数据恢复原理与使用.doc

数据恢复原理与使用易我数据恢复向导恢复文件发布时间：2012-01-08 10:00 点击： 174关注官方微博：办公自动化存在的最大风险莫过于数据丢失，辛勤劳作的结果往往只因为一个小小的失误而付诸东流，如果存储设备出现了硬件故障，而您又没有进行数据备份，那么您只能将您的存储设备送到专业的数据恢复公司进行专业的恢复。所以对于极其重要的文件，您一定要做好备份。如果数据是由于您的错误操作而遭到破坏的，那么您完全可以自己动手来将数据恢复出来。今天，再次带大家看看如何使用易我数据恢复向导恢复被删除的文件。FAT32分区下数据的删除恢复首先简单介绍一下FAT32分区数据的存储结构：文件都有大小，在操作系统管理文件的基本单位为“簇”，每个簇包含固定长度的字节数，操作系统以簇为单位为文件分配硬盘空间，例如一个文件大小为5个簇，那么一定要为这个文件分配5个没有占用的簇号，并且这5个簇不能有坏簇。下面以一个FAT32分区上的一个TEST.TXT文件为例。文件的起始簇号和文件的一些属性信息保存在一个叫文件目录表（FDT）的数据结构中，下图我们就找到了TEST.TXT文件的FDT表项：由20，21，26，27字节得到起始簇号为004D0005。文件的其它簇号都保存在一个叫文件分配表（FAT表）的数据结构中，通过查找FAT表，可知到该文件的其它簇号。其它簇号如下：可知第二簇号为004D0006（十进制为5046278）可知第三簇号为004D0007（十进制为5046279）可知第四簇号为004D0008（十进制为5046280）可知第五簇号为：004D0009（十进制为5046281）可知第六簇号为：004D000A。完毕。很多人认为，在删除文件时，系统会把被删除文件的内容全部清除，即把对应的磁盘上的区块全部改写为“0”。实际情况并不如此。试想一下，如果删除一个较大（如几百MB）的文件将要花费多长的时间！这样的系统效率将会很低！事实上，删除文件时，系统只是在该文件目录项上做一个删除标记，把它们在FAT表中所占的簇标记为“空簇”，而数据区中的簇仍旧保着原文件的内容。当然，对于这些带有删除标记的文件，在操作系统下不借助专门程序或软件是看不到的，因为对于操作系统来说，它“确确实实”认为文件已经被删除了！并且再次往硬盘中写入数据的时，系统就可能会覆盖这些被标记为删除的文件所占用的簇，也就是在这些被删除文件占用的区块上写入新的信息。当您的数据被彻底删除的时候，您就可以尝试易我数据恢复向导来解决您的问题，目前这个软件的最新版本是2.1.0，试用版可以一次恢复5个1M以内的文件。要注意的是，根据我们在上面对数据恢复原理的分析，我们可以知道，当数据被删除后，千万不要向该分区写入数据，否则您要恢复的数据就可能因为被破坏而无法恢复。当然了，这款软件也不能安装在要恢复的分区上！易我数据恢复向导的界面简单明了，如图所示：然后点击“删除恢复”，然后选择要恢复的分区来扫描即可。最后您就可以选择要恢复的文件进行保存了。注：这款软件针对彻底删除的恢复效率非常高，速度很快，切记在数据丢失后不要向该分区写入新的数据。FAT16/32分区格式化文件恢复以前，和大家探讨了删除文件的原理以及如何使用易我数据恢复向导恢复被删除的文件。下面呢，寻修网/再和大家探讨一下格式化的原理及相应的解决办法。格式化分为低级格式化和高级格式化。低级格式化是将硬盘划分出柱面和磁道，再将磁道划分为若干个扇区，每个扇区又划分出标识部分ID、间隔区、GAP和数据区DATA等。低级格式化是高级格式化之前的一件工作，它只能够在DOS环境来完成。而且低级格式化只能针对一块硬盘而不能支持单独的某一个分区。由于每块硬盘在出厂前都进行了低级格式化，因此通常使用者无需再进行低级格式化操作。低级格式化是一种损耗性操作，对硬盘寿命有一定的负面影响。而我们平时所用的Windows下的格式化（包括在DOS下面使用的格式化）其实是高级格式化。高级格式化仅仅是清除硬盘上的数据，生成引导信息，初始化FAT表，标注逻辑坏道等。更确切的说，高级格式化又分为快速高级格式化和完全高级格式化。下面呢，小编以自己机器上的J盘为例（大小为1.21G，文件系统为FAT16），详细的为大家分析一下高级格式化所做的“破坏”。现在对几个区域进行对比，看看高级格式化对FDT和FAT所做的改动。快速高级格式化前FDT的内容如下图所示。快速高级格式化前的FDT快速高级格式化后FDT的内容如下图所示。快速高级格式化后的FDT快速高级格式化后系统清除了所有的文件目录登记项，只留了一个卷标，连回收站都给清除了（没有任何数据，自然也不存在删除的文件或目录，回收站也就没有存在的必要，只有在首次简单删除时系统才会再自动建立该目录）。相应地，快速高级格式化前FAT的内容如下图所示。快速高级格式化前的FAT快速高级格式化后FAT的内容如下图所示。快速高级格式化后的FAT那么，我们再来看下DATA区的情况有是怎样的？如下图所示。快速高级格式化后J盘的内容这就表明，虽然文件的记录被破坏了，但是内容却没有变化。（寻修网/注：由于FAT32的快速高级格式化与FAT16的快速高级格式化的处理方式一样，这里由于篇幅所限，就不再一一皆图。）下面我们再看下完全高级格式化对文件系统的破坏程度。这里呢，还是以J盘为例。我们可以分析一下，根据格式化的定义，完全高级格式化后，根目录的FDT和FAT肯定完全清零，那么，DATA区呢？在完全格式化后，我们又得到了图六。很显然，完全高级格式化和快速高级格式化一样，并没有改变J盘的内容。（注：由于FAT32的完全高级格式化与FAT16的完全高级格式化的处理方式一样，这里由于篇幅所限，也不再一一皆图。）补充一点，在Windows下对硬盘进行的格式化和对软盘进行的格式化原理是一样的。而格式化软盘有所不同的是，我们对一张软盘进行的全面格式化是一种低级格式化。“删除文件时，系统只是在该文件目录项上做一个删除标记，把它们在FAT表中所占的簇标记为“空簇”，而数据区中的簇仍旧保着原文件的内容”。高级格式化后，系统清除了所有的文件目录登记项，只留了一个卷标，这样的话，FDT和FAT中都不会再有文件或目录记录，从而释放出相应的磁盘空间。由于上述过程始终没有在DATA区中进行写入零的操作，所以数据还是能够恢复。易我数据恢复向导提供了非常全面的功能，在格式化后，您只要选择“格式化恢复”，然后选择要恢复的分区来扫描。（注：一般来讲，绝大部分的数据都能恢复，前提是在格式化后没有进行过其它的写操作。）FAT16/32分区查找文件的过程一了解如何手工的查找FAT16/32文件系统下存储的文件。在前面，谈到过文件存储方面的知识，接下来寻修网/就将带领大家来看看，如何手工的在这些平时我们非常难理解的数字中，找到我们想要的文件。或许您在看了之后，也会禁不住亲自动手来尝试寻找自己硬盘中的某个文件。下面我们就立刻开始。我们使用的扇区编辑工具是16进制文件编辑与磁盘编辑软件Winhex。在它的帮助下，你可以清楚的看到硬盘到底是怎么存储平时里各种各样的数据的。我们准备查找的文件存储在J:分区上，名称：计划.xls。分区的文件系统为FAT32因为DBR中的BPB参数表中存储着非常重要的信息，因此我们先到DBR的BPB中：我们在DBR中需要确定的信息如下：1. 每簇扇区数 位置： 0x0DH 长度: 1 字节 实际值： 8 扇区2. 保留扇区数 位置： 0x0EH 长度: 2 字节 实际值： 36 扇区3. 本扇区总数 位置： 0x20H 长度: 4 字节 实际值： 1060227 扇区4. 每FAT表扇区数 位置： 0x16H 长度: 2 字节 实际值： 1034 扇区5. 引导目录第一簇 位置： 0x2CH 长度: 4字节 实际值： 第 2 簇您可能会对上面的数据有些困惑，为什么会需要这些数据呢？下面我们就将对此做出解答。在FAT32系统的分区中，实际上是由三个部分构成的：DBR，FAT表,DATA区。FDT不是固定的存储在FAT之后,而是存储在DATA区中，位置就是由DBR中的BPB参数表的“引导目录第一簇”来指定。而其他的数据则是为了确定DBR，FAT表,DATA区这三个部分的准确位置，以便我们之后的查找文件。因此各部分的位置如下：DBR FAT*2 DATA|-|-|-|36 1034*2 剩余扇区由公式：DBR+FAT*2+(引导目录第1簇-2)*每簇扇区数=FDT的位置通过以上参数，计算得到FDT的位置：第2104扇区现在我们就借助工具偏移到2104扇区：现在可以看到我们要找的文件目录项已经找到.只有找到了文件目录项，我们才能通过其中另一个重要的参数：“文件起始簇号”来确定文件“计划.xls”的准确位置以及如何在数据区中进行存放的。可以看到，文件起始簇号为；1485H=5253簇文件的起始簇号使我们可以定位文件在FAT表的位置和文件在DATA区位置。对于FAT32分区，如何由起始簇定位到下一簇呢？大家记住这个公式：当前簇号*4=下一簇在FAT表中的位置。该位置的偏移是从FAT表头开始。根据这个公式我们找到下一簇在FAT表中的为00001486H，再以此类推。如图：在FAT32的FAT(文件分配表)中,由4个字节管理一个簇，因此后面的簇号依次为：5254簇，5255簇，5256簇，之后的FFFFFF0F表示文件结束。DBR+FAT*2+(5253-2)*每簇扇区数=数据区中的开始位置36+1034*2+（5253-2）*8=44112扇区由此可知文件总共占了4个簇的大小，结束位置应该在5256簇的某个扇区。至此，FAT32的文件搜索过程结束。对于FAT16来说，方式跟FAT32的方式很相近，不过需要注意的是，FAT16的FDT的位置是固定在第二个FAT表之后的，大小一般情况下为32个扇区。读者您如果有兴趣，可以自己尝试在FAT16文件系统分区下，查找某个特定的文件。二学习如何使用易我数据恢复向导的“高级模式”进行数据恢复。有些时候，数据的丢失是在很异常的情况下发生的，或许今天都还可以正常访问您的某个分区的数据，但明天开机却在原来的分区找不到您要的数据甚至找不到这个分区的情况。又或者您的分区“无故的”就成了RAW分区。当这些情况发生时，您就可以选择使用“高级恢复”模式进行数据恢复了。下面继续介绍：如何使用易我数据恢复向导在“高级恢复”模式下进行数据恢复。运行软件后，可以看到如下界面：现在我们就选择“高级恢复”模式,在“高级恢复”里，这台计算机上所有的硬盘和分区都将显示在列表中：如果在分区列表中已经显示出了您要恢复的分区，那么就可以直接选择这个分区，再点击“下一步”，进行扫描。如果在分区列表中，没有显示出你要准备恢复的分区，这说明您的这个分区已经被严重破坏了，这时就需要选择这个分区所在的硬盘，点击“选项”，通过完全扫描硬盘来以更仔细的方式搜索您的这个分区。之后，您就可以选择这个分区来搜索其中的文件了。搜索完后，也许您对本次的搜索结果不是很满意，那么您可以重新返回到上一步，选择这个分区，并选择“选项”，因为这个分区是FAT32,因此您可以选择相对应的选项卡，按照提示进行调整。调整完毕后，点击“确定”并点击“下一步”，就可以进行重新扫描了。此外，如果您发现你恢复出来的文件的质量不是很好，那么您可以在进行扫描前，选择“扫描文件系统”，开始扫描后，软件将会分析这个分区，并列出在这个分区上可能存在的所有文件系统供您选择。我们建议您从推荐值最高的文件系统开始尝试。其实“高级恢复”模式几乎可以应对各种情况的数据丢失，当您在使用“删除恢复”模式或者“格式化恢复”模式都不能解决您的问题的时候，我们建议您这时就可以选择“高级恢复”模式了。它真的会给您带来意想不到的效果哦！NTFS分区的文件恢复NTFS分区即分区的文件系统是NTFS。NTFS是微软公司配合WINDOWSNT系统而开发的一种新型文件系统。在网上可以搜索到许多相关的信息，在这里就不必详细描述了。下面，我们主要探讨一下NTFS分区文件的存储原理以及当NTFS分区上文件丢失时的恢复方法。与前面几章介绍的FAT分区有很大的不同，NTFS分区采取截然不同的文件管理方法。NTFS分区管理文件的核心思想是将分区的所有信息都认为是文件，以文件的方式管理。例如，FAT分区中的DBR，在NTFS分区中就是一个元文件。FAT32分区的DBR，直接在分区的第一个扇区，如图：NTFS分区，先定位boot元文件，该元文件的数据属性值就是DBR，如图：只要大家时刻想到NTFS分区的存储思想是文件，并且首先能在MFT中找到文件记录，那么就很容易掌握定位文件的方法，从而达到手动恢复文件的目的。由于NTFS分区的复杂性，在这里就不详细描述。大家可以参阅相关书籍深入学习。既然NTFS分区的存储原理与FAT大相径庭，那么对于我们用户来说，是不是当数据丢失需要恢复时也更加困难呢？答案是否定的。因为，所有复杂的事情都由程序完成了，留给用户的仅仅是简单地按一下几个按钮，进行一下确认就可以了。同样使用易我数据恢复向导，她可以帮助你解决大多数情况下数据丢失的问题。另外，对于特殊的NTFS分区，易我数据恢复向导更是对它进行了强有力的支持。在前面对FAT分区的介绍中也是没有的。大家拭目以待吧！对于易我数据恢复向导的使用，大家也已经相当熟悉了。针对NTFS分区，主要介绍一下当分区无法访问时的恢复方法，同时我也会提到NTF