硬盘数据恢复原理与方法

硬盘数据恢复原理与方法●冷静袁长春王雷

摘要 当硬盘的分区表或文件分配表被病毒改写墓数据被误删除时么将硬盘上保存盥弁的数据信息有效完整恢复？章详怎文_纫介绍 7数据恢复的原理一些常用的数据恢复方莹警| i毒关键 硬盘 据茂复理珐 0数原方∞|。?

i爱囊|薯i; si j囊

|

董 尊 j

存数据被误删除或系统被病毒破坏，

把硬盘分区数扩展到“” z。 O R即操作系统引导扇区通常位 B于硬盘的 O磁道 1柱面 1区的本分扇

C”命令对存在坏道的分区作强制完全格式化并标记坏簇。格式化过程中一在

硬盘的分}表或文件分配表被病毒改写， 需要对硬盘 累数年的数据信息行恢复匕积进

定要仔细观察，格式化是否能够正常看进行。如果格式化顺利，明是逻辑坏说

的情形 F,以寻求专业公司的帮助，可也可以通过一些数据恢复软什来解决。就怎本文样有效完挚恢复数据作一介绍。1硬盘分区 .一一

区参数记录表。其实每个逻辑分区都有个 O R,参数视分区的大小、作 B其操

簇；如果格式化意外中止或无法继续，说明硬盘存在严重的物理坏道。以采可用下面的方法处理。

系统的类别而有所不同。F T即文件分配表，是 D SWi9 A O/ nx

般要将硬盘分成主引导扇区、操

系统的文件寻址系统。为了防止意外损坏，A F T一般做两个 (可以设置为一也

最好使用 S DS F IK软件，可以自由它分区，从前或从后，主分区、逻辑分区，其他

作系统引导扇区、A F T表、 I目录 DR

和 Dt a a数据区等五部分。通常所说的主引导扇 MB R在一个硬盘中是唯一的， R区的内容只有存硬盘启动时 MB

个),第二 F T为第一 F T的备份，A A A FT区紧接在 O R之后其大小由这个分区的 B空间大小及文件分配单元的大小决定。2硬盘坏道的简单修复 .

任意的分区格式都可以随意设置。这时记

着前面使用 F R T命令格式化出现故 O MA障时的进度数字 x,据硬盘的分区情况根和当前分区的大小，计算出坏簇的位置， 将有坏簇

的位置设置成一个区，剩余再把的空间设置为另一个区。对剩余的分区格式化，检查格式化是否正常。如果不正常，

才能读取，后驻留内存。其他几项内然容随硬盘分区数的多少而异。 主引导扇区位于整个硬盘的 0磁道 0柱面 1扇区，括硬盘主引导记录包

( )最简单的方法人手。 1从在 Widw资源管理器中选择硬盘 n os

盘符，击鼠标，快捷菜单中选择“右在属性”在“具”中选择“盘扫描”硬，工项磁对盘盘面作完全扫描处理，并且对可能出现的坏簇自动修正。也可以在 D S命令 O符下使用“C N IK: U O I/U— S A D S X/ T FXS R AF E对硬盘对应分区进行检测 f:改 AC” x请

MB和分区表 D T其中主引导记录 R P。的作用就是检查分区表是否正确以及判别哪个分区为可引导分区，在程序并

将刚才设置的分区删除，对坏分区再扩大，再分区，再格式化，直到剩余的分区能够正常格式化。最后把坏的分区设置为空 闲，使用。这样就可以避开坏道，分不再充利用硬盘的完好空问。 需要注意的是， 要为了节约硬盘

结束时把该分的启动程序 (操作系统引导扇区 )入内存加以执行。调 存主引导区中，从地址 B E开始，到 F D结束为止的 6字节中的内容就是 4个通常所说的分区表。区表以 8 H或 0 H分 0 0为开始标志， 5 A H为结束标志，以 5A每个分区占用 1 6个字节，一个硬盘最多只能

为对应的分区盘符)标注有坏道的簇。,( )辨坏道格式化。 2分

空间而把空闲区划分得过于“济”而 经，应留有适当余地。因为渎取坏道周围的“道”,能过于靠近“道”而不明好时可坏，智的坏道具有传染性，果距离太近，如过不了多久硬盘上新的坏道又将现。 ( )盘 0扇区的修复。 3硬 对于硬盘 0扇区的损坏看起来比

如果在磁盘扫描过程中标注的坏簇很多，经过上述处理后还是不正常，这时就需要确定这些坏簇是“辑坏逻道”还是“理坏道”方法是先使用物。

分成四个主分区，中扩展分

区也是一个其主分区。随着硬盘容量的迅速扩大，入引

X O Y命令把自己需要保留的文件拷 C P到其他硬盘，使用“ O MA //再 F R T X: U

的扩展分区可以不受四个主分区的限制，

作者简介：冷静、袁长春、王雷，江苏国瑞信安科技有限公司。

Dc br 1确 e me 0 e 0 2

较棘手，也不是无药可救。可以使用但 P t l90中的 D Co S . o E工具，损坏的的 0把 磁道屏蔽，用 1道取而代之。但使而磁用 P t l90软件修改磁道完成后， Co S . o只有对硬盘作格式化后才会把分区表的

“ HKEY LOCAL M ACHI NE\ o wa e M i S f r\— l— _

无法恢复的。

cfo\ n o s urnV ri\ u木 sfWid w\ r t es nR n”中 r l l C e o

() 5文件无法正常打开。一

的键值和启动组中加载的程序，对不必要的程序逐一删除，检查是否能够排除故障；或者更简单的，在运行中使用“ C N I”令，运行中的不必要的 MS O FG命将选项全部去除，系统能否正常启动。看

般的说，复损坏的文件需要非恢

常清楚地了解文件结构，并不是一件这容易的事，方面的工具也不多。但经这验告诉我们：文件如果字节数大小正常，能正常打开常常是因为文件头被不意外破坏。举例说明。}

信息写入 1 (在作为 0道了 )道现。 在使用 F R T命令格式化 C盘 O MA或 D盘出现的 0磁道坏，并不是硬盘的 0磁道坏，而是 C盘或 D盘的引导

( )盘分区表被破坏，成所有 3硬造盘符或部分盘符丢失。 首先使用“ DS/ R”建主引 F IKMB重导区，根据情况修正分区表。修正分 再表的基本思路是查找以 5 A 5 A为结束

①ZP T Z等压缩包无法解压：I I、G ZP文件损坏可以用一个名为“ IFX的工 ZP I”具处理，可以用“ A Y E O E Y软也 ESRCVR”件解决。不过文件如果是从 F P站点上 T

扇区所在的位置出现了坏道，统无法系

正常格式化，时按第 2步所述的处理这方法即可解决。

3系统问题下数据恢复方法 .手动恢复数据的方法比较可靠， 但是要求对硬盘的磁盘数据格式要有相

的扇区，再根据扇区的结构和后面是否有 F T表等情况判定是否为分 表， A最

下载的，那么有可能是因为没有定义下载模式为 BN造成。 I

后计算填回主分区表。由于需要进行 1 0

②自解压文件无法解压：一般是可执行文件头部损坏，以用对应的压缩可工具按一般压缩文件解压。

当深入的了解，非常清楚 F T 6 A 1,F T2N F A 3, T S文件在硬盘上的存储格式和读写方式。以 F T 2的文件磁盘 A3

进制和 1 6进制计算，程比较烦琐，过容易出现错误，好借助数据恢复软件。最如果硬盘的主引导区活动分区引

③ D F文件死机后无法打开：型 B典的文件头中的记录数与实际不匹配，把文件头中的记录数向下调整。可以到也

格式为例，明手动数据恢复的原理。说 ( )统在启动过程中出现的错误 1系提示及处理方法。 Ivl ati al,分区信息 n ad P rtn T be i io中 1 E 1 E,D处不符合只有一个 B,C 1 E 8其他两处为 0重建分区表或使用 0而。磁盘编辑软件手动修改错误，另外 P O软件也有分区表修复功能。 Err r oLa i p rt g S s m,引导程序 odn O ean yt主 g i e

导区的 B B表及 F T表都被完全破 P A坏，想恢复某个指定的文件，以用要可

DS E I IK DT等磁盘编辑软件来查找相关的已知信息。臂如文件为文本，件巾文包含“算机操作系统”那么就要把它计，们转换为内码“ C C 8 E B F B 6 C 3B A B 9 D 7C 5 C 3来查找。 2 D 7 F F B D B” ( )一分区被误格式化或文件丢 4某失或误删除。

网上查找这方面的相关介绍。 ④AC E S文件不能打开： CS这类文件可以使用 E sR cvr件修复， ay eoe y软能够找回大部分的重要信息。 () 6硬盘的分区被加密或扇区被搬移。此时千万不要用 F IK M R,Y DS/B S S

等命令进行处理，则极有可能数据再否

读取 B O区 5次没成功。重建 B O OT OT区。 Mis g si Op rt g S s m DO活 n eai yt n e S,

对于 F T格式的文件结构，件删 A文除仅仅是把文件的首字节改为 E H, 5其

也无法找回。一定要反解加密算法，或使用 K 30 V 0 0等磁盘编辑软件找回被移走的重要扇区。于那些加密硬盘数对

动分区引导扇区的“5 A标记丢失： 5A”

余的内容并没有被修改，因此比较容易恢复。可以使用数据恢复软件轻松地找回意外丢失的文件。不过特别应注意的是，发现文件丢失后，备使用恢复在准

使用 S S命令传送系统文件。 Y没有相对应的分区或主分区表的分区信息记录被破坏或扩展分区表丢失。

据的病毒，清除时一定要选择能恢复加密数据的可靠杀毒软件。 ( )件加密后密码遗忘。 7文 对于很多字处理软件的文件加密和 ZP WI R R等压缩包的加密， I, N A是不能靠加密逆过程来完成的，因为从理论上讲异常困难。目前有一些相关软件，般都是用一个大字典集中数据循 一环，相同算法加密后与密码的密文匹用配，到一致时则说明找到了密码。这直也可以到网上查找相应的破解软件， 来解决密码遗忘的问题。(辑：遐)编王

( ) N操作系统无法正常工作。 2 WI系统进入图形界面前死机的情况比较复杂，大部分与加载的某些驱动程序有关。可以在启动 WI D WS时按 N O“8或“t”激活启动菜单，择 F” Cr键 l选“ tp b t o f u t n,观察到是 Se y s p c n g a o” e i i

软件时，千万不要在本机安装这些工具，因为软件的安装可能恰恰把刚才丢失的文件覆盖掉。最好使用能够从光盘 直接运行的数据恢复软件，者把硬盘 或挂存别的机器上进行恢复。特别是当文

件存储在 C盘的情况下，该直接关闭应电源，软盘启动恢复或把硬盘挂接到用其他机器上处理。

哪一项造成系统死机。再从 C N I O FG或者

S SE II Y T M.文件中

删除相关的加载程序 N组；者进入安全模式 (时不加载主板或此

误格式化时可以使用 U F R A NOFT或 E S R C V R等 T具处理。但是 AYEO E如果使用的是 F R T X:命令是 O MA / U

和显卡等部件的驱动程序，自动运行的程序也不被加载 ),可以分析注册表中的

Decem ber 201 0

本文来源：https://www.bwwdw.com/article/d44j.html