，都是可以恢復的?；謴晚樞騇BRDBRFATFDT數(shù)據(jù)文件0磁道和壞磁道710/2/2023數(shù)據(jù)恢復技術經(jīng)典案例實戰(zhàn)810/2/2023數(shù)據(jù)恢復技術案例1910/2/2023數(shù)據(jù)恢復技術2005年6月8日，上海一家外貿(mào)公司老板的筆記本在開機啟動過程中突然斷電，當再次啟動的時候，系統(tǒng)能夠通過自檢并檢測到硬盤，但是即將進入操作系統(tǒng)之前提示“DISK

BOOTFAILURE,INSERT

SYSTEN

DISK

ANDPRESS ENTER”。然而當時該公司的IT維護人員并不知道如何將這臺全外置筆記本(沒有內(nèi)置光驅(qū)和軟驅(qū))引導進入DOS系統(tǒng)，而且對于數(shù)據(jù)恢復沒有什么了解。在送到數(shù)據(jù)恢復公司時，工程師使用外置軟盤啟動并直接在DOS下查看C盤分區(qū)時，發(fā)現(xiàn)其中的數(shù)據(jù)都完好無損。故障分析1010/2/2023數(shù)據(jù)恢復技術這是一起典型的主引導區(qū)故障，此類故障大約占據(jù)整體軟件故障的30%以上另外，如果開機自檢后提示“

Missoperation system”

而且DOS下可以看到C盤完整內(nèi)容，這也是屬于主引導區(qū)故障。主引導區(qū)恢復1110/2/2023數(shù)據(jù)恢復技術正規(guī)數(shù)據(jù)恢復公司恢復數(shù)據(jù)的起價一般為300到400元通常來說，一旦主引導記錄和分區(qū)表被損壞，硬盤里的數(shù)據(jù)雖然無法訪問但也并沒有丟失。目前很多惡意程序都喜歡攻擊硬盤的主引導區(qū)與分區(qū)表。主引導記錄的恢復

屬于系統(tǒng)數(shù)據(jù)，功能確定，相對容易

使用Fdisk恢復

Fdisk命令行格式通用語法為：“Fdisk/參數(shù)”。1210/2/2023數(shù)據(jù)恢復技術解決方案1310/2/2023數(shù)據(jù)恢復技術用軟盤啟動系統(tǒng)。然后鍵入“C:”，看看能否讀取C盤的內(nèi)容。如果C盤中的數(shù)據(jù)可以讀出的話，那么大家只要使用“Fdisk/mbr”命令進行無條件重寫主引導區(qū)一般都能成功，而且可以保留原有的數(shù)據(jù)。解決方案1410/2/2023數(shù)據(jù)恢復技術推薦工具1510/2/2023數(shù)據(jù)恢復技術軟件名稱Fixmbr授權方式共享軟件軟件大小12KB下載地址案例21610/2/2023數(shù)據(jù)恢復技術張先生是一家私營企業(yè)的財務主管，在電腦上安裝了Windows 98和Windows XP雙系統(tǒng)。但是最近想把Windows 98刪除并且合并分區(qū)。不料在采用PQ

Magic時操作失誤，慌忙之下重新啟動計算機。當再次進入Windows 98后，發(fā)現(xiàn)硬盤最后兩個分區(qū)的容量都不對了，而且無法打開其中的文件。由于他保管的財務數(shù)據(jù)非常重要，因此一下子急得如熱鍋上的螞蟻。最終張先生還是去了數(shù)據(jù)恢復公司進行處理，花費了整整600元，而且來回奔波令他苦不堪言。故障分析1710/2/2023數(shù)據(jù)恢復技術這應當屬于典型的分區(qū)表故障分區(qū)表故障在各種軟件故障中也屬于常見的，大約占據(jù)整體軟件案例的30%。分區(qū)表破壞1810/2/2023數(shù)據(jù)恢復技術分區(qū)表的概念比主引導區(qū)更大，因此其故障情況已經(jīng)包含上述主引導區(qū)故障操作系統(tǒng)對磁盤訪問建立在MBR和DBR之上，導致文件無法訪問與主引導區(qū)相比，分區(qū)表被破壞時的修復相對要復雜一些。重建分區(qū)表一般由手工完成，個別情況可以借助工具軟件自動完成自動修復1910/2/2023數(shù)據(jù)恢復技術自動修復分區(qū)表的操作一般就是通過查找備份的分區(qū)表并復制相應扇區(qū)。使用DiskGenius軟件。將DiskGenius軟件復制到DOS啟動盤之后可以直接運行，進入

DiskGenius的主界面后，按下F10就能輕松地自動恢復硬盤分區(qū)表，而且這一招非常有效?！笆謩有迯褪謩有迯?/p>

手動修改將完全憑借經(jīng)驗，在WinHex等軟件下直接操作分區(qū)表數(shù)據(jù)。

以一塊東芝30GB筆記本硬盤為例，使用

WinHex打開磁盤后看到如下界面。其中從

80”

開始到“55AA”

結(jié)束的DPT硬盤分區(qū)表相當關鍵2010/2/2023數(shù)據(jù)恢復技術推薦工具2110/2/2023數(shù)據(jù)恢復技術軟件名稱:DiskGenius授權方式:免費軟件軟件大小:143KB下載地址:軟件名稱:WinHex授權方式:免費軟件軟件大小:990KB下載地址:推薦工具2210/2/2023數(shù)據(jù)恢復技術分區(qū)大師：Partition

Magic分區(qū)博士：Partition

DoctorHexWorkshopDisk

Probe案例32310/2/2023數(shù)據(jù)恢復技術東北地區(qū)某服裝設計公司的SCSI單盤服務器存儲著整個公司的設計資料，原本就發(fā)現(xiàn)

該硬盤有輕微的壞道，但是并未引起管理

員重視，也沒有做好備份工作。終于在2005年7月13日，硬盤無法啟動了，管理員嘗試格式化系統(tǒng)分區(qū)也宣告失敗。故障分析2410/2/2023數(shù)據(jù)恢復技術通過Scandisk掃描，發(fā)現(xiàn)壞道其實并不多，甚至將它作為從盤掛在別的操作系統(tǒng)下也

能看到部分分區(qū)內(nèi)容。但是由于壞道所處

的位置非常特殊，因此造成硬盤無法啟動。經(jīng)檢測后發(fā)現(xiàn)，零磁道部分出現(xiàn)了壞道，這類故障必須使用有別于普通壞道的處理方法。0磁道損壞2510/2/2023數(shù)據(jù)恢復技術管理硬盤采用不使用0磁道的所有扇區(qū)的方式進行0磁道的保護只要0磁道損壞，整個硬盤報廢可以采用工具軟件將0磁道邏輯移動到1磁道使用，將硬盤“復活”注意一點，處理過后，不能再使用分區(qū)軟件進行分區(qū)解決方案2610/2/2023數(shù)據(jù)恢復技術最簡單的方法將它設置為從盤，然后使用另一塊硬盤引導進入操作系統(tǒng)盤符分配，可能直接拷貝就能成功恢復數(shù)據(jù)復雜情況借助工具軟件推薦工具2710/2/2023數(shù)據(jù)恢復技術磁盤訪問工具——效率源特點能夠針對扇區(qū)進行復制突破硬盤讀取時遇大量壞道無法識別硬盤分區(qū)的限制具有強力復制功能配合有校驗算法使用工具——數(shù)據(jù)恢復2810/2/2023數(shù)據(jù)恢復技術首先連上需要數(shù)據(jù)恢復的硬盤和一塊完好的硬盤然后使用含有效率源軟件的啟動盤引導系統(tǒng)，直接進入效率源軟件的主界面點選“Sector

Copy”命令，輸入源盤與目標盤隨后，輸入Start和End數(shù)字以確認復制扇區(qū)的起始位置最后點擊“確認”按鈕后就可以開始扇區(qū)復制后續(xù)工作——修復2910/2/2023數(shù)據(jù)恢復技術修復硬盤修改硬盤分區(qū)表存儲位置屏蔽壞道借助工作軟件PCTOOLS

9.0NU

8.0DiskGenius3010/2/2023數(shù)據(jù)恢復技術3110/2/2023數(shù)據(jù)恢復技術其它工具3210/2/2023數(shù)據(jù)恢復技術磁道修復工具Disk

EditSmartFdiskPCTOOLSDiskMan專業(yè)扇區(qū)復制PC3000HIE

(Hardware

Info

Extractor)案例43310/2/2023數(shù)據(jù)恢復技術老王是圖書館管理員，2005年3月13日，其負責的一臺電腦突然在Windows下無法打開其中一個分區(qū)，雙擊分區(qū)圖標時提示“

該分區(qū)未格式化”

。趕忙叫來IT部負責人之后，進入DOS系統(tǒng)，發(fā)現(xiàn)此時可以轉(zhuǎn)到該盤符，但是一旦輸入“

DIR”

命令時，系統(tǒng)就提示“

General

Fail

Reading Drive”。這下可讓老王傻眼了，因為里面的數(shù)據(jù)是新進圖書的統(tǒng)計，如果丟失的話，后果不堪設想。萬般無奈之中，只熟悉硬件維修的IT負責人找到了一家數(shù)據(jù)恢復公司，豈料對方僅僅十幾分鐘就完全搞定，而且數(shù)據(jù)絲毫無損。故障分析3410/2/2023數(shù)據(jù)恢復技術直接使用格式化程序重新格式化能夠解決問題(排除物理壞道與病毒的干擾因素)但是這種做法卻與挽救數(shù)據(jù)的最終目的是相違背的。DBR的恢復3510/2/2023數(shù)據(jù)恢復技術DBR(操作系統(tǒng)引導記錄區(qū))是由高級格式化程序產(chǎn)生的是一段信息代碼如果遭到破壞，最終導致無法進入操作系統(tǒng)，部分文件夾信息也會丟失。解決方法3610/2/2023數(shù)據(jù)恢復技術直接使用WinHex改寫DBR模板將存在問題的硬盤作為從盤掛接直接打開WinHex時選擇該磁盤直接在右上方的“訪問”下拉列表中選擇DBR故障的分區(qū)打開“起始扇區(qū)模板”這樣就能很輕松地解決問題3710/2/2023數(shù)據(jù)恢復技術3810/2/2023數(shù)據(jù)恢復技術案例43910/2/2023數(shù)據(jù)恢復技術華南某設計院的一臺服務器承擔著整個設計院的存儲任務。2005年8月2日，由于管理員的誤操作，將2004全年的數(shù)據(jù)全部刪除。由于當時刪除的時

候并不是放入“回收站”，而是直接刪除，因此普

通方法根本無法找回。為了找回這些數(shù)據(jù)，慌亂

之中管理員使用了當時的Ghost備份文件來恢復，但是恢復后發(fā)現(xiàn)還是沒有需要的文件，并且把整

個文件系統(tǒng)都弄得非?；靵y。最終在數(shù)據(jù)恢復公

司的幫助下，該設計院才成功找回90%左右的數(shù)

據(jù)，花費了整整2000元。故障分析4010/2/2023數(shù)據(jù)恢復技術誤操作而導致的文件丟失在軟件類數(shù)據(jù)恢復中大約占25%。磁盤刪除數(shù)據(jù)后，只是做了一個標記，數(shù)據(jù)并沒有真正被刪除，可以使用磁盤掃描的方法來恢復數(shù)據(jù)數(shù)據(jù)一旦被覆蓋，很難將數(shù)據(jù)完全恢復。數(shù)據(jù)恢復4110/2/2023數(shù)據(jù)恢復技術數(shù)據(jù)問題文件丟失文件被同名文件覆蓋分區(qū)被誤操作格式化分區(qū)被誤克隆采用磁盤掃描的方法來進行數(shù)據(jù)恢復相關工具軟件功能很強大三步曲4210/2/2023數(shù)據(jù)恢復技術方法大致可以分為三個步驟:選擇掃描范圍指定掃描類型篩選數(shù)據(jù)4310/2/2023數(shù)據(jù)恢復技術案例64410/2/2023數(shù)據(jù)恢復技術2005年9月4日，某上市公司物流部門的RAID磁盤陣列突然崩潰，此時陣列柜指示燈顯示硬盤掉線。由于整個RAID已經(jīng)崩潰，因此管理員無法進入系統(tǒng)，也就感到無從下手。在大腦一片空白的情況

下，還是主管請來了專業(yè)的數(shù)據(jù)恢復公司，最后

以單盤3000元的價格(總計8塊硬盤，2.4萬元)進行數(shù)據(jù)恢復操作。RAID崩潰而導致的數(shù)據(jù)災難在整體數(shù)據(jù)恢復案例中大約占據(jù)11%，盡管比例不是

很高，但是收費卻相當驚人。RAID數(shù)據(jù)災難的癥狀包括亮指示燈、RAID信息丟失、分區(qū)丟失、所有硬盤變成單獨硬盤(軟RAID)等，這類故障的處理方法比較復雜。故障分析4510/2/2023數(shù)據(jù)恢復技術RAID的分區(qū)表并非獨立保存在某一個硬盤上，因此需要使用專門的軟件獨立處理。RAID具有很多類型和組合RAID本身具有容錯能力，所以出現(xiàn)數(shù)據(jù)丟失，其數(shù)據(jù)相對很重要RAIN的恢復4610/2/2023數(shù)據(jù)恢復技術RAID的數(shù)據(jù)恢復，只要知道其原理，出現(xiàn)問題后，數(shù)據(jù)都可以恢復RAID數(shù)據(jù)拯救有“鏡”就行RAID54710/2/2023數(shù)據(jù)恢復技術是一種具容錯能力的RAID

操作方式，不應用專用容錯硬盤，容錯信息是平均的分布到所有硬盤上。其總?cè)萘繛?N-1)x最低容量硬盤的容量。但如果有兩個硬盤同時失效的話，所有數(shù)據(jù)將盡失。RAID5校驗原理4810/2/2023數(shù)據(jù)恢復技術解決方法4910/2/2023數(shù)據(jù)恢復技術第一步、磁盤鏡像建議先使用Runtime

DiskExplorer制作鏡像盤得到磁盤鏡像后，源盤就可以保存在安全的地方所有的數(shù)據(jù)恢復操作直接在鏡像盤中處理解決方法5010/2/2023數(shù)據(jù)恢復技術第二步、數(shù)據(jù)重組推薦使用RAID

Reconstructor進入主界面時需要設定RAID類型與磁盤數(shù)量RAIDReconstructor會分析參數(shù)并把分散的數(shù)據(jù)拷貝出來。注：RAID數(shù)據(jù)重組的重要參數(shù)磁盤數(shù)、塊大小和方向5110/2/2023數(shù)據(jù)恢復技術解決方法5210/2/2023數(shù)據(jù)恢復技術第三步、恢復數(shù)據(jù)數(shù)據(jù)重組后，得到磁盤數(shù)據(jù)使用數(shù)據(jù)恢復工具來恢復數(shù)據(jù)例如：GetDataBack

for

NTFS注意有些工具可以整合第二和第三步RAID數(shù)據(jù)恢復需要一定的設備其他工具5310/2/2023數(shù)據(jù)恢復技術

軟件名稱:Runtime

DiskExplorer

For

NTFS授權方式:共享軟件軟件大小:1677

KB下載地址:

For

FAT軟件名稱:Runtime

DiskExplorer授權方式:共享軟件軟件大小:1637

KB下載地址:

For

FAT軟件名稱:RAID

Reconstructor授權方式:共享軟件軟件大小:1614

KB下載地址:案例75410/2/2023數(shù)據(jù)恢復技術杭州某電機公司剛從國外購買的技術資料保存在總經(jīng)理的臺式機中，不料該臺式機硬盤最終成為“數(shù)據(jù)殺手”。該硬盤起初工作速度緩慢，此后突然無法被BIOS識別，而且加電后帶有異常的“咔噠”聲。由于這些技術資料都是一次性授權，因此價值百萬的數(shù)據(jù)可謂命懸一線故障分析5510/2/2023數(shù)據(jù)恢復技術一般而言，這類故障情況幾乎都是磁頭老化，必須進行開盤處理實施常識5610/2/2023數(shù)據(jù)恢復技術開盤的前提條件是有一間潔凈度非常高的房間硬盤的密封都十分結(jié)實，但是只要使用六角螺絲刀也很好處理，并能清晰地看到其內(nèi)部結(jié)構進行開盤操作時需要找到合適的備件更換磁頭的時候，工程師首先將內(nèi)部磁鐵蓋片掀開，此時需要用力得當，否則很容易弄傷盤片，從而導致數(shù)據(jù)徹底報廢5710/2/2023數(shù)據(jù)恢復技術數(shù)據(jù)恢復注意事項5810/2/2023數(shù)據(jù)恢復技術1、文件丟失后，不要再向該分區(qū)或者磁盤寫入信息，即剛被刪除的文件被恢復的可能性最大。2、小文件比大文件更容易恢復。3、恢復之前千萬千萬別用磁盤整理功能，否則數(shù)據(jù)恢復的成功幾率將大大減小。同時也盡量不要使用Fdisk程序，否則將會給你的恢復造成很大的困難。4、有足夠的空余磁盤空間或者外接新硬盤以備寫入恢復資料。系統(tǒng)無法啟動的提示信息5910/2/2023數(shù)據(jù)恢復技術Invalid

partition

table無效的分區(qū)表Error

loading

operating

system不能裝入引導系統(tǒng)Missing

operating

system系統(tǒng)引導文件丟失on-System

disk

or

diskerror沒有系統(tǒng)盤或磁盤錯誤系