硬盘数据恢复方案分析

大白鲨

硬盘数据恢复方案分析

难道在硬盘数据由于各种原因被破坏后，我们就只能……？

当然，我们最大的期望还是——你永远不要用到下面的方法！因为再完备的事后解决方案，也不能保证所有数据的完好无缺。而要真正做到万无一失，更重要的工作还在于防患于未然。

1、 文件语删除

A、  症状

这可能是最简单同时也是最常见的数据损坏，直接的表述就是一般删除文件后清空了回收站，或按住Shift键删除，要不然就是在“回收站”的“属性”中勾选了“删除时不将文件移入回收站，而是彻底删除”。

B、解决方案

既然是最常见的数据损坏，当然也就是最容易恢复的，下面就根据不同的操作系统给出相应的解决方案。

1）.Win9x/Me下的解决方案

也就是FAT16/32分区下的文件误删除恢复，这应该是大部分恢复类软件的基本功能；而我们拿来作例子的软件Recover4all，所提供的功能仅为在Win9x/Me下恢复被误删除的文件——其实很多东西并不是一味求大求全就好，够用已足够，简单就是美。

2）.WinNT/2000下的解决方案

换种说法，也就是如何恢复在NTFS分区下被误删除的文件。对于这种相对简单的需求，File Scavenger完全就可以胜任。当然，File Scavenger是很具有针对性的——它只能在WinNT/2000系统下使用（同时必须以Administrator用户登录系统），而且只对NTFS格式的分区有效。不过它支持压缩过的NTFS分区或文件夹中文件的恢复，并对格式化过的NTFS分区中的文件也有效（注意:File Scavenger只可以对格式化过的分区中的文件进行恢复，并不能恢复整个被格式化过的分区）。

C、  不可恢复的情况

如果文件在删除之后，其存储的磁盘空间进行过写操作，那在通常情况下恢复的几率为0。因此，误删除文件可以恢复的重要前提就是不要在删除文件所在的分区进行写操作。

病毒破坏、症状

现在使用电脑的人基本都是谈“毒”色变，病毒带来的数据破坏往往不可预见（包括分区表破坏、数据覆盖等；例如CIH病毒破坏的硬盘，其分区表已被彻底改写，用A盘启动也无法找到硬盘），由此病毒破坏硬盘数据的症状也不好描述，基本上大部分的数据损坏情况都有可能是病毒引起的，所以最稳妥的方法还是安装一个优秀的病毒防火墙。

2)、解决方案

由于病毒破坏硬盘数据的方法各异，恢复的方案就需要对症下药。一般以常见的CIH为例，因为它最普遍，也最容易判断（一般是在4月26日发作）。

当用户的硬盘数据一旦被CIH病毒破坏后，使用KV3000的F10功能，可修复的程度如下:

1.       C盘容量为2.1G以上，原FAT表是32位的，C分区的修复率为98%，D、E、F等分区的修复率为99%,&nbsp配合手工C、D、E、F等分区的修复率为100%。

2.       硬盘容量为2.1G以下，原FAT表是16位的，C分区的修复率为0%，D、E、F等分区的修复率为99%,

配合手工D、E、F盘的修复率为100%。

因为原C盘是16位的短FAT表，所以C盘的FAT表和根目录下的文件目录都被CIH病毒乱码覆盖了。 KV3000可以把C盘找回来，虽然根目录的文件名字已被病毒乱码覆盖看不到了，但文件的内容影像还存储在C盘内的某些扇区上。推荐用KV3000找回C盘，再用文件修复软件TIRAMISU.EXE可将C盘内的部分文件影像找回来，如果原存放文件影像的簇是相连的，找回的文件就完整无损。

但对于FAT16的C盘是不是中了CIH就没救呢？你还是可以尝试一下FIXMBR，它可以通过全盘搜索，决定硬盘分区，并重新构造主引导扇区。由于软件只修改主引导扇区记录，对其它扇区不进行写操作，故一般不会带来不安全目录（如果修复得不理想，请DiskEdit等工具进行手工修复）。注意:FIXMBR是一个比较老的程序，对WinNT、Linux以及FAT32考虑得不多。

3)、不可恢复的情况

由于病毒破坏硬盘的方式实在太多，而且大部分破坏都无法用一般软件轻易恢复（如果你喜欢使用DiskEdit等磁盘扇区编辑工具，对某些情况还有一线希望），所以……遇到病毒破坏硬盘的情况你就祈祷吧（由此看来，安装一个优秀的病毒防火墙绝对是有必要的）

2、 分区表破坏

分区表破坏是比较常遇到：

A、  破坏原因及恢复可行性分析

分区表破坏，可能是数据损坏中除了物理损坏之外最严重的一种灾难性破坏。究其原因，不外乎以下几种:

1).个人误操作删除分区，只要没有进行其它的操作完全可以恢复。

2).安装多系统引导软件或者采用第三方分区工具，有恢复的可能性。

3).病毒破坏，可以部分或者全部恢复。

4).利用Ghost克隆分区硬盘破坏，只可以部分恢复或者不能恢复（用Ghost的朋友要小心了）。

B、解决方案

在Norton&nbspUtility系列工具中，功能十分强大，可以恢复分区记录、FAT表，需要注意的是它对硬盘的操作不是只读的，因此你需要每一步都做好Undo文件，这样即使误操作也可以恢复，Norton Disk Doctor配合DiskEdit在分区表不能恢复时也可以恢复部分文件，可惜Norton Disk Doctor不支持NTFS分区，这不能不说是它的一大遗憾之处……

最专业的数据恢复公司出的软件，当然很有专业风范，EasyRecovery支持的文件系统格式很多FAT、NTFS都支持，并且有专门的For&nbspNovell版本。EasyRecovery对于分区破坏和硬盘意外被格式化都可安全的恢复，你所要做的就是将数据损坏硬盘挂到另外一台电脑上，尽情恢复就是了，不过EasyRecovery对于中文的文件名和目录名效果不是很好（一些乱码，但文章内容绝对是正确的）。由出品PartitionMagic的PowerQuest公司所出的，硬盘资料复原工具。它是一套恢复硬盘因病毒感染，意外格式化等因素所导致的资料损失工具软件，能将已删除的文件资料找出并恢复，也能找出已重新格式化的硬盘、被破坏的FAT分配表、启动扇区等等，几乎能找出及发现任何在硬盘上的资料（支持FAT16和FAT32及长文件名）。恢复回来的资料能选择在原来所在位置恢复或保存到其它可写入资料的硬盘，也提供了自动备份目录、文件和系统配置文件的功能，能在任何时间恢复）

大白鲨

2、 全盘崩溃和分区丢失

首先重建MBR代码区，再根据情况修正分区表。修正分区表的基本思路是查找以55AA为结束的扇区，再根据扇区结构和后面是否有FAT等情况判定是否为分区表，最后计算填回主分区表，由于需要计算，过程比较烦琐。如果文件仍然无法读取，要考虑用Tiramint等工具进行修复。如果在FAT表彻底崩溃，恢复某个指定文件，可以用DiskEdit或Debug查找已知信息。比如文件为文本，文件中包含“软件狗”，那么我们就要把它们转换为内码C ED BC FE B9 B7进行查找。



3、 文件丢失、误格式化的情况

一般来说，删除文件仅仅是把文件的首字节，改为E5H，而并不破坏文件本身，因此可以恢复。但对不连续文件要恢复文件链，而由于手工交叉恢复对一般计算机用户来说并不容易，这里就就不讲了，建议用工具处理，如果已经安装了Norton Utilities，可以用它来查找。另外，RecoverNT等工具都是恢复的利器。但是应特别注意，千万不要在发现文件丢失后，在本机安装什么恢复工具，你可能恰恰把文件覆盖掉了。特别是如果你的文件在C盘，发现主要文件被你失手清掉了（比如你按SHIFT删除），你应该马上直接关闭电源，用软盘启动进行恢复或把硬盘</a>串接到其它有恢复工具的机器处理。

4、 文件损坏

　一般的说，恢复损坏文件须要清楚地了解文件的结构，但这并不是很容易的事情，而这方面的工具也不多。不过，文件如果字节正常，不能正常打开往往是文件头损坏。

5、 硬盘被加密或变换

此时千万不要进行FDISK/MBR，SYS等处理，否则数据再也无法找回，一定要反解加密算法，或找到被移走的重要扇区。对于那些加密硬盘数据的病毒，清除时一定要选择能恢复加密数据的可靠杀毒软件。

6、 文件加密后密码遗忘

对于很多字处理软件的文件加密和ZIP等压缩包的加密，你是不能靠加密逆过程来完成的，因为那从理论上是异常困难的。目前有一些相关的软件，他们的思想一般都是用一个大字典集中的数据循环用相同算法加密后与密码的密文匹配，直到一致时则说明找到了密码。你可以去寻找这些软件，当然，有些软件是有后门的，比如DOS&nbsp下的WPS，Ctrl+qiubojun就是通用密码。Undiskp的作者冯志宏是解文件密码的个中高手，大家不妨去他的主页看看。

7、 系统用户密码遗忘的处理

最简单的方法就是用软盘启动（NT的你也可以把盘挂接在其他NT上），找到支持该文件系统结构的软件（比如针对NT的NTFSDOS），利用他把密码文件清掉、或者是COPY出密码档案，用破解软件套字典来处理。前者时间短但所有用户信息丢失，后者时间长，但保全了所有用户信息。对UNIX系统，建议你一定先做一张应急盘。