数据恢复技术大全2008.doc

1、数据恢复技术大全 2008-08-25 15:35分类： PC&网络 字号： 大 中 小 目录一数据恢复基础知识1.硬盘数据结构2.硬盘分区方式3.数据存储原理4.系统启动流程二、硬盘数据恢复方案分析1文件与删除1)、解决方案2)、不可恢复的情况2分区表破坏3全盘崩溃和分区丢失4文件丢失、误格式化的情况5文件损坏6硬盘被加密或变换7文件加密后密码遗忘8系统用户密码遗忘的处理三数据备份介绍1、么东西最该备份2、备份到哪里硬盘数据恢复实例全解 之一1）解决方案2）不可恢复的情况3）破坏原因及恢复可行性分析硬盘数据恢复实例全解 之二1）解决方案2）不可恢复的情况3）破坏原因及恢复可行性分析硬盘数据恢

2、复实例全解 之三 1）解决方案2）不可恢复的情况3）破坏原因及恢复可行性分析硬盘数据恢复实例全解 之四1）两点建议2）解决方案3）实战操作硬盘数据恢复实例全解 之五1）FAT 分区的恢复2）NTFS 的恢复3）分区格式化的恢复硬盘数据恢复实例全解 之六硬盘数据恢复实例全解 之七硬盘数据恢复实例全解数据恢复与软故障处理基本指南 第一篇第一篇、广义的数据恢复数据丢失的各种逻辑现象数据恢复与软故障处理基本指南 第二篇第二篇、数据恢复的准备知识数据恢复与软故障处理基本指南 第三篇第三章、数据恢复基本攻略数据恢复与软故障处理基本指南 第四篇第四章、恢复实例硬盘维修秘籍无法找到硬盘的情况提示硬盘出错的情况

3、硬盘诊断步骤硬盘盘故障判断流程 一、数据恢复基础知识说到数据恢复，我们就不能不提到硬盘的数据结构、文件的存储原理，甚至操作系统的启动流程，这些是你在恢硬盘数据时不得不利用的基本知识。即使你不需要恢复数据，理解了这些知识（即使只是稍微多知道一些），对于你平时的电脑操作和应用也是很有帮助的。我们就从硬盘的数据结构谈起吧1、硬盘数据结构刚出厂一块硬盘，我们是没有办法使用的，你需要将它分区、格式化，然后再安装上操作系统才可以使用。就拿我们一直沿用到现在的 Win9x/Me 系列来说，我们一般要将硬盘分成主引导扇区、操作系统引导扇区、FAT、DIR 和 Data 等五部分（其中只有主引导扇区是唯一的，其

4、它的随你的分区数的增加而增加）。主引导扇区:主引导扇区位于整个硬盘的 0 磁道 0 柱面 1 扇区，包括硬盘主引导记录 MBR（Main Boot Record）和分区表 DPT（Disk Partition Table）。其中主引导记录的作用就是检查分区表是否正确以及确定哪个分区为引导分区，并在程序结束时把该分区的启动程序（也就是操作系统引导扇区）调入内存加以执行。至于分区表，很多人都知道，以 80H 或 00H 为开始标志，以 55AAH 为结束标志，共 64 字节，位于本扇区的最末端。值得一提的是，MBR 是由分区程序（例如 DOS 的 Fdisk.exe）产生的，不同的操作系统可能这个

5、扇区是不尽相同。如果你有这个意向也可以自己去编写一个，只要它能完成前述的任务即可，这也是为什么能实现多系统启动的原因（说句题外话:正因为这个主引导记录容易编写，所以才出现了很多的引导区病毒）。操作系统引导扇区： OBR（OS Boot Record）即操作系统引导扇区，通常位于硬盘的 0 磁道 1 柱面 1 扇区（这是对于 DOS 来说的，对于那些以多重引导方式启动的系统则位于相应的主分区/扩展分区的第一个扇区），是操作系统可直接访问的第一个扇区，它也包括一个引导程序和一个被称为 BPB（BIOS Parameter Block）的本分区参数记录表。其实每个逻辑分区都有一个 OBR，其参数视分

6、区的大小、操作系统的类别而有所不同。引导程序的主要任务是判断本分区根目录前两个文件是否为操作系统的引导文件（例如 MSDOS 或者起源于 MSDOS 的 Win9x/Me 的 IO.SYS 和 MSDOS.SYS）。如是，就把第一个文件读入内存，并把控制权交予该文件。BPB 参数块记录着本分区的起始扇区、结束扇区、文件存储格式、硬盘介质描述符、根目录大小、FAT 个数、分配单元（Allocation Unit，以前也称之为簇）的大小等重要参数。OBR 由高级格式化程序产生（例如 DOS 的 F）。文件分配表： FAT(File Allocation Table)即文件分配表，是 DOS/Win

7、9x 系统的文件寻址系统，为了数据安全起见，FAT 一般做两个，第二 FAT 为第一 FAT 的备份, FAT 区紧接在 OBR 之后，其大小由本分区的大小及文件分配单元的大小决定。FAT 的格式历来有很多选择，Microsoft 的 DOS 及 Windows 采用我们所熟悉的 FAT12、FAT16 和FAT32 格式，但除此以外并非没有其它格式的 FAT，像 Windows NT、OS/2、UNIX/Linux 、Novell 等都有自己的文件管理方式。目录区：DIR 是 Directory 即根目录区的简写， DIR 紧接在第二 FAT 表之后 ,只有 FAT 还不能定位文件在磁盘中的

8、位置， FAT 还必须和 DIR 配合才能准确定位文件的位置。DIR 记录着每个文件（目录）的起始单元（这是最重要的）、文件的属性等。定位文件位置时，操作系统根据 DIR 中的起始单元，结合 FAT 表就可以知道文件在磁盘的具体位置及大小了。在 DIR 区之后，才是真正意义上的数据存储区，即 DATA 区。数据区：DATA 虽然占据了硬盘的绝大部分空间，但没有了前面的各部分，它对于我们来说，也只能是一些枯燥的二进制代码，没有任何意义。在这里有一点要说明的是，我们通常所说的格式化程序（指高级格式化，例如 DOS 下的 Format 程序），并没有把 DATA 区的数据清除，只是重写了 FAT 表

9、而已，至于分区硬盘，也只是修改了 MBR 和 OBR，绝大部分的 DATA 区的数据并没有被改变，这也是许多硬盘数据能够得以修复的原因。但即便如此，如 MBR/OBR/FAT/DIR 之一被破坏的话，也足够咱们那些所谓的 DIY 老鸟们忙乎半天了需要提醒大家的是，如果你经常整理磁盘，那么你的数据区的数据可能是连续的，这样即使 MBR/FAT/DIR 全部坏了，我们也可以使用磁盘编辑软件（比如 DOS 下的 DiskEdit），只要找到一个文件的起始保存位置，那么这个文件就有可能被恢复（当然了，这需要一个前提，那就是你没有覆盖这个文件）。2、硬盘分区方式我们平时说到的分区概念，不外乎三种:主分区

10、、扩展分区和逻辑分区。主分区是一个比较单纯的分区，通常位于硬盘的最前面一块区域中，构成逻辑 C 磁盘。在主分区中，不允许再建立其它逻辑磁盘。扩展分区的概念则比较复杂，也是造成分区和逻辑磁盘混淆的主要原因。由于硬盘仅仅为分区表保留了64 个字节的存储空间，而每个分区的参数占据 16 个字节，故主引导扇区中总计可以存储 4 个分区的数据。操作系统只允许存储 4 个分区的数据，如果说逻辑磁盘就是分区，则系统最多只允许 4 个逻辑磁盘。对于具体的应用，4 个逻辑磁盘往往不能满足实际需求。为了建立更多的逻辑磁盘供操作系统使用，系统引入了扩展分区的概念。所谓扩展分区，严格地讲它不是一个实际意义的分区，它仅

11、仅是一个指向下一个分区的指针，这种指针结构将形成一个单向链表。这样在主引导扇区中除了主分区外，仅需要存储一个被称为扩展分区的分区数据，通过这个扩展分区的数据可以找到下一个分区（实际上也就是下一个逻辑磁盘）的起始位置，以此起始位置类推可以找到所有的分区。无论系统中建立多少个逻辑磁盘，在主引导扇区中通过一个扩展分区的参数就可以逐个找到每一个逻辑磁盘。需要特别注意的是，由于主分区之后的各个分区是通过一种单向链表的结构来实现链接的，因此，若单向链表发生问题，将导致逻辑磁盘的丢失。3、数据存储原理既然要进行数据的恢复，当然数据的存储原理我们不能不提，在这之中，我们还要介绍一下数据的删除和硬盘的格式化相关

12、问题文件的读取操作系统从目录区中读取文件信息（包括文件名、后缀名、文件大小、修改日期和文件在数据区保存的第一个簇的簇号），我们这里假设第一个簇号是 0023。操作系统从0023 簇读取相应的数据，然后再找到 FAT 的 0023 单元，如果内容是文件结束标志（FF），则表示文件结束，否则内容保存数据的下一个簇的簇号，这样重复下去直到遇到文件结束标志。文件的写入当我们要保存文件时，操作系统首先在 DIR 区中找到空区写入文件名、大小和创建时间等相应信息，然后在 Data 区找到闲置空间将文件保存，并将 Data 区的第一个簇写入 DIR 区，其余的动作和上边的读取动作差不多。文件的删除看了前面的

13、文件的读取和写入，你可能没有往下边继续看的信心了，不过放心，Win9x 的文件删除工作却是很简单的，简单到只在目录区做了一点小改动将目录区的文件的第一个字符改成了 E5 就表示将改文件删除了。Fdisk 和 Format 的一点小说明和文件的删除类似，利用 Fdisk 删除再建立分区和利用 Format 格式化逻辑磁盘（假设你格式化的时候并没有使用/U 这个无条件格式化参数）都没有将数据从 DATA 区直接删除，前者只是改变了分区表，后者只是修改了 FAT 表，因此被误删除的分区和误格式化的硬盘完全有可能恢复系统启动流程各种不同的操作系统启动流程不尽相同，我们这里以 Win9x/DOS 的启动

14、流程为例。第一阶段:系统加电自检 POST 过程。POST 是(Power On Self Test)的缩写，也就是加电自检的意思，微机执行内存 FFFF0H 处的程序（这里是一段固化的 ROM 程序），对系统的硬件（包括内存）进行检查。第二阶段:读取分区记录和引导记录。当微机检查到硬件正常并与 CMOS 设置相符后，按照 CMOS 设置从相应设备启动（我们这里假设从硬盘启动），读取硬盘的分区记录（DPT）和主引导记录（MBR）。第三阶段:读取 DOS 引导记录。微机正确读取分区记录和主引导记录后，如果主引导记录和分区表校验正确，则执行主引导记录并进一步读取 DOS 引导记录（位于每一个主分区

15、的第一个扇区），然后执行该DOS 引导记录。第四阶段:装载系统隐含文件。将 DOS 系统的隐含文件 IO.SYS 入内存，加载基本的文件系统 FAT，这时候一般会出现 Starting Windows 9x.的标志，IO.SYS 将 MS.SYS 读入内存，并处理 System.dat 和User.dat 文件，加载磁盘压缩程序。第五阶段:实 DOS 模式配置。系统隐含文件装载完成，微机将执行系统隐含文件，并执行系统配置文件（Config.sys），加载 Config.sys 中定义的各种驱动程序。第六阶段:调入命令解释程序(C)。系统装载命令管理程序，以便对系统的各种操作命令进行协调管理（我

16、们所使用的 Dir、Copy 等内部命令就是由 C 提供的）。第七阶段 :执行批处理文件(Autoexec.bat) 。微机将一步一步地执行批处理文件中的各条命令。第八阶段:加载 W。W 负责将 Windows 下的各种驱动程序和启动执行文件加以执行，至此启动完毕。数据恢复的基础知识到此就给你介绍得差不多了。如果你领会了以上的这些知识，相信加上工具软件的辅助，恢复你丢失的数据简直是轻而易举，这里就不再多说，我们走入真正的实战操作吧二、硬盘数据恢复方案分析难道在硬盘数据由于各种原因被破坏后，我们就只能？当然，我们最大的期望还是你永远不要用到下面的方法！因为再完备的事后解决方案，也不能保证所有数据

17、的完好无缺。而要真正做到万无一失，更重要的工作还在于防患于未然。1、文件语删除A、症状这可能是最简单同时也是最常见的数据损坏，直接的表述就是一般删除文件后清空了回收站，或按住Shift 键删除，要不然就是在“回收站”的“ 属性”中勾选了“删除时不将文件移入回收站，而是彻底删除” 。B、解决方案既然是最常见的数据损坏，当然也就是最容易恢复的，下面就根据不同的操作系统给出相应的解决方案。1）.Win9x/Me 下的解决方案也就是 FAT16/32 分区下的文件误删除恢复，这应该是大部分恢复类软件的基本功能；而我们拿来作例子的软件 Recover4all，所提供的功能仅为在 Win9x/Me 下恢复

18、被误删除的文件 其实很多东西并不是一味求大求全就好，够用已足够，简单就是美。2）.WinNT/2000 下的解决方案换种说法，也就是如何恢复在 NTFS 分区下被误删除的文件。对于这种相对简单的需求，File Scavenger 完全就可以胜任。当然，File Scavenger 是很具有针对性的它只能在 WinNT/2000 系统下使用（同时必须以 Administrator 用户登录系统），而且只对 NTFS 格式的分区有效。不过它支持压缩过的 NTFS 分区或文件夹中文件的恢复，并对格式化过的 NTFS 分区中的文件也有效（注意:File Scavenger 只可以对格式化过的分区中的文

19、件进行恢复，并不能恢复整个被格式化过的分区）。C、不可恢复的情况如果文件在删除之后，其存储的磁盘空间进行过写操作，那在通常情况下恢复的几率为 0。因此，误删除文件可以恢复的重要前提就是不要在删除文件所在的分区进行写操作。病毒破坏、症状现在使用电脑的人基本都是谈“毒” 色变，病毒带来的数据破坏往往不可预见（包括分区表破坏、数据覆盖等；例如 CIH 病毒破坏的硬盘，其分区表已被彻底改写，用 A 盘启动也无法找到硬盘），由此病毒破坏硬盘数据的症状也不好描述，基本上大部分的数据损坏情况都有可能是病毒引起的，所以最稳妥的方法还是安装一个优秀的病毒防火墙。2)、解决方案由于病毒破坏硬盘数据的方法各异，恢复

20、的方案就需要对症下药。一般以常见的 CIH 为例，因为它最普遍，也最容易判断（一般是在 4 月 26 日发作）。当用户的硬盘数据一旦被 CIH 病毒破坏后，使用KV3000 的 F10 功能，可修复的程度如下:1.C 盘容量为 2.1G 以上，原 FAT 表是 32 位的，C 分区的修复率为 98%，D、E、F 等分区的修复率为99%, 配合手工 C、D、E 、F 等分区的修复率为 100%。2.硬盘容量为 2.1G 以下，原 FAT 表是 16 位的，C 分区的修复率为 0%，D、E 、F 等分区的修复率为99%,配合手工 D、E 、F 盘的修复率为 100%。因为原 C 盘是 16 位的短

21、 FAT 表，所以 C 盘的 FAT 表和根目录下的文件目录都被 CIH 病毒乱码覆盖了。 KV3000 可以把 C 盘找回来，虽然根目录的文件名字已被病毒乱码覆盖看不到了，但文件的内容影像还存储在 C 盘内的某些扇区上。推荐用 KV3000 找回 C 盘，再用文件修复软件 TIRAMISU.EXE 可将 C 盘内的部分文件影像找回来，如果原存放文件影像的簇是相连的，找回的文件就完整无损。但对于 FAT16 的 C 盘是不是中了 CIH 就没救呢？你还是可以尝试一下FIXMBR，它可以通过全盘搜索，决定硬盘分区，并重新构造主引导扇区。由于软件只修改主引导扇区记录，对其它扇区不进行写操作，故一般

22、不会带来不安全目录（如果修复得不理想，请 DiskEdit 等工具进行手工修复）。注意:FIXMBR 是一个比较老的程序，对 WinNT、Linux 以及 FAT32 考虑得不多。3)、不可恢复的情况由于病毒破坏硬盘的方式实在太多，而且大部分破坏都无法用一般软件轻易恢复（如果你喜欢使用DiskEdit 等磁盘扇区编辑工具，对某些情况还有一线希望），所以遇到病毒破坏硬盘的情况你就祈祷吧（由此看来，安装一个优秀的病毒防火墙绝对是有必要的）2、 分区表破坏分区表破坏是比较常遇到：A、破坏原因及恢复可行性分析分区表破坏，可能是数据损坏中除了物理损坏之外最严重的一种灾难性破坏。究其原因，不外乎以下几种:

23、1).个人误操作删除分区，只要没有进行其它的操作完全可以恢复。2).安装多系统引导软件或者采用第三方分区工具，有恢复的可能性。3).病毒破坏，可以部分或者全部恢复。4).利用 Ghost 克隆分区硬盘破坏，只可以部分恢复或者不能恢复（用 Ghost 的朋友要小心了）。B、解决方案在 Norton Utility 系列工具中，功能十分强大，可以恢复分区记录、 FAT 表，需要注意的是它对硬盘的操作不是只读的，因此你需要每一步都做好 Undo 文件，这样即使误操作也可以恢复，Norton Disk Doctor配合 DiskEdit 在分区表不能恢复时也可以恢复部分文件，可惜 Norton Dis

24、k Doctor 不支持 NTFS 分区，这不能不说是它的一大遗憾之处最专业的数据恢复公司出的软件，当然很有专业风范，EasyRecovery 支持的文件系统格式很多 FAT、NTFS 都支持，并且有专门的 For Novell 版本。EasyRecovery 对于分区破坏和硬盘意外被格式化都可安全的恢复，你所要做的就是将数据损坏硬盘挂到另外一台电脑上，尽情恢复就是了，不过 EasyRecovery 对于中文的文件名和目录名效果不是很好（一些乱码，但文章内容绝对是正确的）。由出品 PartitionMagic 的 PowerQuest 公司所出的，硬盘资料复原工具。它是一套恢复硬盘因病毒感染，

25、意外格式化等因素所导致的资料损失工具软件，能将已删除的文件资料找出并恢复，也能找出已重新格式化的硬盘、被破坏的 FAT 分配表、启动扇区等等，几乎能找出及发现任何在硬盘上的资料（支持 FAT16 和 FAT32 及长文件名）。恢复回来的资料能选择在原来所在位置恢复或保存到其它可写入资料的硬盘，也提供了自动备份目录、文件和系统配置文件的功能，能在任何时间恢复）2、全盘崩溃和分区丢失首先重建 MBR 代码区，再根据情况修正分区表。修正分区表的基本思路是查找以 55AA 为结束的扇区，再根据扇区结构和后面是否有 FAT 等情况判定是否为分区表，最后计算填回主分区表，由于需要计算，过程比较烦琐。如果文

26、件仍然无法读取，要考虑用 Tiramint 等工具进行修复。如果在 FAT 表彻底崩溃，恢复某个指定文件，可以用 DiskEdit 或 Debug 查找已知信息。比如文件为文本，文件中包含“软件狗”，那么我们就要把它们转换为内码 C ED BC FE B9 B7 进行查找。3、文件丢失、误格式化的情况一般来说，删除文件仅仅是把文件的首字节，改为 E5H，而并不破坏文件本身，因此可以恢复。但对不连续文件要恢复文件链，而由于手工交叉恢复对一般计算机用户来说并不容易，这里就就不讲了，建议用工具处理，如果已经安装了 Norton Utilities，可以用它来查找。另外，RecoverNT 等工具都是

27、恢复的利器。但是应特别注意，千万不要在发现文件丢失后，在本机安装什么恢复工具，你可能恰恰把文件覆盖掉了。特别是如果你的文件在 C 盘，发现主要文件被你失手清掉了（比如你按 SHIFT 删除），你应该马上直接关闭电源，用软盘启动进行恢复或把硬盘串接到其它有恢复工具的机器处理。4、文件损坏一般的说，恢复损坏文件须要清楚地了解文件的结构，但这并不是很容易的事情，而这方面的工具也不多。不过，文件如果字节正常，不能正常打开往往是文件头损坏。5、硬盘被加密或变换此时千万不要进行 FDISK/MBR，SYS 等处理，否则数据再也无法找回，一定要反解加密算法，或找到被移走的重要扇区。对于那些加密硬盘数据的病毒

28、，清除时一定要选择能恢复加密数据的可靠杀毒软件。6、文件加密后密码遗忘对于很多字处理软件的文件加密和 ZIP 等压缩包的加密，你是不能靠加密逆过程来完成的，因为那从理论上是异常困难的。目前有一些相关的软件，他们的思想一般都是用一个大字典集中的数据循环用相同算法加密后与密码的密文匹配，直到一致时则说明找到了密码。你可以去寻找这些软件，当然，有些软件是有后门的，比如 DOS 下的 WPS，Ctrl+qiubojun 就是通用密码。Undiskp 的作者冯志宏是解文件密码的个中高手，大家不妨去他的主页看看。7、系统用户密码遗忘的处理最简单的方法就是用软盘启动（NT 的你也可以把盘挂接在其他 NT 上

29、），找到支持该文件系统结构的软件（比如针对 NT 的 NTFSDOS），利用他把密码文件清掉、或者是 COPY 出密码档案，用破解软件套字典来处理。前者时间短但所有用户信息丢失，后者时间长，但保全了所有用户信息。对 UNIX 系统，建议你一定先做一张应急盘。二、数据备份介绍虽然数据恢复技术可能将你的损失降到最低，但是，谁愿意在惶恐不安中，边祈祷边按下各类数据恢复软件的“Recover”按钮？也没有人喜欢面对满屏的 16 进制代码，带着侥幸的心理调整硬盘分区表 Data 区的信息；所以，最好的数据保全方法应该是防患于未然备份！虽然，备份可以说是一种悲观的做法，可一旦不可预见的问题发生，备份下来的

30、资料也许是你唯一的救命稻草。1、么东西最该备份决定如何备份前，应先考虑备份什么。硬盘里有三种东西:数据、应用程序和操作系统。你可备份硬盘中的所有东西，也可只备份数据。进行完整的备份是最简单的方法，至少从恢复的角度看是这样。如果整个硬盘完全损坏，你不需要从头重装操作系统和应用程序；而是很快就可恢复运行。但是反过来，进行完整备份花的时间更长，要用到更多带有大容量存储空间的移动设备即所谓外挂驱动器，如 CD-R 或 Zip驱动器。另一个方法是只备份最重要的东西:数据。你不能很轻易地替换文档、工作表或数据库。备份所有数据的最简单的方法是把所有数据保存到一个地方。你还应备份其它的重要文件，比如那些含有你

31、所有设置的文件，包括浏览器的书签（收藏夹）、cookie（含有密码）、地址簿、配置设置、数据项与报告表、模板、宏等。Windows 2000 把这些文件都放到一个名叫“Documents And Settings”的新文件夹中，所以找起来很方便。该文件夹中不仅包括 My Documents 文件夹，还包括了部分关于配置设置、收藏夹和cookie 的注册表信息。在 Windows 95 或 98 中，这些文件分布在多个 Windows 文件夹中，因此必须备份所有文件夹，以防遗漏。2、备份到哪里对于一般的个人用户，你当然可以将数据备份在本地硬盘的其它分区中；但如果不是实在别无选择，请不要以为将重要

32、数据备份到本地硬盘的其它分区上就是安全的，各种意外错误或是病毒、木马都很容易将你的整个硬盘数据毁于一旦。所以，我们的建议是将重要数据备份到本地硬盘以外的其它设备，如插拔式外部存储设备（如 Zip、Jaz 驱动器或 USB/1394 接口的活动硬盘）等、CD-R/RW 或者网络上的其它硬盘。硬盘数据恢复实例全解 之一硬盘数据恢复实例全解 之一难道在硬盘数据由于各种原因被破坏后，我们就只能自怨自艾？这篇实例全解，就是希望在不幸的情况发生的时候，读者能够快速找到对应的解决方案，不至于让自己辛勤劳动成果白费。当然，我们最大的期望还是你永远不要用到下面的方法！因为再完备的事后解决方案，也不能保证所有数据

33、的完好无缺。而要真正做到万无一失，更重要的工作还在于防患于未然。 文件被删除一、症状这可能是最简单同时也是最常见的数据损坏，直接的表述就是一般删除文件后清空了回收站，或按住Shift 键删除，要不然就是在“回收站”的“ 属性”中勾选了“删除时不将文件移入回收站，而是彻底删除” 。 二、解决方案既然是最常见的数据损坏，当然也就是最容易恢复的，下面就根据不同的操作系统给出相应的解决方案。1.Win9x/Me 下的解决方案也就是 FAT16/32 分区下的文件误删除恢复，这应该是大部分恢复类软件的基本功能；而我们拿来作例子的软件 Recover4all，所提供的功能仅为在 Win9x/Me 下恢复被

34、误删除的文件 其实很多东西并不是一味求大求全就好，够用已足够，简单就是美。废话少说，我们需要先从 Recover4all 的主站点（http:/）下载 R4a.exe，这是一个自解压文件，你可以把其中的文件解压到软盘或硬盘的一个目录下（默认就是解压到软盘）。运行其中的rec4all.exe，会看见一个注册窗口，点击其中“To star the progam click”的按钮就能够进行试用（未注册版本只能恢复 10KB 以内的文件）。程序的主窗口下图所示，这是一个类似于“ 资源管理器”的窗口；你可以通过点击主菜单下方的盘符按钮来扫描相应分区下的被删除文件，然后在右边的窗口中选择需要恢复的文件，

35、再点击主菜单下方的 “Recover”按钮，并在新弹出的窗口中选择恢复文件的存放位置即可Win9x/Me 下的误删除文件恢复就这么简单。硬盘数据恢复实例全解 之二2.WinNT/2000 下的解决方案说法，也就是如何恢复在 NTFS 分区下被误删除的文件。对于这种相对简单的需求，File Scavenger（http:/ Scavenger 是很具有针对性的它只能在 WinNT/2000 系统下使用（同时必须以 Administrator 用户登录系统），而且只对 NTFS 格式的分区有效。不过它支持压缩过的 NTFS 分区或文件夹中文件的恢复，并对格式化过的 NTFS 分区中的文件也有效（注

36、意 :File Scavenger 只可以对格式化过的分区中的文件进行恢复，并不能恢复整个被格式化过的分区）。File Scavenger 目前有两种版本:硬盘安装版和软盘版（其下载的地址分别为:http:/ 和 http:/ 使用 File Scavenger 恢复文件的最安全方法就是在文件已经被删除之后安装 File Scavenger（当然你不要将软件安装在删除文件所在的分区）。因为 File Scavenger 的功能比较单一，其执行文件加上所需的库文件一张 1.44MB 的软盘也可以装下，所以软盘版也许是大家使用得比较多的（你要把软盘版直接放在硬盘的一个目录下也照常可以使用）。下面的

37、实例，我们就用软盘版来说明。一个非重要的文件 Veryimportant.txt 被误删除且清空了回收站；还好，你看过本篇“实例分析” 而且也在软盘或硬盘上准备好了 File Scavenger。OK，现在你运行其中的 filescav.exe，你将会看见如下图的窗口。注意:其中的 “搜索条件”可有多种格式（例如， *.doc、*、data*.txt 等），根据你自己的需要填写最方便查找的；Exhaustive Sear 复选框选择后会让你指定搜寻分区的簇大小以及搜索簇的范围，而指定之后 File Scavenger 会搜寻并显示所有存在的文件名称，不管是被删除的还是没有，因此没有特殊需要还是

38、不用为好；在搜索结果窗口中可以通过点击“Filename”、“Size”、“Modified”等来为搜索结果排序，以方便寻找。现在我们已经找到了 Veryimportant.txt，选择它并点击“Recover”按钮，如果文件能够被恢复，你就可以在先前指定的恢复文件存储路径中找到它（如果你是第一次使用 File Scavenger，之前还会有一个窗口提醒你注册，如果不注册，你将只能恢复 4KB 以内的文件）。现在，还有什么可担心的？三、不可恢复的情况如果文件在删除之后，其存储的磁盘空间进行过写操作，那在通常情况下恢复的几率为 0。因此，误删除文件可以恢复的重要前提就是不要在删除文件所在的分区进

39、行写操作。 病毒破坏 一、症状现在使用电脑的人基本都是谈“毒” 色变，病毒带来的数据破坏往往不可预见（包括分区表破坏、数据覆盖等；例如 CIH 病毒破坏的硬盘，其分区表已被彻底改写，用 A 盘启动也无法找到硬盘），由此病毒破坏硬盘数据的症状也不好描述，基本上大部分的数据损坏情况都有可能是病毒引起的，所以最稳妥的方法还是安装一个优秀的病毒防火墙。硬盘数据恢复实例全解 之三 二、解决方案由于病毒破坏硬盘数据的方法各异，恢复的方案就需要对症下药。这里就以常见的 CIH 为例，因为它最普遍，也最容易判断（一般是在 4 月 26 日发作）。当用户的硬盘数据一旦被 CIH 病毒破坏后，使用 KV3000

40、的 F10 功能，可修复的程度如下:1.C 盘容量为 2.1G 以上， 原 FAT 表是 32 位的，C 分区的修复率为 98%，D、E、F 等分区的修复率为99%, 配合手工 C、D、E 、F 等分区的修复率为 100%。2.硬盘容量为 2.1G 以下，原 FAT 表是 16 位的，C 分区的修复率为 0%，D、E 、F 等分区的修复率为99%, 配合手工 D、E 、F 盘的修复率为 100%。因为原 C 盘是 16 位的短 FAT 表，所以 C 盘的 FAT 表和根目录下的文件目录都被 CIH 病毒乱码覆盖了。 KV3000 可以把 C 盘找回来，虽然根目录的文件名字已被病毒乱码覆盖看不到

41、了，但文件的内容影像还存储在 C 盘内的某些扇区上。推荐用 KV3000 找回 C 盘，再用文件修复软件 TIRAMISU.EXE 可将 C 盘内的部分文件影像找回来（需要了解这个软件的朋友可以访问 Ontrack 公司的主页http:/是不是在这个网站上找不到有关 TIRAMISU 的内容？呵呵，其实现在TIRAMISU 已经被整合到 Ontrack 公司的旗舰产品EasyRecovery 中。相关的详细介绍可以参照本文的下一部分“分区表破坏”），如果原存放文件影像的簇是相连的，找回的文件就完整无损。但对于 FAT16 的 C 盘是不是中了 CIH 就没救呢？你还是可以尝试一下FIXMBR（

42、ftp:/ DiskEdit 等工具进行手工修复）。注意:FIXMBR 是一个比较老的程序，对WinNT、Linux 以及 FAT32 考虑得不多。三、不可恢复的情况由于病毒破坏硬盘的方式实在太多，而且大部分破坏都无法用一般软件轻易恢复（如果你喜欢使用DiskEdit 等磁盘扇区编辑工具，对某些情况还有一线希望），所以遇到病毒破坏硬盘的情况你就祈祷吧（由此看来，安装一个优秀的病毒防火墙绝对是有必要的）! 分区表破坏“天有不测风云，人有旦夕祸福”，这句话可真没有说错，在用电脑的几年时间内，分区表破坏的情形也经历了好几次。想起当初的手足无措，到后来的才敢下手，一直到现在还是战战兢兢，不过所谓的“愚

43、者千虑，必有一得” ，经过这么长时间的折磨，也终于给我摸出来一丝门路，不敢独享，希望和遇到有困境的朋友们共享，也希望大家和我多交流（E-mail:）一、破坏原因及恢复可行性分析分区表破坏，可能是数据损坏中除了物理损坏之外最严重的一种灾难性破坏。究其原因，不外乎以下几种:1.个人误操作删除分区，只要没有进行其它的操作完全可以恢复。 2.安装多系统引导软件或者采用第三方分区工具，有恢复的可能性。3.病毒破坏，可以部分或者全部恢复。4.利用 Ghost 克隆分区/硬盘破坏，只可以部分恢复或者不能恢复（用 Ghost 的朋友要小心了）。硬盘数据恢复实例全解 之四二、两点建议据国外的一个专业数据修复公司

44、调查，数据损坏以后很大程度上是可以恢复的，之所以有很多不能恢复的实例存在，90% 以上是由于用户在后来的恢复过程中有误操作，从而造成了更大的破坏。所以希望朋友们牢记以下两点:1.在硬盘数据出现丢失后，请立即关机，不要再对硬盘进行任何写操作，那样会增大修复的难度，也影响到修复的成功率.你的每一步操作都应该是可逆的（就像 Norton Disk Doctor 中的 Undo 功能）或者对故障硬盘是只读的（大名大名鼎鼎的 EasyRecovery 和 Lost&Found 都是这种工作原理）。三、解决方案这个软件包含在 Norton Utility 系列工具中，功能十分强大，可以恢复分区记录、 FA

45、T 表，需要注意的是它对硬盘的操作不是只读的，因此你需要每一步都做好 Undo 文件，这样即使误操作也可以恢复，Norton Disk Doctor 配合 DiskEdit 在分区表不能恢复时也可以恢复部分文件，可惜 Norton Disk Doctor 不支持 NTFS 分区，这不能不说是它的一大遗憾之处最专业的数据恢复公司出的软件，当然很有专业风范，EasyRecovery 支持的文件系统格式很多FAT、NTFS 都支持，并且有专门的 For Novell 版本。EasyRecovery 对于分区破坏和硬盘意外被格式化都可安全的恢复，你所要做的就是将数据损坏硬盘挂到另外一台电脑上，尽情恢复

46、就是了，不过EasyRecovery 对于中文的文件名和目录名效果不是很好（一些乱码，但文章内容绝对是正确的）。由出品 PartitionMagic 的 PowerQuest 公司所出的，硬盘资料复原工具。它是一套恢复硬盘因病毒感染，意外格式化等因素所导致的资料损失工具软件，能将已删除的文件资料找出并恢复，也能找出已重新格式化的硬盘、被破坏的 FAT 分配表、启动扇区等等，几乎能找出及发现任何在硬盘上的资料（支持 FAT16 和FAT32 及长文件名）。恢复回来的资料能选择在原来所在位置恢复或保存到其它可写入资料的硬盘，也提供了自动备份目录、文件和系统配置文件的功能，能在任何时间恢复）。要注意

47、的一点是，尽量用一个很大的硬盘来装恢复的数据（最好挂双硬盘），如果目标盘的容量小于源盘的容量，下场会很惨！不过Lost&Found 却是基于 DOS 的一种软件，这在“瘟到死”横行的今天，市场只有越来越小！四、实战操作硬盘数据恢复实例全解 我的硬盘为 IBM 9.44GB 硬盘，分区情况如下:一天被朋友用 Win2000 自带的磁盘管理工具将所有分区完全删除，并且删除之后没有进行任何操作。恢复工具的选择上，因为四个分区三个是 FAT16，一个是 NTFS，我决定首先用 Norton Disk Doctor 恢复三个 FAT16 分区，不过由于 Norton Disk Doctor 不支持 NT

48、FS，故采用支持 NTFS 的 EasyRecovery。1.FAT 分区的恢复打开 Norton Utility 中的 Norton Disk Doctor，NDD 会自动为你检测硬盘分区情况，当检测到测盘 2 的分区表有问题时，跳出一个提示窗口，询问是否在访问磁盘 2 的过程中遇到麻烦，按下“Yes”按钮。接下来的弹出窗口中提示 Norton Disk Doctor 没有在磁盘 2 上发现任何 DOS 分区，是否要 Norton Disk Doctor 搜索并重建 DOS 分区，当然选择“Yes”（是）。很快又一个“Partition Search”（分区搜索窗口）弹出，提示找到一个 2039MB 的 DOS 分区，是不是要恢复，当然是“Yes”。在接下来的询问是否搜索更多的 DOS 分区窗口中选择“Yes”，又发现一个 DOS 分区，一直回答“Yes”直到Norton Disk Doctor 找到 3 个 DOS 分区，由于 NTFS 分区 Norton Disk Doctor 不支持，所以在找到 3 个分区后，如果磁盘搜索程序询问你是否搜索更多的 DOS 分区时，选择 “No”，重新启动计算机，发现丢失的三个 FAT 分区