畢業(yè)設(shè)計(jì)（論文）硬盤(pán)的數(shù)據(jù)恢復(fù)

1、河南農(nóng)業(yè)大學(xué)理學(xué)院本科畢業(yè)論文 河南農(nóng)業(yè)大學(xué)河南農(nóng)業(yè)大學(xué) 本科生畢業(yè)論文 題 目 硬盤(pán)的數(shù)據(jù)恢復(fù) 學(xué) 院 理學(xué)院 專(zhuān)業(yè)班級(jí) 07 電科 2 學(xué)生姓名 指導(dǎo)教師 撰寫(xiě)日期： 2011 年 05 月 03 日 河南農(nóng)業(yè)大學(xué)理學(xué)院本科畢業(yè)論文 硬盤(pán)的數(shù)據(jù)恢復(fù)硬盤(pán)的數(shù)據(jù)恢復(fù) xxx 摘要摘要 硬盤(pán)是計(jì)算機(jī)系統(tǒng)中信息資源最重要的儲(chǔ)存設(shè)備，其所存放的信息資源的價(jià)值往往要遠(yuǎn)高于硬 盤(pán)產(chǎn)品的自身價(jià)值。隨著硬盤(pán)的日益小型化和儲(chǔ)存容量的不斷增大，在硬盤(pán)上的軟件系統(tǒng)和數(shù)據(jù)信 息也更加復(fù)雜化和大型化。近年來(lái)新型硬盤(pán)無(wú)論在儲(chǔ)存容量、速度和可靠性上都有了飛速的發(fā)展， 各類(lèi)硬盤(pán)新技術(shù)層出不窮，先進(jìn)技術(shù)的注入使得計(jì)算機(jī)的硬件

2、故障大為降低。相反地，隨著微機(jī)系 統(tǒng)軟件和應(yīng)用軟件的大型化和復(fù)雜化，計(jì)算機(jī)的軟件故障呈上升趨勢(shì)，計(jì)算機(jī)的故障主要來(lái)源于硬 盤(pán)系統(tǒng)， “救活一個(gè)硬盤(pán)，也就救活了一套微機(jī)系統(tǒng)。 ” 數(shù)據(jù)是計(jì)算機(jī)信息系統(tǒng)中最重要的資源,但由于各種原因造成數(shù)據(jù)丟失或損壞經(jīng)常發(fā)生，其損 失不可估計(jì)。因此,研究數(shù)據(jù)恢復(fù)技術(shù)是十分必要的。本文將從數(shù)據(jù)在硬盤(pán)中的存儲(chǔ)結(jié)構(gòu)和原理入 手,通過(guò)對(duì)硬盤(pán)數(shù)據(jù)各級(jí)組織結(jié)構(gòu)以及硬盤(pán)數(shù)據(jù)丟失原因的分析,闡述數(shù)據(jù)恢復(fù)的理論基礎(chǔ)，并對(duì)硬 盤(pán)數(shù)據(jù)恢復(fù)提供一些解決方案，從而對(duì)硬盤(pán)數(shù)據(jù)恢復(fù)技術(shù)進(jìn)行了初步的探究。 關(guān)鍵詞：關(guān)鍵詞：磁盤(pán)分區(qū)表磁盤(pán)分區(qū)表；文件系統(tǒng)文件系統(tǒng)；數(shù)據(jù)恢復(fù)數(shù)據(jù)恢復(fù)；數(shù)據(jù)保護(hù)數(shù)據(jù)保護(hù)

3、 河南農(nóng)業(yè)大學(xué)理學(xué)院本科畢業(yè)論文 hard disk data recovery chengchenliang abstract computer system hard drive is the most important information resources in storage, its information resources stored value products tend to be much higher than the hard drive of their own values.with the increasing miniaturization of ha

4、rd drive and storage capacity increasing, the hard disk of software systems and data information is also more complex and larger.recent years in terms of hard disk storage capacity, speed and reliability have made rapid development of emerging new technologies, various types of hard drives, advanced

5、 technology makes the computers hardware fault injection greatly reduced. on the contrary, with the computer system software and application software for larger and more complex, computer software failure is rising, mainly from the failure of a computer hard drive system, save a hard drive, also sav

6、e a set of computer systems. computer information systems data is the most important resources, but the data caused by various reasons frequently lost or damaged, its loss unpredictable, and therefore the study data recovery technology is essential. this article from the data stored in the hard disk

7、 to start the structure and principles, this paper data on the hard disk drives at all levels of organization and analysis of the causes data loss to explain the theoretical basis for data recovery, hard disk data recovery and provide some solutions, thus hard drive data recovery technology, a preli

8、minary inquiry. keywords：disk partition table; file system；data recovery; data protection; 河南農(nóng)業(yè)大學(xué)理學(xué)院本科畢業(yè)論文 i 目目 錄錄 1 1 緒論緒論.1 1.1 硬盤(pán)數(shù)據(jù)概述.2 1.2 硬盤(pán)數(shù)據(jù)的重要性.2 2 2 硬盤(pán)數(shù)據(jù)結(jié)構(gòu)的相關(guān)知識(shí)硬盤(pán)數(shù)據(jù)結(jié)構(gòu)的相關(guān)知識(shí).2 2.1 硬盤(pán)的基本結(jié)構(gòu).2 2.1.1 硬盤(pán)的工作原理.2 2.1.2 硬盤(pán)的數(shù)據(jù)結(jié)構(gòu).3 2.2 硬盤(pán)的文件系統(tǒng).6 3 3 硬盤(pán)數(shù)據(jù)存儲(chǔ)和丟失原因分析硬盤(pán)數(shù)據(jù)存儲(chǔ)和丟失原因分析 .8 3.1 硬盤(pán)數(shù)據(jù)丟失的原因分析.8 3.2 硬

9、盤(pán)數(shù)據(jù)存儲(chǔ)原理.9 4 4 硬盤(pán)數(shù)據(jù)恢復(fù)原理與方法硬盤(pán)數(shù)據(jù)恢復(fù)原理與方法.10 4.1 硬盤(pán)數(shù)據(jù)恢復(fù)原理.10 4.1.1 硬盤(pán)格式化.10 4.1.2 硬盤(pán)數(shù)據(jù)恢復(fù)原理.11 4.2 數(shù)據(jù)損壞類(lèi)型及相關(guān)恢復(fù)方法.12 4.2.1 文件存儲(chǔ)與讀取原理.12 4.2.2 硬盤(pán)數(shù)據(jù)損壞類(lèi)型及相應(yīng)的恢復(fù)方法.12 5 5 常用數(shù)據(jù)恢復(fù)工具和使用技巧常用數(shù)據(jù)恢復(fù)工具和使用技巧 .17 結(jié)論結(jié)論.18 參考文獻(xiàn)參考文獻(xiàn).18 致謝致謝.19 河南農(nóng)業(yè)大學(xué)理學(xué)院本科畢業(yè)論文 1 一一 緒論緒論 1.11.1 硬盤(pán)數(shù)據(jù)概述硬盤(pán)數(shù)據(jù)概述 目前硬盤(pán)是在數(shù)據(jù)存儲(chǔ)介質(zhì)中應(yīng)用最普遍的，且容量日益增大，存儲(chǔ)的數(shù)據(jù)也越來(lái)

10、越多和 重要，各類(lèi)數(shù)據(jù)成為信息化建設(shè)和應(yīng)用的重要資源。但是，由于電腦病毒、黑客入侵、技術(shù)隱 患、人為的不當(dāng)操作，以及各種軟硬件故障等隨時(shí)威脅著數(shù)據(jù)文件安全， 因此保證電子數(shù)據(jù) 安全受到用戶(hù)的日益重視。據(jù)調(diào)查，幾乎所有的計(jì)算機(jī)用戶(hù)都有過(guò)丟失數(shù)據(jù)的痛苦經(jīng)歷，雖然 人們針對(duì)數(shù)據(jù)丟失和數(shù)據(jù)遭到破壞的各種可能性采取了相應(yīng)的措施，如，安裝防火墻、對(duì)數(shù)據(jù) 備份等，但這些防范措施總不可能做到萬(wàn)無(wú)一失。如果一些重要的數(shù)據(jù)被破壞或丟失，帶來(lái)?yè)p 失將是不可估量的。 “硬盤(pán)有價(jià),數(shù)據(jù)無(wú)價(jià)” ，一旦硬盤(pán)這個(gè)大容量的數(shù)據(jù)倉(cāng)庫(kù)因各種原因發(fā)生 故障，找回其中的數(shù)據(jù)就尤為重要。所以，了解數(shù)據(jù)存儲(chǔ)原理，學(xué)習(xí)使用各種數(shù)據(jù)恢復(fù)工具，

11、 在發(fā)生數(shù)據(jù)丟失等災(zāi)難事件時(shí)能夠做出正確的判斷和處理，將損失減少到最低程度，這對(duì)我們 更好地工作是非常必須的。 數(shù)據(jù)恢復(fù)就是把因遭受各種原因致使數(shù)據(jù)破壞和丟失導(dǎo)致不可訪(fǎng)問(wèn)或不可獲得的數(shù)據(jù)還原 成正?？捎玫臄?shù)據(jù)，即恢復(fù)至它本來(lái)的“面目” 。數(shù)據(jù)出現(xiàn)問(wèn)題主要由兩大類(lèi)問(wèn)題所致：即邏 輯問(wèn)題和硬件問(wèn)題，相對(duì)應(yīng)的恢復(fù)也分別稱(chēng)為軟恢復(fù)和硬恢復(fù)。軟恢復(fù)指的是不涉及硬件修理 的數(shù)據(jù)恢復(fù)操作，其故障原因不是因?yàn)橛布收显斐傻?。邏輯?wèn)題一般包括：誤刪除、格式化、 誤用一鍵恢復(fù)等誤操作；病毒或惡意程序破壞；操作系統(tǒng)或應(yīng)用軟件發(fā)生錯(cuò)誤；操作時(shí)忽然斷 電等。在這種情況下，硬盤(pán)本身并沒(méi)有問(wèn)題，只是由于上述原因引起數(shù)據(jù)文件

12、找不到、打不開(kāi)、 顯示亂碼等現(xiàn)象。邏輯問(wèn)題可以通過(guò)軟件的方式進(jìn)行數(shù)據(jù)修復(fù)，整個(gè)過(guò)程并不涉及硬件維修。 硬件問(wèn)題一般是由硬盤(pán)盤(pán)片劃傷、磁組變型、磁頭偏移或損壞或硬盤(pán)電機(jī)故障等原因所引起。 通常表現(xiàn)為cmos不能識(shí)別硬盤(pán)、磁盤(pán)異響無(wú)法工作而導(dǎo)致其中的數(shù)據(jù)無(wú)法讀取。兩者之間最明 顯的特征或區(qū)別就是：存儲(chǔ)介質(zhì)本身是否不需要進(jìn)行修理或更換部件就可以正常訪(fǎng)問(wèn)。 由于數(shù)據(jù)恢復(fù)技術(shù)所涉及的面很廣，限于篇幅，本文僅從fat文件系統(tǒng)數(shù)據(jù)文件的存儲(chǔ)原 理和數(shù)據(jù)結(jié)構(gòu)入手，討論本地主機(jī)硬盤(pán)上的數(shù)據(jù)文件發(fā)生軟件錯(cuò)誤或硬件損壞后的數(shù)據(jù)恢復(fù)方 法。硬盤(pán)的數(shù)據(jù)結(jié)構(gòu)、文件的存儲(chǔ)原理，甚至操作系統(tǒng)的啟動(dòng)流程，這些是你在恢復(fù)硬盤(pán)數(shù)據(jù)

13、 時(shí)必須使用的基本知識(shí)。 河南農(nóng)業(yè)大學(xué)理學(xué)院本科畢業(yè)論文 2 1.21.2 硬盤(pán)數(shù)據(jù)的重要性硬盤(pán)數(shù)據(jù)的重要性 當(dāng)今的世界已經(jīng)完全步入了信息時(shí)代，在我們每天的生活當(dāng)中，越來(lái)越多的事物正被以 0 和 1 的形式表示。數(shù)字技術(shù)與我們的聯(lián)系越緊密，我們?cè)谄涫r(shí)就會(huì)承擔(dān)越大的風(fēng)險(xiǎn)。 重要數(shù)據(jù)一旦破壞，我們講承受巨大的損失，所以數(shù)據(jù)恢復(fù)產(chǎn)業(yè)應(yīng)運(yùn)而生。數(shù)據(jù)恢復(fù)在數(shù)據(jù)丟 失和損壞時(shí)挽救這些數(shù)據(jù)，可以針對(duì)各種軟硬件平臺(tái)開(kāi)展，從文件的誤刪除，存儲(chǔ)設(shè)備受到嚴(yán)重破 壞，專(zhuān)業(yè)的數(shù)據(jù)恢復(fù)工作都可能將數(shù)據(jù)恢復(fù)。在這篇文章里，我們會(huì)向大家介紹數(shù)據(jù)恢復(fù)的方方面 面，并根據(jù)我們的經(jīng)驗(yàn)給出一些建議，希望能夠使大家更少受到數(shù)據(jù)損失

14、的困擾。 隨著信息化，電子化進(jìn)程的發(fā)展，數(shù)據(jù)越來(lái)越成為企業(yè)，事業(yè)單位日常運(yùn)作的核心決策發(fā)展 的依據(jù)。由于網(wǎng)絡(luò)的發(fā)展，電子商務(wù)的興起，網(wǎng)絡(luò)安全也越來(lái)越引起人們的重視，歸根到底網(wǎng)絡(luò)安 全的核心也就是數(shù)據(jù)的安全。有機(jī)構(gòu)研究 sample 明：丟失 300mb 的數(shù)據(jù)對(duì)于市場(chǎng)營(yíng)銷(xiāo)部門(mén)就意味 著 13 萬(wàn)元人民幣的損失。對(duì)財(cái)務(wù)部門(mén)就意味著 16 萬(wàn)的損失，對(duì)工程部門(mén)來(lái)說(shuō)損失可達(dá) 80 萬(wàn)。而 企業(yè)丟失的關(guān)鍵數(shù)據(jù)如果 15 天內(nèi)仍得不到恢復(fù)，企業(yè)就有可能被淘汰出局。cih 和愛(ài)蟲(chóng)給國(guó)際社 會(huì)造成損失多達(dá)數(shù)十億美金。國(guó)內(nèi)有客戶(hù)誤刪有效數(shù)據(jù)由于沒(méi)有備份造成停業(yè)手工重新錄入，給企 業(yè)造成損失數(shù)十萬(wàn)元。這種教訓(xùn)在

15、國(guó)內(nèi)時(shí)有發(fā)生，這都說(shuō)明了保證信息數(shù)據(jù)安全的重要性，因此數(shù) 據(jù)的重要性不言而喻。 二二 硬盤(pán)數(shù)據(jù)結(jié)構(gòu)的相關(guān)知識(shí)硬盤(pán)數(shù)據(jù)結(jié)構(gòu)的相關(guān)知識(shí) 2.12.1 硬盤(pán)的基本結(jié)構(gòu)硬盤(pán)的基本結(jié)構(gòu) .1 硬盤(pán)的工作原理硬盤(pán)的工作原理 硬盤(pán)原理慨述： 硬盤(pán)存儲(chǔ)數(shù)據(jù)是根據(jù)電、磁轉(zhuǎn)換原理實(shí)現(xiàn)的。硬盤(pán)由一個(gè)或幾個(gè)表面鍍有磁 性物質(zhì)的金屬或玻璃等物質(zhì)盤(pán)片以及盤(pán)片兩面所安裝的磁頭和相應(yīng)的控制電路組成，其中盤(pán)片和磁 頭密封在無(wú)塵的金屬殼中。 硬盤(pán)工作時(shí)，盤(pán)片以設(shè)計(jì)轉(zhuǎn)速高速旋轉(zhuǎn)，設(shè)置在盤(pán)片表面的磁頭則在電路控制下徑向移動(dòng)到指 定位置然后將數(shù)據(jù)存儲(chǔ)或讀取出來(lái)。當(dāng)系統(tǒng)向硬盤(pán)寫(xiě)入數(shù)據(jù)時(shí)，磁頭中 “寫(xiě)數(shù)據(jù)”電流產(chǎn)生磁場(chǎng) 使

16、盤(pán)片表面磁性物質(zhì)狀態(tài)發(fā)生改變，并在寫(xiě)電流磁 1 場(chǎng)消失后仍能保持，這樣數(shù)據(jù)就存儲(chǔ)下來(lái)了； 當(dāng)系統(tǒng)從硬盤(pán)中讀數(shù)據(jù)時(shí)，磁頭經(jīng)過(guò)盤(pán)片指定區(qū)域，盤(pán)片表面磁場(chǎng)使磁頭產(chǎn)生感應(yīng)電流或線(xiàn)圈阻抗 河南農(nóng)業(yè)大學(xué)理學(xué)院本科畢業(yè)論文 3 產(chǎn)生變化，經(jīng)相關(guān)電路處理后還原成數(shù)據(jù)。 .2 硬盤(pán)數(shù)據(jù)結(jié)構(gòu)。硬盤(pán)數(shù)據(jù)結(jié)構(gòu)。 硬盤(pán)由很多盤(pán)片(platter)組成，每個(gè)盤(pán)片的每個(gè)面都有一個(gè)讀寫(xiě)磁頭。如果有 n 個(gè)盤(pán)片。就 有 2 個(gè)面，對(duì)應(yīng) 2n 個(gè)磁頭(heads) ，從 0、1、2 開(kāi)始編號(hào)。每個(gè)盤(pán)片被劃分成若干個(gè)同心圓磁道 (邏輯上的，不可見(jiàn)的) ，每個(gè)盤(pán)片的劃分規(guī)則通常是一樣的。這樣每個(gè)盤(pán)片的半徑均為固定值

17、r 的同心圓就在邏輯上形成了一個(gè)以電機(jī)主軸為軸的柱面(cylinders) ，從外至里編號(hào)為 0、1、2，每個(gè)盤(pán)片上的每個(gè)磁道又被劃分為幾十個(gè)扇區(qū)(sector)，通常的容量是 512byte， 并按照一定規(guī)則編號(hào)為 1、2、3，形成 cylindersheadssector 個(gè)扇區(qū)，這三個(gè)參數(shù)即是 硬盤(pán)的物理參數(shù)。 硬盤(pán)上的數(shù)據(jù)按照其不同的特點(diǎn)和作用大致可分為 5 部分：mbr 區(qū)、dbr 區(qū)、fat 區(qū)、dir 區(qū)和 data 區(qū)。 一.mbr 區(qū) mbr（main boot record）,按其字面上的理解即為主引導(dǎo)記錄區(qū)，位于整個(gè)硬盤(pán)的 0 磁道 0 柱 面 1 扇區(qū)。不過(guò)，在總共 5

18、12 字節(jié)的主引導(dǎo)扇區(qū)中，mbr 只占用了其中的 446 個(gè)字節(jié)（偏移 0-偏 移 1bdh） ，另外的 64 個(gè)字節(jié)（偏移 1beh-偏移 1fdh）交給了 dpt(disk partition table 硬盤(pán)分 區(qū)表),最后兩個(gè)字節(jié)55，aa（偏移 1feh- 偏移 1ffh）是分區(qū)的結(jié)束標(biāo)志。這個(gè)整體構(gòu)成了硬盤(pán) 的主引導(dǎo)扇區(qū)。大致的結(jié)構(gòu)如圖 1 河南農(nóng)業(yè)大學(xué)理學(xué)院本科畢業(yè)論文 4 圖圖 1 1 硬盤(pán)的主引導(dǎo)扇區(qū)結(jié)構(gòu)圖硬盤(pán)的主引導(dǎo)扇區(qū)結(jié)構(gòu)圖 主引導(dǎo)記錄中包含了硬盤(pán)的一系列參數(shù)和一段引導(dǎo)程序。其中的硬盤(pán)引導(dǎo)程序的主要作用是檢查分 區(qū)表是否正確并且在系統(tǒng)硬件完成自檢以后引導(dǎo)具有激活標(biāo)志的分區(qū)

19、上的操作系統(tǒng)，并將控制權(quán)交 給啟動(dòng)程序。mbr 是由分區(qū)程序（如 f）所產(chǎn)生的，它不依賴(lài)任何操作系統(tǒng)，而且硬盤(pán)引 導(dǎo)程序也是可以改變的，從而實(shí)現(xiàn)多系統(tǒng)共存。 dpt及各字節(jié)的意義。 硬盤(pán)分區(qū)表硬盤(pán)分區(qū)表 偏移長(zhǎng)度所表達(dá)的意義 0 1 字節(jié) 分區(qū)狀態(tài) 0-非活動(dòng)區(qū) 80- 活動(dòng)分區(qū) 1 1 字節(jié)該分區(qū)起始磁頭（head） 2 2 字節(jié)該分區(qū)起始扇區(qū)和起始柱面 河南農(nóng)業(yè)大學(xué)理學(xué)院本科畢業(yè)論文 5 4 1 字節(jié)該分區(qū)類(lèi)型：如 82- linux native 分區(qū) 83- linux swap 分區(qū) 5 1 字節(jié)該分區(qū)終止頭（head） 6 2 字節(jié)該分區(qū)終止扇區(qū)和終止柱面 8 4 字節(jié)該分區(qū)起始絕

20、對(duì)扇區(qū) c 4 字節(jié)該分區(qū)扇區(qū)數(shù) 二.dbr 區(qū) dbr（dos boot record）是操作系統(tǒng)引導(dǎo)記錄區(qū)的意思。它通常位于硬盤(pán)的 0 磁道 1 磁頭 1 扇 區(qū)，是操作系統(tǒng)可以直接訪(fǎng)問(wèn)的第一個(gè)扇區(qū)，它包括一個(gè)引導(dǎo)程序和一個(gè)被稱(chēng)為 bpb（bios parameter block）的本分區(qū)參數(shù)記錄表。引導(dǎo)程序的主要任務(wù)是當(dāng) mbr 將系統(tǒng)控制權(quán)交給它時(shí)， 判斷本分區(qū)跟目錄前兩個(gè)文件是不是操作系統(tǒng)的引導(dǎo)文件（以 dos 為例，即是 io.sys 和 msdos.sys） 。如果確定存在，就把其讀入內(nèi)存，并把控制權(quán)交給該文件。bpb 參數(shù)塊記錄著本分區(qū) 的起始扇區(qū)、結(jié)束扇區(qū)、文件存儲(chǔ)格式、硬盤(pán)

21、介質(zhì)描述符、根目錄大小、fat 個(gè)數(shù)，分配單元的大 小等重要參數(shù)。 三.fat 區(qū) 在 dbr 之后的是我們比較熟悉的 fat（file allocation table 文件分配表）區(qū)。在解釋文件 分配表的概念之前，我們先來(lái)談?wù)劥兀╟luster）的概念。文件占用磁盤(pán)空間時(shí)，基本單位不是字 節(jié)而是簇。簇的大小與磁盤(pán)的規(guī)格有關(guān)，一般情況下，軟盤(pán)每簇是 1 個(gè)扇區(qū)，硬盤(pán)每簇的扇區(qū)數(shù)與 硬盤(pán)的總?cè)萘看笮∮嘘P(guān)，可能是 4、8、16、32、64。 通過(guò)上文我們已經(jīng)知道，同一個(gè)文件的數(shù)據(jù)并不一定完整地存放在磁盤(pán)的一個(gè)連續(xù)的區(qū)域內(nèi)，而往 往會(huì)分成若干段，像一條鏈子一樣存放。這種存儲(chǔ)方式稱(chēng)為文件的鏈?zhǔn)酱鎯?chǔ)。

22、硬盤(pán)上的文件常常要 進(jìn)行創(chuàng)建、刪除、增長(zhǎng)、縮短等操作。這樣操作做的越多，盤(pán)上的文件就可能被分得越零碎（每段 至少是 1 簇） 。但是，由于硬盤(pán)上保存著段與段之間的連接信息（即 fat） ，操作系統(tǒng)在讀取文件時(shí)， 總是能夠準(zhǔn)確地找到各段的位置并正確讀出。 河南農(nóng)業(yè)大學(xué)理學(xué)院本科畢業(yè)論文 6 四.dir 區(qū) dir（directory）是根目錄區(qū)，緊接著第二 fat 表（即備份的 fat 表）之后，記錄著根目錄下 每個(gè)文件（目錄）的起始單元，文件的屬性等。定位文件位置時(shí)，操作系統(tǒng)根據(jù) dir 中的起始單元， 結(jié)合 fat 表就可以知道文件在硬盤(pán)中的具體位置和大小了。 五.數(shù)據(jù)（data）區(qū) 數(shù)據(jù)區(qū)

23、是真正意義上的數(shù)據(jù)存儲(chǔ)的地方，位于 dir 區(qū)之后，占據(jù)硬盤(pán)上的大部分?jǐn)?shù)據(jù)空間。 2.22.2 硬盤(pán)的文件系統(tǒng)硬盤(pán)的文件系統(tǒng) 初買(mǎi)來(lái)一塊硬盤(pán)，我們是沒(méi)有辦法使用的，你需要將它分區(qū)、格式化，然后再安裝上操作系統(tǒng) 才可以使用。就拿我們一直沿用到現(xiàn)在的 winxp 系列來(lái)說(shuō)，我們一般要將硬盤(pán)分成主引導(dǎo)扇區(qū) mbr、操作系統(tǒng)引導(dǎo)扇區(qū) dbr、fat 表、dir 目錄區(qū)和 data 數(shù)據(jù)區(qū)等五部分。我們通常所說(shuō)的主引 導(dǎo)扇區(qū) mbr 在一個(gè)硬盤(pán)中是唯一的，mbr 區(qū)的內(nèi)容只有在硬盤(pán)啟動(dòng)時(shí)才讀取其內(nèi)容，然后駐留內(nèi)存。 其它幾項(xiàng)內(nèi)容隨你的硬盤(pán)分區(qū)數(shù)的多少而異。 一、主引導(dǎo)扇區(qū)（mbr） 主引導(dǎo)扇區(qū)位于整個(gè)硬

24、盤(pán)的 0 磁道 0 柱面 1 扇區(qū)，包括硬盤(pán)主引導(dǎo)記錄 mbr（main boot record）和分區(qū)表 dpt（disk partition table） 。其中主引導(dǎo)記錄的作用就是檢查分區(qū)表是否正 確以及判別哪個(gè)分區(qū)為可引導(dǎo)分區(qū)，并在程序結(jié)束時(shí)把該分區(qū)的啟動(dòng)程序（也就是操作系統(tǒng)引導(dǎo)扇 區(qū)）調(diào)入內(nèi)存加以執(zhí)行。 二、操作系統(tǒng)引導(dǎo)扇區(qū)（obr） obr（os boot record）即操作系統(tǒng)引導(dǎo)扇區(qū)，通常位于硬盤(pán)的 0 磁道 1 柱面 1 扇區(qū)（這是對(duì) 于 dos 來(lái)說(shuō)的，對(duì)于那些以多重引導(dǎo)方式啟動(dòng)的系統(tǒng)則位于相應(yīng)的主分區(qū)/擴(kuò)展分區(qū)的第一個(gè)扇區(qū)） ， 是操作系統(tǒng)可直接訪(fǎng)問(wèn)的第一個(gè)扇區(qū)，它也包

25、括一個(gè)引導(dǎo)程序和一個(gè)被稱(chēng)為 bpb（bios parameter block）的本分區(qū)參數(shù)記錄表。其實(shí)每個(gè)邏輯分區(qū)都有一個(gè) obr，其參數(shù)視分區(qū)的大小、操作系統(tǒng) 的類(lèi)別而有所不同。 引導(dǎo)程序的主要任務(wù)在當(dāng)根目錄中尋找系統(tǒng)文件 io.sys，msdos.sys 和 winboot.sys 三個(gè)文件， 河南農(nóng)業(yè)大學(xué)理學(xué)院本科畢業(yè)論文 7 如果存在，就把 io.sys 文件 讀入內(nèi)存，并移交控制權(quán)予該文件。在 win98 的系統(tǒng)中，沒(méi)有 msdos.sys 文件，系統(tǒng)能夠正常啟動(dòng)，但是無(wú)法進(jìn)入桌面；如果沒(méi)有 command.com 文件，能夠正常 啟動(dòng)到桌面，但是無(wú)法進(jìn)入 dos 字符方式。bpb

26、參數(shù)塊：記錄著本分區(qū)的起始扇區(qū)、結(jié)束扇區(qū)、文 件存儲(chǔ)格式、硬盤(pán)介質(zhì)描述符、根目錄大小、fat 個(gè)數(shù)、分配單元（allocation unit，以前也稱(chēng) 之為簇）的大小等重要參數(shù)。obr 由高級(jí)格式化程序產(chǎn)生（例如 dos 的 f） 。 三、文件分配表（fat） fat(file allocation table)即文件分配表，是 dos/win9x 系統(tǒng)的文件尋址系統(tǒng)。為了防止意 外損壞，fat 一般做兩個(gè)（也可以設(shè)置為一個(gè)） ，第二 fat 為第一 fat 的備份, fat 區(qū)緊接在 obr 之后（對(duì)于 fat32 格式，位置是從引導(dǎo)扇區(qū)開(kāi)始的第 32 個(gè)扇區(qū)就是第一個(gè) fat 表的位置）

27、，其大小 由這個(gè)分區(qū)的空間大小及文件分配 單元的大小決定。隨著硬盤(pán)容量的迅速發(fā)展，microsoft 的 dos 及 windows 也先后采用我們所熟悉的 fat12、fat16 和 fat32 格式。不過(guò) windows nt、os/2、unix/linux、novell 等都有自己的文件管理方式，不同于 fat 文件格式。fat12 是使用 12bit 來(lái)表示簇的位置，最大容量 32m，fat16 是使用兩個(gè)字節(jié) 16bit 位來(lái)表示簇的位置，分區(qū)最 大容量 2g，而 fat32 采用 4 個(gè)字節(jié)來(lái)表示簇的位置，分區(qū)最大容量 65g。 四、目錄區(qū)（dir） dir 是 directory

28、 即根目錄區(qū)的簡(jiǎn)寫(xiě)，在 fat12 和 fat16 格式中，dir 緊接在第二 fat 表之后， 而在 fat32 格式中，根目錄區(qū)的 位置可以在分區(qū)中的任意位置，其起始位置是由引導(dǎo)扇區(qū)給出的。 單有 fat 表還不能確定文件在磁盤(pán)中的具體位置，只有 fat 表和 dir 區(qū)配合使用，才能準(zhǔn)確 定位 文件的確切位置。dir 記錄著每個(gè)文件（目錄）的文件名，擴(kuò)展名，是否支持長(zhǎng)文件各，起始單元 （這是最重要的） 、文件的屬性，大小，創(chuàng)建日期，修改日期等住處內(nèi)容。 操作系統(tǒng)在讀寫(xiě)文件時(shí)， 根據(jù) dir 中的起始單元，結(jié)合 fat 表就可以知道文件在磁盤(pán)的具體位置，然后順序讀取每個(gè)簇的內(nèi) 容就可以了。

29、 五、數(shù)據(jù)區(qū)（data） 在 dir 區(qū)之后，才是真正意義上的數(shù)據(jù)存儲(chǔ)區(qū)，即 data 區(qū)。data 雖然占據(jù)了硬盤(pán)的絕大部分 空間，但沒(méi)有了前面的各部分，它對(duì)于我們來(lái)說(shuō)，也只能是一些枯燥的二進(jìn)制代碼，沒(méi)有任何意義。 數(shù)據(jù)存放是隨機(jī)存放硬盤(pán)驅(qū)動(dòng)器里面有一組盤(pán)片，數(shù)據(jù)就保存在盤(pán)片的磁道（track）上，磁道在 盤(pán)片上呈同心圓分布，讀/寫(xiě)磁頭在盤(pán)片的表面移動(dòng)訪(fǎng)問(wèn)硬盤(pán)的各個(gè)區(qū)域，因此文件可以隨機(jī)地分 布到磁盤(pán)的各個(gè)位置上，同一文件的各個(gè)部分不一定要順序存放。存放在磁盤(pán)上的數(shù)據(jù)以簇為分配 單位，簇的大小因操作系統(tǒng)和邏輯卷的大小不同而不同。如果一個(gè)硬盤(pán)的簇在大小是 4k，那么保 存 1k 的文件也要占用

30、 4k 的磁盤(pán)空間。大的文件可能占用多達(dá)數(shù)千、數(shù)萬(wàn)的簇，分散到整個(gè)磁盤(pán) 河南農(nóng)業(yè)大學(xué)理學(xué)院本科畢業(yè)論文 8 上，操作系統(tǒng)的文件子系統(tǒng)負(fù)責(zé)各個(gè)部分的組織和管理。當(dāng)前，windows 支持的硬盤(pán)文件系統(tǒng)常見(jiàn) 的共有 3 種。第一種是 fat，即所謂的文件分配表 fat ；第二種文件系統(tǒng)是 fat32 ；第三種是 ntfs。這 3 種文件系統(tǒng)的基本原理都一樣，都用一個(gè)類(lèi)似首簇的 fat 入口又包含一個(gè)指向一個(gè)簇 地址的指針，依此類(lèi)推，直到出現(xiàn)文件的結(jié)束標(biāo)志為止。 三三 硬盤(pán)存儲(chǔ)和數(shù)據(jù)丟失的原因分析硬盤(pán)存儲(chǔ)和數(shù)據(jù)丟失的原因分析 3.3.1 1 硬盤(pán)數(shù)據(jù)丟失的原因分析硬盤(pán)數(shù)據(jù)丟失的原因分析 造成數(shù)據(jù)丟失

31、的原因很多,包括:軟件故障、硬件故障、突然斷電、誤操作、病毒破壞、人為破 壞等,歸納為如下幾類(lèi): 1) 硬件故障導(dǎo)致數(shù)據(jù)丟失:硬件故障是電腦數(shù)據(jù)丟失的重要因之一。如在磁盤(pán)失效、電壓不穩(wěn) 造成自動(dòng)重啟,硬盤(pán)壞道,磁盤(pán)劃傷,磁頭變形,磁臂斷裂,磁頭放大器損壞;芯片組或其它元器件損壞。 硬件故障屬于物理故障,對(duì)于普通計(jì)算機(jī)用戶(hù)來(lái)說(shuō),自己維修比較困難,而且由硬件故障引起的數(shù)據(jù) 丟失往往恢復(fù)的可能性較小。 2) 惡意程序或網(wǎng)絡(luò)入侵導(dǎo)致數(shù)據(jù)丟失: 最常見(jiàn)的惡意程序就是網(wǎng)絡(luò)上流傳的各種病毒。感染 了病毒的計(jì)算機(jī)將可能造成應(yīng)用軟件破壞,系統(tǒng)癱瘓或各類(lèi)數(shù)據(jù)丟失,嚴(yán)重的甚至可以破壞硬盤(pán)、主 板等電腦硬件。一個(gè)病毒

32、無(wú)論是改變計(jì)算機(jī)的引導(dǎo)區(qū)、可執(zhí)行程序,還是 office 文檔,都可能影響 計(jì)算機(jī)的正常運(yùn)行或?qū)е聰?shù)據(jù)丟失。即使是良性伴隨性病毒 ,同樣也會(huì)對(duì)數(shù)據(jù)構(gòu)成破壞。破壞性極 強(qiáng)的病毒如 cih 病毒,不僅破壞硬盤(pán)數(shù)據(jù),還可能破壞電腦硬件。 隨著網(wǎng)絡(luò)的普及,電腦數(shù)據(jù)除了受 病毒威脅外,網(wǎng)絡(luò)黑客非法入侵也經(jīng)常破壞硬盤(pán)數(shù)據(jù)。 3) 誤操作導(dǎo)致數(shù)據(jù)丟失:除了客觀存在的各種因素造成數(shù)據(jù)丟失外,電腦數(shù)據(jù)也經(jīng)常因?yàn)槿藶?地誤操作導(dǎo)致數(shù)據(jù)丟失或損壞,特別是對(duì)于一些電腦“菜鳥(niǎo)”,在計(jì)算機(jī)應(yīng)用不熟練的情況下,經(jīng)常 有可能將系統(tǒng)“自毀”。如不小心將重要數(shù)據(jù)刪除、不正常關(guān)機(jī)、操作失誤將硬盤(pán)格式化、重裝系 統(tǒng)時(shí)刪除分區(qū)等等都會(huì)

33、造成數(shù)據(jù)的丟失或損壞。 除以上三種原因外,計(jì)算機(jī)突然斷電有時(shí)也可能成硬盤(pán)損壞或磁盤(pán)數(shù)據(jù)的丟失 ,或?qū)е孪到y(tǒng)無(wú) 法正常啟動(dòng),也可能導(dǎo)致內(nèi)存溢出或者進(jìn)程非法終止而損失當(dāng)前的工作;軟件系統(tǒng)升級(jí)有時(shí)帶來(lái)一些 河南農(nóng)業(yè)大學(xué)理學(xué)院本科畢業(yè)論文 9 問(wèn)題 ,把比較重要的數(shù)據(jù)破壞。 3.23.2 硬盤(pán)數(shù)據(jù)存儲(chǔ)原理硬盤(pán)數(shù)據(jù)存儲(chǔ)原理 不論是哪種原因造成的數(shù)據(jù)損壞或丟失都會(huì)造成電腦不能正常使用,或者因數(shù)據(jù)丟失遭受重大 損失。本文開(kāi)篇提到如果是軟件或系統(tǒng)問(wèn)題,那還好處理,可以重裝,但如果是硬盤(pán)重要數(shù)據(jù)丟失,那 就得想辦法進(jìn)行數(shù)據(jù)恢復(fù)了。 什么是數(shù)據(jù)恢復(fù)?簡(jiǎn)單地說(shuō)就是把遭受破壞或硬件故障導(dǎo)致不可訪(fǎng)問(wèn)、不可獲得或由于誤操

34、作 等各種原因?qū)е聰?shù)據(jù)丟失的數(shù)據(jù)還原成正常數(shù)據(jù)的過(guò)程。數(shù)據(jù)恢復(fù)不僅是對(duì)文件的恢復(fù),還可以恢 復(fù)物理?yè)p傷盤(pán)的數(shù)據(jù),也可以恢復(fù)不同移動(dòng)數(shù)碼存儲(chǔ)設(shè)備的數(shù)據(jù)。通常硬盤(pán)數(shù)據(jù)恢復(fù)分為物理恢復(fù) 和邏輯恢復(fù)。物理恢復(fù)指硬盤(pán)因硬件損壞的恢復(fù),如 0 磁道的損壞、硬盤(pán)不能識(shí)別等情況的恢復(fù);邏 輯恢復(fù)是指將誤刪除,突然斷電,誤格式化及病毒破壞造成的軟件錯(cuò)誤或數(shù)據(jù)丟失恢復(fù)到正常狀態(tài)。 邏輯恢復(fù)又可分為數(shù)據(jù)文件恢復(fù)、硬盤(pán)引導(dǎo)記錄的恢復(fù)、分區(qū)表的恢復(fù)、操作系統(tǒng)引導(dǎo)記錄的恢復(fù)、 文件分配表的恢復(fù)等。本文主要介紹通過(guò)邏輯恢復(fù)獲得數(shù)據(jù)的辦法。要掌握數(shù)據(jù)恢復(fù)的辦法,就得 河南農(nóng)業(yè)大學(xué)理學(xué)院本科畢業(yè)論文 10 先了解硬盤(pán)數(shù)據(jù)存儲(chǔ)基

35、本原理。 1) 硬盤(pán)數(shù)據(jù)結(jié)構(gòu): 硬盤(pán)在存儲(chǔ)數(shù)據(jù)之前,一般需經(jīng)過(guò)低級(jí)格式化分區(qū)和高級(jí)格式化之后才能使 用。其作用是在物理硬盤(pán)上建立一定的數(shù)據(jù)邏輯結(jié)構(gòu),通常將硬盤(pán)分為 5 個(gè)區(qū)域,分別是主引導(dǎo)記錄 區(qū)(mbr)、dos 引導(dǎo)記錄區(qū)(dbr)、文件分配表(fat)、目錄區(qū)(fdt)和數(shù)據(jù)區(qū)(data),其中主引導(dǎo)記 錄在硬盤(pán)中具有唯一性而其他部分在硬盤(pán)的各個(gè)分區(qū)里都會(huì)存在。當(dāng)向硬盤(pán)寫(xiě)入數(shù)據(jù)時(shí),首先在目 錄區(qū)內(nèi)寫(xiě)入文件的基本信息,如文件名、文件類(lèi)型、文件大小和修改日期等。然后在數(shù)據(jù)區(qū)找到一 塊空間將文件存儲(chǔ),并將文件存儲(chǔ)的首簇號(hào)寫(xiě)入目錄區(qū)。如果文件內(nèi)容比較大,那么其后續(xù)保存的簇 號(hào)在 fat 表中被指

36、定。系統(tǒng)根據(jù)目錄區(qū)中文件的起始地址,再結(jié)合 fat 表就可以找到文件在磁盤(pán)中 的存儲(chǔ)位置和大小了。 2) 文件的讀取:操作系統(tǒng)從目錄區(qū)中讀取文件信息包括文件名、后綴名、文件大小、修改日期 和文件在數(shù)據(jù)區(qū)保存的第一個(gè)簇的簇號(hào),這里假設(shè)第一個(gè)簇號(hào)是 0015。操作系統(tǒng)從 0015 簇讀取相 應(yīng)的數(shù)據(jù),然后在找到 fat 的 0015 單元,如果內(nèi)容是文件結(jié)束標(biāo)志(ff),則表示文件結(jié)束,否則內(nèi)容 保存數(shù)據(jù)的下一個(gè)簇的簇號(hào),這樣重復(fù)下去一直到遇到文件結(jié)束標(biāo)志。 3) 文件的寫(xiě)入:要保存文件時(shí),操作系統(tǒng)首先在目錄表(dir)區(qū)中找到空區(qū)寫(xiě)入文件名、文件大 小和創(chuàng)建時(shí)間等響應(yīng)信息,然后在數(shù)據(jù)區(qū)(data

37、)找到空閑位置將文件保存,并將數(shù)據(jù)區(qū)的第一個(gè)簇寫(xiě) 入目錄表區(qū),其余的動(dòng)作和文件的讀取動(dòng)作類(lèi)似。 4) 文件的刪除:windows 文件的刪除工作很簡(jiǎn)單,僅僅將目錄區(qū)的文件的第一個(gè)字符改成刪除 標(biāo)志“e5”就表示該文件刪除了。而硬盤(pán)數(shù)據(jù)的格式化(指高級(jí)格式化,如 dos 下的 format 命令), 并沒(méi)有把數(shù)據(jù)區(qū)中的內(nèi)容清除,只是重寫(xiě)了文件分配表(fat)表而已,至于硬盤(pán)分區(qū)也只是修改了主 引導(dǎo)扇區(qū)和操作系統(tǒng)扇區(qū),絕大部分的數(shù)據(jù)區(qū)中的內(nèi)容都沒(méi)有被改變。 通過(guò)以上數(shù)據(jù)存儲(chǔ)原理的介紹就可以看出通常因?yàn)閯h除或格式化等操作造成的數(shù)據(jù)丟失僅僅是 邏輯結(jié)構(gòu)發(fā)生改變,數(shù)據(jù)具體內(nèi)容并沒(méi)有損壞或消失,因此只要通

38、過(guò)一些專(zhuān)業(yè)軟件將硬盤(pán)文件刪除標(biāo) 志去掉,并把文件在硬盤(pán)中的邏輯結(jié)構(gòu)還原,就可以恢復(fù)硬盤(pán)上的數(shù)據(jù)。當(dāng)然前提是數(shù)據(jù)丟失后,不 能再對(duì)硬盤(pán)進(jìn)行任何“寫(xiě)”操作,根據(jù)文件寫(xiě)入的原理,寫(xiě)入新數(shù)據(jù)有可能覆蓋原數(shù)據(jù),這樣原數(shù)據(jù) 就不能恢復(fù)了。 河南農(nóng)業(yè)大學(xué)理學(xué)院本科畢業(yè)論文 11 四四 硬盤(pán)數(shù)據(jù)恢復(fù)原理與方法硬盤(pán)數(shù)據(jù)恢復(fù)原理與方法 4.14.1 硬盤(pán)數(shù)據(jù)恢復(fù)原理硬盤(pán)數(shù)據(jù)恢復(fù)原理 .1 硬盤(pán)格式化硬盤(pán)格式化 對(duì)于 windows 下的電腦文件刪除和磁盤(pán)格式化，都屬于高級(jí)格式化，其實(shí)并沒(méi)有真正的刪除文 件，只要磁盤(pán)有多余的空間，并沒(méi)有被其他文件占據(jù)，都是可以恢復(fù)的，低級(jí)格式化則是徹底刪除 了，很難

39、挽救。 高級(jí)格式化就是清除硬盤(pán)上的數(shù)據(jù)、生成引導(dǎo)區(qū)信息、初始化 fat 表、標(biāo)注邏輯壞道等。 低 級(jí)格式化就是將空白的磁盤(pán)劃分出柱面和磁道，再將磁道劃分為若干個(gè)扇區(qū)，每個(gè)扇區(qū)又劃分出標(biāo) 識(shí)部分 id、間隔區(qū) gap 和數(shù)據(jù)區(qū) data 等?？梢?jiàn)，低級(jí)格式化是高級(jí)格式化之前的一件工作，它只 能夠在 dos 環(huán)境來(lái)完成。而且低級(jí)格式化只能針對(duì)一塊硬盤(pán)而不能支持單獨(dú)的某一個(gè)分區(qū)。每塊硬 盤(pán)在出廠(chǎng)時(shí)，已由硬盤(pán)生產(chǎn)商進(jìn)行低級(jí)格式化，因此通常使用者無(wú)需再進(jìn)行低級(jí)格式化操作。其實(shí)， 我們對(duì)一張軟盤(pán)進(jìn)行的全面格式化就是一種低級(jí)格式化。我們?cè)诹私饬藬?shù)據(jù)在磁盤(pán)上的存儲(chǔ)格式后， 我們就會(huì)明白為什么數(shù)據(jù)在被刪除后還能

40、夠再次被找回來(lái)的原因。 一塊新的硬盤(pán)在買(mǎi)回來(lái)后，必須首先分區(qū)，再用 format 對(duì)相應(yīng)的分區(qū)實(shí)行格式化，這樣以后 我們才能在這個(gè)硬盤(pán)存儲(chǔ)數(shù)據(jù)。硬盤(pán)的分區(qū)就像是對(duì)一塊地方建倉(cāng)庫(kù)，每個(gè)倉(cāng)庫(kù)就好比一個(gè)分區(qū)。 格式化就好比是為了在倉(cāng)庫(kù)內(nèi)存放東西，必須有貨架來(lái)規(guī)定相應(yīng)的位置。我們有時(shí)候接觸到的引導(dǎo) 分區(qū)就是倉(cāng)庫(kù)大門(mén)號(hào)，上面要記載這個(gè)分區(qū)的容量的性質(zhì)及相關(guān)的引導(dǎo)啟動(dòng)信息。fat 表就好比是 倉(cāng)庫(kù)的貨架號(hào)，目錄表就好比是倉(cāng)庫(kù)的賬簿。如果我們需要找某一物品時(shí)，就需要先查找賬目，再 到某一貨架上取東西。正常的文件讀取也是這個(gè)原理，先讀取某一分區(qū)的 bpb 參數(shù)至內(nèi)存，當(dāng)需要 讀取某一文件時(shí)，就先讀取文件的目錄

41、表，找到相對(duì)應(yīng)文件的首扇區(qū)和 fat 表的入口后，再?gòu)?fat 表中找到后續(xù)扇區(qū)的相應(yīng)鏈接，移動(dòng)磁臂到對(duì)應(yīng)的位置進(jìn)行文件讀取，就完成了某一個(gè)文件的讀寫(xiě) 操作。 .2 硬盤(pán)數(shù)據(jù)恢復(fù)硬盤(pán)數(shù)據(jù)恢復(fù)原理原理 當(dāng)操作系統(tǒng)要在硬盤(pán)上寫(xiě)入文件時(shí)，首先在目錄區(qū)中寫(xiě)入文件信息，然后在data區(qū)找閑置空間 將文件保存，并將data區(qū)中存放文件的簇號(hào)寫(xiě)入目錄區(qū)。刪除文件時(shí)則簡(jiǎn)單許多，只需將該文件在 目錄區(qū)中的第一個(gè)字符改成e5，在文件分配中把該文件占用的各簇清0，就表示該文件已刪除，并 不動(dòng)data區(qū)。因此，各種數(shù)據(jù)恢復(fù)軟件正是利用data區(qū)中的數(shù)據(jù)不易被改寫(xiě)，從而利用data區(qū)中殘 河南農(nóng)業(yè)大學(xué)理

42、學(xué)院本科畢業(yè)論文 12 留的種種痕跡來(lái)恢復(fù)數(shù)據(jù)。 至于fdisk硬盤(pán)分區(qū)，也只是修改了mbr和obr，絕大部分的data區(qū)的數(shù)據(jù)并沒(méi)有被改變，和文 件的刪除類(lèi)似，利用fdisk刪除再建立分區(qū)和利用format格式化邏輯磁盤(pán)（假設(shè)你格式化的時(shí)候并 沒(méi)有使用/u這個(gè)無(wú)條件格式化參數(shù)）都沒(méi)有將數(shù)據(jù)從data區(qū)直接刪除，前者只是改變了分區(qū)表，后 者只是修改了fat表，因此被誤刪除的分區(qū)和誤格式化的硬盤(pán)完全有可能恢復(fù)，這也是許多硬盤(pán)數(shù) 據(jù)能夠得以修復(fù)的原因。但即便如此，mbr，obr，fat，dir之一被破壞的話(huà)，數(shù)據(jù)也無(wú)法正常讀取。 如果經(jīng)常整理磁盤(pán)，那么數(shù)據(jù)區(qū)的數(shù)據(jù)可能是連續(xù)的，這樣即使mbr、fa

43、t、dir全部壞了，也可以 使用磁盤(pán)編輯軟件，只要找到一個(gè)文件的起始保存位置，那么這個(gè)文件就有可能被恢復(fù)。 4.4.2 2 數(shù)據(jù)損壞類(lèi)型及相關(guān)恢復(fù)方法數(shù)據(jù)損壞類(lèi)型及相關(guān)恢復(fù)方法 .1 文件存儲(chǔ)與讀取原理文件存儲(chǔ)與讀取原理 當(dāng)我們存儲(chǔ)一個(gè)文件的時(shí)候，操作系統(tǒng)首先會(huì)在一個(gè)記錄所有空間使用情況的文件分配表中， 找到足夠容納我們的新文件的空間，然后把文件內(nèi)容寫(xiě)到相對(duì)應(yīng)的硬盤(pán)扇區(qū)上，最后在分配表中標(biāo) 出該空間被占用了。當(dāng)我們刪除一個(gè)文件的時(shí)候，一般并不對(duì)實(shí)際文件所占用的扇區(qū)進(jìn)行操作，而 是僅僅在該分配表中標(biāo)記哪些空間是空白的，可以分配給別的文件使用。事實(shí)上在這個(gè)時(shí)候，要?jiǎng)h 除的文件的實(shí)際

44、內(nèi)容并沒(méi)有受到破壞，可以恢復(fù)回來(lái)。但是如果我們刪除一個(gè)文件后，在原來(lái)文件 所在的扇區(qū)上，又重新創(chuàng)建了一個(gè)文件，那么被刪除文件所占用的扇區(qū)就有可能被新創(chuàng)建的文件所 使用，這時(shí)候就無(wú)法恢復(fù)原來(lái)被刪除的文件了. .2 硬盤(pán)數(shù)據(jù)損壞類(lèi)型及相應(yīng)的恢復(fù)方法硬盤(pán)數(shù)據(jù)損壞類(lèi)型及相應(yīng)的恢復(fù)方法 1. 文件刪除及其恢復(fù) 文件刪除后的恢復(fù)方法相對(duì)簡(jiǎn)單。操作系統(tǒng)刪除文件的操作進(jìn)行了兩方面?zhèn)€操作：一，將文件在 磁盤(pán)的文件目錄表中的相應(yīng)文件目錄登記項(xiàng)的第一個(gè)字節(jié)更改了 e5h；二，將文件所占簇號(hào)在文件 分配表中的記錄清零，以釋放該文件所占空間。文件數(shù)據(jù)信息仍然“保留”在硬盤(pán)數(shù)據(jù)區(qū)中。因此 此類(lèi)型的數(shù)據(jù)恢復(fù)

45、只要通過(guò)某些硬盤(pán)管理工具或者數(shù)據(jù)恢復(fù)軟件（比如 easyrecovery） ，按照有關(guān) 的設(shè)置進(jìn)行。被徹底刪除的文件還是很容易被恢復(fù)過(guò)來(lái)。必須注意的是，恢復(fù)后的數(shù)據(jù)一定不能存 放在原來(lái)的硬盤(pán)分區(qū)。 2. 硬盤(pán)重分區(qū)或其它情況下的分區(qū)表?yè)p壞分析。 河南農(nóng)業(yè)大學(xué)理學(xué)院本科畢業(yè)論文 13 第一種情況，在 windows 下一般利用 dos 下的 fdisk 命令或者其它硬盤(pán)分區(qū)工具重新對(duì)硬盤(pán)進(jìn)行 分區(qū)后改寫(xiě)了硬盤(pán)分區(qū)表，也就是修改了硬盤(pán)的邏輯 0 扇區(qū)。 第二種情況，由于個(gè)人誤操作或者病毒入侵修改了硬盤(pán)邏輯 0 扇區(qū)(即硬盤(pán)主引導(dǎo)記錄)從而使 得系統(tǒng)無(wú)法啟動(dòng)。 解決方法: 一，將硬盤(pán)掛接到另一臺(tái)計(jì)算

46、機(jī)上進(jìn)入系統(tǒng)。在系統(tǒng)下啟動(dòng) winhex 打開(kāi)掛接的硬盤(pán)，首先查看 此硬盤(pán)的邏輯 0 扇區(qū)結(jié)尾標(biāo)識(shí)是否為 55aa.若不是將之修改為 55aa.將硬盤(pán)接到原計(jì)算機(jī)上 開(kāi)機(jī)是否能啟動(dòng)系統(tǒng)。 二，若重分區(qū)后不能對(duì)系統(tǒng)進(jìn)行格式化。則可能是硬盤(pán) mbr 引導(dǎo)程序損壞。進(jìn)入 dos 系統(tǒng)用 fdisk/mbr 修復(fù)硬盤(pán)邏輯 0 扇區(qū)的錯(cuò)誤。 三，若確定是分區(qū)表?yè)p壞。如果之前曾用磁盤(pán)醫(yī)生備份過(guò)硬盤(pán)分區(qū)表，可以使用磁盤(pán)醫(yī)生恢復(fù) 硬盤(pán)的分區(qū)表。如果是手動(dòng)備份的?？梢允褂?winhex 十六進(jìn)制數(shù)據(jù)查看工具修復(fù)硬盤(pán)分區(qū) 表。 四，如果實(shí)在對(duì)硬盤(pán)的分區(qū)表沒(méi)有任何備份。則只有將硬盤(pán)接到其它電腦上。使用有關(guān)數(shù)據(jù)恢 復(fù)

47、工具類(lèi)似 finaldata 數(shù)據(jù)恢復(fù)之類(lèi)的數(shù)據(jù)恢復(fù)工具掃描硬盤(pán)上的目錄與文件。但是恢復(fù) 的程度無(wú)法保證。 3. 硬盤(pán)格式化情況下數(shù)據(jù)恢復(fù)。 硬盤(pán)格式化就是重寫(xiě)了硬盤(pán)文件分配表。同樣硬盤(pán)上的實(shí)際數(shù)據(jù)還是沒(méi)消失。此時(shí)硬盤(pán)一般無(wú) 法再引導(dǎo)系統(tǒng)，如果要恢復(fù)數(shù)據(jù)，最好不要對(duì)硬盤(pán)進(jìn)行任何操作。 此類(lèi)情況下數(shù)據(jù)恢復(fù)我們可以考慮一點(diǎn)就是一般情況下每個(gè)硬盤(pán)分區(qū)中 fat（文件分配表）都 有一個(gè)備份。首先我們必須利用硬盤(pán)分區(qū)大小，分區(qū)格式，簇大小計(jì)算出硬盤(pán) fat 大小。查找硬盤(pán) 第一個(gè) fat 位置，再計(jì)算出硬盤(pán)第二個(gè) fat 所在扇區(qū)。使用有關(guān)磁盤(pán)操作工具或者 winhex 工具恢 復(fù)文件分配表。 4. 恢

48、復(fù)已經(jīng)備份的分區(qū)表恢復(fù)。 河南農(nóng)業(yè)大學(xué)理學(xué)院本科畢業(yè)論文 14 當(dāng)系統(tǒng)由于誤操作或者病毒破壞而使系統(tǒng)無(wú)法啟動(dòng)，經(jīng)檢查是硬盤(pán)的分區(qū)表?yè)p壞。如果在硬盤(pán) 剛分區(qū)時(shí)有正好進(jìn)行過(guò)硬盤(pán)分區(qū)表的備份。此時(shí)可以用以下的方法試著恢復(fù)硬盤(pán)分區(qū)表，這樣系統(tǒng) 又可以完好如初，且整個(gè)文件系統(tǒng)也不會(huì)有任何破壞?？偟膩?lái)說(shuō)，硬盤(pán)的分區(qū)結(jié)構(gòu)就是一個(gè)鏈?zhǔn)浇Y(jié) 構(gòu)。 硬盤(pán)的邏輯 0 扇區(qū)就是主引導(dǎo)記錄（mbr）其中偏移 1beh-偏移 1fdh 是硬盤(pán)的主分區(qū)表?？?共 64 個(gè)字節(jié)，第 16 個(gè)字節(jié)記錄一個(gè)分區(qū)的情況。一般硬盤(pán)可以有一個(gè)主分區(qū)一個(gè)擴(kuò)展分區(qū)。其中 擴(kuò)展分區(qū)有多個(gè)邏輯分區(qū)。 上面我們使用的工具是 winhex.使用這個(gè)

49、工具我們可以在 windows 界面下看到硬盤(pán)所有數(shù)據(jù)， 以十六進(jìn)制數(shù)表示一個(gè)字節(jié)。同時(shí)我們可以用這個(gè)工具修改硬盤(pán)上的數(shù)據(jù)。這也正是我們修復(fù)硬盤(pán) 分區(qū)表的關(guān)鍵所在。 在此以本人計(jì)算機(jī)的硬盤(pán)分區(qū)表為例。本人計(jì)算機(jī)硬盤(pán)有一個(gè)主分區(qū)就是系統(tǒng)的 c 盤(pán)。一個(gè)擴(kuò) 展分區(qū)，3 個(gè)邏輯分區(qū)分別為：d，e，f 盤(pán)。 關(guān)鍵步驟如下： a 將受損硬盤(pán)掛接到加別的計(jì)算機(jī)上以后。打開(kāi)軟件 winhex。然后選擇工具/打開(kāi)磁盤(pán)/物理磁盤(pán)。 打開(kāi)需要修復(fù)的硬盤(pán)。 界面如下圖 2： 河南農(nóng)業(yè)大學(xué)理學(xué)院本科畢業(yè)論文 15 b 在 winhex 上具欄用跳至扇區(qū)輸入 0 到邊硬盤(pán)的邏輯 0 扇區(qū)。找到偏移 1be 的位置。用備

50、份了的 分區(qū)表數(shù)據(jù)覆蓋原來(lái)的數(shù)據(jù)。 在此本人主分區(qū)表十六進(jìn)制數(shù)據(jù)如下： 80 01 01 00 0c fe ff ff 3f 00 00 00 fa ef d4 01 00 00 c1 ff 0f fe ff ff 39 f0 d4 01 88 9a cc 10 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 用以上數(shù)據(jù)覆蓋邏輯 0 扇區(qū)的分區(qū)表的位置。 c 分析硬盤(pán)分區(qū)備份的數(shù)據(jù)。在主分區(qū)表第二項(xiàng)記錄的是邏輯分區(qū)的第一個(gè)分區(qū)，也就是 d 盤(pán)所在 的位

51、置。通過(guò)主分區(qū)表第二項(xiàng)記錄 00 00 c1 ff 0f fe ff ff 39 f0 d4 01 88 9a cc 10 計(jì)算出 d 盤(pán)的起始扇區(qū)為十進(jìn)制的 30732345 扇區(qū)。使用 winhex 工具轉(zhuǎn)到第 30732345 號(hào)扇區(qū)。把這一扇區(qū) 的偏移 1be 的位置用備份了的數(shù)據(jù)進(jìn)行恢復(fù)。 河南農(nóng)業(yè)大學(xué)理學(xué)院本科畢業(yè)論文 16 d 然后再分析找到的 d 盤(pán)的虛擬主引導(dǎo)記錄的分區(qū)表。分析其第二項(xiàng)。找到 e 盤(pán)的分區(qū)表的位置。 依此類(lèi)推，依次找到下面的盤(pán)的分區(qū)表，然后一個(gè)一個(gè)的恢復(fù)。 e 通過(guò)上面的恢復(fù)以后，硬盤(pán)的分區(qū)完好如初，此時(shí)硬盤(pán)數(shù)據(jù)得以完全恢復(fù) 5. 硬盤(pán) dbr 損壞。 dbr

52、 是操作系統(tǒng)能直接訪(fǎng)問(wèn)的第一個(gè)扇區(qū)，它包括一個(gè)引導(dǎo)程序和一個(gè)被稱(chēng)為 bpb（bios parameter block）的本分區(qū)參數(shù)記錄表。引導(dǎo)程序的主要任務(wù)是當(dāng) mbr 將系統(tǒng)控制權(quán)交給它時(shí)， 判斷本分區(qū)跟目錄前兩個(gè)文件是不是操作系統(tǒng)的引導(dǎo)文件（以 dos 為例，即是 io.sys 和 msdos.sys） 。如果確定存在，就把其讀入內(nèi)存，并把控制權(quán) 交給該文件。bpb 參數(shù)塊記錄著本分 區(qū)的起始扇區(qū)、結(jié)束扇區(qū)、文件存儲(chǔ)格式、硬盤(pán)介質(zhì)描述符、根目錄大小、fat 個(gè)數(shù)，分配單元的 大小等重要參數(shù)。它對(duì)操作系統(tǒng)的成功啟動(dòng)有至關(guān)重要的作用。當(dāng) dbr 被損壞時(shí)，計(jì)算機(jī)系統(tǒng)無(wú)法 正常啟動(dòng)。 此時(shí)，我們

53、可以利用硬盤(pán)上已存在的 dbr 的備份去恢復(fù)硬盤(pán)上的 dbr。對(duì)于硬盤(pán)的每個(gè)邏輯分 區(qū)。dbr 在第一個(gè) dbr 的后面 6 個(gè)扇區(qū)都有一個(gè)備份。 a 我們將待修復(fù)硬盤(pán)掛接在另一臺(tái)正常的計(jì)算機(jī)上。進(jìn)入系統(tǒng)后用 winhex 軟件打開(kāi)待修復(fù)硬 盤(pán)。 b 利用分區(qū)表的數(shù)據(jù)找到邏輯分區(qū)起始扇區(qū)，轉(zhuǎn)到分區(qū)所在扇區(qū)，第一個(gè)是 dbr。往后查找 到第六個(gè)扇區(qū)，復(fù)制這一個(gè)扇區(qū)的數(shù)據(jù)，將之覆蓋第一個(gè) dbr。 c 將修復(fù)后的硬盤(pán)掛到原機(jī)器上，重啟系統(tǒng)。 河南農(nóng)業(yè)大學(xué)理學(xué)院本科畢業(yè)論文 17 五五 常用數(shù)據(jù)恢復(fù)工具和使用技巧常用數(shù)據(jù)恢復(fù)工具和使用技巧 其實(shí)在數(shù)據(jù)恢復(fù)過(guò)程中，除了少數(shù)情況下需要進(jìn)行手工恢復(fù)操作外，

54、最直接的方法是利用一些 成熟的、簡(jiǎn)單且易操作的工具軟件來(lái)實(shí)現(xiàn)。下面介紹幾種常用的恢復(fù)數(shù)據(jù)軟件及使用技巧。 一、easy recovery professional easy recovery是ontrack公司開(kāi)發(fā)的一款功能強(qiáng)大的硬盤(pán)數(shù)據(jù)恢復(fù)工具。修復(fù)時(shí)它不會(huì)向原始 驅(qū)動(dòng)器作任何寫(xiě)入，而是在內(nèi)存中重建文件分區(qū)表，使數(shù)據(jù)能夠安全地傳輸?shù)狡渌?qū)動(dòng)器中。利用 easy recovery可以從被病毒破壞或已經(jīng)格式化的硬盤(pán)中恢復(fù)數(shù)據(jù)，硬盤(pán)中丟失的引導(dǎo)記錄、bios 參數(shù)數(shù)據(jù)塊、分區(qū)表、fat表、引導(dǎo)區(qū)都可以由它來(lái)進(jìn)行恢復(fù)。 二、final data final data是一款功能強(qiáng)大且操作方便的數(shù)據(jù)恢復(fù)

55、軟件，支持windows、unix等多種操作系統(tǒng)， 可以恢復(fù)被刪除的重要信息，甚至還能從已經(jīng)格式化或者已經(jīng)損壞的磁盤(pán)中抽取文件，可以恢復(fù)完 整的目錄并盡量保持其目錄結(jié)構(gòu)。fina1 data的操作界面類(lèi)似windows資源管理器，使用簡(jiǎn)便，其 操作過(guò)程與easy recovery相似。 三、hard disk data recovery 硬盤(pán)文件系統(tǒng)恢復(fù)軟件，安全性較高，它可以在內(nèi)存重建文件系統(tǒng)，并可以安全地把數(shù)據(jù)傳輸 到另外一個(gè)設(shè)備，支持fat16、fat32和ntfs格式。 四、disk man 該軟件提供了比f(wàn)disk更靈活的分區(qū)操作，支持分區(qū)參數(shù)編輯；提供了強(qiáng)大的分區(qū)表重建功能， 可以迅速修復(fù)損壞了的分區(qū)表；支持fat/fat32分區(qū)的快速格式化；在