电脑数据恢复

电脑数据恢复 随着电脑技术的发展，电脑世界也变得多姿多彩。但不管电脑的世界如何精彩，它总是以0和1的数据形式保存在硬盘、光盘等各种存储介质中的。在目前技术条件下，这些存储介质 并不像保险柜一样安全，保存在上面的数据也常有丢失的可能，今天我们就来谈谈如何找回 这些丢失的数据。 0和1的数字信号，在硬盘中就表现为磁头在变化的磁场中产生电阻值的变化，导致产 生高电位和低电位的不同信号。在光盘中，则表现为凸出和凹陷的光盘介质表面产生强弱变 化的光反馈信号，进而导致不同的高低电位信号。因此，硬盘结构和理论看起来虽然复杂， 但是归根到底就是盘面上表示0和表示1的磁信号。只要磁盘上还有表示0和1的磁信号并且还能被分辨出来，就基本上可以说这个盘片具备了数据恢复的条件。当然，用什么手段来 恢复就是另外一个问题了。 ? 一、知难行易——了解数据恢复的基本原理 为了加深大家对数据恢复的理解，我们有必要简单了解一下数据存储的基本原理。这里 以硬盘为例做简单说明（软盘、光盘及闪盘的数据存储原理与硬盘大同小异）。先来看看硬盘 的数据结构。当我们拿到一块新硬盘时，必须先对其进行分区和格式化操作后才能使用。对 于目前大多数朋友所使用的Windows操作系统来说，硬盘被操作系统划分成主引导扇区、操 作系统引导扇区、文件分配表、目录区和数据区这5个部分。其中主引导扇区在每块硬盘中 都是唯一的，一块硬盘上只能有一个主引导扇区，而其他部分则在硬盘的每个分区里都会存 在。 软盘、光盘、闪存盘和硬盘的数据存储原理其实有较大不同。软盘的存储原理更像是录 音带，直接通过电磁感应原理把磁场变化变成电流变化，对磁头和磁介质等材料并没有特殊 要求。光盘上面也说了，至于闪盘，是直接用半导体储存高电位和低电位信号来表示0和1的数据信息。同时，各种存储介质所采用的文件格式也有很大区别。 主引导扇区位于整个硬盘的0磁道0柱面1扇区，它包括硬盘主引导程序MBR（Main Boot Record）和分区表DPT（Disk Partition Table）两部分。主引导程序是由分区程序（如大 家最常用的Fdisk）产生的，所以在不同的操作系统中，主引导程序可能会不同。它的作用 就是检查分区表是否正确并确定以哪个分区为引导分区，然后在程序结束时把该分区的启动 程序（即操作系统）调入内存执行。而对于分区表，大家应比较熟悉了，它以80H或00H为开始标志，以55AAH为结束标志，共64字节，位于0磁道0柱面1扇区的最末端。它规定着系统有几个分区，每个分区的起始和终止扇区、大小及是否为活动分区等重要信息。 操作系统引导扇区即OBR（OS Boot Record），通常位于硬盘的0磁道1柱面1扇区（如果硬盘被设置为多重引导方式，则位于每个引导系统所在的主分区或扩展分区的第一个扇区）。 它是操作系统可直接访问的第一个扇区，也包括一个引导程序和一个被称为BPB（BIOS Parameter Block）的分区参数记录表。引导程序的主要任务是判断本分区根目录前两个文件 是否为操作系统的引导文件。如检查通过，就将引导文件读入内存，并把控制权交予该文件。 BPB分区表参数块则是记录着本分区的起始扇区、结束扇区、文件存储格式、硬盘介质描述 符、根目录大小、FAT个数、分配单元（Allocation Unit，以前也称为簇）的大小等重要参 数。 不知大家注意过没有，同一个硬盘，用生产厂家的原厂工具来分区与用Fdisk或Partition Magic之类的第三方工具来分区是有区别的。我们可以试一下，先用原厂工具来 分区，然后启动Partition Magic查看，发现什么问题没有？通常用原厂工具分区的硬盘开 头或结尾部分，有可能还剩下4～8MB左右的未使用空间，而用Fdisk或Partition Magic分区则不会产生这种情况。这是硬盘厂家为防止硬盘因为引导区的信息出错，或该处扇区物 理损坏而产生的一系列麻烦而采取的一个小小的但是却很有实用价值的 措施 《全国民用建筑工程设计技术措施》规划•建筑•景观全国民用建筑工程设计技术措施》规划•建筑•景观软件质量保证措施下载工地伤害及预防措施下载关于贯彻落实的具体措施 。所以，一般用 原厂工具分区，硬盘工作起来会比较稳定，在非法关机时也不容易掉链子；即使出现所谓的 零磁道损坏（逻辑零磁道）、引导区出错而导致系统不认盘等问题，用户也不需使用Disk Editor、PCTools等软件修复（甚至找JS维修），只需一个原厂工具重新快速低格然后分区 就一切如常了。 文件分配表即FAT（File Allocation Table），是系统的文件寻址系统，为了数据安全 起见，FAT一般做两个，第二FAT为第一FAT的备份。FAT区紧接在OBR之后，其大小由本分区的大小及文件分配单元的大小决定。FAT的格式有很多种，大家比较熟悉的有FAT12、FAT16和FAT32等格式。FAT12目前仅在软盘驱动器中使用，FAT16只能用于2GB以下的分区；而FAT32使用最为广泛，可管理的最大分区为32GB。 表损坏的情况。不过现在大家知道原来分区表有两个，同时如果使用原厂工具分区，非法关 机时则不易丢失分区表信息。文件系统的格式除了FAT16和FAT32外，还有NTFS、ReiserFS、ext、ext2、ext3、ISO9660、XFS、Minx、VFAT、HPFS、NFS、SMB、SysV、PROC、JFS等。其实，日常我们接触的都是DOS和Windows下的文件系统，而其他的文件系统则同我们相距较 远，这里就不多做介绍了。 DIR（Directory），它紧接在第二FAT表之后。只有FAT还不能定位文件在磁盘中的位置，FAT还必须和DIR配合才能准确定位文件的位置。DIR记录着每个文件（目录）的起始单元（对于文件来说，这才是至关重要的）、文件的属性等。操作系统在定位文件位置 时，根据DIR中的起始单元，再结合FAT表就可知文件在磁盘的具体位置及大小了。 数据区即DATA，当将数据复制到硬盘时，数据就存放在DATA区。对于一块储存数据的硬盘 来说，它占据了硬盘的绝大部分空间，但如没有前面所提到的4个部分，DATA区就仅只是一块填充着0和1的区域，没有任何意义。 SCSI硬盘这种具备完整的校验和安全机制的硬盘上， 数据区的信息里也还有很多附加标识信息和校验信息，可作为数据恢复的手段。IDE硬盘上则确实较麻烦，要花不少功夫。不过目前很多发布数据恢复软件的公司都在不断研究这个问 题，希望能通过优化算法，尽量提高数据恢复的成功率和恢复速度。 DIR区中写入文件信息（包括文件名、后缀 名、文件大小和修改日期），然后在DATA区找到闲置空间将文件保存，并将DATA区中存放文件的簇号写入DIR区，从而完成整个写入数据的工作。系统删除文件时的操作则简单许多， 它只需将该文件在DIR区中的第一个字符改成E5，在文件分配表中把该文件占用的各簇表项 清0，就表示将该文件删除，而它实际上并不对DATA区进行任何改写。通常的高级格式化程 序，只是重写了FAT表而已，并未将DATA区的数据清除；而对硬盘进行分区时，也只是修改 了MBR和OBR， 并没有改写DATA区中的数据。正因为DATA区中的数据不易被改写，从而也为恢复数据带来了机会。事实上各种数据恢复软件，也正是利用DATA区中残留的种种痕迹，来恢复数据，这就是整个数据恢复的基本原理。 ? 二、亡羊补牢——实战数据恢复 一般存储器中的数据被破坏，主要有以下几方面的原因： （1）自然灾害，如水灾、火灾、雷击、地震等造成计算机系统的破坏，导致存储数据被破坏 或完全丢失； （2）使用人员的误操作； （3）计算机设备的硬件故障，包括存储介质的老化、失效； （4）病毒感染造成的数据破坏； （5）“黑客”程序或软件Bug对数据的破坏。 用最为广泛的硬盘、光盘、软盘及闪存等设备，来谈谈数据恢复的具体工作。 2003年第12期的专题《再见硬盘的硬伤和软伤——硬盘维修与数据恢 复》中，笔者提到南方一家公司写的一个恢复软件，并就他们说的可从厂家级数据列表（P 列表）被清除的情况下恢复数据发表了几句评论后，收到了他们的责难，这里我可以详细解 释一下。在所有正常损坏的方式中（上面说的几种），甚至更极端一点，把硬盘从五楼高扔到 地上，都不会导致P列表清除，除非有人吃饱了撑的，愿意花一百几十块让人用PC3000之类 的软件清除P列表。因此，国外的恢复软件都没有在零售版本中为这种正常损坏下不可能发 生的情况而专门放上这样的功能。写出这样的软件展示一下公司的实力是有意义的，但因为 别人没有放上类似不实在的功能就说自己天下第一、独一无二那就未免有炒作嫌疑了。毕竟 数据还在硬盘里面放着，虽然清除P列表的同时，也等于同时改变甚至完全清除了目录区的 信息，大大增加了数据恢复的难度，但只要有针对性地采用一种新的算法和恢复方式，要恢 复数据也并不是海底捞月；而且国外也不是没有这样的软件，只是没有零售版而已。 1.硬盘的数据恢复 是各种程序运行的主要场所，也是进行数据交换的重要平台。 在使用过程中，因使用不当、病毒破坏等原因造成的数据丢失现象最为常见。 ?恢复由分区表损坏造成的数据丢失 的分区表被破坏后，系统就会无法正确识别分区，从而造成硬盘的分区丢失，导致无法引导 系统。如处理不当，有可能丢失硬盘上的所有数据。有时用户也会因对分区软件不熟悉，从 而错误地删除某个分区，会造成该分区内数据丢失。 据，因为数据区并未损坏，仅是因为 硬盘的分区表被改写而无法正常访问，所以最佳的修复方法是恢复硬盘分区表。只要能正确 恢复硬盘的分区表，就可恢复硬盘上的所有数据。一般情况下，如事先已利用软件备份了硬 盘的分区表信息，只需通过该软件将分区表还原即可（很多硬盘工具都具有备份硬盘分区表 的功能，笔者推荐使用Disk Genius，该软件为全中文界面，使用十分方便）。但如事先并未 备份分区表，就只有利用软件来重建分区表了（无论用什么方法来修复分区表，在修复之前 必须先将BIOS中的病毒保护功能关闭，即进入“BIOS FEATURES SETUP”设置，将“Virus Warning”选项设置为“Disabled”，否则当分区表被修改时，系统会报警并挂起，导致修复失败）。由 于对分区表的操作，不会影响到硬盘的数据区，所以我们可在备份了原有分区表的情况下， 直接将新的分区表写入硬盘，而不用担心对硬盘上的数据造成影响。 硬盘数据拯救攻略 为了有效地保存硬盘中的数据，除了经常性地进行备份工作以外，还要学会在硬盘出现故障 时如何救活硬盘，或者从坏的区域中提取出有用的数据，把损失降到最小程度。 系统不认硬盘 系统从硬盘无法启动，从A盘启动也无法进入C盘，使用CMOS中的自动监测功能也无法 发现硬盘的存在。这种故障大都出现在连接电缆或IDE端口上，硬盘本身故障的可能性不大， 可通过重新插接硬盘电缆或者改换IDE口及电缆等进行替换试验，就会很快发现故障的所在。 如果新接上的硬盘也不被接受，一个常见的原因就是硬盘上的主从跳线，如果一条IDE硬盘线上接两个硬盘设备，就要分清楚主从关系。 CMOS引起的故障 CMOS中的硬盘类型正确与否直接影响硬盘的正常使用。现在的机器都支持“IDE Auto Detect”的功能，可自动 检测 工程第三方检测合同工程防雷检测合同植筋拉拔检测方案传感器技术课后答案检测机构通用要求培训 硬盘的类型。当硬盘类型错误时，有时干脆无法启动系统，有 时能够启动，但会发生读写错误。比如CMOS中的硬盘类型小于实际的硬盘容量，则硬盘后面 的扇区将无法读写，如果是多分区状态则个别分区将丢失。还有一个重要的故障原因，由于 目前的IDE都支持逻辑参数类型，硬盘可采用“Normal,LBA,Large”等，如果在一般的模式下安装了数据,而又在CMOS中改为其它的模式，则会发生硬盘的读写错误故障，因为其映射 关系已经改变，将无法读取原来的正确硬盘位置。 主引导程序引起的启动故障 主引导程序位于硬盘的主引导扇区，主要用于检测硬盘分区的正确性，并确定活动分区， 负责把引导权移交给活动分区的DOS或其他*作系统。此段程序损坏将无法从硬盘引导，但从 软驱或光驱启动之后可对硬盘进行读写。修复此故障的方法较为简单，使用高版本DOS的FDISK最为方便，当带参数/mbr运行时，将直接更换(重写)硬盘的主引导程序。实际上硬盘 的主引导扇区正是此程序建立的，FDISK.EXE之中包含有完整的硬盘主引导程序。虽然DOS版本不断更新，但硬盘的主引导程序一直没有变化，从DOS 3.x到Windos 95的DOS，只要找到一种DOS引导盘启动系统并运行此程序即可修复。 分区表错误引发的启动故障 分区表错误是硬盘的严重错误，不同的错误程度会造成不同的损失。如果是没有活动分 区标志，则计算机无法启动。但从软驱或光驱引导系统后可对硬盘读写，可通过FDISK重置活动分区进行修复。 如果是某一分区类型错误，可造成某一分区的丢失。分区表的第四个字节为分区类型值， 正常的可引导的大于32MB的基本DOS分区值为06，而扩展的DOS分区值是05。很多人利用此类型值实现单个分区的加密技术，恢复原来的正确类型值即可使该分区恢复正常。 分区表中还有其它数据用于记录分区的起始或终止地址。这些数据的损坏将造成该分区 的混乱或丢失，可用的方法是用备份的分区表数据重新写回，或者从其它的相同类型的并且 分区状况相同的硬盘上获取分区表数据。 恢复的工具可采用NU等工具软件，*作非常方便。当然也可采用DEBUG进行*作，但*作繁琐并且具有一定的风险。 分区有效标志错误的故障 在硬盘主引导扇区中还存在一个重要的部分，那就是其最后的两个字节：“55aa”，此字节为扇区的有效标志。当从硬盘、软盘或光盘启动时，将检测这两个字节，如果存在则认为 有硬盘存在，否则将不承认硬盘。此处可用于整个硬盘的加密技术，可采用DEBUG方法进行恢复处理。另外，当DOS引导扇区无引导标志时，系统启动将显示为：“Mmissing Operating System”。方便的方法是使用下面的DOS系统通用的修复方法。 DOS引导系统引起的启动故障 DOS引导系统主要由DOS引导扇区和DOS系统文件组成。系统文件主要包括IO.SYS、MSDOS.SYS、COMMAND.COM，其中COMMAND.COM是DOS的外壳文件，可用其它的同类文件替换， 但缺省状态下是DOS启动的必备文件。在Windows 95携带的DOS系统中，MSDOS.SYS是一个文本文件，是启动Windows必须的文件，但只启动DOS时可不用此文件。DOS引导出错时，可从软盘或光盘引导系统后使用SYS C:命令传送系统，即可修复故障，包括引导扇区及系统 文件都可自动修复到正常状态。 FAT表引起的读写故障 FAT表记录着硬盘数据的存储地址，每一个文件都有一组FAT链指定其存放的簇地址。 FAT表的损坏意味着文件内容的丢失。庆幸的是DOS系统本身提供了两个FAT表，如果目前使用的FAT表损坏，可用第二个进行覆盖修复。但由于不同规格的磁盘其FAT表的长度及第二个FAT表的地址也是不固定的，所以修复时必须正确查找其正确位置，一些工具软件如NU等本身具有这样的修复功能，使用也非常的方便。采用DEBUG也可实现这种*作，即采用其m命令把第二个FAT表移到第一个表处即可。如果第二个FAT表也损坏了，则也无法把硬盘恢 复到原来的状态，但文件的数据仍然存放在硬盘的数据区中，可采用CHKDSK或SCANDISK命令进行修复，最终得到*.CHK文件，这便是丢失FAT链的扇区数据。如果是文本文件则可从 中提取出完整的或部分的文件内容。 目录表损坏引起的引导故障 目录表记录着硬盘中文件的文件名等数据，其中最重要的一项是该文件的起始簇号。目 录表由于没有自动备份功能，所以如果目录损坏将丢失大量的文件。一种减少损失的方法也 是采用CHKDSK或SCANDISK程序恢复的方法，从硬盘中搜索出*.CHK文件，由于目录表损坏 时仅是首簇号丢失，每一个*.CHK文件即是一个完整的文件，把其改为原来的名字即可恢复 大多数文件。 误删除分区时数据的恢复 当用FDISK删除了硬盘分区之后，表面上是硬盘中的数据已经完全消失，在未格式化时 进入硬盘会显示为无效驱动器。如果了解FDISK的工作原理，就会知道FDISK只是重新改写 了硬盘的主引导扇区(0面0道1扇区)中的内容，具体说就是删除了硬盘分区表信息，而硬 盘中的任何分区的数据均没有改变。可仿照上述的分区表错误的修复方法，即想办法恢复分 区表数据即可恢复原来的分区及数据。如果已经对分区格式化，在先恢复分区后，可按下面 的方法恢复分区数据。 误格式化硬盘数据的恢复 在DOS高版本状态下，FORMAT格式化*作在缺省状态下都建立了用于恢复格式化的磁盘信息，实际上是把磁盘的DOS引导扇区、FAT分区表及目录表的所有内容复制到了磁盘的最后几个扇区中(因为后面的扇区很少使用)，而数据区中的内容根本没有改变。这样通过运行UNFORMAT命令即可恢复。另外DOS还提供了一个MIROR命令用于记录当前磁盘的信息，供格式化或删除之后的恢复使用，此方法也比较有效。