硬盘的数据恢复毕业设计.doc

河南农业大学理学院本科毕业论文 河南农业大学河南农业大学 本科生毕业论文 题 目 硬盘的数据恢复 学 院 理学院 专业班级 07 电科 2 学生姓名 梁成琛 指导教师 朱连轩 撰写日期 2011 年 05 月 03 日 河南农业大学理学院本科毕业论文 硬盘的数据恢复硬盘的数据恢复 梁成琛 摘要摘要 硬盘是计算机系统中信息资源最重要的储存设备 其所存放的信息资源的价值往往要远高于硬 盘产品的自身价值 随着硬盘的日益小型化和储存容量的不断增大 在硬盘上的软件系统和数据信 息也更加复杂化和大型化 近年来新型硬盘无论在储存容量 速度和可靠性上都有了飞速的发展 各类硬盘新技术层出不穷 先进技术的注入使得计算机的硬件故障大为降低 相反地 随着微机系 统软件和应用软件的大型化和复杂化 计算机的软件故障呈上升趋势 计算机的故障主要来源于硬 盘系统 救活一个硬盘 也就救活了一套微机系统 数据是计算机信息系统中最重要的资源 但由于各种原因造成数据丢失或损坏经常发生 其损 失不可估计 因此 研究数据恢复技术是十分必要的 本文将从数据在硬盘中的存储结构和原理入 手 通过对硬盘数据各级组织结构以及硬盘数据丢失原因的分析 阐述数据恢复的理论基础 并对硬 盘数据恢复提供一些解决方案 从而对硬盘数据恢复技术进行了初步的探究 关键词 关键词 磁盘分区表磁盘分区表 文件系统文件系统 数据恢复数据恢复 数据保护数据保护 河南农业大学理学院本科毕业论文 Hard disk data recovery ChengchenLiang Abstract Computer system hard drive is the most important information resources in storage its information resources stored value products tend to be much higher than the hard drive of their own values With the increasing miniaturization of hard drive and storage capacity increasing the hard disk of software systems and data information is also more complex and larger Recent years in terms of hard disk storage capacity speed and reliability have made rapid development of emerging new technologies various types of hard drives advanced technology makes the computer s hardware fault injection greatly reduced On the contrary with the computer system software and application software for larger and more complex computer software failure is rising Mainly from the failure of a computer hard drive system save a hard drive also save a set of computer systems Computer information systems data is the most important resources but the data caused by various reasons frequently lost or damaged its loss unpredictable and therefore the study data recovery technology is essential This article from the data stored in the hard disk to start the structure and principles this paper data on the hard disk drives at all levels of organization and analysis of the causes data loss to explain the theoretical basis for data recovery hard disk data recovery and provide some solutions thus hard drive data recovery technology a preliminary inquiry Keywords Disk partition table File system Data Recovery Data protection 河南农业大学理学院本科毕业论文 目目 录录 1 1 绪论绪论 1 1 1 硬盘数据概述 2 1 2 硬盘数据的重要性 2 2 2 硬盘数据结构的相关知识硬盘数据结构的相关知识 2 2 1 硬盘的基本结构 2 2 1 1 硬盘的工作原理 2 2 1 2 硬盘的数据结构 3 2 2 硬盘的文件系统 6 3 3 硬盘数据存储和丢失原因分析硬盘数据存储和丢失原因分析 8 3 1 硬盘数据丢失的原因分析 8 3 2 硬盘数据存储原理 9 4 4 硬盘数据恢复原理与方法硬盘数据恢复原理与方法 10 4 1 硬盘数据恢复原理 10 4 1 1 硬盘格式化 10 4 1 2 硬盘数据恢复原理 11 4 2 数据损坏类型及相关恢复方法 12 4 2 1 文件存储与读取原理 12 4 2 2 硬盘数据损坏类型及相应的恢复方法 12 5 5 常用数据恢复工具和使用技巧常用数据恢复工具和使用技巧 17 结论结论 18 参考文献参考文献 18 致谢致谢 19 河南农业大学理学院本科毕业论文 0 一一 绪论绪论 1 11 1 硬盘数据概述硬盘数据概述 目前硬盘是在数据存储介质中应用最普遍的 且容量日益增大 存储的数据也越来越多和 重要 各类数据成为信息化建设和应用的重要资源 但是 由于电脑病毒 黑客入侵 技术隐 患 人为的不当操作 以及各种软硬件故障等随时威胁着数据文件安全 因此保证电子数据 安全受到用户的日益重视 据调查 几乎所有的计算机用户都有过丢失数据的痛苦经历 虽然 人们针对数据丢失和数据遭到破坏的各种可能性采取了相应的措施 如 安装防火墙 对数据 备份等 但这些防范措施总不可能做到万无一失 如果一些重要的数据被破坏或丢失 带来损 失将是不可估量的 硬盘有价 数据无价 一旦硬盘这个大容量的数据仓库因各种原因发生 故障 找回其中的数据就尤为重要 所以 了解数据存储原理 学习使用各种数据恢复工具 在发生数据丢失等灾难事件时能够做出正确的判断和处理 将损失减少到最低程度 这对我们 更好地工作是非常必须的 数据恢复就是把因遭受各种原因致使数据破坏和丢失导致不可访问或不可获得的数据还原 成正常可用的数据 即恢复至它本来的 面目 数据出现问题主要由两大类问题所致 即逻 辑问题和硬件问题 相对应的恢复也分别称为软恢复和硬恢复 软恢复指的是不涉及硬件修理 的数据恢复操作 其故障原因不是因为硬件故障造成的 逻辑问题一般包括 误删除 格式化 误用一键恢复等误操作 病毒或恶意程序破坏 操作系统或应用软件发生错误 操作时忽然断 电等 在这种情况下 硬盘本身并没有问题 只是由于上述原因引起数据文件找不到 打不开 显示乱码等现象 逻辑问题可以通过软件的方式进行数据修复 整个过程并不涉及硬件维修 硬件问题一般是由硬盘盘片划伤 磁组变型 磁头偏移或损坏或硬盘电机故障等原因所引起 通常表现为CMOS不能识别硬盘 磁盘异响无法工作而导致其中的数据无法读取 两者之间最明 显的特征或区别就是 存储介质本身是否不需要进行修理或更换部件就可以正常访问 由于数据恢复技术所涉及的面很广 限于篇幅 本文仅从FAT文件系统数据文件的存储原 理和数据结构入手 讨论本地主机硬盘上的数据文件发生软件错误或硬件损坏后的数据恢复方 法 硬盘的数据结构 文件的存储原理 甚至操作系统的启动流程 这些是你在恢复硬盘数据 时必须使用的基本知识 河南农业大学理学院本科毕业论文 1 1 21 2 硬盘数据的重要性硬盘数据的重要性 当今的世界已经完全步入了信息时代 在我们每天的生活当中 越来越多的事物正被以 0 和 1 的形式表示 数字技术与我们的联系越紧密 我们在其失效时就会承担越大的风险 重要数据一旦破坏 我们讲承受巨大的损失 所以数据恢复产业应运而生 数据恢复在数据丢 失和损坏时挽救这些数据 可以针对各种软硬件平台开展 从文件的误删除 存储设备受到严重破 坏 专业的数据恢复工作都可能将数据恢复 在这篇文章里 我们会向大家介绍数据恢复的方方面 面 并根据我们的经验给出一些建议 希望能够使大家更少受到数据损失的困扰 随着信息化 电子化进程的发展 数据越来越成为企业 事业单位日常运作的核心决策发展 的依据 由于网络的发展 电子商务的兴起 网络安全也越来越引起人们的重视 归根到底网络安 全的核心也就是数据的安全 有机构研究 sample 明 丢失 300MB 的数据对于市场营销部门就意味 着 13 万元人民币的损失 对财务部门就意味着 16 万的损失 对工程部门来说损失可达 80 万 而 企业丢失的关键数据如果 15 天内仍得不到恢复 企业就有可能被淘汰出局 CIH 和爱虫给国际社 会造成损失多达数十亿美金 国内有客户误删有效数据由于没有备份造成停业手工重新录入 给企 业造成损失数十万元 这种教训在国内时有发生 这都说明了保证信息数据安全的重要性 因此数 据的重要性不言而喻 二二 硬盘数据结构的相关知识硬盘数据结构的相关知识 2 12 1 硬盘的基本结构硬盘的基本结构 2 1 12 1 1 硬盘的工作原理硬盘的工作原理 硬盘原理慨述 硬盘存储数据是根据电 磁转换原理实现的 硬盘由一个或几个表面镀有磁 性物质的金属或玻璃等物质盘片以及盘片两面所安装的磁头和相应的控制电路组成 其中盘片和磁 头密封在无尘的金属壳中 硬盘工作时 盘片以设计转速高速旋转 设置在盘片表面的磁头则在电路控制下径向移动到指 定位置然后将数据存储或读取出来 当系统向硬盘写入数据时 磁头中 写数据 电流产生磁场 使盘片表面磁性物质状态发生改变 并在写电流磁 1 场消失后仍能保持 这样数据就存储下来了 当系统从硬盘中读数据时 磁头经过盘片指定区域 盘片表面磁场使磁头产生感应电流或线圈阻抗 河南农业大学理学院本科毕业论文 2 产生变化 经相关电路处理后还原成数据 2 1 22 1 2 硬盘数据结构 硬盘数据结构 硬盘由很多盘片 Platter 组成 每个盘片的每个面都有一个读写磁头 如果有 N 个盘片 就 有 2 个面 对应 2N 个磁头 Heads 从 0 1 2 开始编号 每个盘片被划分成若干个同心圆磁道 逻辑上的 不可见的 每个盘片的划分规则通常是一样的 这样每个盘片的半径均为固定值 R 的同心圆就在逻辑上形成了一个以电机主轴为轴的柱面 Cylinders 从外至里编号为 0 1 2 每个盘片上的每个磁道又被划分为几十个扇区 Sector 通常的容量是 512byte 并按照一定规则编号为 1 2 3 形成 Cylinders Heads Sector 个扇区 这三个参数即是 硬盘的物理参数 硬盘上的数据按照其不同的特点和作用大致可分为 5 部分 MBR 区 DBR 区 FAT 区 DIR 区和 DATA 区 一 MBR 区 MBR Main Boot Record 按其字面上的理解即为主引导记录区 位于整个硬盘的 0 磁道 0 柱 面 1 扇区 不过 在总共 512 字节的主引导扇区中 MBR 只占用了其中的 446 个字节 偏移 0 偏 移 1BDH 另外的 64 个字节 偏移 1BEH 偏移 1FDH 交给了 DPT Disk Partition Table 硬盘分 区表 最后两个字节 55 AA 偏移 1FEH 偏移 1FFH 是分区的结束标志 这个整体构成了硬盘 的主引导扇区 大致的结构如图 1 河南农业大学理学院本科毕业论文 3 图图 1 1 硬盘的主引导扇区结构图硬盘的主引导扇区结构图 主引导记录中包含了硬盘的一系列参数和一段引导程序 其中的硬盘引导程序的主要作用是检查分 区表是否正确并且在系统硬件完成自检以后引导具有激活标志的分区上的操作系统 并将控制权交 给启动程序 MBR 是由分区程序 如 F 所产生的 它不依赖任何操作系统 而且硬盘引 导程序也是可以改变的 从而实现多系统共存 DPT及各字节的意义 硬盘分区表硬盘分区表 偏移长度所表达的意义 0 1 字节 分区状态 0 非活动区 80 活动分区 1 1 字节该分区起始磁头 HEAD 2 2 字节该分区起始扇区和起始柱面 河南农业大学理学院本科毕业论文 4 4 1 字节该分区类型 如 82 Linux Native 分区 83 Linux Swap 分区 5 1 字节该分区终止头 HEAD 6 2 字节该分区终止扇区和终止柱面 8 4 字节该分区起始绝对扇区 C 4 字节该分区扇区数 二 DBR 区 DBR Dos Boot Record 是操作系统引导记录区的意思 它通常位于硬盘的 0 磁道 1 磁头 1 扇 区 是操作系统可以直接访问的第一个扇区 它包括一个引导程序和一个被称为 BPB Bios Parameter Block 的本分区参数记录表 引导程序的主要任务是当 MBR 将系统控制权交给它时 判断本分区跟目录前两个文件是不是操作系统的引导文件 以 DOS 为例 即是 Io sys 和 Msdos sys 如果确定存在 就把其读入内存 并把控制权交给该文件 BPB 参数块记录着本分区 的起始扇区 结束扇区 文件存储格式 硬盘介质描述符 根目录大小 FAT 个数 分配单元的大 小等重要参数 三 FAT 区 在 DBR 之后的是我们比较熟悉的 FAT File Allocation Table 文件分配表 区 在解释文件 分配表的概念之前 我们先来谈谈簇 cluster 的概念 文件占用磁盘空间时 基本单位不是字 节而是簇 簇的大小与磁盘的规格有关 一般情况下 软盘每簇是 1 个扇区 硬盘每簇的扇区数与 硬盘的总容量大小有关 可能是 4 8 16 32 64 通过上文我们已经知道 同一个文件的数据并不一定完整地存放在磁盘的一个连续的区域内 而往 往会分成若干段 像一条链子一样存放 这种存储方式称为文件的链式存储 硬盘上的文件常常要 进行创建 删除 增长 缩短等操作 这样操作做的越多 盘上的文件就可能被分得越零碎 每段 至少是 1 簇 但是 由于硬盘上保存着段与段之间的连接信息 即 FAT 操作系统在读取文件时 总是能够准确地找到各段的位置并正确读出 河南农业大学理学院本科毕业论文 5 四 DIR 区 DIR Directory 是根目录区 紧接着第二 FAT 表 即备份的 FAT 表 之后 记录着根目录下 每个文件 目录 的起始单元 文件的属性等 定位文件位置时 操作系统根据 DIR 中的起始单元 结合 FAT 表就可以知道文件在硬盘中的具体位置和大小了 五 数据 DATA 区 数据区是真正意义上的数据存储的地方 位于 DIR 区之后 占据硬盘上的大部分数据空间 2 22 2 硬盘的文件系统硬盘的文件系统 初买来一块硬盘 我们是没有办法使用的 你需要将它分区 格式化 然后再安装上操作系统 才可以使用 就拿我们一直沿用到现在的 Winxp 系列来说 我们一般要将硬盘分成主引导扇区 MBR 操作系统引导扇区 DBR FAT 表 DIR 目录区和 Data 数据区等五部分 我们通常所说的主引 导扇区 MBR 在一个硬盘中是唯一的 MBR 区的内容只有在硬盘启动时才读取其内容 然后驻留内存 其它几项内容随你的硬盘分区数的多少而异 一 主引导扇区 MBR 主引导扇区位于整个硬盘的 0 磁道 0 柱面 1 扇区 包括硬盘主引导记录 MBR Main Boot Record 和分区表 DPT Disk Partition Table 其中主引导记录的作用就是检查分区表是否正 确以及判别哪个分区为可引导分区 并在程序结束时把该分区的启动程序 也就是操作系统引导扇 区 调入内存加以执行 二 操作系统引导扇区 OBR OBR OS Boot Record 即操作系统引导扇区 通常位于硬盘的 0 磁道 1 柱面 1 扇区 这是对 于 DOS 来说的 对于那些以多重引导方式启动的系统则位于相应的主分区 扩展分区的第一个扇区 是操作系统可直接访问的第一个扇区 它也包括一个引导程序和一个被称为 BPB BIOS Parameter Block 的本分区参数记录表 其实每个逻辑分区都有一个 OBR 其参数视分区的大小 操作系统 的类别而有所不同 引导程序的主要任务在当根目录中寻找系统文件 IO SYS MSDOS SYS 和 WINBOOT SYS 三个文件 河南农业大学理学院本科毕业论文 6 如果存在 就把 IO SYS 文件 读入内存 并移交控制权予该文件 在 WIN98 的系统中 没有 MSDOS sys 文件 系统能够正常启动 但是无法进入桌面 如果没有 COMMAND COM 文件 能够正常 启动到桌面 但是无法进入 DOS 字符方式 BPB 参数块 记录着本分区的起始扇区 结束扇区 文 件存储格式 硬盘介质描述符 根目录大小 FAT 个数 分配单元 Allocation Unit 以前也称 之为簇 的大小等重要参数 OBR 由高级格式化程序产生 例如 DOS 的 F 三 文件分配表 FAT FAT File Allocation Table 即文件分配表 是 DOS Win9x 系统的文件寻址系统 为了防止意 外损坏 FAT 一般做两个 也可以设置为一个 第二 FAT 为第一 FAT 的备份 FAT 区紧接在 OBR 之后 对于 FAT32 格式 位置是从引导扇区开始的第 32 个扇区就是第一个 FAT 表的位置 其大小 由这个分区的空间大小及文件分配 单元的大小决定 随着硬盘容量的迅速发展 Microsoft 的 DOS 及 Windows 也先后采用我们所熟悉的 FAT12 FAT16 和 FAT32 格式 不过 Windows NT OS 2 UNIX Linux Novell 等都有自己的文件管理方式 不同于 FAT 文件格式 FAT12 是使用 12BIT 来表示簇的位置 最大容量 32M FAT16 是使用两个字节 16BIT 位来表示簇的位置 分区最 大容量 2G 而 FAT32 采用 4 个字节来表示簇的位置 分区最大容量 65G 四 目录区 DIR DIR 是 Directory 即根目录区的简写 在 FAT12 和 FAT16 格式中 DIR 紧接在第二 FAT 表之后 而在 FAT32 格式中 根目录区的 位置可以在分区中的任意位置 其起始位置是由引导扇区给出的 单有 FAT 表还不能确定文件在磁盘中的具体位置 只有 FAT 表和 DIR 区配合使用 才能准确 定位 文件的确切位置 DIR 记录着每个文件 目录 的文件名 扩展名 是否支持长文件各 起始单元 这是最重要的 文件的属性 大小 创建日期 修改日期等住处内容 操作系统在读写文件时 根据 DIR 中的起始单元 结合 FAT 表就可以知道文件在磁盘的具体位置 然后顺序读取每个簇的内 容就可以了 五 数据区 DATA 在 DIR 区之后 才是真正意义上的数据存储区 即 DATA 区 DATA 虽然占据了硬盘的绝大部分 空间 但没有了前面的各部分 它对于我们来说 也只能是一些枯燥的二进制代码 没有任何意义 数据存放是随机存放硬盘驱动器里面有一组盘片 数据就保存在盘片的磁道 Track 上 磁道在 盘片上呈同心圆分布 读 写磁头在盘片的表面移动访问硬盘的各个区域 因此文件可以随机地分 布到磁盘的各个位置上 同一文件的各个部分不一定要顺序存放 存放在磁盘上的数据以簇为分配 单位 簇的大小因操作系统和逻辑卷的大小不同而不同 如果一个硬盘的簇在大小是 4K 那么保 存 1K 的文件也要占用 4K 的磁盘空间 大的文件可能占用多达数千 数万的簇 分散到整个磁盘 河南农业大学理学院本科毕业论文 7 上 操作系统的文件子系统负责各个部分的组织和管理 当前 Windows 支持的硬盘文件系统常见 的共有 3 种 第一种是 FAT 即所谓的文件分配表 FAT 第二种文件系统是 FAT32 第三种是 NTFS 这 3 种文件系统的基本原理都一样 都用一个类似首簇的 FAT 入口又包含一个指向一个簇 地址的指针 依此类推 直到出现文件的结束标志为止 三三 硬盘存储和数据丢失的原因分析硬盘存储和数据丢失的原因分析 3 3 1 1 硬盘数据丢失的原因分析硬盘数据丢失的原因分析 造成数据丢失的原因很多 包括 软件故障 硬件故障 突然断电 误操作 病毒破坏 人为破 坏等 归纳为如下几类 1 硬件故障导致数据丢失 硬件故障是电脑数据丢失的重要因之一 如在磁盘失效 电压不稳 造成自动重启 硬盘坏道 磁盘划伤 磁头变形 磁臂断裂 磁头放大器损坏 芯片组或其它元器件损坏 硬件故障属于物理故障 对于普通计算机用户来说 自己维修比较困难 而且由硬件故障引起的数据 丢失往往恢复的可能性较小 2 恶意程序或网络入侵导致数据丢失 最常见的恶意程序就是网络上流传的各种病毒 感染 了病毒的计算机将可能造成应用软件破坏 系统瘫痪或各类数据丢失 严重的甚至可以破坏硬盘 主 板等电脑硬件 一个病毒无论是改变计算机的引导区 可执行程序 还是 office 文档 都可能影响 计算机的正常运行或导致数据丢失 即使是良性伴随性病毒 同样也会对数据构成破坏 破坏性极 强的病毒如 CIH 病毒 不仅破坏硬盘数据 还可能破坏电脑硬件 随着网络的普及 电脑数据除了受 病毒威胁外 网络黑客非法入侵也经常破坏硬盘数据 3 误操作导致数据丢失 除了客观存在的各种因素造成数据丢失外 电脑数据也经常因为人为 地误操作导致数据丢失或损坏 特别是对于一些电脑 菜鸟 在计算机应用不熟练的情况下 经常 有可能将系统 自毁 如不小心将重要数据删除 不正常关机 操作失误将硬盘格式化 重装系 统时删除分区等等都会造成数据的丢失或损坏 除以上三种原因外 计算机突然断电有时也可能成硬盘损坏或磁盘数据的丢失 或导致系统无 法正常启动 也可能导致内存溢出或者进程非法终止而损失当前的工作 软件系统升级有时带来一些 河南农业大学理学院本科毕业论文 8 问题 把比较重要的数据破坏 3 23 2 硬盘数据存储原理硬盘数据存储原理 不论是哪种原因造成的数据损坏或丢失都会造成电脑不能正常使用 或者因数据丢失遭受重大 损失 本文开篇提到如果是软件或系统问题 那还好处理 可以重装 但如果是硬盘重要数据丢失 那 就得想办法进行数据恢复了 什么是数据恢复 简单地说就是把遭受破坏或硬件故障导致不可访问 不可获得或由于误操作 等各种原因导致数据丢失的数据还原成正常数据的过程 数据恢复不仅是对文件的恢复 还可以恢 复物理损伤盘的数据 也可以恢复不同移动数码存储设备的数据 通常硬盘数据恢复分为物理恢复 和逻辑恢复 物理恢复指硬盘因硬件损坏的恢复 如 0 磁道的损坏 硬盘不能识别等情况的恢复 逻 辑恢复是指将误删除 突然断电 误格式化及病毒破坏造成的软件错误或数据丢失恢复到正常状态 逻辑恢复又可分为数据文件恢复 硬盘引导记录的恢复 分区表的恢复 操作系统引导记录的恢复 文件分配表的恢复等 本文主要介绍通过逻辑恢复获得数据的办法 要掌握数据恢复的办法 就得 河南农业大学理学院本科毕业论文 9 先了解硬盘数据存储基本原理 1 硬盘数据结构 硬盘在存储数据之前 一般需经过低级格式化分区和高级格式化之后才能使 用 其作用是在物理硬盘上建立一定的数据逻辑结构 通常将硬盘分为 5 个区域 分别是主引导记录 区 MBR DOS 引导记录区 DBR 文件分配表 FAT 目录区 FDT 和数据区 DATA 其中主引导记 录在硬盘中具有唯一性而其他部分在硬盘的各个分区里都会存在 当向硬盘写入数据时 首先在目 录区内写入文件的基本信息 如文件名 文件类型 文件大小和修改日期等 然后在数据区找到一 块空间将文件存储 并将文件存储的首簇号写入目录区 如果文件内容比较大 那么其后续保存的簇 号在 FAT 表中被指定 系统根据目录区中文件的起始地址 再结合 FAT 表就可以找到文件在磁盘中 的存储位置和大小了 2 文件的读取 操作系统从目录区中读取文件信息包括文件名 后缀名 文件大小 修改日期 和文件在数据区保存的第一个簇的簇号 这里假设第一个簇号是 0015 操作系统从 0015 簇读取相 应的数据 然后在找到 FAT 的 0015 单元 如果内容是文件结束标志 FF 则表示文件结束 否则内容 保存数据的下一个簇的簇号 这样重复下去一直到遇到文件结束标志 3 文件的写入 要保存文件时 操作系统首先在目录表 DIR 区中找到空区写入文件名 文件大 小和创建时间等响应信息 然后在数据区 DATA 找到空闲位置将文件保存 并将数据区的第一个簇写 入目录表区 其余的动作和文件的读取动作类似 4 文件的删除 Windows 文件的删除工作很简单 仅仅将目录区的文件的第一个字符改成删除 标志 E5 就表示该文件删除了 而硬盘数据的格式化 指高级格式化 如 DOS 下的 FORMAT 命令 并没有把数据区中的内容清除 只是重写了文件分配表 FAT 表而已 至于硬盘分区也只是修改了主 引导扇区和操作系统扇区 绝大部分的数据区中的内容都没有被改变 通过以上数据存储原理的介绍就可以看出通常因为删除或格式化等操作造成的数据丢失仅仅是 逻辑结构发生改变 数据具体内容并没有损坏或消失 因此只要通过一些专业软件将硬盘文件删除标 志去掉 并把文件在硬盘中的逻辑结构还原 就可以恢复硬盘上的数据 当然前提是数据丢失后 不 能再对硬盘进行任何 写 操作 根据文件写入的原理 写入新数据有可能覆盖原数据 这样原数据 就不能恢复了 河南农业大学理学院本科毕业论文 10 四四 硬盘数据恢复原理与方法硬盘数据恢复原理与方法 4 14 1 硬盘数据恢复原理硬盘数据恢复原理 4 1 14 1 1 硬盘格式化硬盘格式化 对于 windows 下的电脑文件删除和磁盘格式化 都属于高级格式化 其实并没有真正的删除文 件 只要磁盘有多余的空间 并没有被其他文件占据 都是可以恢复的 低级格式化则是彻底删除 了 很难挽救 高级格式化就是清除硬盘上的数据 生成引导区信息 初始化 FAT 表 标注逻辑坏道等 低 级格式化就是将空白的磁盘划分出柱面和磁道 再将磁道划分为若干个扇区 每个扇区又划分出标 识部分 ID 间隔区 GAP 和数据区 DATA 等 可见 低级格式化是高级格式化之前的一件工作 它只 能够在 DOS 环境来完成 而且低级格式化只能针对一块硬盘而不能支持单独的某一个分区 每块硬 盘在出厂时 已由硬盘生产商进行低级格式化 因此通常使用者无需再进行低级格式化操作 其实 我们对一张软盘进行的全面格式化就是一种低级格式化 我们在了解了数据在磁盘上的存储格式后 我们就会明白为什么数据在被删除后还能够再次被找回来的原因 一块新的硬盘在买回来后 必须首先分区 再用 Format 对相应的分区实行格式化 这样以后 我们才能在这个硬盘存储数据 硬盘的分区就像是对一块地方建仓库 每个仓库就好比一个分区 格式化就好比是为了在仓库内存放东西 必须有货架来规定相应的位置 我们有时候接触到的引导 分区就是仓库大门号 上面要记载这个分区的容量的性质及相关的引导启动信息 FAT 表就好比是 仓库的货架号 目录表就好比是仓库的账簿 如果我们需要找某一物品时 就需要先查找账目 再 到某一货架上取东西 正常的文件读取也是这个原理 先读取某一分区的 BPB 参数至内存 当需要 读取某一文件时 就先读取文件的目录表 找到相对应文件的首扇区和 FAT 表的入口后 再从 FAT 表中找到后续扇区的相应链接 移动磁臂到对应的位置进行文件读取 就完成了某一个文件的读写 操作 4 1 24 1 2 硬盘数据恢复硬盘数据恢复原理原理 当操作系统要在硬盘上写入文件时 首先在目录区中写入文件信息 然后在Data区找闲置空间 将文件保存 并将Data区中存放文件的簇号写入目录区 删除文件时则简单许多 只需将该文件在 目录区中的第一个字符改成E5 在文件分配中把该文件占用的各簇清0 就表示该文件已删除 并 不动Data区 因此 各种数据恢复软件正是利用Data区中的数据不易被改写 从而利用Data区中残 河南农业大学理学院本科毕业论文 11 留的种种痕迹来恢复数据 至于Fdisk硬盘分区 也只是修改了MBR和OBR 绝大部分的Data区的数据并没有被改变 和文 件的删除类似 利用Fdisk删除再建立分区和利用Format格式化逻辑磁盘 假设你格式化的时候并 没有使用 U这个无条件格式化参数 都没有将数据从Data区直接删除 前者只是改变了分区表 后 者只是修改了FAT表 因此被误删除的分区和误格式化的硬盘完全有可能恢复 这也是许多硬盘数 据能够得以修复的原因 但即便如此 MBR OBR FAT DIR之一被破坏的话 数据也无法正常读取 如果经常整理磁盘 那么数据区的数据可能是连续的 这样即使MBR FAT DIR全部坏了 也可以 使用磁盘编辑软件 只要找到一个文件的起始保存位置 那么这个文件就有可能被恢复 4 4 2 2 数据损坏类型及相关恢复方法数据损坏类型及相关恢复方法 4 2 14 2 1 文件存储与读取原理文件存储与读取原理 当我们存储一个文件的时候 操作系统首先会在一个记录所有空间使用情况的文件分配表中 找到足够容纳我们的新文件的空间 然后把文件内容写到相对应的硬盘扇区上 最后在分配表中标 出该空间被占用了 当我们删除一个文件的时候 一般并不对实际文件所占用的扇区进行操作 而 是仅仅在该分配表中标记哪些空间是空白的 可以分配给别的文件使用 事实上在这个时候 要删 除的文件的实际内容并没有受到破坏 可以恢复回来 但是如果我们删除一个文件后 在原来文件 所在的扇区上 又重新创建了一个文件 那么被删除文件所占用的扇区就有可能被新创建的文件所 使用 这时候就无法恢复原来被删除的文件了 4 2 24 2 2 硬盘数据损坏类型及相应的恢复方法硬盘数据损坏类型及相应的恢复方法 1 文件删除及其恢复 文件删除后的恢复方法相对简单 操作系统删除文件的操作进行了两方面个操作 一 将文件在 磁盘的文件目录表中的相应文件目录登记项的第一个字节更改了 E5H 二 将文件所占簇号在文件 分配表中的记录清零 以释放该文件所占空间 文件数据信息仍然 保留 在硬盘数据区中 因此 此类型的数据恢复只要通过某些硬盘管理工具或者数据恢复软件 比如 EasyRecovery 按照有关 的设置进行 被彻底删除的文件还是很容易被恢复过来 必须注意的是 恢复后的数据一定不能存 放在原来的硬盘分区 2 硬盘重分区或其它情况下的分区表损坏分析 河南农业大学理学院本科毕业论文 12 第一种情况 在 windows 下一般利用 DOS 下的 fdisk 命令或者其它硬盘分区工具重新对硬盘进行 分区后改写了硬盘分区表 也就是修改了硬盘的逻辑 0 扇区 第二种情况 由于个人误操作或者病毒入侵修改了硬盘逻辑 0 扇区 即硬盘主引导记录 从而使 得系统无法启动 解决方法 一 将硬盘挂接到另一台计算机上进入系统 在系统下启动 winhex 打开挂接的硬盘 首先查看 此硬盘的逻辑 0 扇区结尾标识是否为 55AA 若不是将之修改为 55AA 将硬盘接到原计算机上 开机是否能启动系统 二 若重分区后不能对系统进行格式化 则可能是硬盘 MBR 引导程序损坏 进入 DOS 系统用 fdisk mbr 修复硬盘逻辑 0 扇区的错误 三 若确定是分区表损坏 如果之前曾用磁盘医生备份过硬盘分区表 可以使用磁盘医生恢复 硬盘的分区表 如果是手动备份的 可以使用 winhex 十六进制数据查看工具修复硬盘分区 表 四 如果实在对硬盘的分区表没有任何备份 则只有将硬盘接到其它电脑上 使用有关数据恢 复工具类似 FinalData 数据恢复之类的数据恢复工具扫描硬盘上的目录与文件 但是恢复 的程度无法保证 3 硬盘格式化情况下数据恢复 硬盘格式化就是重写了硬盘文件分配表 同样硬盘上的实际数据还是没消失 此时硬盘一般无 法再引导系统 如果要恢复数据 最好不要对硬盘进行任何操作 此类情况下数据恢复我们可以考虑一点就是一般情况下每个硬盘分区中 FAT 文件分配表 都 有一个备份 首先我们必须利用硬盘分区大小 分区格式 簇大小计算出硬盘 FAT 大小 查找硬盘 第一个 FAT 位置 再计算出硬盘第二个 FAT 所在扇区 使用有关磁盘操作工具或者 winhex 工具恢 复文件分配表 4 恢复已经备份的分区表恢复 河南农业大学理学院本科毕业论文 13 当系统由于误操作或者病毒破坏而使系统无法启动 经检查是硬盘的分区表损坏 如果在硬盘 刚分区时有正好进行过硬盘分区表的备份 此时可以用以下的方法试着恢复硬盘分区表 这样系统 又可以完好如初 且整个文件系统也不会有任何破坏 总的来说 硬盘的分区结构就是一个链式结 构 硬盘的逻辑 0 扇区就是主引导记录 MBR 其中偏移 1BEH 偏移 1FDH 是硬盘的主分区表 总 共 64 个字节 第 16 个字节记录一个分区的情况 一般硬盘可以有一个主分区一个扩展分区 其中 扩展分区有多个逻辑分区 上面我们使用的工具是 WinHex 使用这个工具我们可以在 windows 界面下看到硬盘所有数据 以十六进制数表示一个字节 同时我们可以用这个工具修改硬盘上的数据 这也正是我们修复硬盘 分区表的关键所在 在此以本人计算机的硬盘分区表为例 本人计算机硬盘有一个主分区就是系统的 C 盘 一个扩 展分区 3 个逻辑分区分别为 D E F 盘 关键步骤如下 A 将受损硬盘挂接到加别的计算机上以后 打开软件 WinHex 然后选择工具 打开磁盘 物理磁盘 打开需要修复的硬盘 界面如下图 2 河南农业大学理学院本科毕业论文 14 B 在 WinHex 上具栏用跳至扇区输入 0 到边硬盘的逻辑 0 扇区 找到偏移 1BE 的位置 用备份了的 分区表数据覆盖原来的数据 在此本人主分区表十六进制数据如下 80 01 01 00 0C FE FF FF 3F 00 00 00 FA EF D4 01 00 00 C1 FF 0F FE FF FF 39 F0 D4 01 88 9A CC 10 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 用以上数据覆盖逻辑 0 扇区的分区表的位置 C 分析硬盘分区备份的数据 在主分区表第二项记录的是逻辑分区的第一个分区 也就是 D 盘所在 的位置 通过主分区表第二项记录 00 00 C1 FF 0F FE FF FF 39 F0 D4 01 88 9A CC 10 计算出 D 盘的起始扇区为十进制的 30732345 扇区 使用 WinHex 工具转到第 30732345 号扇区 把这一扇区 的偏移 1BE 的位置用备份了的数据进行恢复 河南农业大学理学院本科毕业论文 15 D 然后再分析找到的 D 盘的虚拟主引导记录的分区表 分析其第二项 找到 E 盘的分区表的位置 依此类推 依次找到下面的盘的分区表 然后一个一个的恢复 E 通过上面的恢复以后 硬盘的分区完好如初 此时硬盘数据得以完全恢复 5 硬盘 DBR 损坏 DBR 是操作系统能直接访问的第一个扇区 它包括一个引导程序和一个被称为 BPB Bios Parameter Block 的本分区参数记录表 引导程序的主要任务是当 MBR 将系统控制权交给它时 判断本分区跟目录前两个文件是不是操作系统的引导文件 以 DOS 为例 即是 Io sys 和 Msdos sys 如果确定存在 就把其读入内存 并把控制权 交给该文件 BPB 参数块记录着本分 区的起始扇区 结束扇区 文件存储格式 硬盘介质描述符 根目录大小 FAT 个数 分配单元的 大小等重要参数 它对操作系统的成功启动有至关重要的作用 当 DBR 被损坏时 计算机系统无法 正常启动 此时 我们可以利用硬盘上已存在的 DBR 的备份去恢复硬盘上的 DBR 对于硬盘的每个逻辑分 区 DBR 在第一个 DBR 的后面 6 个扇区都有一个备份 A 我们将待修复硬盘挂接在另一台正常的计算机上 进入系统后用 WINHEX 软件打开待修复硬 盘 B 利用分区表的数据找到逻辑分区起始扇区 转到分区所在扇区 第一个是 DBR 往后查找 到第六个扇区 复制这一个扇区的数据 将之覆盖第一个 DBR C 将修复后的硬盘挂到原机器上 重启系统 河南农业大学理学院本科毕业论文 16 五五 常用数据恢复工具和使用技巧常用数据恢复工具和使用技巧 其实在数据恢复过程中 除了少数情况下需要进行手工恢复操作外 最直接的方法是利用一些 成熟的 简单且易操作的工具软件来实现 下面介绍几种常用的恢复数据软件及使用技巧 一 Easy Recovery Professional Easy Recovery是Ontrack公司开发的一款功能强大的硬盘数据恢复工具 修复时它不会向原始 驱动器作任何写入 而是在内存中重建文件分区表 使数据能够安全地传输到其它驱动器中 利用 Easy Recovery可以从被病毒破坏或已经格式化的硬盘中恢复数据 硬盘中丢失的引导记录 BIOS 参数数据块 分区表 FAT表 引导区都可以由它来进行恢复 二 Final Data Final Data是一款功能强大且操作方便的数据恢复软件 支持Windows Unix等多种操作系统 可以恢复被删除的重要信息 甚至还能从已经格式化或者已经损坏的磁盘中抽取文件 可以恢复完 整的目录并尽量保持其目录结构 Fina1 Data的操作界面类似Windows资源管理器 使用简便 其 操作过程与Easy Recovery相似 三 Hard Disk Data Recovery 硬盘文件系统恢复软件 安全性较高 它可以在内存重建文件系统 并可以安全地把数据传输 到另外一个设备 支持FAT16 FAT32和NTFS格式 四 Disk Man 该软件提供了比Fdisk更灵活的分区操作 支持分区参数编辑 提供了强大的分区表重建功能 可以迅速修复损坏了的分区表 支持FAT FAT32分区的快速格式化 在不破坏数据