畢業(yè)論文硬盤(pán)數(shù)據(jù)恢復(fù)技術(shù)

PAGEPAGE22論文 硬盤(pán)數(shù)據(jù)恢復(fù)技術(shù)系部：計(jì)算機(jī)系學(xué)生姓名：康銘健專業(yè)班級(jí)：網(wǎng)絡(luò)安全1班學(xué)號(hào)2015年12月28日目錄TOC\o"1-3"\h\u5360摘要 27256一．引言 31831二．?dāng)?shù)據(jù)相關(guān)概念 329522（一）.數(shù)據(jù) 323035（二）.數(shù)據(jù)儲(chǔ)存原理 320915（三）.數(shù)據(jù)恢復(fù)定義 48162（四）.數(shù)據(jù)丟失的原因 5112671.軟件原因 580692.硬件原因 518816（四）.數(shù)據(jù)恢復(fù)步驟 565251.詢問(wèn)客戶 5280072.硬盤(pán)外觀檢測(cè) 5237993.加電試盤(pán) 5265104.根據(jù)故障類型選用合適的數(shù)據(jù)恢復(fù)工具 6108475.將數(shù)據(jù)轉(zhuǎn)移安全區(qū)域 6119976.將數(shù)據(jù)用刻錄機(jī)刻成光盤(pán)，交給用戶 67300三．硬盤(pán)邏輯結(jié)構(gòu) 631836（二）.硬盤(pán)數(shù)據(jù)結(jié)構(gòu) 6214671.MBR 6214952.DBR 8155563.FAT 841404.DIR 8207315.DATA 928719四.數(shù)據(jù)損壞類型及相關(guān)恢復(fù)方法 930111（一）.文件存儲(chǔ)與讀取原理 925688（二）.硬盤(pán)數(shù)據(jù)損壞類型及相應(yīng)的恢復(fù)方法 9252121.文件刪除及其恢復(fù) 9293972.硬盤(pán)重分區(qū)或其它情況下的分區(qū)表?yè)p壞分析。 993253.硬盤(pán)格式化情況下數(shù)據(jù)恢復(fù)。 1079134.恢復(fù)已經(jīng)備份的分區(qū)表恢復(fù)。 1071935.硬盤(pán)DBR損壞。 1220300五.數(shù)據(jù)恢復(fù)應(yīng)用常見(jiàn)實(shí)例 129051（一）.主引導(dǎo)分區(qū)恢復(fù) 1221606（二）.分區(qū)表破壞 135901（三）.修復(fù)DBR 1330070（四）.恢復(fù)被刪除文件 1312305（五）.因病毒導(dǎo)致文件假丟失 1425578六.數(shù)據(jù)恢復(fù)操作實(shí)驗(yàn) 1411731七．硬盤(pán)使用和維護(hù)注意事項(xiàng) 2011885八．總結(jié) 219618參考文獻(xiàn) 22

硬盤(pán)數(shù)據(jù)恢復(fù)技術(shù)摘要硬盤(pán)作為用戶存儲(chǔ)數(shù)據(jù)的主要場(chǎng)所，其最大的用途莫過(guò)于存儲(chǔ)數(shù)據(jù)，但有時(shí)往往由于用戶操作不甚等原因，造成用戶數(shù)據(jù)的丟失。同時(shí)數(shù)據(jù)的丟失也會(huì)對(duì)用戶造成不同程度的影響，嚴(yán)重的可能會(huì)造成無(wú)法估計(jì)的經(jīng)濟(jì)損傷。因此需要對(duì)數(shù)據(jù)進(jìn)行及時(shí)備份。一些電腦初學(xué)者都認(rèn)為文件刪除了就找不回了，其實(shí)并不如此，對(duì)于數(shù)據(jù)丟失，恢復(fù)數(shù)據(jù)的方式也有很多，有專門(mén)的設(shè)備或是軟件和技術(shù)手段將數(shù)據(jù)從硬盤(pán)上提取出來(lái)。針對(duì)具體問(wèn)題需要具體對(duì)待，因地制宜找出最適合的方法。對(duì)于一般用戶恢復(fù)數(shù)據(jù),都是使用數(shù)據(jù)恢復(fù)工具軟件例如EasyRecover來(lái)實(shí)現(xiàn)數(shù)據(jù)的恢復(fù)。關(guān)鍵字：數(shù)據(jù)安全、故障分析、數(shù)據(jù)恢復(fù)一．引言21世紀(jì)是一個(gè)信息時(shí)代。隨著生產(chǎn)、生活水平的不斷提高，人類對(duì)電腦的需求也在不斷提升。使得電腦從奢侈品變成家庭、企業(yè)的必需品。而電腦在使用過(guò)程中難免遇到數(shù)據(jù)丟失這個(gè)頭疼的問(wèn)題，“艷照門(mén)”之前很多用戶都單純地認(rèn)為數(shù)據(jù)丟失了就找不回來(lái)了，可見(jiàn)該技術(shù)了解的人還不是很多。為此，我利用了所學(xué)的知識(shí)，綜合了相關(guān)的書(shū)籍、文獻(xiàn)內(nèi)容并通過(guò)動(dòng)手實(shí)踐，對(duì)本課題展開(kāi)了研究分析。下面我先介紹數(shù)據(jù)恢復(fù)的概念,而后討論數(shù)據(jù)丟失原因，例如人為操作失誤，病毒破壞或者一些意外。接著研究一下數(shù)據(jù)恢復(fù)技術(shù)。最后在電腦上做一個(gè)數(shù)據(jù)恢復(fù)過(guò)程。二．?dāng)?shù)據(jù)相關(guān)概念（一）.數(shù)據(jù)數(shù)據(jù)就是數(shù)值，也就是我們通過(guò)觀察、實(shí)驗(yàn)或計(jì)算得出的結(jié)果。數(shù)據(jù)有很多種，最簡(jiǎn)單的就是數(shù)字。數(shù)據(jù)也可以是文字、圖像、聲音等。數(shù)據(jù)可以用于科學(xué)研究、設(shè)計(jì)、查證等。（二）.數(shù)據(jù)儲(chǔ)存原理優(yōu)盤(pán)存儲(chǔ)的原理：主要就是在原有的晶體管上加入了浮動(dòng)?xùn)藕瓦x擇柵在源極和漏極之間電流單向傳導(dǎo)的半導(dǎo)體上形成貯存電子的浮動(dòng)棚。浮動(dòng)?xùn)虐粚庸柩趸そ^緣體。它的上面是在源極和漏極之間控制傳導(dǎo)電流的選擇/控制柵。數(shù)據(jù)是0或1取決于在硅底板上形成的浮動(dòng)?xùn)胖惺欠裼须娮?。有電子?，無(wú)電子為1。閃存就如同其名字一樣，寫(xiě)入前刪除數(shù)據(jù)進(jìn)行初始化。具體說(shuō)就是從所有浮動(dòng)?xùn)胖袑?dǎo)出電子。即將有所數(shù)據(jù)歸“1”。寫(xiě)入時(shí)只有數(shù)據(jù)為0時(shí)才進(jìn)行寫(xiě)入，數(shù)據(jù)為1時(shí)則什么也不做。寫(xiě)入0時(shí)，向柵電極和漏極施加高電壓，增加在源極和漏極之間傳導(dǎo)的電子能量。這樣一來(lái)，電子就會(huì)突破氧化膜絕緣體，進(jìn)入浮動(dòng)?xùn)?。讀取數(shù)據(jù)時(shí)，向柵電極施加一定的電壓，電流大為1，電流小則定為0。浮動(dòng)?xùn)艣](méi)有電子的狀態(tài)（數(shù)據(jù)為1）下，在柵電極施加電壓的狀態(tài)時(shí)向漏極施加電壓，源極和漏極之間由于大量電子的移動(dòng)，就會(huì)產(chǎn)生電流。而在浮動(dòng)?xùn)庞须娮拥臓顟B(tài)（數(shù)據(jù)為0）下，溝道中傳導(dǎo)的電子就會(huì)減少。因?yàn)槭┘釉跂烹姌O的電壓被浮動(dòng)?xùn)烹娮游蘸螅茈y對(duì)溝道產(chǎn)生影響。硬盤(pán)存儲(chǔ)的原理數(shù)據(jù)存儲(chǔ)在密封于潔凈的硬盤(pán)驅(qū)動(dòng)器內(nèi)腔的若干個(gè)磁盤(pán)片上。這些盤(pán)片一般是在以鋁為主要成分的片基表面涂上磁性介質(zhì)所形成，在磁盤(pán)片的每一面上，以轉(zhuǎn)動(dòng)軸為軸心、以一定的磁密度為間隔的若干個(gè)同心圓就被劃分成磁道（track），每個(gè)磁道又被劃分為若干個(gè)扇區(qū)（sector），數(shù)據(jù)就按扇區(qū)存放在硬盤(pán)上。在每一面上都相應(yīng)地有一個(gè)讀寫(xiě)磁頭（head），所以不同磁頭的所有相同位置的磁道就構(gòu)成了所謂的柱面（cylinder）。傳統(tǒng)的硬盤(pán)讀寫(xiě)都是以柱面、磁頭、扇區(qū)為尋址方式的（CHS尋址）。硬盤(pán)在上電后保持高速旋轉(zhuǎn)（5400轉(zhuǎn)/min以上），位于磁頭臂上的磁頭懸浮在磁盤(pán)表面，可以通過(guò)步進(jìn)電機(jī)在不同柱面之間移動(dòng)，對(duì)不同的柱面進(jìn)行讀寫(xiě)。所以在上電期間如果硬盤(pán)受到劇烈振蕩，磁盤(pán)表面就容易被劃傷，磁頭也容易損壞，這都將給盤(pán)上存儲(chǔ)的數(shù)據(jù)帶來(lái)災(zāi)難性的后果。硬盤(pán)的第一個(gè)扇區(qū)（0道0頭1扇區(qū)）被保留為主引導(dǎo)扇區(qū)。在主引導(dǎo)區(qū)內(nèi)主要有兩項(xiàng)內(nèi)容：主引導(dǎo)記錄和硬盤(pán)分區(qū)表。主引導(dǎo)記錄是一段程序代碼，其作用主要是對(duì)硬盤(pán)上安裝的操作系統(tǒng)進(jìn)行引導(dǎo)；硬盤(pán)分區(qū)表則存儲(chǔ)了硬盤(pán)的分區(qū)信息。計(jì)算機(jī)啟動(dòng)時(shí)將讀取該扇區(qū)的數(shù)據(jù)，并對(duì)其合法性進(jìn)行判斷（扇區(qū)最后兩個(gè)字節(jié)是否為0x55AA或0xAA55），如合法則跳轉(zhuǎn)執(zhí)行該扇區(qū)的第一條指令。所以硬盤(pán)的主引導(dǎo)區(qū)常常成為病毒攻擊的對(duì)象，從而被篡改甚至被破壞。可引導(dǎo)標(biāo)志：0x80為可引導(dǎo)分區(qū)類型標(biāo)志；0表示未知；1為FAT12；4為FAT16；5為擴(kuò)展分區(qū)等等。一個(gè)完整硬盤(pán)的數(shù)據(jù)應(yīng)該包括五部分:MBR（主引導(dǎo)扇區(qū)）,DBR（操作系統(tǒng)引導(dǎo)扇區(qū)）,FAT（文件分配表）,DIR（目錄區(qū)）和DATA（數(shù)據(jù)區(qū)）。其中只有主引導(dǎo)扇區(qū)是唯一的,其它的隨你的分區(qū)數(shù)的增加而增加。存儲(chǔ)一個(gè)文件的時(shí)候,操作系統(tǒng)首先在記錄所有空間使用情況的文件分配表（FAT）中找到足夠容納文件的空間,然后把文件內(nèi)容寫(xiě)到相對(duì)應(yīng)的硬盤(pán)扇區(qū)上,并在文件分配表中標(biāo)出該空間已經(jīng)被占用。刪除文件的時(shí)候,一般并不對(duì)文件所占用的扇區(qū)進(jìn)行操作,只是重新改寫(xiě)了硬盤(pán)的主引導(dǎo)扇區(qū)（0面0道1扇區(qū)）中的內(nèi)容,具體地說(shuō)就是刪除了硬盤(pán)的分區(qū)表信息也可說(shuō)僅僅是在文件分配表中指明哪些空間可以分配給別的文件使用,而硬盤(pán)中任何分區(qū)的數(shù)據(jù)均沒(méi)改動(dòng)。如果刪除文件后又創(chuàng)建了新文件,那么被刪文件所占用的扇區(qū)就有可能被新文件所使用,這時(shí)候就無(wú)法恢復(fù)被刪文件的數(shù)據(jù)了。如果已經(jīng)對(duì)分區(qū)用Format命令格式化,需在恢復(fù)分區(qū)之后,再恢復(fù)分區(qū)數(shù)據(jù)。所以一旦發(fā)現(xiàn)數(shù)據(jù)丟失,就不要輕易嘗試任何操作,它有可能覆蓋原來(lái)的數(shù)據(jù)。（三）.數(shù)據(jù)恢復(fù)定義硬盤(pán)數(shù)據(jù)丟失對(duì)于硬盤(pán)來(lái)說(shuō)，僅僅就是硬盤(pán)上的某些地方的磁性消失。我們所能做的就是把沒(méi)有丟失的信息恢復(fù)出來(lái)，以減少人們與社會(huì)的損失。其中硬盤(pán)數(shù)據(jù)恢復(fù)是指在硬盤(pán)發(fā)生故障而不能讀取數(shù)據(jù)，或是人為操作失誤及病毒侵襲造成硬盤(pán)分區(qū)或是數(shù)據(jù)丟失，使用專門(mén)的設(shè)備或是軟件和技術(shù)手段將數(shù)據(jù)從硬盤(pán)上提取出來(lái)的服務(wù)。（四）.數(shù)據(jù)丟失的原因造成數(shù)據(jù)丟失的原因非常多，總體上可分為以下兩種。1.軟件原因大多病毒是不會(huì)造成數(shù)據(jù)丟失的，但是少數(shù)病毒卻會(huì)造成硬盤(pán)鎖死，分區(qū)丟失或。是數(shù)據(jù)丟失，這時(shí)候不能單純的使用殺毒軟件來(lái)清理病毒，否則就會(huì)造成數(shù)據(jù)嚴(yán)重破壞，一般都是通過(guò)專門(mén)的軟件來(lái)提起數(shù)據(jù)之后，才做殺毒處理。很多的數(shù)據(jù)丟失都是由于使用者的操作失誤，比如，誤刪除，誤格式化等。遭別人惡意刪除、破壞造成數(shù)據(jù)丟失。 2.硬件原因一些自然災(zāi)害造成硬盤(pán)的物理?yè)p壞失效往往是最嚴(yán)重的問(wèn)題，硬盤(pán)可能的故障可能在控制電路、電機(jī)和磁頭以及盤(pán)片。如果是控制電路的問(wèn)題，一般修好它，就可以讀出數(shù)據(jù)。但如果電機(jī)、磁頭和盤(pán)片故障，即使修理也要返回原廠，數(shù)據(jù)恢復(fù)基本沒(méi)有可操作性。突然停電，造成電腦強(qiáng)制關(guān)機(jī)的后果不僅僅是內(nèi)存數(shù)據(jù)的丟失，還可能造成磁盤(pán)的數(shù)據(jù)丟失，文件的不同步，甚至是系統(tǒng)無(wú)法正常啟動(dòng)。（四）.數(shù)據(jù)恢復(fù)步驟1.詢問(wèn)客戶接到硬盤(pán)后，應(yīng)向客戶詢問(wèn)數(shù)據(jù)丟失的類型，是誤刪除，誤格式化，誤分區(qū)，意外丟失，還是硬盤(pán)突然丟失或無(wú)法讀寫(xiě)，并且還要詢問(wèn)故障發(fā)生后，客戶自己還做過(guò)哪些操作。把故障類型和原因問(wèn)清楚了，可能會(huì)減少我們?cè)跀?shù)據(jù)恢復(fù)過(guò)程中一些不必要的麻煩，提高工作效率。2.硬盤(pán)外觀檢測(cè)對(duì)于硬件問(wèn)題造成的數(shù)據(jù)丟失，這時(shí)我們應(yīng)首先檢查硬盤(pán)的電路板有無(wú)明顯的燒灼痕跡，避免因該硬盤(pán)的電路損壞再次造成電腦主機(jī)的損壞。3.加電試盤(pán)如硬盤(pán)無(wú)明顯的電路損壞，把硬盤(pán)加電試機(jī)，在CMOS中是否能夠找到硬盤(pán)。4.根據(jù)故障類型選用合適的數(shù)據(jù)恢復(fù)工具如果能夠找到硬盤(pán)，就按軟件方面使用EasyRecovery之類的軟件進(jìn)行數(shù)據(jù)恢復(fù)。如果找不到硬盤(pán)，就按硬件的方法進(jìn)行處理。5.將數(shù)據(jù)轉(zhuǎn)移安全區(qū)域把找回的數(shù)據(jù)拷貝到另一塊物理硬盤(pán)上，一定不能拷貝在同一塊硬盤(pán)的不同分區(qū)。6.將數(shù)據(jù)用刻錄機(jī)刻成光盤(pán)，交給用戶數(shù)據(jù)全部讀出后，使用刻錄機(jī)把用戶的數(shù)據(jù)刻成光盤(pán)，交由用戶保管，任務(wù)完成。三．硬盤(pán)邏輯結(jié)構(gòu)（一）.硬盤(pán)原理概述硬盤(pán)儲(chǔ)存數(shù)據(jù)時(shí)根據(jù)電、磁轉(zhuǎn)換原理實(shí)現(xiàn)的。硬盤(pán)由一個(gè)或幾個(gè)表米娜鍍有磁性物質(zhì)的金屬或玻璃燈物質(zhì)盤(pán)片以及盤(pán)片兩面所安裝的磁頭和相應(yīng)的控制電路組成，其中盤(pán)片和磁頭密封在無(wú)塵的金屬殼中。硬盤(pán)工作時(shí)，盤(pán)片以設(shè)計(jì)轉(zhuǎn)速告訴旋轉(zhuǎn)，設(shè)置在盤(pán)片表面的磁頭則在電路控制下徑向移動(dòng)到指定位置然后將數(shù)據(jù)存儲(chǔ)或讀取出來(lái)。當(dāng)雄向硬盤(pán)寫(xiě)入數(shù)據(jù)時(shí)，磁頭中“寫(xiě)數(shù)據(jù)”電流產(chǎn)生此產(chǎn)使盤(pán)片表米娜磁性物質(zhì)狀態(tài)發(fā)生改變，并在寫(xiě)電流磁場(chǎng)消失后仍能保持，這樣數(shù)據(jù)就保持下來(lái)了：當(dāng)系統(tǒng)從硬盤(pán)中讀數(shù)據(jù)時(shí)，磁頭經(jīng)過(guò)盤(pán)片指定區(qū)域，盤(pán)片表面磁場(chǎng)使磁頭產(chǎn)生感應(yīng)電流或線圈阻抗產(chǎn)生變化，經(jīng)相關(guān)電路處理后還原成數(shù)據(jù)。（二）.硬盤(pán)數(shù)據(jù)結(jié)構(gòu) 硬盤(pán)上的數(shù)據(jù)按照其不同的特點(diǎn)和作用大致可分為五部分：MBR（主引導(dǎo)扇區(qū)）,DBR（操作系統(tǒng)引導(dǎo)扇區(qū)）,FAT（文件分配表）,DIR（目錄區(qū)）和DATA（數(shù)據(jù)區(qū)）。1.MBRMBR（MainBootRecord）,按其字面上的理解即為主引導(dǎo)記錄區(qū)，位于整個(gè)硬盤(pán)的0磁道0柱面1扇區(qū)。不過(guò)，在總共512字節(jié)的主引導(dǎo)扇區(qū)中，MBR只占用了其中的446個(gè)字節(jié)（偏移0--偏移1BDH），另外的64個(gè)字節(jié)（偏移1BEH--偏移1FDH）交給了DPT(DiskPartitionTable硬盤(pán)分區(qū)表),最后兩個(gè)字節(jié)"55，AA"（偏移1FEH-偏移1FFH）是分區(qū)的結(jié)束標(biāo)志。這個(gè)整體構(gòu)成了硬盤(pán)的主引導(dǎo)扇區(qū)。大致的結(jié)構(gòu)如圖1圖1硬盤(pán)的主引導(dǎo)扇區(qū)結(jié)構(gòu)圖主引導(dǎo)記錄中包含了硬盤(pán)的一系列參數(shù)和一段引導(dǎo)程序。其中的硬盤(pán)引導(dǎo)程序的主要作用是檢查分區(qū)表是否正確并且在系統(tǒng)硬件完成自檢以后引導(dǎo)具有激活標(biāo)志的分區(qū)上的操作系統(tǒng)，并將控制權(quán)交給啟動(dòng)程序。MBR是由分區(qū)程序（如F）所產(chǎn)生的，它不依賴任何操作系統(tǒng)，而且硬盤(pán)引導(dǎo)程序也是可以改變的，從而實(shí)現(xiàn)多系統(tǒng)共存。DPT<硬盤(pán)分區(qū)表>及各字節(jié)的意義。硬盤(pán)分區(qū)表偏移長(zhǎng)度所表達(dá)的意義01字節(jié)分區(qū)狀態(tài)0-->非活動(dòng)區(qū)80-->活動(dòng)分區(qū)11字節(jié)該分區(qū)起始磁頭（HEAD）22字節(jié)該分區(qū)起始扇區(qū)和起始柱面41字節(jié)該分區(qū)類型：如82-->LinuxNative分區(qū)83-->LinuxSwap分區(qū)51字節(jié)該分區(qū)終止頭（HEAD）62字節(jié)該分區(qū)終止扇區(qū)和終止柱面84字節(jié)該分區(qū)起始絕對(duì)扇區(qū)C4字節(jié)該分區(qū)扇區(qū)數(shù)2.DBRDBR(DosBootRecord，操作系統(tǒng)引導(dǎo)區(qū))，通常位于硬盤(pán)的0磁道1柱面1扇區(qū)，是操作系統(tǒng)可以直接訪問(wèn)的第一個(gè)扇區(qū)，它包括一個(gè)引導(dǎo)程序和一個(gè)被稱為BPB(BiosParameterBlock)的分區(qū)參數(shù)記錄表，最后的結(jié)束標(biāo)志為“55AA”。引導(dǎo)程序的主要任務(wù)是當(dāng)MBR將系統(tǒng)控制權(quán)交給它時(shí)，判斷本分區(qū)跟目錄前兩個(gè)文件是不是操作系統(tǒng)的引導(dǎo)文件。如果確定存在,就把它讀入內(nèi)存，并把控制權(quán)交給該文件。BPB參數(shù)塊記錄著本分區(qū)的起始扇區(qū)、結(jié)束扇區(qū)、文件存儲(chǔ)格式、硬盤(pán)介質(zhì)描述符、根目錄大小、FAT個(gè)數(shù)，分配單元的大小等重要參數(shù)。3.FATFAT(FileAllocationTable，文件分配表)，是操作系統(tǒng)的文件尋址系統(tǒng)。為了防止意外損壞，F(xiàn)AT一般做兩個(gè)(也可以設(shè)置為一個(gè))，第二個(gè)FAT為第一個(gè)FAT的備份。同一個(gè)文件的數(shù)據(jù)并不一定完整地存放在磁盤(pán)的一個(gè)連續(xù)的區(qū)域內(nèi)，而往往會(huì)分成若干段，像一條鏈子一樣存放，這樣存放更多是為了讀寫(xiě)速度上的考慮。由于硬盤(pán)上保存著段與段之間的連接信息，操作系統(tǒng)在讀取文件時(shí)，總是能夠準(zhǔn)確地找到各段的位置并正確讀出。4.DIRDIR是Directory即根目錄區(qū)的簡(jiǎn)寫(xiě)，在FAT12和FAT16格式中，DIR緊接在第二FAT表之后，而在FAT32格式中，根目錄區(qū)的位置可以在分區(qū)中的任意位置，其起始位置是由引導(dǎo)扇區(qū)給出的。單有FAT表還不能確定文件在磁盤(pán)中的具體位置，只有FAT表和DIR區(qū)配合使用，才能準(zhǔn)確定位文件的確切位置。DIR記錄著每個(gè)文件（目錄）的文件名，擴(kuò)展名，是否支持長(zhǎng)文件各，起始單元（這是最重要的）、文件的屬性，大小，創(chuàng)建日期，修改日期等住處內(nèi)容。操作系統(tǒng)在讀寫(xiě)文件時(shí)，根據(jù)DIR中的起始單元，結(jié)合FAT表就可以知道文件在磁盤(pán)的具體位置，然后順序讀取每個(gè)簇的內(nèi)容就可以了。5.DATA在DIR區(qū)之后，才是真正意義上的數(shù)據(jù)存儲(chǔ)區(qū)，即DATA區(qū)。DATA雖然占據(jù)了硬盤(pán)的絕大部分空間，但沒(méi)有了前面的各部分，它對(duì)于我們來(lái)說(shuō)，也只能是一些枯燥的二進(jìn)制代碼，沒(méi)有任何意義。四.數(shù)據(jù)損壞類型及相關(guān)恢復(fù)方法（一）.文件存儲(chǔ)與讀取原理當(dāng)我們存儲(chǔ)一個(gè)文件的時(shí)候，操作系統(tǒng)首先會(huì)在一個(gè)記錄所有空間使用情況的文件分配表中，找到足夠容納我們的新文件的空間，然后把文件內(nèi)容寫(xiě)到相對(duì)應(yīng)的硬盤(pán)扇區(qū)上，最后在分配表中標(biāo)出該空間被占用了。當(dāng)我們刪除一個(gè)文件的時(shí)候，一般并不對(duì)實(shí)際文件所占用的扇區(qū)進(jìn)行操作，而是僅僅在該分配表中標(biāo)記哪些空間是空白的，可以分配給別的文件使用。事實(shí)上在這個(gè)時(shí)候，要?jiǎng)h除的文件的實(shí)際內(nèi)容并沒(méi)有受到破壞，可以恢復(fù)回來(lái)。但是如果我們刪除一個(gè)文件后，在原來(lái)文件所在的扇區(qū)上，又重新創(chuàng)建了一個(gè)文件，那么被刪除文件所占用的扇區(qū)就有可能被新創(chuàng)建的文件所使用，這時(shí)候就無(wú)法恢復(fù)原來(lái)被刪除的文件了.（二）..硬盤(pán)數(shù)據(jù)損壞類型及相應(yīng)的恢復(fù)方法1.文件刪除及其恢復(fù)文件刪除后的恢復(fù)方法相對(duì)簡(jiǎn)單。操作系統(tǒng)刪除文件的操作進(jìn)行了兩方面?zhèn)€操作：一，將文件在磁盤(pán)的文件目錄表中的相應(yīng)文件目錄登記項(xiàng)的第一個(gè)字節(jié)更改了E5H；二，將文件所占簇號(hào)在文件分配表中的記錄清零，以釋放該文件所占空間。文件數(shù)據(jù)信息仍然“保留”在硬盤(pán)數(shù)據(jù)區(qū)中。因此此類型的數(shù)據(jù)恢復(fù)只要通過(guò)某些硬盤(pán)管理工具或者數(shù)據(jù)恢復(fù)軟件（比如EasyRecovery），按照有關(guān)的設(shè)置進(jìn)行。被徹底刪除的文件還是很容易被恢復(fù)過(guò)來(lái)。必須注意的是，恢復(fù)后的數(shù)據(jù)一定不能存放在原來(lái)的硬盤(pán)分區(qū)。

2.硬盤(pán)重分區(qū)或其它情況下的分區(qū)表?yè)p壞分析。第一種情況，在windows下一般利用DOS下的fdisk命令或者其它硬盤(pán)分區(qū)工具重新對(duì)硬盤(pán)進(jìn)行分區(qū)后改寫(xiě)了硬盤(pán)分區(qū)表，也就是修改了硬盤(pán)的邏輯0扇區(qū)。 第二種情況，由于個(gè)人誤操作或者病毒入侵修改了硬盤(pán)邏輯0扇區(qū)(即硬盤(pán)主引導(dǎo)記錄)從而使得系統(tǒng)無(wú)法啟動(dòng)。解決方法:將硬盤(pán)掛接到另一臺(tái)計(jì)算機(jī)上進(jìn)入系統(tǒng)。在系統(tǒng)下啟動(dòng)winhex打開(kāi)掛接的硬盤(pán)，首先查看此硬盤(pán)的邏輯0扇區(qū)結(jié)尾標(biāo)識(shí)是否為55AA.若不是將之修改為55AA.將硬盤(pán)接到原計(jì)算機(jī)上開(kāi)機(jī)是否能啟動(dòng)系統(tǒng)。若重分區(qū)后不能對(duì)系統(tǒng)進(jìn)行格式化。則可能是硬盤(pán)MBR引導(dǎo)程序損壞。進(jìn)入DOS系統(tǒng)用fdisk/mbr修復(fù)硬盤(pán)邏輯0扇區(qū)的錯(cuò)誤。若確定是分區(qū)表?yè)p壞。如果之前曾用磁盤(pán)醫(yī)生備份過(guò)硬盤(pán)分區(qū)表，可以使用磁盤(pán)醫(yī)生恢復(fù)硬盤(pán)的分區(qū)表。如果是手動(dòng)備份的?？梢允褂脀inhex十六進(jìn)制數(shù)據(jù)查看工具修復(fù)硬盤(pán)分區(qū)表。如果實(shí)在對(duì)硬盤(pán)的分區(qū)表沒(méi)有任何備份。則只有將硬盤(pán)接到其它電腦上。使用有關(guān)數(shù)據(jù)恢復(fù)工具類似FinalData數(shù)據(jù)恢復(fù)之類的數(shù)據(jù)恢復(fù)工具掃描硬盤(pán)上的目錄與文件。但是恢復(fù)的程度無(wú)法保證。硬盤(pán)格式化情況下數(shù)據(jù)恢復(fù)。硬盤(pán)格式化就是重寫(xiě)了硬盤(pán)文件分配表。同樣硬盤(pán)上的實(shí)際數(shù)據(jù)還是沒(méi)消失。此時(shí)硬盤(pán)一般無(wú)法再引導(dǎo)系統(tǒng)，如果要恢復(fù)數(shù)據(jù)，最好不要對(duì)硬盤(pán)進(jìn)行任何操作。此類情況下數(shù)據(jù)恢復(fù)我們可以考慮一點(diǎn)就是一般情況下每個(gè)硬盤(pán)分區(qū)中FAT（文件分配表）都有一個(gè)備份。首先我們必須利用硬盤(pán)分區(qū)大小，分區(qū)格式，簇大小計(jì)算出硬盤(pán)FAT大小。查找硬盤(pán)第一個(gè)FAT位置，再計(jì)算出硬盤(pán)第二個(gè)FAT所在扇區(qū)。使用有關(guān)磁盤(pán)操作工具或者winhex工具恢復(fù)文件分配表?；謴?fù)已經(jīng)備份的分區(qū)表恢復(fù)。當(dāng)系統(tǒng)由于誤操作或者病毒破壞而使系統(tǒng)無(wú)法啟動(dòng)，經(jīng)檢查是硬盤(pán)的分區(qū)表?yè)p壞。如果在硬盤(pán)剛分區(qū)時(shí)有正好進(jìn)行過(guò)硬盤(pán)分區(qū)表的備份。此時(shí)可以用以下的方法試著恢復(fù)硬盤(pán)分區(qū)表，這樣系統(tǒng)又可以完好如初，且整個(gè)文件系統(tǒng)也不會(huì)有任何破壞?？偟膩?lái)說(shuō)，硬盤(pán)的分區(qū)結(jié)構(gòu)就是一個(gè)鏈?zhǔn)浇Y(jié)構(gòu)。硬盤(pán)的邏輯0扇區(qū)就是主引導(dǎo)記錄（MBR）其中偏移1BEH--偏移1FDH是硬盤(pán)的主分區(qū)表?？偣?4個(gè)字節(jié)，第16個(gè)字節(jié)記錄一個(gè)分區(qū)的情況。一般硬盤(pán)可以有一個(gè)主分區(qū)一個(gè)擴(kuò)展分區(qū)。其中擴(kuò)展分區(qū)有多個(gè)邏輯分區(qū)。上面我們使用的工具是WinHex.使用這個(gè)工具我們可以在windows界面下看到硬盤(pán)所有數(shù)據(jù)，以十六進(jìn)制數(shù)表示一個(gè)字節(jié)。同時(shí)我們可以用這個(gè)工具修改硬盤(pán)上的數(shù)據(jù)。這也正是我們修復(fù)硬盤(pán)分區(qū)表的關(guān)鍵所在。在此以本人計(jì)算機(jī)的硬盤(pán)分區(qū)表為例。本人計(jì)算機(jī)硬盤(pán)有一個(gè)主分區(qū)就是系統(tǒng)的C盤(pán)。一個(gè)擴(kuò)展分區(qū)，3個(gè)邏輯分區(qū)分別為：D，E，F(xiàn)盤(pán)。關(guān)鍵步驟如下：A將受損硬盤(pán)掛接到加別的計(jì)算機(jī)上以后。打開(kāi)軟件WinHex。然后選擇工具/打開(kāi)磁盤(pán)/物理磁盤(pán)。打開(kāi)需要修復(fù)的硬盤(pán)。界面如下圖2：B在WinHex上具欄用跳至扇區(qū)輸入0到邊硬盤(pán)的邏輯0扇區(qū)。找到偏移1BE的位置。用備份了的分區(qū)表數(shù)據(jù)覆蓋原來(lái)的數(shù)據(jù)。在此本人主分區(qū)表十六進(jìn)制數(shù)據(jù)如下：800101000CFEFFFF3F000000FAEFD4010000C1FF0FFEFFFF39F0D401889ACC100000000000000000000000000000000000000000000000000000000000000000用以上數(shù)據(jù)覆蓋邏輯0扇區(qū)的分區(qū)表的位置。C分析硬盤(pán)分區(qū)備份的數(shù)據(jù)。在主分區(qū)表第二項(xiàng)記錄的是邏輯分區(qū)的第一個(gè)分區(qū)，也就是D盤(pán)所在的位置。通過(guò)主分區(qū)表第二項(xiàng)記錄0000C1FF0FFEFFFF39F0D401889ACC10計(jì)算出D盤(pán)的起始扇區(qū)為十進(jìn)制的30732345扇區(qū)。使用WinHex工具轉(zhuǎn)到第30732345號(hào)扇區(qū)。把這一扇區(qū)的偏移1BE的位置用備份了的數(shù)據(jù)進(jìn)行恢復(fù)。D然后再分析找到的D盤(pán)的虛擬主引導(dǎo)記錄的分區(qū)表。分析其第二項(xiàng)。找到E盤(pán)的分區(qū)表的位置。依此類推，依次找到下面的盤(pán)的分區(qū)表，然后一個(gè)一個(gè)的恢復(fù)。E通過(guò)上面的恢復(fù)以后，硬盤(pán)的分區(qū)完好如初，此時(shí)硬盤(pán)數(shù)據(jù)得以完全恢復(fù)硬盤(pán)DBR損壞。DBR是操作系統(tǒng)能直接訪問(wèn)的第一個(gè)扇區(qū)，它包括一個(gè)引導(dǎo)程序和一個(gè)被稱為BPB（BiosParameterBlock）的本分區(qū)參數(shù)記錄表。引導(dǎo)程序的主要任務(wù)是當(dāng)MBR將系統(tǒng)控制權(quán)交給它時(shí)，判斷本分區(qū)跟目錄前兩個(gè)文件是不是操作系統(tǒng)的引導(dǎo)文件（以DOS為例，即是Io.sys和Msdos.sys）。如果確定存在，就把其讀入內(nèi)存，并把控制權(quán)交給該文件。BPB參數(shù)塊記錄著本分區(qū)的起始扇區(qū)、結(jié)束扇區(qū)、文件存儲(chǔ)格式、硬盤(pán)介質(zhì)描述符、根目錄大小、FAT個(gè)數(shù)，分配單元的大小等重要參數(shù)。它對(duì)操作系統(tǒng)的成功啟動(dòng)有至關(guān)重要的作用。當(dāng)DBR被損壞時(shí)，計(jì)算機(jī)系統(tǒng)無(wú)法正常啟動(dòng)。此時(shí)，我們可以利用硬盤(pán)上已存在的DBR的備份去恢復(fù)硬盤(pán)上的DBR。對(duì)于硬盤(pán)的每個(gè)邏輯分區(qū)。DBR在第一個(gè)DBR的后面6個(gè)扇區(qū)都有一個(gè)備份。A我們將待修復(fù)硬盤(pán)掛接在另一臺(tái)正常的計(jì)算機(jī)上。進(jìn)入系統(tǒng)后用WINHEX軟件打開(kāi)待修復(fù)硬盤(pán)。B利用分區(qū)表的數(shù)據(jù)找到邏輯分區(qū)起始扇區(qū)，轉(zhuǎn)到分區(qū)所在扇區(qū)，第一個(gè)是DBR。往后查找到第六個(gè)扇區(qū)，復(fù)制這一個(gè)扇區(qū)的數(shù)據(jù)，將之覆蓋第一個(gè)DBR。C將修復(fù)后的硬盤(pán)掛到原機(jī)器上，重啟系統(tǒng)。五.數(shù)據(jù)恢復(fù)應(yīng)用常見(jiàn)實(shí)例（一）.主引導(dǎo)分區(qū)恢復(fù)對(duì)于開(kāi)機(jī)自檢后提示"Missoperationsystem"而且DOS下查看C盤(pán)內(nèi)容完整，這是屬于主引導(dǎo)區(qū)故障。另外在電腦啟動(dòng)中，系統(tǒng)能夠通過(guò)自檢并檢測(cè)到硬盤(pán)，但在即將進(jìn)入操作系統(tǒng)之前提示"DISKBOOTFAILURE.INSERTSYSTEMDISKANDPRESSENER"，這也是主引導(dǎo)區(qū)錯(cuò)誤。對(duì)于這一類故障，可以用軟盤(pán)或是光盤(pán)來(lái)啟動(dòng)，進(jìn)行DOS系統(tǒng),然后鍵入"C："，看能否讀取C盤(pán)上的內(nèi)容。如果C盤(pán)上的內(nèi)容可以讀取的話，大家只要使用Fdisk/mbr命令就可以進(jìn)行無(wú)條件重寫(xiě)主引導(dǎo)區(qū)，這個(gè)方法一般都能成功，而且可以保留原有的數(shù)據(jù)。當(dāng)然即便是不能讀取C盤(pán)，我們也可以使用Fdisk/mbr命令。事實(shí)上Fdisk/mbr的作用十分明顯，也能對(duì)付一些主引導(dǎo)區(qū)病毒，大家一定要好好利用，這堪稱是對(duì)付硬盤(pán)在BIOS下可以識(shí)別而DOS下無(wú)法操作的第一工具。（二）.分區(qū)表破壞如用PQMagic時(shí)操作失誤所導(dǎo)致的無(wú)法進(jìn)入系統(tǒng)或者是進(jìn)入系統(tǒng)后文件打不開(kāi)等情況，即是典型的分區(qū)表故障。自動(dòng)修復(fù)分區(qū)表的操作一般就是通過(guò)查找備份分區(qū)表并復(fù)制相應(yīng)扇區(qū)，這里使用DiskGenius軟件。此軟件可以在純DOS系統(tǒng)下運(yùn)行。操作方法：首先將此軟件拷入啟動(dòng)盤(pán)，之后可以直接運(yùn)行，進(jìn)入此軟件的主界面后，按下F10就能夠輕松地自動(dòng)恢復(fù)硬盤(pán)分區(qū)表。（三）.修復(fù)DBR對(duì)于一臺(tái)電腦，在Windows系統(tǒng)下打開(kāi)一個(gè)分區(qū)時(shí)提示未被格式化，在DOS下進(jìn)入此分區(qū)時(shí)提示"GeneralFailReadingDrive"。這種情況下，如果使用格式化工具對(duì)所要訪問(wèn)的分區(qū)進(jìn)行格式化，當(dāng)然就很輕松地進(jìn)入此分區(qū)，但代價(jià)就是此分區(qū)下所有的數(shù)據(jù)都將不復(fù)存在，此做法也與挽救數(shù)據(jù)的最終目的相違背。這時(shí)可以用WinHex軟件來(lái)修復(fù)DBR模板。在使用時(shí)可以把出問(wèn)題的硬盤(pán)當(dāng)作從盤(pán)進(jìn)行掛接，隨后從打開(kāi)的WinHex中選擇此硬盤(pán)，而后此軟件就可以使用硬盤(pán)中的分區(qū)表信息來(lái)處理分區(qū)，以達(dá)到修復(fù)的目的。（四）.恢復(fù)被刪除文件當(dāng)我們存儲(chǔ)一個(gè)文件的時(shí)候，操作系統(tǒng)首先會(huì)在一個(gè)記錄所有空間使用情況的文件分配表中，找到足夠容納我們的新文件的空間，然后把文件內(nèi)容寫(xiě)到相對(duì)應(yīng)的硬盤(pán)扇區(qū)上，最后在分配表中標(biāo)出該空間被占用了。當(dāng)我們刪除一個(gè)文件的時(shí)候，一般并不對(duì)實(shí)際文件所占用的扇區(qū)進(jìn)行操作，而是僅僅在該分配表中標(biāo)記哪些空間是空白的，可以分配給別的文件使用。事實(shí)上在這個(gè)時(shí)候，要?jiǎng)h除的文件的實(shí)際內(nèi)容并沒(méi)有受到破壞，可以恢復(fù)回來(lái)。但是如果我們刪除一個(gè)文件后，在原來(lái)文件所在的扇區(qū)上，又重新創(chuàng)建了一個(gè)文件，那么被刪除文件所占用的扇區(qū)就有可能被新創(chuàng)建的文件所使用，這時(shí)候就無(wú)法恢復(fù)原來(lái)被刪除的文件了。但如果在刪除的時(shí)候按住了SHIFT鍵，那么就相當(dāng)于把數(shù)據(jù)進(jìn)行了物理刪除，而沒(méi)有通過(guò)回收站，這時(shí)候就無(wú)法通過(guò)一般的方法來(lái)找回刪除的數(shù)據(jù)了。文件刪除后的恢復(fù)方法相對(duì)簡(jiǎn)單。操作系統(tǒng)刪除文件的操作進(jìn)行了兩方面?zhèn)€操作：一，將文件在磁盤(pán)的文件目錄表中的相應(yīng)文件目錄登記項(xiàng)的第一個(gè)字節(jié)更改了E5H；二，將文件所占簇號(hào)在文件分配表中的記錄清零，以釋放該文件所占空間。文件數(shù)據(jù)信息仍然“保留”在硬盤(pán)數(shù)據(jù)區(qū)中。因此此類型的數(shù)據(jù)恢復(fù)只要通過(guò)某些硬盤(pán)管理工具或者數(shù)據(jù)恢復(fù)軟件（比如EasyRecovery），按照有關(guān)的設(shè)置進(jìn)行。被徹底刪除的文件還是很容易被恢復(fù)過(guò)來(lái)。必須注意的是，恢復(fù)后的數(shù)據(jù)一定不能存放在原來(lái)的硬盤(pán)分區(qū)。

（五）.因病毒導(dǎo)致文件假丟失有這么一類病毒，感染后會(huì)在根目錄下創(chuàng)建一個(gè)與原文件夾同名且可以運(yùn)行的程序，使用殺毒軟件把病毒查殺后，原來(lái)的文件夾都變成隱藏的了，并且通過(guò)查看文件夾的屬性不能進(jìn)行修改。雖然使用專業(yè)的修改軟件可以進(jìn)行修改，但使用較為麻煩。這里可以使用Attrib命令。在Windows運(yùn)行的過(guò)程中，打開(kāi)MS-DOS，無(wú)論是Windows98，還是Window7.0，都可以通過(guò)運(yùn)行CMD命令打開(kāi)DOS，而后找到相應(yīng)的盤(pán)符，輸入attrib/d/s–h–s，這樣就可以把隱藏的文件恢復(fù)到正常的狀態(tài)了。Attrib是修改文件夾屬性的一個(gè)DOS命令，/d與/s是兩個(gè)開(kāi)關(guān)，-h就是消除隱藏屬性。六.數(shù)據(jù)恢復(fù)操作實(shí)驗(yàn)如圖1-1所示,我的電腦G盤(pán)的PPT目錄下有19個(gè)對(duì)象，現(xiàn)在