硬盘数据恢复入门教程.docx

1、硬盘数据恢复入门教程硬盘数据恢复入门教程 来源：tzwr 作者： 时间：2008-03-11 初买来一块硬盘，我们是没有办法使用的，你需要将它分区、格式化，然后再安装上操作系统才可以使用。一个完整硬盘的数据应该包括五部分：MBR，DBR，FAT，DIR区和DATA区。其中只有主引导扇区是唯一的，其它的随你的分区数的增加而增加。主引导扇区主引导扇区位于整个硬盘的0磁道0柱面1扇区，包括硬盘主引导记录MBR（Main Boot Record）和分区表DPT（Disk Partition Table）。其中主引导记录的作用就是检查分区表是否正确以及确定哪个分区为引导分区，并在程序结束时把该分区的启动

2、程序（也就是操作系统引导扇区）调入内存加以执行。至于分区表，很多人都知道，以80H或00H为开始标志，以55AAH为结束标志，共64字节，位于本扇区的最末端。值得一提的是，MBR是由分区程序（例如DOS 的Fdisk.exe）产生的，不同的操作系统可能这个扇区是不尽相同。如果你有这个意向也可以自己去编写一个，只要它能完成前述的任务即可，这也是为什么能实现多系统启动的原因（说句题外话:正因为这个主引导记录容易编写，所以才出现了很多的引导区病毒）。操作系统引导扇区OBR（OS Boot Record）即操作系统引导扇区，通常位于硬盘的0磁道1柱面1扇区（这是对于DOS来说的，对于那些以多重引导方式

3、启动的系统则位于相应的主分区/扩展分区的第一个扇区），是操作系统可直接访问的第一个扇区，它也包括一个引导程序和一个被称为BPB（BIOS Parameter Block）的本分区参数记录表。其实每个逻辑分区都有一个OBR，其参数视分区的大小、操作系统的类别而有所不同。引导程序的主要任务是判断本分区根目录前两个文件是否为操作系统的引导文件（例如MSDOS或者起源于MSDOS的Win9x/Me的IO.SYS和MSDOS.SYS）。如是，就把第一个文件读入内存，并把控制权交予该文件。BPB参数块记录着本分区的起始扇区、结束扇区、文件存储格式、硬盘介质描述符、根目录大小、FAT个数、分配单元（Allo

4、cation Unit，以前也称之为簇）的大小等重要参数。OBR由高级格式化程序产生（例如DOS 的F）。文件分配表FAT(File Allocation Table)即文件分配表，是DOS/Win9x系统的文件寻址系统，为了数据安全起见，FAT一般做两个，第二FAT为第一FAT的备份, FAT区紧接在OBR之后，其大小由本分区的大小及文件分配单元的大小决定。关于FAT的格式历来有很多选择，Microsoft 的DOS及Windows采用我们所熟悉的FAT12、FAT16和FAT32格式，但除此以外并非没有其它格式的FAT，像Windows NT、OS/2、UNIX/Linux、Novell等

5、都有自己的文件管理方式。目录区DIR是Directory即根目录区的简写，DIR紧接在第二FAT表之后,只有FAT还不能定位文件在磁盘中的位置，FAT还必须和DIR配合才能准确定位文件的位置。DIR记录着每个文件（目录）的起始单元（这是最重要的）、文件的属性等。定位文件位置时，操作系统根据DIR中的起始单元，结合FAT表就可以知道文件在磁盘的具体位置及大小了。在DIR区之后，才是真正意义上的数据存储区，即DATA区。数据区DATA虽然占据了硬盘的绝大部分空间，但没有了前面的各部分，它对于我们来说，也只能是一些枯燥的二进制代码，没有任何意义。在这里有一点要说明的是，我们通常所说的格式化程序（指高

6、级格式化，例如DOS下的Format程序），并没有把DATA区的数据清除，只是重写了FAT表而已，至于分区硬盘，也只是修改了MBR和OBR，绝大部分的DATA区的数据并没有被改变，这也是许多硬盘数据能够得以修复的原因。但即便如此，如MBR/OBR/FAT/DIR之一被破坏的话，也足够咱们那些所谓的DIY老鸟们忙乎半天了需要提醒大家的是，如果你经常整理磁盘，那么你的数据区的数据可能是连续的，这样即使MBR/FAT/DIR全部坏了，我们也可以使用磁盘编辑软件（比如DOS下的DiskEdit），只要找到一个文件的起始保存位置，那么这个文件就有可能被恢复（当然了，这需要一个前提，那就是你没有覆盖这个文

7、件）。硬盘分区方式我们平时说到的分区概念，不外乎三种:主分区、扩展分区和逻辑分区。主分区是一个比较单纯的分区，通常位于硬盘的最前面一块区域中，构成逻辑C磁盘。在主分区中，不允许再建立其它逻辑磁盘。扩展分区的概念则比较复杂，也是造成分区和逻辑磁盘混淆的主要原因。由于硬盘仅仅为分区表保留了64个字节的存储空间，而每个分区的参数占据16个字节，故主引导扇区中总计可以存储4个分区的数据。操作系统只允许存储4个分区的数据，如果说逻辑磁盘就是分区，则系统最多只允许4个逻辑磁盘。对于具体的应用，4个逻辑磁盘往往不能满足实际需求。为了建立更多的逻辑磁盘供操作系统使用，系统引入了扩展分区的概念。所谓扩展分区，严

8、格地讲它不是一个实际意义的分区，它仅仅是一个指向下一个分区的指针，这种指针结构将形成一个单向链表。这样在主引导扇区中除了主分区外，仅需要存储一个被称为扩展分区的分区数据，通过这个扩展分区的数据可以找到下一个分区（实际上也就是下一个逻辑磁盘）的起始位置，以此起始位置类推可以找到所有的分区。无论系统中建立多少个逻辑磁盘，在主引导扇区中通过一个扩展分区的参数就可以逐个找到每一个逻辑磁盘。需要特别注意的是，由于主分区之后的各个分区是通过一种单向链表的结构来实现链接的，因此，若单向链表发生问题，将导致逻辑磁盘的丢失。既然要进行数据的恢复，当然数据的存储原理我们不能不提，在这之中，我们还要介绍一下数据的删

9、除和硬盘的格式化相关问题文件的读取操作系统从目录区中读取文件信息（包括文件名、后缀名、文件大小、修改日期和文件在数据区保存的第一个簇的簇号），我们这里假设第一个簇号是0023。操作系统从0023簇读取相应的数据，然后再找到FAT的0023单元，如果内容是文件结束标志（FF），则表示文件结束，否则内容保存数据的下一个簇的簇号，这样重复下去直到遇到文件结束标志。文件的写入当我们要保存文件时，操作系统首先在DIR区中找到空区写入文件名、大小和创建时间等相应信息，然后在Data区找到闲置空间将文件保存，并将Data区的第一个簇写入DIR区，其余的动作和上边的读取动作差不多。文件的删除Win9x的文件删

10、除工作却是很简单的，简单到只在目录区做了一点小改动将目录区的文件的第一个字符改成了E5就表示将改文件删除了。BOIS类数据恢复 来源：tzwr 作者： 时间：2008-03-11 BOIS是基本输入/输出系统的缩写。BOIS是系统内附的，在电脑没有访问磁盘上程序之前决定机器基本功能的软件系统。就PC而言，BOIS包含了控制键盘，显示屏幕，磁盘驱动器，串行通讯设备和很多其他功能的代码。 一般地，BOIS存储在主板上的ROM芯片（所以通常叫ROM BOIS），确保了BOIS的一般可用性和不会因为磁盘错误而损坏。它也确保了机器能够启动。因为RAM比ROM的速度快，很多的机器制造商设计的BOIS在机器

11、启动时能从ROM被拷贝到RAM去运行，这项技术也叫shadowing。当今，在很多Pc里是flash BOIS，以为着这BOIS是存储在可重新改写的flash内存芯片，如果需要的话改写毫不费力。但如果是损坏了呢？如何恢复损坏的BOIS？割据笔者多次的恢复经验，提出以下方案供参考。一利用根区BOIS（Bootblock BOIS） 当今大多数基于AWARDBOIS的主板里都有根区BOIS，这是个在升级BOIS时会不会被覆盖的一小部分BOIS。它只支持很基本的硬件如：软盘等。如果您的显卡是PCI的，在BOIS被损坏后您的屏幕将是漆黑一片，因为根区BOIS只支持ISA的显卡。根区BOIS可以执行可引

12、导软盘上的AUTOEXEC.BAT。这样我们可以把Award flasher和正确的BOIS文件（*.bin）放在软盘上并在AUTOEXEC.BAT里加入BOIS升级命令。二得到新的BOIS芯片1联系主板生产商，看是否他们能提供BOIS芯片。有些生产商是免费提供的。2联系卖相关芯片的电脑公司，如Unicore Software ( http :/ )或Midco Computers（以前的RC Systema公司，http : / ）。下面是Midco的一段广告：“我们向公众提供BOIS的更换芯片。请访问 ，我们将乐意帮助您。”三热交换注意：此方法风险较大，请小心使用（使用者风险自负）。用另外

13、一块可以正常使用的BOIS芯片来更换当前损坏的芯片，而正常BOIS芯片的主板必须尽量和损坏的一致。在正常芯片的机器上先把“System BOIS cache able”设为ENABLE，进入DOS后，把正常的芯片拔掉，用损害的芯片来替代，然后正确地升级BOIS即可。注意：建议使用MRBOIS的读写程序他们的产品名声最好。可以访问ftp:/找相关软件。四适用于Intel主板的方法把Flash Recovery的跳线放在recovery mode的位置，把可启动的BOIS升级软盘放入，启动机器。因为没被覆盖的根区BOIS不支持PCI的显卡这时屏幕上什么都没有。可以通过鸣笛声和软盘LED来观察。当机

14、器响了一下，接着软盘的LED亮时，系统就正在升级BOIS。当软盘的LED灯灭时，说明恢复已完成，关机。把跳线恢复到缺省位置，重启动继续恢复。除了以上方法外，还可以用我们比较熟悉的Debug来恢复BOIS的出厂值，方法如下：1针对AMI/Award BOIS:C:DEBUG（在纯DOS下，不是Windows里的DOS窗口）-0 70 17 -0 71 17 Q 2针对Phoenix BOISC:/DEBUG（在纯DOS下，不是Windows里的DOS窗口）-0 70 FF -0 71 17 Q 数据恢复简介 来源： 作者：致鸣 时间：2008-03-11 本人一向认为单纯为了维修而维修的硬盘维修

15、实在没有太大意义，除非是那些一门心思要当二手商人的批发和零售商（不过请不要受到我主观观念的影响，大家可以根据自己硬盘的用途，对是否值得维修独立作出判断）。毕竟，硬盘维修的“维修”跟普通意义上的维修是有很大区别的。如果我们坏了一块主板，经检查发现是一个三极管烧了，我们可以更换一个新的三极管，这样，这个三极管仍然可以实现原来三极管的功能，主板没有受任何影响，坏的地方也就不存在了，我们可以说这块主板修好了。但是硬盘不一样，所谓的“维修”，只是把盘片上的坏道、硬盘内部的缺陷等等问题掩盖起来，不让硬盘的控制系统和计算机操作系统发觉而已，那些缺陷仍然实实在在地躺在硬盘里面，成为随时可以再爆发的定时炸弹。因

16、此，单纯的维修，只能使硬盘暂时恢复可用性，我认为意义不大。而如果维修是为了让硬盘可以暂时使用，使用户可以重新读取盘里面的数据并备份到其他地方，那么这应该是值得的，毕竟用户的数据在一定程度上是无价的。（PS：比较讽刺的是，当一些二手商通过简单地隐藏分区来隐藏坏道的时候，不少硬盘维修商还振振有词地说那些人是利用了部分消费者的无知来坑人，是奸商；而他们才是真正的维修，所以他们的工作是如何复杂、技术要求如何高，他们人是如何正直等等。现在，我们发现原来他们也只不过是把缺陷藏起来而已，只不过藏得非常隐蔽，让人无从发现，不知道他们现在应该如何自处？还是说奸商如果能不让人发现，就可以摇身一变变得不奸了？我觉得

17、至少那些隐藏分区的人还算比较正直，因为他们毕竟还为消费者保留了发现作假的权利_。在这方面，我接触过一个硬盘维修商，他是PC-3000在南方新增加的一个国内代理，这人算是比较坦白的，能够明确告诉客户硬盘修复后和原盘的差别，让客户自己决定是否维修。这在硬盘维修界中算是另类了。）数据恢复是一个比较敏感的话题，对于一些具体的理论、还原算法、涉及的仪器和具体操作的细节，都有各种各样的限制，不能详细作出描述。这里只能根据需要，尽量完整地让大家对数据恢复有一个大概的整体印象就已经足够了。数据恢复可以分为纯软件的恢复和软硬件结合的恢复。硬盘内部是有一定的校验公式来保障数据的完整性的，根据每一个扇区内数据的内容

18、、扇区的伺服信息，再根据一定的校验公式经过运算，会产生一个唯一的校验和，这个值每一个扇区都是不一样的。同一个扇区储存不同数据的时候校验和固然不一样，不同的扇区储存相同的数据也会产生不一样的校验和（SCSI硬盘在这方面的机制会更加完善）。数据恢复正是利用了这样的原理，通过逆向运算，在某一方面的信息因为错误操作而丢失或者被改变的情况下，仍然可以根据其余的原始信息，把数据尽可能完整地还原出来。其实在实际操作中，删除文件、重新分区并快速格式化（Format不要加U参数）、快速低格、重整硬盘缺陷列表等等，都不会把数据从物理扇区中实际抹去。删除文件只是把文件的地址信息在列表中抹去，而文件的数据本身还是在原

19、来的地方静静躺着，除非拷贝新的数据进去那些扇区，才会把原来的数据真正抹去。重新分区和快速格式化只不过是重新构造新的分区表和扇区信息，同样不会影响原来的数据在扇区中的物理存在，直到有新的数据去覆盖他们为止。快速低格一般只有原厂的DM才可以实现，是用DM软件快速重写盘面、磁头、柱面、扇区等等初始化信息，仍然不会把数据从原来的扇区中抹去。重整硬盘缺陷列表也只不过是把新的缺陷扇区加入到G列表或者P列表中去，对于那些本来储存在缺陷扇区中的数据那是没有办法了，因为扇区已经出现物理损坏，即使不加入缺陷列表，也很难恢复；但对于其他数据，其实还是没有实质性影响的。对这样的硬盘进行数据恢复，算是数据恢复里面比较简

20、单的，最关键的一点是在错误操作出现后，不要再对硬盘作任何自己都不知道目的的无意义操作和不要再往硬盘里面写入任何东西。恢复这种硬盘的数据，可以通过纯粹的软件操作来完成。目前大家能够找到的数据恢复软件还是非常多的，大致有EasyRecovery、Recover、Lost&Found、FinalData、Disk Recover等等，还有其他很多，就不逐一列举了。这些软件有的在DOS模式下面运行，有的可以在Windows模式下面运行，甚至可以在NT/2000下面运行，处理NTFS格式分区里面丢失的数据。对于误删除、错误格式化，但又没有用其他数据覆盖这些形式的数据恢复，上面说的这些软件还是有相当好的效

21、果的。当然，如果让一个菜鸟和一个老鸟来运用这些软件的话，恢复效果会有很大的差别。要提高数据恢复的成功率，关键是要掌握每一个软件的特性和每一个操作的参数和特点，有针对性地合理选择，配合使用，这是需要一定的经验积累才可以做到的。目前国内的数据恢复公司对这种级数的数据恢复报价是每个硬盘3501000元人民币。纯粹软件的恢复当然有着极大的局限性，前提条件是必须要硬盘还能够正常使用才行。因此，对于一些有轻微缺陷的硬盘，稍微修理一下，让硬盘可以正常使用后，再进行软件的数据恢复是明智的，因为这样可以节省大量的数据恢复成本。毕竟，对于那些无论如何不能动的硬盘，软件是无能为力的，这时候就需要使用成本比较高的软硬

22、件结合的恢复方式。采用软硬件结合的数据恢复方式，关键在于恢复用的仪器设备。这些设备都需要放置在超净无尘工作间里面，而且这些设备内部的工作台也是级别非常高的超净空间。这些设备的恢复原理也是大同小异，都是把硬盘拆开，把磁碟放进机器的超净工作台上，然后用激光束对盘片表面进行扫描，因为盘面上的磁信号其实是数字信号（0和1），所以相应地，反映到激光束发射的信号上也是不同的。这些仪器就是通过这样的扫描，一丝不漏地把整个硬盘的原始信号记录在仪器附带的电脑里面，然后再通过专门的软件分析来进行数据恢复。可以说，这种设备的数据恢复率是相当惊人的，即使是位于物理坏道上面的数据，由于多种信息的缺失而无法找出准确的数据

23、值，也可以通过大量的运算，在多种可能的数据值之间进行逐一代入，结合其他相关扇区的数据信息，进行逻辑合理性校验，从而找出逻辑上最符合的真值。对于上面说到的设备和方式，目前国内拥有数据恢复设备，能够做到软硬结合的恢复方式的公司，根据资料显示目前暂时只有两家，分别位于北京和广东（资料有效期是今年4月，或许还有别的公司说自己有这样的设备，不过我觉得炒作的可能性比我漏查的可能性要大）。现在很多数据恢复公司都吹嘘说他们有多先进的设备，多高超的技术，但其实多半都是停留在纯软件级别的恢复而已。真的碰到难缠的盘，他们会快递到这两地的公司，让他们去用机器恢复，而这两家公司也认可这样的操作方式，因为这样他们就不需要

24、花费打广告的钱，也保证了机器能够有足够的工作负荷，缩短投资回收期。这样级别的数据恢复，目前国内市场价格大约是每个硬盘30005000人民币甚至更多。当然，那两家公司接收从其他数据恢复公司转手过来的硬盘的时候，收的是行内批发价，这中间大概有数百到一千元左右的差价，当然是让那些数据恢复公司当仁不让当作中介费吃掉了。不过这仍旧不是数据恢复的终极方式。因为他们都有一个前提，就是数据没有被覆盖。对于已经被覆盖的数据、完全低格、全盘清零、强磁场破坏的硬盘，仍然有最终极的数据恢复方式，老美管这个叫“深层信号还原”。具体的原理比较复杂，但是可以通过一个相关的例子来说明。譬如一个人开车撞了人，跑掉了，为了逃避公

25、安的侦查，他把汽车撞过凹陷的地方重新鼓起拉直，并喷上了新的油漆。那么，这样处理过的车子，在肉眼的观察下是看不出碰撞过的痕迹的。但是鉴证科的人只需要用弧光灯照射汽车，戴上专门的偏光镜去看，碰撞过的痕迹就马上一目了然。“深层信号还原”应用了与此类似的原理。从硬盘磁头的角度来看，同样的数据，拷贝进原来没有数据的新盘和拷贝进旧盘去覆盖掉原有数据，是没有分别的，因为这时候磁头所读取到的数字信号都是一样的。但是对于磁介质晶体来说，情况就有点不一样了，以前的数据虽然被覆盖了，但在介质的深层，仍然会留存着原有数据的“残影”，通过使用不同波长、不同强度的射线对这个晶体进行照射，可以产生不同的反射、折射和衍射信号

26、，这就是说，用这些设备发出不同的射线去照射磁盘盘面，然后通过分析各种反射、折射和衍射信号，就可以帮助我们“看到”在不同深度下这个磁介质晶体的残影。根据目前的资料，大概可以观察到45层，也就是说，即使一个数据被不同的其他数据重复覆盖4次，仍然有被“深层信号还原”设备读出来的可能性。当然，这样的操作成本无疑是非常高的，也只能用在国家安全级别的用途上，目前世界范围内也没有几个国家可以拥有这样的技术，只有极少数规模庞大的计算机公司和不计成本的政府机关能拥有这样级别的数据恢复设备，而且主要都是由美国人掌握。看到这里，不知道我们的读者会有什么感想。在数据恢复领域，别人很早就已经能达到这样的技术高度了，而且

27、现在，所有实质意义上的硬盘公司也全部都是别人的，但他们并没有大大咧咧到处炫耀。相反，我们国内的一些技术人员，数据恢复软件水平离日本还有十万八千里（被认为是“数据恢复软件之王”的FinalData是日本的产品），更不要说美国了；连属于自己的真正意义上的硬盘厂家都没有，算是小半桶水都不到了，但是摇晃起来倒是咣咣咣咣震天响。譬如某个南方的数据恢复公司设计了一个数据恢复软件（他们保密得很，我只看到了界面，没有真正看过工作方式和源码，不知道是不是“Banana软件”【注】，暂且算是他们设计的吧），10月23号的时候做了一次演示，把一个被PC-3000清空了缺陷列表的硬盘数据恢复出来，就认为效果很好了。可

28、是，这本来就只是一个数据恢复软件应该做到的事情，国外的产品可以做到比这个更多，实在没有什么好炒作的。还有国内一个硬盘维修企业出了一个称为“国防版”的硬盘数据操作软件，但通过一些朋友在内部渠道了解过以后，不禁觉得有点失望如果中国现在的国防级别软件也只能达到这个水平的话，未免太让人心灰意冷了吧。衷心希望这个“国防版”只是一句广告词而已。【注】：Banana香蕉。老美专指那些在美国出生的华裔，他们有中国人的黄皮肤，但是骨子里接受的却是美国白人的文化背景、生活方式和价值观念，因此用香蕉来比喻，取其“黄皮白心”之义。现在，有一些中国的软件公司，他们好一点的，购买外国软件的核心算法和引擎自己重新开发，但是

29、付了2年的使用许可费，第3、4年照样使用；差一点的，反汇编出外国软件的算法、流程和指令，自己编写一个同类软件；或者再恶劣一点，只是对外国的软件进行脱壳，只是换上自己写的一个中文界面，就堂而皇之地拿出来卖，美其名曰“民族软件”。对于这些软件，国外程序员比较无奈地，其中比较有幽默感的人就把这些软件统称“Banana软件”。这类软件在国内是令人难以置信地超大量存在，无论出品自大公司小公司，你叫得出名字叫不出名字，几乎毫无例外地有着“香蕉”的影子。数据恢复的方法 来源：tzwr 作者： 时间：2008-03-11 1、 硬件或介质问题的情况、 硬盘坏：硬盘自检不到的情况一般是硬件故障，又可分为主板的硬

30、盘控制器（包括IDE口）故障和硬盘本身的故障。如果问题在主板上，那么数据应当没有影响。如果出在硬盘上，也不是一定不能修复。 硬盘可能的故障又可能在控制电路、电机和磁头以及盘片。如果是控 制电路的问题，一般修好它，就可以读出数据。但如果电机、磁头和盘片故障，即使修理也要返回原厂，数据恢复基本没有可操作性。、 软盘坏：当软盘数据损坏时，可以有几种处理，一种是用NDD修复，他会强制读出你坏区中的东西，MOVE 到空白扇区中，这就意味着 如果你的磁盘很满操作是没法进行的。你也可以用HDCOPY2.0以上版本READ软盘，他也会进行强读，使读入缓冲区的数据是完好的，你再写入一张好磁盘就可以了。当然这些方

31、式，要看盘坏的程度。如果0磁道坏，数据也并非无法抢救，早先可以通过扇区读的方式，把后面的数据读出，不过一般来说，你依然可以HDCOPY来实验。2、系统问题的情况、 在硬盘崩溃的情况下，我们经常要和一些提示信息打交道。我们要了解他典型提示信息的含义，注意这些原因仅仅分析逻辑损坏而不是 硬盘物理坏道的情况。?提示信息?可能原因?参考处理?Invalid Partition Table?分区信息中1BE、1CE、1DE处不符合只有一个80而其他两处为0用工具设定，操作在前面已经讲了。?Error Loading Operating System?主引导程序读BOOT区5次没成功。?重建BOOT区?Missing Operating System DOS?引导区的55AA标记丢失?用工具设定，把前面读写主引导区程序的DX=80改为180即可?Non-System Disk or Disk Error?BOOT区中的系统文件名与根目录中的前两个文件不同?SYS命令重新传递系统，?Disk Boot Failure?读系统文件错误 SYS命令重新传递系统，?Invalid Driver Specifcationg如果试图切换到一个确实存在的逻辑分区出现以下信息，说明主分区表的分区记录被破坏了。根据各分区情况重建分