毕业论文硬盘数据恢复技术

硬盘数据恢复技术

系名级

2015年

12月

日目

录摘要.．引言3．数据相关概念3数据.3数据储存原理3数据恢复定义4数据丢失的原因软件原因.5硬件原因.5（四）数据恢复步骤............................................................................................................................5询问客户.5硬盘外观检测加电试盘.5根据故障类型选用合适的数据恢复工具将数据转移安全区域将数据用刻录机刻成光盘，交给用户6三．硬盘辑结构.6（二）硬数据结构9四数损坏类型及相关恢复方法文件存储与读取原理硬盘数据损坏类型及相应的恢复方法....................................................................................9文件删除及其恢复9硬盘重分区或其它情况下的分区表损坏分析。9硬盘格式化情况下数据恢复。恢复已经备份的分区表恢复。硬盘DBR损坏。五数恢复应用常见实例.12主引导分区恢复12分区表破坏.13修复DBR.................................................................................................................................13恢复被删除文件13因病毒导致文件假丢失14六数恢复操作实验.14．硬盘使用和维护注意事项.．总结21参考文献221硬盘数据复技术摘要硬盘作为用户存储数据的主要场所，其最大的用途莫过于存储数据，但有时往往由于用户操作不甚等原因，造成用户数据的丢失。同时数据的丢失也会对用户造成不同程度的影响重的可能会造成无法估计的经济损伤此需要对数据进行及时备份。一些电脑初学者都认为文件删除了就找不回了，其实并不如此，对于数据丢失，恢复数据的方式也有很多，有专门的设备或是软件和技术手段将数据从硬盘上提取出来。针对具体问题需要具体对待因地制宜找出最适合的方法于一般用户恢复数据都是使用数据恢复工具软件例如Recover来实现数据的恢复。关键字：数据安全、故障分析、数据恢复2一．引21世纪是一个信息时代随着生产生活水平的不断提高人类对电脑的需求也在不断提升。使得电脑从奢侈品变成家庭、企业的必需品。而电脑在使用过程中难免遇到数据丢失这个头疼的问题艳照门之前很多用户都单纯地认为数据丢失了就找不回来了，可见该技术了解的人还不是很多。为此，我利用了所学的知识，综合了相关的书籍、文献内容并通过动手实践，对本课题展开了研究分析。下面我先介绍数据恢复的概念后讨论数据丢失原因，例如人为操作失误，病毒破坏或者一些意外。接着研究一下数据恢复技术。最后在电脑上做一个数据恢复过程。二．数相关概念（一）.数据数据就是数值，也就是我们通过观察、实验或计算得出的结果。数据有很多种，最简单的就是数字。数据也可以是文字、图像、声音等。数据可以用于科学研究、设计、查证等。（二）.数据储存原理优盘存储的原理：主要就是在原有的晶体管上加入了浮动栅和选择栅在源极和漏极之间电流单向传导的半导体上形成贮存电子的浮动棚浮动栅包裹着一层硅氧化膜绝缘体它的上面是在源极和漏极之间控制传导电流的选择制栅数据是0或1取决于在硅底板上形成的浮动栅中是否有电子。有电子为0，无电子1闪存就如同其名字一样，写入前删除数据进行初始化。具体说就是从所有浮动栅中导出电子。即将有所数据“。写入时只有数据为0时才进行写入数据为时则什么也不做写入0时，向栅电极和漏极施加高电压，增加在源极和漏极之间传导的电子能量。这样一来，电子就会突破氧化膜绝缘体，进入浮动栅。读取数据时，向栅电极施加一定的电压，电流大为1电流小则定。浮动栅没有电子的状态（数据1）下，在栅电极施加电压的状态时向漏极施加电压，源极和漏极之间由于大量电子的移动，就会产生电流。而在浮动栅有电子的状态（数据为0）下，沟道中传导的电子就会减少因为施加在栅电极的电压被浮动栅电子吸收后，很难对沟道产生影响。盘存储的原理数据存储在密封于洁净的硬盘驱动器内腔的若干个磁盘片上这些盘片一般是在以铝为主要成分的片基表3面涂上磁性介质所形成，在磁盘片的每一面上，以转动轴为轴心、以一定的磁密度为间隔的若干个同心圆就被划分成磁（每个磁道又被划分为若干个扇（sector数据就按扇区存放在硬盘上。在每一面上都相应地有一个读写磁头（，所以不同磁头的所有相同位置的磁道就构成了所谓的柱（cylinder传统的硬盘读写都是以柱面、磁头、扇区为寻址方式的CHS寻址）。硬盘在上电后保持高速旋转5400/min以上位于磁头臂上的磁头悬浮在磁盘表面以通过步进电机在不同柱面之间移动，对不同的柱面进行读写。所以在上电期间如果硬盘受到剧烈振荡，磁盘表面就容易被划伤，磁头也容易损坏，这都将给盘上存储的数据带来灾难性的后果。硬盘的第一个扇区（001扇区）被保留为主引导扇区。在主引导区内主要有两项内：主引导记录和硬盘分区表。主引导记录是一段程序代码，其作用主要是对硬盘上安装的操作系统进行引导；硬盘分区表则存储了硬盘的分区信息。计算机启动时将读取该扇区的数据，并对其合法性进行判断（扇区最后两个字节是否0x55AA或0xAA55），如合法则跳转执行该扇区的第一条指令。所以硬盘的主引导区常常成为病毒攻击的对象，从而被篡改甚至被破坏。可引导标志0x80为可引导分区类型标志0示未知；1为FAT12为FAT165扩展分区等等。一个完整硬盘的数据应该包括五部分:（主引导扇区）,DBR（操作系统引导扇区）（文件分配表）,DIR（目录区）和（数据区）。其中只有主引导扇区是唯一的,它的随你的分区数的增加而增加。存储一个文件的时候,操作系统首先在记录所有空间使用情况的文件分配表（）中找到足够容纳文件的空间,然后把文件内容写到相对应的硬盘扇区上,并在文件分配表中标出该空间已经被占用。删除文件的时候,一般并不对文件所占用的扇区进行操作只是重新改写了硬盘的主引导扇区（0面01区）中的内,体地说就是删除了硬盘的分区表信息也可说仅仅是在文件分配表中指明哪些空间可以分配给别的文件使用而硬盘中任何分区的数据均没改动果删除文件后又创建了新文件那么被删文件所占用的扇区就有可能被新文件所使用,这时候就无法恢复被删文件的数据了已经对分区用令格式化需在恢复分区之后,再恢复分区数据。所以一旦发现数据丢失,就不要轻易尝试任何操作它有可能覆盖原来的数据。（三）.数据恢复定义硬盘数据丢失对于硬盘来说，仅仅就是硬盘上的某些地方的磁性消失。我们所能做的就是把没有丢失的信息恢复出来，以减少人们与社会的损失。其中硬盘数据恢复是指在硬盘发生故障而不能读取数据，或是人为操作失误及病毒侵袭造成硬盘分区或是数据丢失，使用专门的设备或是软件和技术手段将数据从硬盘上提取出来的服务。4（四）.数据丢失的原因造成数据丢失的原因非常多，总体上可分为以下两种。1.软件原因大多病毒是不会造成数据丢失的是少数病毒却会造成硬盘锁死区丢失或。是数据丢失，这时候不能单纯的使用杀毒软件来清理病毒，否则就会造成数据严重破坏，一般都是通过专门的软件来提起数据之后，才做杀毒处理。很多的数据丢失都是由于使用者的操作失误，比如，误删除，误格式化等。遭别人恶意删除、破坏造成数据丢失。2.硬件原因一些自然灾害造成硬盘的物理损坏失效往往是最严重的问题，硬盘可能的故障可能在控制电路电机和磁头以及盘片如果是控制电路的问题一般修好它，就可以读出数据。但如果电机、磁头和盘片故障，即使修理也要返回原厂，数据恢复基本没有可操作性。突然停电，造成电脑强制关机的后果不仅仅是内存数据的丢失，还可能造成磁盘的数据丢失，文件的不同步，甚至是系统无法正常启动。（四）.数据恢复步骤1.询问客户接到硬盘后，应向客户询问数据丢失的类型，是误删除，误格式化，误分区，意外丢失，还是硬盘突然丢失或无法读写，并且还要询问故障发生后，客户自己还做过哪些操作。把故障类型和原因问清楚了，可能会减少我们在数据恢复过程中一些不必要的麻烦，提高工作效率。2.硬盘外观检测对于硬件问题造成的数据丢失这时我们应首先检查硬盘的电路板有无明显的烧灼痕迹，避免因该硬盘的电路损坏再次造成电脑主机的损坏。3.加电试盘如硬盘无明显的电路损坏，把硬盘加电试机，在CMOS中是否能够找到硬盘。54.根据故障类型选用合适的数据恢复工具如果能够找到硬盘就按软件方面使用EasyRecovery类的软件进行数据恢复果找不到硬盘，就按硬件的方法进行处理。5.将数据转移安全区域把找回的数据拷贝到另一块物理硬盘上，一定不能拷贝在同一块硬盘的不同分区。6.将数据用刻录机刻成光盘，交给用户数据全部读出后，使用刻录机把用户的数据刻成光盘，交由用户保管，任务完成。三．硬盘逻辑构（一）.硬盘原理概述硬盘储存数据时根据电、磁转换原理实现的。硬盘由一个或几个表米娜镀有磁性物质的金属或玻璃灯物质盘片以及盘片两面所安装的磁头和相应的控制电路组成其中盘片和磁头密封在无尘的金属壳中。硬盘工作时，盘片以设计转速告诉旋转，设置在盘片表面的磁头则在电路控制下径向移动到指定位置然后将数据存储或读取出来。当雄向硬盘写入数据时，磁头中“写数据”电流产生此产使盘片表米娜磁性物质状态发生改变，并在写电流磁场消失后仍能保持，这样数据就保持下来了：当系统从硬盘中读数据时，磁头经过盘片指定区域，盘片表面磁场使磁头产生感应电流或线圈阻抗产生变化，经相关电路处理后还原成数据。（二）.硬盘数据结构硬盘上的数据按照其不同的特点和作用大致可分为五部分：

MBR主引导扇区（操作系统引导扇区（文件分配表,DIR（目录区和DATA（数据区。1.MBR（Record）,其字面上的理解即为主引导记录区，位于整个硬盘的0磁道0柱面扇区。不过，在总共512字节的主引导扇中，只占用了其中的446个字节（偏移0--偏移1BDH），另外的64个字节（偏移1BEH--偏移）交给了DPT(DiskPartition硬盘分区表),最后两个字节"（偏偏）是分区的结束标志。这个整体构成了硬盘的主引导扇区。大致的结构如图6图1硬盘的主引导扇区结构图主引导记录中包含了硬盘的一系列参数和一段引导程序其中的硬盘引导程序的主要作用是检查分区表是否正确并且在系统硬件完成自检以后引导具有激活标志的分区上的操作系统，并将控制权交给启动程序。MBR是由分区程序（F所产生的它不依赖任何操作系统且硬盘引导程序也是可以改变的从而实现多系统共存。硬盘分区表及各字节的意义。硬盘分区表偏移

长度

所表达的意义分区状态01字节

0-->非活动区80-->活动分区8

字节字节1字节字节字节4字节

该分区起始磁头（）该分区起始扇区和起始柱面该分区类型：如Linux分区83-->LinuxSwap分区该分区终止头（）该分区终止扇区和终止柱面该分区起始绝对扇区7C

4字节

该分区扇区数2.DBRDBR(DosRecord，操作系统引导区)，通常位于硬盘的0道1柱面1扇区，是操作系统可以直接访问的第一个扇区，它包括一个引导程序和一个被称为

Block)的分区参数记录表，最后的结束标志为55AA”。引导程序的主要任务是当将系统控制权交给它时，判断本分区跟目录前两个文件是不是操作系统的引导文件。如果确定存,就把它读入内存，并把控制权交给该文件参数块记录着本分区的起始扇区、结束扇区、文件存储格式、硬盘介质描述符、根目录大小FAT个数，分配单元的大小等重要参数。3.FATFAT(FileAllocation，文件分配表)，是操作系统的文件寻址系统。为了防止意外损坏，FAT一般做两个(也可以设置为一个)第二个FAT为第一个FAT的备。同一个文件的数据并不一定完整地存放在磁盘的一个连续的区域内，而往往会分成若干段，像一条链子一样存放，这样存放更多是为了读写速度上的考虑。由于硬盘上保存着段与段之间的连接信息，操作系统在读取文件时，总是能够准确地找到各段的位置并正确读出。4.DIRDIR是Directory即根目录区的简写，在和格式中，DIR紧接在第二FAT表之后，而FAT32式中，根目录区的位置可以在分区中的任意位置其起始位置是由引导扇区给出的。单有还不能确定文件在磁盘中的具体位置，只有FAT表和DIR区配合使用，才能准确定位文件的确切位置。DIR记录着每个文（目录的文件名扩展名是否支持长文件各起始单（这是最重要的）、文件的属性，大小，创建日期，修改日期等住处内容。操作系统在读写文件时，根据DIR中的起始单元，结合FAT表就可知道文件在磁盘的具体位置，然后顺序读取每个簇的内容就可以了。85.DATA在DIR区之后，才是真正意义上的数据存储区，即区。虽然占据了硬盘的绝大部分空间没有了前面的各部分它对于我们来说，也只能是一些枯燥的二进制代码，没有任何意义。四.数损坏类型及关恢复法（一）.文件存储与读取原理当我们存储一个文件的时候操作系统首先会在一个记录所有空间使用情况的文件分配表中，找到足够容纳我们的新文件的空间，然后把文件内容写到相对应的硬盘扇区上，最后在分配表中标出该空间被占用了。当我们删除一个文件的时候，一般并不对实际文件所占用的扇区进行操作，而是仅仅在该分配表中标记哪些空间是空白的，可以分配给别的文件使用。事实上在这个时候，要删除的文件的实际内容并没有受到破坏，可以恢复回来。但是如果我们删除一个文件后，在原来文件所在的扇区上，又重新创建了一个文件，那么被删除文件所占用的扇区就有可能被新创建的文件所使用，这时候就无法恢复原来被删除的文件了.（二）..硬盘数据损坏类型及相应的恢复方法1.文件删除及其恢复文件删除后的恢复方法相对简单。操作系统删除文件的操作进行了两方面个操作：一文件在磁盘的文件目录表中的相应文件目录登记项的第一个字节更改了E5H，将文件所占簇号在文件分配表中的记录清零，以释放该文件所占空间。文件数据信息仍然“保留”在硬盘数据区中。因此此类型的数据恢复只要通过某些硬盘管理工具或者数据恢复软件（比如EasyRecovery），按照有关的设置进行。被彻底删除的文件还是很容易被恢复过来。必须注意的是，恢复后的数据一定不能存放在原来的硬盘分区。2.硬盘重分区或其它情况下的分区表损坏分析。第一种情况windows下一般利用DOS下的命令或者其它硬盘分区工具重新对硬盘进行分区后改写了硬盘分区表，也就是修改了硬盘的逻辑扇区。第二种情况，由于个人误操作或者病毒入侵修改了硬盘逻辑0区(即硬盘主引9导记录)从而使得系统无法启动。解决方法:将硬盘挂接到另一台计算机上进入系统。在系统下启动winhex打开挂接的硬盘，首先查看此硬盘的逻0扇区结尾标识是否为55AA.若不是将之修改为55AA.将硬盘接到原计算机上开机是否能启动系统。若重分区后不能对系统进行格式化。则可能是硬盘MBR引导程序损坏。进入DOS系统用fdisk/mbr复硬盘逻辑0扇区的错误。若确定是分区表损坏。如果之前曾用磁盘医生备份过硬盘分区表，可以使用磁盘医生恢复硬盘的分区表。如果是手动备份的。可以使用winhex十六进制数据查看工具修复硬盘分区表。如果实在对硬盘的分区表没有任何备份。则只有将硬盘接到其它电脑上。使用有关数据恢复工具类似FinalData数据恢复之类的数据恢复工具扫描硬盘上的目录与文件。但是恢复的程度无法保证。3.硬盘格式化情况下数据恢复。硬盘格式化就是重写了硬盘文件分配表。同样硬盘上的实际数据还是没消失。此时硬盘一般无法再引导系统，如果要恢复数据，最好不要对硬盘进行任何操作。此类情况下数据恢复我们可以考虑一点就是一般情况下每个硬盘分区中FAT（文件分配表）都有一个备份。首先我们必须利用硬盘分区大小，分区格式，簇大小计算出硬盘FAT大小。查找硬盘第一个FAT位置，再计算出硬盘第二个FAT所在扇区。使用有关磁盘操作工具或者winhex工具恢复文件分配表。4.恢复已经备份的分区表恢复。当系统由于误操作或者病毒破坏而使系统无法启动，经检查是硬盘的分区表损坏。如果在硬盘刚分区时有正好进行过硬盘分区表的备份此时可以用以下的方法试着恢复硬盘分区表这样系统又可以完好如初且整个文件系统也不会有任何破坏的来说，硬盘的分区结构就是一个链式结构。硬盘的逻辑0区就是主引导记录（MBR）其中偏移1BEH--偏移是硬盘的主分区表。总共64个字节，16字节记录一个分区的情况。一般硬盘可以有一个主分区一个扩展分区。其中扩展分区有多个逻辑分区。上面我们使用的工具是WinHex.使用这个工具我们可以windows界面下看到硬盘所有数据，以十六进制数表示一个字节。同时我们可以用这个工具修改硬盘上的数据。这也正是我们修复硬盘分区表的关键所在。在此以本人计算机的硬盘分区表为例。本人计算机硬盘有一个主分区就是系统C10盘。一个扩展分区，3逻辑分区分别为：D，E，盘。关键步骤如下：A将受损硬盘挂接到加别的计算机上以后打开软件WinHex。然后选择工/打开磁盘/物理磁盘。打开需要修复的硬盘。界面如下图2B在WinHex上具栏用跳至扇区输入0到边硬盘的逻辑扇区偏移的位置。用备份了的分区表数据覆盖原来的数据。在此本人主分区表十六进制数据如下：8001000CFE000000EFD40100000FFEFFFF39F0D401889ACC1000000000000000000000000000000000000000000000用以上数据覆盖逻辑0区的分区表的位置。C分析硬盘分区备份的数据。在主分区表第二项记录的是逻辑分区的第一个分区，也就是D盘所在的位置过主分区表第二项记录00C10FFEFFFF39D488CC计算出D盘的起始扇区为十进制的扇区使用WinHex工具转到第30732345号扇区。把这一扇区的偏移1BE的位置用备份了的数进行恢复。11然后再分析找到的盘的虚拟主引导记录的分区表。分析其第二项。找到E盘的分区表的位置。依此类推，依次找到下面的盘的分区表，然后一个一个的恢复。通过上面的恢复以后，硬盘的分区完好如初，此时硬盘数据得以完全恢复5.硬盘DBR损坏。DBR操作系统能直接访问的第一个扇区括一个引导程序和一个被称为BPB（Block）的本分区参数记录表。引导程序的主要任务是当将系统控制权交给它时，判断本分区跟目录前两个文件是不是操作系统的引导文件（以为例，即是Io.sys和Msdos.sys）。如果确定存在，就把其读入内存，并把控制权交给该文件BPB数块记录着本分区的起始扇区、结束扇区、文件存储格式、硬盘介质描述符、根目录大小、FAT个数，分配单元的大等重要参数。它对操作系统的成功启动有至关重要的作用。当DBR被损坏时，计算机系统无法正常启动。此时，我们可以利用硬盘上已存在的DBR的备份去恢复硬盘上的。对于硬盘的每个逻辑分区。DBR第一个的后面6个扇区都有一个备份。我们将待修复硬盘挂接在另一台正常的计算机上。进入系统后用软件打开待修复硬盘。利用分区表的数据找到逻辑分区起始扇区，转到分区所在扇区，第一个DBR。往后查找到第六个扇区，复制这一个扇区的数据，将之覆盖第一个。将修复后的硬盘挂到原机器上，重启系统。五.数恢复应用常实例（一）引导分区恢复对于开机自检后提示"Missoperation而且下查看C内容完整，这是属于主引导区故障。另外在电脑启动中，系统能够通过自检并检测到硬盘，但在即将进入操作系统之前提示FAILURE.INSERTSYSTEMDISKPRESS，这也是主引导区错误。对于这一类故障，可以用软盘或是光盘来启动，进行DOS系统,然后键入"："，看能否读取C盘上的内容。如果盘上的内容可以读取的话，大家只要使用命令就可以进行无条件重写主引导区，这个方法一般都能成功，而且可以保留原有的数据。当然即便是不能读取C盘，我也可以使用命令。事实上的作用十分明显，也能对付一些主引导区病毒，大家一定要好好利用，这堪称是对付硬盘在BIOS可以识别而下无法操作的第一工具。12（二）.分区表破坏如用Magic时操作失误所导致的无法进入系统或者是进入系统后文件打不开等情况，即是典型的分区表故障。自动修复分区表的操作一般就是通过查找备份分区表并复制相应扇区，这里使用DiskGenius软件。此软件可以在纯统下运行。操作方法：首先将此软件拷入启动盘，之后可以直接运行，进入此软件的主界面后，按下就能够轻松地自动恢复硬盘分区表。（三）.修复DBR对于一台电脑，在系统下打开一个分区时提示未被格式化，在DOS下进入此分区时提示"GeneralReadingDrive"这种情况下，如果使用格式化工具对所要访问的分区进行格式化，当然就很轻松地进入此分区，但代价就是此分区下所有的数据都将不复存在，此做法也与挽救数据的最终目的相违背。这时可以用WinHex软件来修复DBR板在使用时可以把出问题的硬盘当作从盘进行挂接随后从打开的WinHex中选择此硬盘，而后此软件就可以使用硬盘中的分区表信息来处理分区，以达到修复的目的。（四）.恢复被删除文件当我们存储一个文件的时候操作系统首先会在一个记录所有空间使用情况的文件分配表中，找到足够容纳我们的新文件的空间，然后把文件内容写到相对应的硬盘扇区上，最后在分配表中标出该空间被占用了。当我们删除一个文件的时候，一般并不对实际文件所占用的扇区进行操作，而是仅仅在该分配表中标记哪些空间是空白的，可以分配给别的文件使用。事实上在这个时候，要删除的文件的实际内容并没有受到破坏，可以恢复回来。但是如果我们删除一个文件后，在原来文件所在的扇区上，又重新创建了一个文件，那么被删除文件所占用的扇区就有可能被新创建的文件所使用，这时候就无法恢复原来被删除的文件了但如果在删除的时候按住了那么就相当于把数据进行了物理删除，而没有通过回收站，这时候就无法通过一般的方法来找回删除的数据了件删除后的恢复方法相对简单作系统删除文件的操作进行了两方面个操作：一文件在磁盘的文件目录表中的相应文件目录登记项的第一个字节更改了E5H，将文件所占簇号在文件分配表中的记录清零，以释放该文件所占空间。文件数据信息仍然“保”在硬盘数据区中。因此此类型的数据恢复只通过某些硬盘管理工具或者数据恢复软件（比如EasyRecovery），按照有关的设置进行。被彻底删除的文件还是很容易被恢复过来。必须注意的是，恢复后的数据一定不能存放在原来的硬盘分区。13（五）病毒导致文件假丢失有这么一类病毒，感染后会在根目录下创建一个与原文件夹同名且可以运行的程序，使用杀毒软件把病毒查杀后，原来的文件夹都变成隐藏的了，并且通过查看文件夹的属性不能进行修改。虽然使用专业的修改软件可以进行修改，但使用较为麻烦。这里可以使用命令。在Windows运行的过程中，打开MS-DOS，无论是Windows98，还是Window7.0以通过运行命令打开DOS找到相应的盘符入/d––s这样就可以把隐藏的文件恢复到正常的状态了Attrib是修改文件夹属性的一个DOS命令，/d/两个开关，-h就是消除隐藏属性。六.数恢复操实验如图1-1所示,我的电脑G盘的PPT目录下有个对象，现在我全部删除，并且清空回收站。14图1-1（删除该目录下所有文件）接着打开数据恢复软件easyrecovery，点击“删除恢复”。15图1-2（软件界面）然后选择扫描分区和恢复文件类型。如图16图1-3（恢复设置）扫描完成后，可以看到左边的文件夹，此时我们点击刚才删除的文章文件夹，在右面列出来到文件就是能被恢复的删除文件，选择一个要恢复的文件，在文件前面打上勾即可，然后点击“下一步”。如图1-4示。17图1-4（显示出的文件文件