硬盤數據恢復實例全解

2013-07-23 10:38 作者：ly 瀏覽量：

難道在硬盤數據由于各種原因被破壞后，我們就只能自怨自艾？

　　 這篇實例全解，就是希望在不幸的情況發生的時候，讀者能夠快速找到對應的解決方案，不至于讓自己辛勤勞動成果白費。
　　 當然，我們最大的期望還是——你永遠不要用到下面的方法！因為再完備的事后解決方案，也不能保證所有數據的完好無缺。而要真正做到萬無一失，更重要的工作還在于防患于未然。
　
　
◆ 文件被刪除

　　 一、癥狀

　　 這可能是最簡單同時也是最常見的數據損壞，直接的表述就是一般刪除文件后清空了回收站，或按住Shift鍵刪除，要不然就是在“回收站”的“屬性”中勾選了“刪除時不將文件移入回收站，而是徹底刪除”。

　　 二、解決方案

　　 既然是最常見的數據損壞，當然也就是最容易恢復的，下面就根據不同的操作系統給出相應的解決方案。
　　
　　 1.Win9x/Me下的解決方案

　　 也就是FAT16/32分區下的文件誤刪除恢復，這應該是大部分恢復類軟件的基本功能；而我們拿來作例子的軟件Recover4all，所提供的功能僅為在Win9x/Me下恢復被誤刪除的文件——其實很多東西并不是一味求大求全就好，夠用已足夠，簡單就是美。

　　廢話少說，我們需要先從Recover4all的主站點（）下載R4a.exe，這是一個自解壓文件，你可以把其中的文件解壓到軟盤或硬盤的一個目錄下（默認就是解壓到軟盤）。運行其中的rec4all.exe，會看見一個注冊窗口，點擊其中“To star the progam click”的按鈕就能夠進行試用（未注冊版本只能恢復10KB以內的文件）。程序的主窗口下圖所示，這是一個類似于“資源管理器”的窗口；你可以通過點擊主菜單下方的盤符按鈕來掃描相應分區下的被刪除文件，然后在右邊的窗口中選擇需要恢復的文件，再點擊主菜單下方的“Recover”按鈕，并在新彈出的窗口中選擇恢復文件的存放位置即可——Win9x/Me下的誤刪除文件恢復就這么簡單。

　　 2.WinNT/2000下的解決方案

　　換種說法，也就是如何恢復在NTFS分區下被誤刪除的文件。對于這種相對簡單的需求，File Scavenger（）完全就可以勝任。當然，File Scavenger是很具有針對性的——它只能在WinNT/2000系統下使用（同時必須以Administrator用戶登錄系統），而且只對 NTFS格式的分區有效。不過它支持壓縮過的NTFS分區或文件夾中文件的恢復，并對格式化過的NTFS分區中的文件也有效（注意:File Scavenger只可以對格式化過的分區中的文件進行恢復，并不能恢復整個被格式化過的分區）。

　　 File Scavenger目前有兩種版本:硬盤安裝版和軟盤版（其下載的地址分別為:和 ）。硬盤版的安裝和一般軟件類似，唯一需要注意的是——使用File Scavenger恢復文件的最安全方法就是在文件已經被刪除之后安裝File Scavenger（當然你不要將軟件安裝在刪除文件所在的分區）。因為File Scavenger的功能比較單一，其執行文件加上所需的庫文件一張1.44MB的軟盤也可以裝下，所以軟盤版也許是大家使用得比較多的（你要把軟盤版直接放在硬盤的一個目錄下也照?？梢允褂茫Ｏ旅娴膶嵗?，我們就用軟盤版來說明。

　　一個非重要的文件Veryimportant.txt被誤刪除且清空了回收站；還好，你看過本篇“實例分析”而且也在軟盤或硬盤上準備好了File Scavenger。OK，現在你運行其中的filescav.exe，你將會看見如下圖的窗口。注意:其中的“搜索條件”可有多種格式（例如， *.doc、*、data*.txt等），根據你自己的需要填寫最方便查找的；Exhaustive Sear復選框選擇后會讓你指定搜尋分區的簇大小以及搜索簇的范圍，而指定之后File Scavenger會搜尋并顯示所有存在的文件名稱，不管是被刪除的還是沒有，因此沒有特殊需要還是不用為好；在搜索結果窗口中可以通過點擊 “Filename”、“Size”、“Modified”等來為搜索結果排序，以方便尋找。

　　現在我們已經找到了Veryimportant.txt，選擇它并點擊“Recover”按鈕，如果文件能夠被恢復，你就可以在先前指定的恢復文件存儲路徑中找到它（如果你是第一次使用File Scavenger，之前還會有一個窗口提醒你注冊，如果不注冊，你將只能恢復4KB以內的文件）。現在，還有什么可擔心的？

三、不可恢復的情況

　　 如果文件在刪除之后，其存儲的磁盤空間進行過寫操作，那在通常情況下恢復的幾率為0。因此，誤刪除文件可以恢復的重要前提就是不要在刪除文件所在的分區進行寫操作。
　　

◆ 病毒破壞

　　 一、癥狀

　　現在使用電腦的人基本都是談“毒”色變，病毒帶來的數據破壞往往不可預見（包括分區表破壞、數據覆蓋等；例如CIH病毒破壞的硬盤，其分區表已被徹底改寫，用A盤啟動也無法找到硬盤），由此病毒破壞硬盤數據的癥狀也不好描述，基本上大部分的數據損壞情況都有可能是病毒引起的，所以最穩妥的方法還是安裝一個優秀的病毒防火墻。

　　 二、解決方案

　　 由于病毒破壞硬盤數據的方法各異，恢復的方案就需要對癥下藥。這里就以常見的CIH為例，因為它最普遍，也最容易判斷（一般是在4月26日發作）。

當用戶的硬盤數據一旦被CIH病毒破壞后，使用KV3000的F10功能，可修復的程度如下:
　　 1.C盤容量為2.1G以上， 原FAT表是32位的，C分區的修復率為98%，D、E、F等分區的修復率為99%, 配合手工C、D、E、F等分區的修復率為100%。

　　 2.硬盤容量為2.1G以下，原FAT表是16位的，C分區的修復率為0%，D、E、F等分區的修復率為99%, 配合手工D、E、F盤的修復率為100%。

　　 因為原C盤是16位的短FAT表，所以C盤的FAT表和根目錄下的文件目錄都被CIH病毒亂碼覆蓋了。 KV3000可以把C盤找回來，雖然根目錄的文件名字已被病毒亂碼覆蓋看不到了，但文件的內容影像還存儲在C盤內的某些扇區上。推薦用KV3000找回C 盤，再用文件修復軟件TIRAMISU.EXE可將C盤內的部分文件影像找回來（需要了解這個軟件的朋友可以訪問Ontrack公司的主頁…… 是不是在這個網站上找不到有關TIRAMISU的內容？呵呵，其實現在TIRAMISU已經被整合到Ontrack公司的旗艦產品—— EasyRecovery中。相關的詳細介紹可以參照本文的下一部分“分區表破壞”），如果原存放文件影像的簇是相連的，找回的文件就完整無損。

　　但對于FAT16的C盤是不是中了CIH就沒救呢？你還是可以嘗試一下FIXMBR（ftp: //www.newhua.com/fixmbr102a.zip），它可以通過全盤搜索，決定硬盤分區，并重新構造主引導扇區。由于軟件只修改主引導扇區記錄，對其它扇區不進行寫操作，故一般不會帶來不安全目錄（如果修復得不理想，請DiskEdit等工具進行手工修復）。注意:FIXMBR是一個比較老的程序，對WinNT、Linux以及FAT32考慮得不多。

　　 三、不可恢復的情況

　　 由于病毒破壞硬盤的方式實在太多，而且大部分破壞都無法用一般軟件輕易恢復（如果你喜歡使用DiskEdit等磁盤扇區編輯工具，對某些情況還有一線希望），所以……遇到病毒破壞硬盤的情況你就祈禱吧（由此看來，安裝一個優秀的病毒防火墻絕對是有必要的）!


◆ 分區表破壞

　　 “天有不測風云，人有旦夕禍福”，這句話可真沒有說錯，在用電腦的幾年時間內，分區表破壞的情形也經歷了好幾次。想起當初的手足無措，到后來的才敢下手，一直到現在還是戰戰兢兢，不過所謂的“愚者千慮，必有一得”，經過這么長時間的折磨，也終于給我摸出來一絲門路，不敢獨享，希望和遇到有困境的朋友們共享，也希望大家和我多交流（E-mail:clinuxer@yeah.net）……
　　
一、破壞原因及恢復可行性分析

分區表破壞，可能是數據損壞中除了物理損壞之外最嚴重的一種災難性破壞。究其原因，不外乎以下幾種:

　　 1.個人誤操作刪除分區，只要沒有進行其它的操作完全可以恢復。
　　 2.安裝多系統引導軟件或者采用第三方分區工具，有恢復的可能性。
　　 3.病毒破壞，可以部分或者全部恢復。
　　 4.利用Ghost克隆分區/硬盤破壞，只可以部分恢復或者不能恢復（用Ghost的朋友要小心了）。

　　 二、兩點建議

　　 據國外的一個專業數據修復公司調查，數據損壞以后很大程度上是可以恢復的，之所以有很多不能恢復的實例存在，90%以上是由于用戶在后來的恢復過程中有誤操作，從而造成了更大的破壞。所以希望朋友們牢記以下兩點:

　　 1.在硬盤數據出現丟失后，請立即關機，不要再對硬盤進行任何寫操作，那樣會增大修復的難度，也影響到修復的成功率.

　　 2.你的每一步操作都應該是可逆的（就像Norton Disk Doctor中的Undo功能）或者對故障硬盤是只讀的（大名大名鼎鼎的EasyRecovery和Lost&Found都是這種工作原理）。

　　 三、解決方案

這個軟件包含在Norton Utility系列工具中，功能十分強大，可以恢復分區記錄、FAT表，需要注意的是它對硬盤的操作不是只讀的，因此你需要每一步都做好Undo文件，這樣即使誤操作也可以恢復，Norton Disk Doctor配合DiskEdit在分區表不能恢復時也可以恢復部分文件，可惜Norton Disk Doctor不支持NTFS分區，這不能不說是它的一大遺憾之處……

　　最專業的數據恢復公司出的軟件，當然很有專業風范，EasyRecovery支持的文件系統格式很多FAT、NTFS都支持，并且有專門的For Novell版本。EasyRecovery對于分區破壞和硬盤意外被格式化都可安全的恢復，你所要做的就是將數據損壞硬盤掛到另外一臺電腦上，盡情恢復就是了，不過EasyRecovery對于中文的文件名和目錄名效果不是很好（一些亂碼，但文章內容絕對是正確的）。

　　由出品PartitionMagic的PowerQuest公司所出的，硬盤資料復原工具。它是一套恢復硬盤因病毒感染，意外格式化等因素所導致的資料損失工具軟件，能將已刪除的文件資料找出并恢復，也能找出已重新格式化的硬盤、被破壞的FAT分配表、啟動扇區等等，幾乎能找出及發現任何在硬盤上的資料（支持FAT16和FAT32及長文件名）。恢復回來的資料能選擇在原來所在位置恢復或保存到其它可寫入資料的硬盤，也提供了自動備份目錄、文件和系統配置文件的功能，能在任何時間恢復）。要注意的一點是，盡量用一個很大的硬盤來裝恢復的數據（最好掛雙硬盤），如果目標盤的容量小于源盤的容量，下場會很慘！不過Lost&Found卻是基于DOS的一種軟件，這在“瘟到死”橫行的今天，市場只有越來越小！

四、實戰操作

　　 我的硬盤為IBM 9.44GB硬盤，分區情況如下:

　　一天被朋友用Win2000自帶的磁盤管理工具將所有分區完全刪除，并且刪除之后沒有進行任何操作。恢復工具的選擇上，因為四個分區三個是FAT16，一個是NTFS，我決定首先用Norton Disk Doctor恢復三個FAT16分區，不過由于Norton Disk Doctor不支持NTFS，故采用支持NTFS的EasyRecovery。

　　 1.FAT分區的恢復

　　 打開Norton Utility中的Norton Disk Doctor，NDD會自動為你檢測硬盤分區情況，當檢測到測盤2的分區表有問題時，跳出一個提示窗口，詢問是否在訪問磁盤2的過程中遇到麻煩，按下“Yes”按鈕。

　　接下來的彈出窗口中提示Norton Disk Doctor沒有在磁盤2上發現任何DOS分區，是否要Norton Disk Doctor搜索并重建DOS分區，當然選擇“Yes”（是）。

　　 很快又一個“Partition Search”（分區搜索窗口）彈出，提示找到一個2039MB的DOS分區，是不是要恢復，當然是“Yes”。

　　 在接下來的詢問是否搜索更多的DOS分區窗口中選擇“Yes”，又發現一個DOS分區，一直回答“Yes”直到Norton Disk Doctor找到3個DOS分區，由于NTFS分區Norton Disk Doctor不支持，所以在找到3個分區后，如果磁盤搜索程序詢問你是否搜索更多的DOS分區時，選擇“No”，重新啟動計算機，發現丟失的三個FAT分區完全恢復，并且WinMe仍可正常啟動。

　　 2.NTFS的恢復

　　 NTFS分區的恢復我們是使用EasyRecovery來實現的，打開EasyRecovery，按下“Next”（下一步）進入磁盤選擇窗口，選中我的 IBM-DTTA-351010下的“Unknown File System Type（4.43GB）”，按下“Next”。

　　 在接下來的窗口中你可以設置該分區的起始扇區號（Start Sector）和中止扇區號（End Sector），不用管它，按下“Next”繼續。

　　 現在到了選擇分區文件格式窗口，在“File system Type”的下拉式菜單中選擇“NTFS”（我這里的分區格式是NTFS，你應該選擇和你的條件相符的，如果實在不知道分區格式也可以選擇“RAW”進行全盤搜索），搜索方式選擇“Typical Scan”（特定搜索）就可以了，按下“Next”/“Next”。

　　 硬盤一陣轟隆隆的狂響之后，搜索結果終于出現在我們面前，將你需要恢復的文件前面打上鉤，然后在下邊的Destination中輸入你恢復文件的目的路徑，按下“Next”恢復吧……

　　 3.分區格式化的恢復

　　分區格式化之后，只要其中沒有寫入任何文件，理論上我們仍然可以恢復。工具嗎？當然還是EasyRecovery了，不過需要說明一點的是:由于格式化程序將根目錄完全破壞所以用EasyRecovery恢復以后，你會看到一些DIR0、DIR1等目錄（不過目錄中的文件名還是完整的）！


◆ 啟動故障

　　 我等電腦用家，如果某一天硬盤不能啟動，輕則使你陷入手忙腳亂之中，重則丟失重要資料，我們這里從硬盤啟動的整個歷程來為你詳解每個階段可能出現的問題以及應該采取的措施，解決你的手足無措之苦……

　　 一、出錯信息:“Non System disk or disk error, Replace and strike any key when ready”，用軟盤啟動后，在A:>;后鍵入C:，屏幕顯示:“Invalid drive specification”，系統不認硬盤。

　　故障分析:造成該故障的原因一般是CMOS中的硬盤設置參數丟失或硬盤類型設置錯誤造成的。

　　解決方案:進入CMOS，檢查硬盤設置參數是否丟失或硬盤類型設置是否錯誤，如果確是該種故障，只需將硬盤設置參數恢復或修改過來即可。具體修改方式:進入CMOS設置，選擇“HDD AUTO DETECTION”(硬盤自動檢測)選項，即可自動檢測出硬盤類型參數（由不同的BIOS而定，有的BIOS中可能是“IDE AUTO DETECTION”，只需針對自己的選項修改就是了）。若無此項，并且也沒有備份的CMOS，你就只好打開機箱，查看硬盤表面標簽上的硬盤參數，然后依樣修改了。

　　 二、出錯信息:開機后，屏幕上顯示:“Invalid partition table”，硬盤不能啟動，若從軟盤啟動則認C盤。

　　 故障分析:造成該故障的原因一般是硬盤主引導記錄中的分區表有錯誤，當指定了多個活動分區(只能有一個活動分區)或病毒占用了分區表時，將有上述提示。

　　主引導扇區位于0磁頭0柱面1扇區，由Fdisk.exe對硬盤分區時生成。主引導扇區包括主引導程序（MBR）、分區表（DPT）和結束標志55AA三部分，共占一個扇區。主引導程序中含有檢查硬盤分區表的程序代碼和出錯信息、出錯處理等內容。當硬盤啟動時，主引導程序將檢查分區表中的活動標志。若某個分區為可活動分區(Active)，則有分區標志80H，否則為00H，并且對于DOS等操作系統只能有一個分區為活動分區，若分區表中含有多個活動標志時，主引導程序會給出“Invalid partition table”的錯誤提示。

　　解決方案:解決方法很多:最簡單的就是使用NDD來修復（由于不能進入Windows，我們當然使用的是DOS版本的NDD），它將自動為你檢查分區表錯誤，并加以修復。需要注意的是，因為分區表破壞有很多種方式，因此我們需要在對分區表改動之前首先備份主引導扇區，這樣即使恢復錯誤，我們也能返回錯誤之前的位置重新再來。　

　　 三、出錯信息:系統自檢正常，可自檢之后只顯示一行“Operation system not found”出錯信息就不再引導，但是用軟盤啟動計算機后，可以看到硬盤上的任何內容。

　　 故障分析:這種問題一般是由于MBR在檢查活動分區的時候出現的，和我們上一問題的出錯比較類似，所不同的是一個是分區表中活動分區標志過多，而本例中是沒有活動分區造成的。

　　 解決方案:用軟盤啟動計算機，然后執行分區程序Fdisk.exe，按下“2”來選擇活動分區（Set active partition）。

　　 在接下來的選擇活動分區窗口中，選擇你自己想要啟動的分區，我這里選擇的是“1”——Primary DOS（主DOS分區），對應于我的DOS/Windows下的C:盤。

　　 四、出錯信息:主機加點自檢，自檢完畢，硬盤指示燈閃亮，屏幕出現:“Operting system not found”錯誤信息，硬盤啟動失敗。用軟盤啟動成功，試圖進故硬盤時，出現:“Invalid drive Specification”錯誤信息。

　　 故障分析:用Norton DiskEdit看磁盤的物理0扇區，發現分區結束標志55AA被破壞。

　　 解決方案:這種問題我們也利用NDD來加以修復，如果你沒有NDD，也可以采用相應的磁盤編輯工具，直接將物理0扇區的最后兩個字符改為16進制的55AA就可以了。

　　 五、出錯信息:開機屏幕顯示“Operting system not found”，用Win98啟動以后有三條出錯信息，在DOS下不能看到任何分區，用DiskEdit查看主引導扇區，發現已經被完全破壞。

　　故障分析:這種問題應該是分區表被嚴重破壞的表現，可能是病毒或者人為的誤操作（比如使用Ghost恢復分區時選擇了錯誤的選項）。

　　 解決方案:參照前面我們介紹的“分區表破壞”來進行恢復。

　　 六、出錯信息:開機后屏幕上出現“Error loading operating system”或“Missing operating system”或者是“Disk I/O Error Replace the disk then press any key”的提示信息。

　　故障分析:造成該故障的原因一般是DOS引導記錄出現錯誤。DOS引導記錄位于邏輯0扇區，是由高級格式化命令Format生成的。主引導程序在檢查分區表正確之后，根據分區表中指出的活動分區的起始地址，讀DOS引導記錄，若連續讀五次都失敗，則給出“Error loading opearting system”的錯誤提示，若能正確讀出DOS引導記錄，主引導程序則會將DOS引導記錄送入內存0:7C00h處，然后檢查DOS引導記錄的最后兩個字節是否為55AAH，若不是這兩個字節，則給出“Missing operation system”的提示。

　　 解決方案:對于以上這些問題都可以使用NDD來解決，不過根據不同的出錯提示還有不同的解決方案:

　　 1.出錯提示為“Invalid system disk，Replace the disk， and then press anykey”。這種情況一般是因為系統引導文件IO.sys被刪除或者損壞，可以用“sys A: C:”將系統引導文件傳送到C:盤。

　　 2.“Error loading system”錯誤提示。這種提示說明分區表中標明的活動分區的起始位置錯誤或者DOS引導記錄出錯，只能用NDD修復。

　　 3.“Missing operating system”出錯提示。用DiskEdit編輯相應活動分區的引導區，并將最后分區結束標志改成55AA。

　　 對于以上幾種出錯信息，如果你的數據不是很重要，也可以考慮用Format來解決問題，不過我們強烈建議你采用NDD來修復，這樣如果你改錯了，還有后悔的余地（Undo），這也是我們前面告誡大家用NDD一定要做Undo的原因之所在。

　　 七、出錯提示:機器加電自檢以后可以出現“Starting MS DOS…”的提示符，但是最后卻出現了“Bad or missing command interpret”這樣的出錯提示。

　　 故障分析:出現這種問題應該在DOS引導的后期，IO.SYS處理完MS.SYS后，要裝入命令解釋器Command.com卻找不到。

　　 解決方案:很簡單，軟盤啟動以后，將軟盤上的Command.com拷貝到C:盤的根目錄下。.