误GHOST情况数据恢复技巧.doc

误GHOST情况数据恢复技巧今天，给同事做系统的时候出现错误操作！导致系统安装后就剩下一个C盘，其他都没有了，也就是说整个磁盘就分了一个区，其他区的资料也跟着没有了。于是找资料。终于找到了方法！拿出来大家分享！方法如下：方法一： （借助Diskgenius 一般5块钱的盘都会带这个工具。 本人采用方法一解决问题！需要说明的是：要是 在软件搜索的时候请不要动鼠标，不然容易重新启动！请耐心等待。） 如果我们在恢复分区时这样选择：LocalDiskfrom image。Ghost就认为我们现在所要进行的是把以前的硬盘备份映像文件（*.gho）恢复到整个硬盘（如图2）！显而易见，这样的选择操作所带来的结果仅仅只是把原来备份的某一个分区的备份映像文件恢复到整个硬盘。这就是开机后只有一个分区，而计算机又能正常启动的原因。我们先来分析一个所有的逻辑盘有没有可以恢复的可能性。这里我们假定原硬盘的逻辑分区为4个，假设C盘为系统分区。一、如果误将主分区C区的映像文件还原来整个硬盘还原时Ghost将从硬盘的起始扇区开始写入数据，并根据使用者输入的硬盘容量参数重新定义硬盘分区表（Ghost选项中的默认容量为硬盘最大容量）。由于还原的数据大小受到原C区有效数据数据容量的限制，因此从硬盘的起始扇区开始还原的数据其覆盖范围不会超出原C区的边界，这就意味着原D、E、F区的所有数据应该是完好无损的，而此时看不到D、E、F区仅仅是因为Ghost修改了分区表而已，这种情况在恢复了主分区表后即能恢复所有逻辑盘。二、如果误将逻辑D区的映像还原到整个硬盘因原逻辑D盘没有安装操作系统，故硬盘不能启动，但可以从软驱或光驱启动，启动后只可以看到一个分区（即原逻辑D盘）及数据。这时分为两种情况：1、如果原D区的有效数据容量小于原C区容量，则原C区数据被破坏，但D、E、F分区完好无损，可以恢复。2、如果原D区的有效数据容量大于原C区容量，其还原数据的覆盖范围将超出原C区的范围并进入D我，因此不仅原C区数据被破坏，同时原D区数据也难以幸免于难，但原E、F分区数据完好无损，可以恢复。三、如果误将逻辑E的映像还原到整个硬盘1、如果原E区的有效数据容量小于原C区容量，则原C区数据被破坏，但D、E、F分区完好无损，可以恢复。2、如果原E区的有效数据容量大于原C区的容量而小于C、D容量之和，其破坏范围为原C、D区，但原E、F区完好无损，可以恢复。其它情况可以依此类推。虽然不同的误操作都会有不同的结果，但有一点比较明确，那就是只要有“灾难”的发生，第一个被破坏的便是主C区及硬盘的主引导记录。而硬盘的主引导记录中又包含了硬盘主分区表，因此误操作后的结果往往是虽能正常启动，但逻辑盘数已改变，或硬盘根本就无法正常启动。这种结果与遭遇到CIH病毒破坏后的结果十分的相似。通过以上分析我们可以得出这样的结论，只要某个（或几个）逻辑盘的整盘数据没有被重新覆盖，其可以恢复的可能性应该是相当大的，从实际情况来看几乎为100%。未遭破坏之逻辑盘数据恢复的关键是需要重新构造硬盘分区表。在这里恢复类似硬盘数据，笔者强烈推荐您使用国产软件Disk Genius(DiskMan)。它具有强大的分区表重建功能，能恢复被破坏的分区表。首先用软盘引导计算机，然后在DOS系统下启动Disk Genius，打开Disk Genius后也会看到只有一个分区。这时选择“工具”菜单，然后选择“重建分区表”命令。在弹出的对话框中单击“继续”按钮。运行下一步操作，在弹出的对话框中选“交互方式”经过一阵搜索后，计算机就会找出丢失的分区，然后再选择“保留”命令。当搜索找出全部丢失的分区后，选择第一项菜单中的“退出”命令，退出Disk Genius。重新启动计算机后所丢失的分区将会被恢复，而且数据也不会丢失如果你的硬盘分区表也因为某种原因硬盘分区表被改写或严重破坏，引起硬盘和系统瘫痪，Disk Genius会通过未被破坏的分区引导记录信息重新建立分区表，该软件将首先搜索0柱面0磁头从2扇区开始的隐含扇区，寻找被改变或破坏的分区表。接下来搜索每个磁头的第一个扇区。搜索过程可以采用“自动方式”和“交互方式”两种方式进行。自动方式保留发现的每一个分区，适用于大多数情况；交互方式对发现的每一个分区都给出提示，由用户选择是否保留。当自动方式重建分区表不正确时，可以采用交互方式重新搜索。等存盘后一切都好了，但是有时也不能保证百分之百正确恢复。所以保护分区表最保险的方法还是用它选备份分区信息，并且将Disk Genius作为必备工具软件，放到系统紧急启动盘上，有备无患，该软件大小仅有140KB左右，一张软盘即可存放。顺便说一下这个强大的分区工具Disk Genius，diskgen 原名Disk Genius(DiskMan)该软件具有如下特点：1.采用图形界面，支持鼠标操作。以图表的形式揭示了分区表的详细结构。2.全中文显示，自带汉字库，无须任何汉字系统支持。3.支持多种系统分区，能建立如 UNIX、Linux、NTFS、OS2 等操作系统分区。4.可手工修改分区参数，并可对分区参数进行检查。5.可建立多达四个主DOS分区。6.可在保留扩展分区的情况下删除主 DOS 分区，使您可以重新规划主 DOS 分区(即C盘)。7.可隐藏分区。8.能查看硬盘任意扇区。9.提供备份包括逻辑分区表及各分区引导记录在内的所有硬盘分区信息。10.具有分区表重建功能，能恢复被破坏的分区表；11.所有操作在内存中进行，由用户自行存盘，可防止误操作。 利用Disk Genius这些强大的功能，你可以方便地维护自己的硬盘数据。最后要提醒朋友们注意的是：如果硬盘发一故障大多数情况下都是“软”故障，尽量采用修复的方法，不要胡乱的格式化甚至低格这样危险的操作，而造成数据永久的丢失由于使用Symantec Ghost软件进行分区恢复时，操作失误，错将光盘中备份的分区镜像文件（partition from image）当成硬盘镜像文件进行恢复（disk from image），造成分区表被重写，整个硬盘只有一个主分区，原4个硬盘分区及其数据全部丢失。由于硬盘中有大量实验数据和个人文档资料，情急之中就联系到了我，希望能够提供一点帮助。Ghost操作错误导致数据丢失是非常常见的问题，一般情况下，在没有被覆盖的磁盘区域，完全可以通过easyrecovery、Finaldata、Rec4all、Golden Recovery等等常用数据恢复软件进行恢复，但是恢复过程较为冗长，并且很多软件不能识别中文文件名，以及恢复后的数据中删除文件、碎片文件、交叉链接文件混杂，挑选上也颇为头疼，因此首先考虑恢复分区，再次考虑恢复文件。，简单看了一下这台电脑当前的硬盘状况：只有一个C盘，容量为80G。我尝试用Norton Disk Doctor检查分区错误，结果分区正常，貌似分区表已经被重写。在用多种方式进行尝试后，决定冒险用Diskman的重建分区表功能进行分区表恢复操作。在DOS运行Diskman，首先将所有分区全部删除（起到初始化的目的），然后以“交互方式”重建分区表，在对柱面进行扫描过程中，每找到一次以往分区信息的同时，注意左边图形化磁盘分区信息是否和原磁盘分区信息一致，如果不一致，就继续查找。好在我今晚比较走运，在一段较为漫长的扫描和诸多提示之后，终于找到了尚未被清除的正确分区信息，存盘并重启电脑之后，4个硬盘分区又回来了。我在Patition Magic下检查了分区错误之后，在C盘安装了操作系统，进入系统后发现除受Ghost覆盖操作影响的C盘外，其他各分区数据均没有数据丢失现象，呵呵，终Haigou总结：对于由于分区表错误引起的数据丢失，最好先考虑恢复分区，其次才是数据恢复；只要没有进行低级格式化（Lformat），并且没有进行写操作（文件粘贴拷贝），一般是很容易将误删除的文件恢复回来的，所以重要的是不要慌张，不要往硬盘里拷贝东西！方法二： （该方法本人没有测试，不过理论上应该是没有问题的 以备选用）平时遇到的误Ghost情况有两种，一种是误用了带Ghost功能的XP安装盘，这种安装盘会重建分区表，把你的硬盘分为四个区，然后把XP系统Ghost到C盘；第二种是利用Ghost备份还原系统，本应把备份还原到C分区，但一不小心还原到整个硬盘上了。这两种操作的实质是一样的，都改写了硬盘的分区表，而且向硬盘覆盖了一些数据。从数据恢复的角度来看，C分区被覆盖了数据，国内由于没有深层恢复技术，基本被覆盖的数据是回不来的，但C分区之后的数据基本是可以完全恢复的。举个例子加以说明，一块硬盘原来有三个分区，分别是C，D，E，D盘和E盘有重要数据。原打算用Ghost在C盘装上一个XP系统，但操作时不小心，把Ghost备份还原到了整个硬盘，这下子硬盘上只有一个C分区了。如下图所示意，这个硬盘共有16G，原先C盘8G，D和E各是4G，现在只有一个C盘，大小是16G从上图可以看出，Ghost作了两件事情，一是覆盖了C盘的一部分空间，二是重写了分区表。除了被Ghost覆盖了一部分数据，其余的数据都毫发无损，我们只要能重建分区表，原来的D盘和E盘的数据就可以重见天日了。要重建分区表，关键是要知道第一个扩展分区起始的位置，找到了这个位置，所有的问题就都解决了。平时我解决这个问题，一般用Winhex，现把方法都写出来供大家参考。 Winhex是个五星级的扇区编辑工具，虽然只有2M大小，但功能及其强大，什么分析分区表，分析DBR，计算偏移，簇链追踪都不在话下，是数据恢复工程师的保留武器。我们先请它出场，但使用Winhex要求对数据存储原理有一定了解，要不然看了Winhex的界面就崩溃的也不在少数。 我们把要恢复的硬盘挂到另外一台计算机上，如下图所示，磁盘1就是要目标硬盘，现在它只有一个分区，我们要把它的分区恢复原状。启动Winhex，在工具菜单中选择“磁盘编辑器”，如下图所示，选择打开第二块物理硬盘HD1（wmware搭的实验环境）。Winhex打开了物理硬盘，如下图所示就是0扇区的内容，0扇区内容分为三部分，引导程序，分区表和55AA的结束标志。图中绿色部分就是分区表，由于现在硬盘中只有一个分区，因此分区表中只有一项。好，现在我们要重建正确的分区表，分区表中要有两项，一项是对主分区C的描述，另一项是对扩展分区的描述。现在的关键是要找出扩展分区的起点，由于原硬盘的C分区大约是8000M，每个柱面的大小是25563512=8225280字节=7.8M，因此原扩展分区的起点大约是80007.81025，也就是说扩展分区的起点在1025柱面附近。考虑到误差因素，我们放宽范围，让Winhex从950柱面开始搜索扩展分区的起始扇区。扩展分区的起始扇区有扩展分区表，而且扇区以55AA结束，我们根据这个特征可以指定搜索条件，具体思路是每个扇区512个字节，编号从0到511，我们让Winhex检索哪个扇区的510和511字节是55和AA，这个扇区就有可能是我们要找的扩展分区起始扇区。当然了，也有可能某个不相干的扇区也是以55AA结尾，那就要作进一步的筛选。一般情况下，扩展分区的起始扇区总是位于某个柱面的0磁头1扇区，这些条件我们都要加以利用。好了，首先定位到950柱面0磁头1扇区，我们准备从这里开始搜索，在Winhex的“位置”菜单中选择“转到扇区”，如下图所示，填入参数是950/0/1。再次声明，950柱面只是一个凭经验估算的结果。在Winhex“搜索”菜单中，选择“查找16进制数值”，如下图所示。如下图所示，我们输入了搜索参数，搜索的16进制数值为55AA，搜索方向是向下，这是告诉Winhex从950柱面向后搜索。条件设为从偏移510开始，因为1个扇区有512字节，编号从0字节到511，55在510位置，AA在511位置。搜索开始了，一会就找到了一个符合条件的扇区，到底是不是我们要照的扩展分区起始扇区呢？我们在Winhex的“查看”菜单中选择显示“详细资料面板“，这样就可以显示出扇区的LBA和CHS参数，如下图所示，这个扇区位于1019柱面254磁头63扇区。显然是一个NTFS分区的结束扇区，很有可能就是原C盘的最后一个扇区。这个扇区不是我们需要的，继续搜索！再向下找到的扇区就很象我们的目标了，如下图所示，这个扇区中有一个分区表，而且位置在1020柱面0磁头1扇区，和我们估算的1025柱面相差无几，凭经验基本可以认定这就是我们要找的目标。好了，假定我们找到的1020柱面0磁头1扇区就是扩展分区的起点，那我们就可以判断原先的C分区是从0柱面1磁头1扇区开始，到1019柱面254磁头63扇区结束。那扩展分区结束在什么地方呢？从分区表中的第二项可以知道答案，分区表的第二项描述了第二个扩展分区的起点和终点，第二个扩展分区的终点就是我们要找的扩展分区的结束位置。从分区表来看，第二个扩展分区的起点距当前扇区有7D 04 7E个扇区，大小是88 C8 AE个扇区。经过计算，扩展分区的终点是2087柱面254磁头63扇区。说到这儿，要对一些朋友说声抱歉了，这些计算涉及到分区原理，如果以前没有接触过，确实不容易看懂。我会抽时间写一些介绍数据恢复原理的文章。经过计算，我们算出C分区从 0/1/11019/254/63，扩展分区从 1020/0/12087/254/63。有了这些参数，我们在硬盘0扇区的分区表中写出两项分区表，分别描述C分区和扩展分区就可以了。如下图所示，两项分区表的参数分别是 80