數(shù)據(jù)恢復技術(shù)詳解

1、專題1：數(shù)據(jù)恢復2022-3-222數(shù)據(jù)恢復技術(shù)n數(shù)據(jù)恢復的定義和原理n數(shù)據(jù)恢復技術(shù)分類介紹n主引導記錄的恢復n分區(qū)的恢復n0磁道損壞的恢復n硬盤邏輯鎖的處理n磁盤壞道的處理nDBR的恢復nFAT的恢復n數(shù)據(jù)文件的恢復nRAID恢復2022-3-223數(shù)據(jù)恢復技術(shù)n基本知識n按照數(shù)據(jù)恢復順序n相關現(xiàn)狀n列舉經(jīng)典案例n故障分析n解決方案n推薦工具2022-3-224數(shù)據(jù)恢復技術(shù)n硬盤數(shù)據(jù)存儲結(jié)構(gòu)要分清 n剛買來的硬盤，我們是沒有辦法使用的，需要將它分區(qū)、格式化，然后再安裝上操作系統(tǒng)才可以使用。n而在這一過程中，要將硬盤分成主引導區(qū)(MBR)、操作系統(tǒng)引導記錄區(qū)(DBR)、FAT表、DIR目錄區(qū)和

2、Data數(shù)據(jù)區(qū)等五部分(如圖，硬盤存儲的五個部分 2022-3-225數(shù)據(jù)恢復技術(shù)2022-3-226數(shù)據(jù)恢復技術(shù)n數(shù)據(jù)的定義n位于計算機存儲介質(zhì)上的信息n系統(tǒng)數(shù)據(jù)和用戶數(shù)據(jù)n數(shù)據(jù)恢復n一個把異常數(shù)據(jù)還原為正常數(shù)據(jù)的過程n數(shù)據(jù)問題n邏輯問題n硬件問題2022-3-227數(shù)據(jù)恢復技術(shù)n一般情況下，只要數(shù)據(jù)區(qū)沒有被覆蓋，都是可以恢復的。n恢復順序nMBRnDBRnFATnFDTn數(shù)據(jù)文件0磁道和壞磁道2022-3-228數(shù)據(jù)恢復技術(shù)2022-3-229數(shù)據(jù)恢復技術(shù) 2005年年6月月8日，上海一家外貿(mào)公司老板的筆記本在日，上海一家外貿(mào)公司老板的筆記本在開機啟動過程中突然斷電，當再次啟動的時候，開機

3、啟動過程中突然斷電，當再次啟動的時候，系統(tǒng)能夠通過自檢并檢測到硬盤，但是即將進入系統(tǒng)能夠通過自檢并檢測到硬盤，但是即將進入操作系統(tǒng)之前提示操作系統(tǒng)之前提示“ DISKBOOTFAILURE,INSERTSYSTENDISKANDPRESSENTER” 。然而當時該公司的。然而當時該公司的IT維護人維護人員并不知道如何將這臺全外置筆記本員并不知道如何將這臺全外置筆記本(沒有內(nèi)置沒有內(nèi)置光驅(qū)和軟驅(qū)光驅(qū)和軟驅(qū))引導進入引導進入DOS系統(tǒng)，而且對于數(shù)據(jù)系統(tǒng)，而且對于數(shù)據(jù)恢復沒有什么了解。在送到數(shù)據(jù)恢復公司時，工恢復沒有什么了解。在送到數(shù)據(jù)恢復公司時，工程師使用外置軟盤啟動并直接在程師使用外置軟盤啟動并

4、直接在DOS下查看下查看C盤盤分區(qū)時，發(fā)現(xiàn)其中的數(shù)據(jù)都完好無損。分區(qū)時，發(fā)現(xiàn)其中的數(shù)據(jù)都完好無損。 2022-3-2210數(shù)據(jù)恢復技術(shù)n這是一起典型的主引導區(qū)故障，此類故障大約占據(jù)整體軟件故障的30%以上n另外，如果開機自檢后提示“ Miss operation system” 而且DOS下可以看到C盤完整內(nèi)容，這也是屬于主引導區(qū)故障。2022-3-2211數(shù)據(jù)恢復技術(shù)n正規(guī)數(shù)據(jù)恢復公司恢復數(shù)據(jù)的起價一般為300到400元n通常來說，一旦主引導記錄和分區(qū)表被損壞，硬盤里的數(shù)據(jù)雖然無法訪問但也并沒有丟失。n目前很多惡意程序都喜歡攻擊硬盤的主引導區(qū)與分區(qū)表。2022-3-2212數(shù)據(jù)恢復技術(shù)n屬于

5、系統(tǒng)數(shù)據(jù)，功能確定，相對容易n使用Fdisk恢復nFdisk命令行格式通用語法為：“Fdisk/參數(shù)”。2022-3-2213數(shù)據(jù)恢復技術(shù)n用軟盤啟動系統(tǒng)。然后鍵入“ C:” ，看看能否讀取C盤的內(nèi)容。n如果C盤中的數(shù)據(jù)可以讀出的話，那么大家只要使用“Fdisk/mbr”命令進行無條件重寫主引導區(qū)一般都能成功，而且可以保留原有的數(shù)據(jù)。2022-3-2214數(shù)據(jù)恢復技術(shù)2022-3-2215數(shù)據(jù)恢復技術(shù)n軟件名稱nFixmbrn授權(quán)方式n共享軟件n軟件大小n12KBn下載地址http:/ 2022-3-2216數(shù)據(jù)恢復技術(shù) 張先生是一家私營企業(yè)的財務主管，在電腦上安張先生是一家私營企業(yè)的財務主管

6、，在電腦上安裝了裝了Windows 98和和Windows XP雙系統(tǒng)。但是最雙系統(tǒng)。但是最近想把近想把Windows 98刪除并且合并分區(qū)。不料在采刪除并且合并分區(qū)。不料在采用用PQ Magic時操作失誤，慌忙之下重新啟動計時操作失誤，慌忙之下重新啟動計算機。當再次進入算機。當再次進入Windows 98后，發(fā)現(xiàn)硬盤最后后，發(fā)現(xiàn)硬盤最后兩個分區(qū)的容量都不對了，而且無法打開其中的兩個分區(qū)的容量都不對了，而且無法打開其中的文件。由于他保管的財務數(shù)據(jù)非常重要，因此一文件。由于他保管的財務數(shù)據(jù)非常重要，因此一下子急得如熱鍋上的螞蟻。最終張先生還是去了下子急得如熱鍋上的螞蟻。最終張先生還是去了數(shù)據(jù)恢復

7、公司進行處理，花費了整整數(shù)據(jù)恢復公司進行處理，花費了整整600元，而且元，而且來回奔波令他苦不堪言。來回奔波令他苦不堪言。 2022-3-2217數(shù)據(jù)恢復技術(shù)n這應當屬于典型的分區(qū)表故障n分區(qū)表故障在各種軟件故障中也屬于常見的，大約占據(jù)整體軟件案例的30%。 2022-3-2218數(shù)據(jù)恢復技術(shù)n分區(qū)表的概念比主引導區(qū)更大，因此其故障情況已經(jīng)包含上述主引導區(qū)故障n操作系統(tǒng)對磁盤訪問建立在MBR和DBR之上，導致文件無法訪問n與主引導區(qū)相比，分區(qū)表被破壞時的修復相對要復雜一些。n重建分區(qū)表一般由手工完成，個別情況可以借助工具軟件自動完成 2022-3-2219數(shù)據(jù)恢復技術(shù)n自動修復分區(qū)表的操作一般

8、就是通過查找備份的分區(qū)表并復制相應扇區(qū)。n使用DiskGenius軟件。將DiskGenius軟件復制到DOS啟動盤之后可以直接運行，進入DiskGenius的主界面后，按下F10就能輕松地自動恢復硬盤分區(qū)表，而且這一招非常有效。 2022-3-2220數(shù)據(jù)恢復技術(shù)n手動修改將完全憑借經(jīng)驗，在WinHex等軟件下直接操作分區(qū)表數(shù)據(jù)。n以一塊東芝30GB筆記本硬盤為例，使用WinHex打開磁盤后看到如下界面。其中從“ 80” 開始到“ 55AA” 結(jié)束的DPT硬盤分區(qū)表相當關鍵2022-3-2221數(shù)據(jù)恢復技術(shù)n軟件名稱:DiskGenius授權(quán)方式:免費軟件軟件大小:143KB下載地址: ht

9、tp:/ http:/ Magicn分區(qū)博士：Partition DoctornHex WorkshopnDisk Probe2022-3-2223數(shù)據(jù)恢復技術(shù) 東北地區(qū)某服裝設計公司的東北地區(qū)某服裝設計公司的SCSI單盤服務器單盤服務器存儲著整個公司的設計資料，原本就發(fā)現(xiàn)存儲著整個公司的設計資料，原本就發(fā)現(xiàn)該硬盤有輕微的壞道，但是并未引起管理該硬盤有輕微的壞道，但是并未引起管理員重視，也沒有做好備份工作。終于在員重視，也沒有做好備份工作。終于在2005年年7月月13日，硬盤無法啟動了，管理員嘗試日，硬盤無法啟動了，管理員嘗試格式化系統(tǒng)分區(qū)也宣告失敗。格式化系統(tǒng)分區(qū)也宣告失敗。 2022-3-

10、2224數(shù)據(jù)恢復技術(shù)n通過Scandisk掃描，發(fā)現(xiàn)壞道其實并不多，甚至將它作為從盤掛在別的操作系統(tǒng)下也能看到部分分區(qū)內(nèi)容。但是由于壞道所處的位置非常特殊，因此造成硬盤無法啟動。n經(jīng)檢測后發(fā)現(xiàn)，零磁道部分出現(xiàn)了壞道，這類故障必須使用有別于普通壞道的處理方法。 2022-3-2225數(shù)據(jù)恢復技術(shù)n管理硬盤采用不使用0磁道的所有扇區(qū)的方式進行0磁道的保護n只要0磁道損壞，整個硬盤報廢n可以采用工具軟件將0磁道邏輯移動到1磁道使用，將硬盤“復活”n注意一點，處理過后，不能再使用分區(qū)軟件進行分區(qū)2022-3-2226數(shù)據(jù)恢復技術(shù)n最簡單的方法n將它設置為從盤，然后使用另一塊硬盤引導進入操作系統(tǒng)n盤符分

11、配，可能直接拷貝就能成功恢復數(shù)據(jù)n復雜情況n借助工具軟件2022-3-2227數(shù)據(jù)恢復技術(shù)n磁盤訪問工具效率源n特點n能夠針對扇區(qū)進行復制n突破硬盤讀取時遇大量壞道無法識別硬盤分區(qū)的限制n具有強力復制功能n配合有校驗算法2022-3-2228數(shù)據(jù)恢復技術(shù)n首先連上需要數(shù)據(jù)恢復的硬盤和一塊完好的硬盤n然后使用含有效率源軟件的啟動盤引導系統(tǒng)，直接進入效率源軟件的主界面n點選“SectorCopy”命令，輸入源盤與目標盤n隨后，輸入Start和End數(shù)字以確認復制扇區(qū)的起始位置n最后點擊“確認”按鈕后就可以開始扇區(qū)復制2022-3-2229數(shù)據(jù)恢復技術(shù)n修復硬盤n修改硬盤分區(qū)表存儲位置n屏蔽壞道n借

12、助工作軟件nPCTOOLS9.0nNU8.0nDiskGenius2022-3-2230數(shù)據(jù)恢復技術(shù)2022-3-2231數(shù)據(jù)恢復技術(shù)2022-3-2232數(shù)據(jù)恢復技術(shù)n磁道修復工具nDisk EditnSmartFdisknPCTOOLSnDiskMann專業(yè)扇區(qū)復制nPC3000nHIE (HardwareInfoExtractor)2022-3-2233數(shù)據(jù)恢復技術(shù) 老王是圖書館管理員，2005年3月13日，其負責的一臺電腦突然在Windows下無法打開其中一個分區(qū)，雙擊分區(qū)圖標時提示“ 該分區(qū)未格式化” 。趕忙叫來IT部負責人之后，進入DOS系統(tǒng)，發(fā)現(xiàn)此時可以轉(zhuǎn)到該盤符，但是一旦輸入“

13、 DIR” 命令時，系統(tǒng)就提示“ General Fail Reading Drive” 。這下可讓老王傻眼了，因為里面的數(shù)據(jù)是新進圖書的統(tǒng)計，如果丟失的話，后果不堪設想。萬般無奈之中，只熟悉硬件維修的IT負責人找到了一家數(shù)據(jù)恢復公司，豈料對方僅僅十幾分鐘就完全搞定，而且數(shù)據(jù)絲毫無損。 2022-3-2234數(shù)據(jù)恢復技術(shù)n直接使用格式化程序重新格式化能夠解決問題(排除物理壞道與病毒的干擾因素)n但是這種做法卻與挽救數(shù)據(jù)的最終目的是相違背的。 2022-3-2235數(shù)據(jù)恢復技術(shù)nDBR(操作系統(tǒng)引導記錄區(qū)) 是由高級格式化程序產(chǎn)生的n是一段信息代碼n如果遭到破壞，最終導致無法進入操作系統(tǒng)，部分文

14、件夾信息也會丟失。 2022-3-2236數(shù)據(jù)恢復技術(shù)n直接使用WinHex改寫DBR模板n將存在問題的硬盤作為從盤掛接n直接打開WinHex時選擇該磁盤n直接在右上方的“ 訪問” 下拉列表中選擇DBR故障的分區(qū)n打開“ 起始扇區(qū)模板” n這樣就能很輕松地解決問題 2022-3-2237數(shù)據(jù)恢復技術(shù)2022-3-2238數(shù)據(jù)恢復技術(shù)2022-3-2239數(shù)據(jù)恢復技術(shù) 華南某設計院的一臺服務器承擔著整個設計院的存儲任務。2005年8月2日，由于管理員的誤操作，將2004全年的數(shù)據(jù)全部刪除。由于當時刪除的時候并不是放入“回收站”，而是直接刪除，因此普通方法根本無法找回。為了找回這些數(shù)據(jù)，慌亂之中管

15、理員使用了當時的Ghost備份文件來恢復，但是恢復后發(fā)現(xiàn)還是沒有需要的文件，并且把整個文件系統(tǒng)都弄得非?；靵y。最終在數(shù)據(jù)恢復公司的幫助下，該設計院才成功找回90%左右的數(shù)據(jù)，花費了整整2000元。 2022-3-2240數(shù)據(jù)恢復技術(shù)n誤操作而導致的文件丟失在軟件類數(shù)據(jù)恢復中大約占25%。n磁盤刪除數(shù)據(jù)后，只是做了一個標記，數(shù)據(jù)并沒有真正被刪除，可以使用磁盤掃描的方法來恢復數(shù)據(jù)n數(shù)據(jù)一旦被覆蓋，很難將數(shù)據(jù)完全恢復。 2022-3-2241數(shù)據(jù)恢復技術(shù)n數(shù)據(jù)問題n文件丟失n文件被同名文件覆蓋n分區(qū)被誤操作格式化n分區(qū)被誤克隆n采用磁盤掃描的方法來進行數(shù)據(jù)恢復n相關工具軟件功能很強大 2022-3-

16、2242數(shù)據(jù)恢復技術(shù)n方法大致可以分為三個步驟:n選擇掃描范圍n指定掃描類型n篩選數(shù)據(jù)2022-3-2243數(shù)據(jù)恢復技術(shù)2022-3-2244數(shù)據(jù)恢復技術(shù) 2005年9月4日，某上市公司物流部門的RAID磁盤陣列突然崩潰，此時陣列柜指示燈顯示硬盤掉線。由于整個RAID已經(jīng)崩潰，因此管理員無法進入系統(tǒng)，也就感到無從下手。在大腦一片空白的情況下，還是主管請來了專業(yè)的數(shù)據(jù)恢復公司，最后以單盤3000元的價格(總計8塊硬盤，2.4萬元)進行數(shù)據(jù)恢復操作。RAID崩潰而導致的數(shù)據(jù)災難在整體數(shù)據(jù)恢復案例中大約占據(jù)11%，盡管比例不是很高，但是收費卻相當驚人。RAID數(shù)據(jù)災難的癥狀包括亮指示燈、RAID信息

17、丟失、分區(qū)丟失、所有硬盤變成單獨硬盤(軟RAID)等，這類故障的處理方法比較復雜。 2022-3-2245數(shù)據(jù)恢復技術(shù)nRAID的分區(qū)表并非獨立保存在某一個硬盤上，因此需要使用專門的軟件獨立處理。nRAID具有很多類型和組合nRAID本身具有容錯能力，所以出現(xiàn)數(shù)據(jù)丟失，其數(shù)據(jù)相對很重要 2022-3-2246數(shù)據(jù)恢復技術(shù)nRAID的數(shù)據(jù)恢復，只要知道其原理，出現(xiàn)問題后，數(shù)據(jù)都可以恢復nRAID數(shù)據(jù)拯救有“鏡”就行 2022-3-2247數(shù)據(jù)恢復技術(shù)n是一種具容錯能力的RAID 操作方式，n不應用專用容錯硬盤，容錯信息是平均的分布到所有硬盤上。n其總?cè)萘繛?N-1)x最低容量硬盤的容量。n但如果

18、有兩個硬盤同時失效的話，所有數(shù)據(jù)將盡失。2022-3-2248數(shù)據(jù)恢復技術(shù)2022-3-2249數(shù)據(jù)恢復技術(shù)n第一步、磁盤鏡像n建議先使用RuntimeDiskExplorer制作鏡像盤n得到磁盤鏡像后，源盤就可以保存在安全的地方n所有的數(shù)據(jù)恢復操作直接在鏡像盤中處理2022-3-2250數(shù)據(jù)恢復技術(shù)n第二步、數(shù)據(jù)重組n推薦使用RAIDReconstructorn進入主界面時需要設定RAID類型與磁盤數(shù)量nRAIDReconstructor會分析參數(shù)并把分散的數(shù)據(jù)拷貝出來。 n注：RAID數(shù)據(jù)重組的重要參數(shù)n磁盤數(shù)、塊大小和方向2022-3-2251數(shù)據(jù)恢復技術(shù)2022-3-2252數(shù)據(jù)恢復技

19、術(shù)n第三步、恢復數(shù)據(jù)n數(shù)據(jù)重組后，得到磁盤數(shù)據(jù)n使用數(shù)據(jù)恢復工具來恢復數(shù)據(jù)n例如：GetDataBack for NTFSn注意n有些工具可以整合第二和第三步nRAID數(shù)據(jù)恢復需要一定的設備2022-3-2253數(shù)據(jù)恢復技術(shù)n軟件名稱:RuntimeDiskExplorer ForNTFS授權(quán)方式:共享軟件軟件大小:1677KB下載地址:http:/ 杭州某電機公司剛從國外購買的技術(shù)資料保存在總經(jīng)理的臺式機中，不料該臺式機硬盤最終成為“數(shù)據(jù)殺手”。該硬盤起初工作速度緩慢，此后突然無法被BIOS識別，而且加電后帶有異常的“咔噠”聲。由于這些技術(shù)資料都是一次性授權(quán)，因此價值百萬的數(shù)據(jù)可謂命懸一線。

20、 2022-3-2255數(shù)據(jù)恢復技術(shù)n一般而言，這類故障情況幾乎都是磁頭老化，必須進行開盤處理2022-3-2256數(shù)據(jù)恢復技術(shù)n開盤的前提條件是有一間潔凈度非常高的房間n硬盤的密封都十分結(jié)實，但是只要使用六角螺絲刀也很好處理，并能清晰地看到其內(nèi)部結(jié)構(gòu)n進行開盤操作時需要找到合適的備件n更換磁頭的時候，工程師首先將內(nèi)部磁鐵蓋片掀開，此時需要用力得當，否則很容易弄傷盤片，從而導致數(shù)據(jù)徹底報廢2022-3-2257數(shù)據(jù)恢復技術(shù)2022-3-2258數(shù)據(jù)恢復技術(shù) 1、文件丟失后，不要再向該分區(qū)或者磁盤寫入信息，即剛被刪除的文件被恢復的可能性最大。2、小文件比大文件更容易恢復。3、恢復之前千萬千萬別用

21、磁盤整理功能，否則數(shù)據(jù)恢復的成功幾率將大大減小。同時也盡量不要使用Fdisk程序，否則將會給你的恢復造成很大的困難。4、有足夠的空余磁盤空間或者外接新硬盤以備寫入恢復資料。 2022-3-2259數(shù)據(jù)恢復技術(shù)nInvalid partition table 無效的分區(qū)表 nError loading operating system 不能裝入引導系統(tǒng) nMissing operating system 系統(tǒng)引導文件丟失 non-System disk or disk error 沒有系統(tǒng)盤或磁盤錯誤 2022-3-2260數(shù)據(jù)恢復技術(shù)nNon-System disk or disk error，Replace