数据恢复原理

1、目录一、数据恢复的基本知识1.硬盘数据结构2.硬盘分区方法3.数据存储原理4.系统启动过程二、硬盘数据恢复计划分析1.文件和删除1)解决方案2)不可挽回的情况2.分区表已损坏3.总崩溃和分区损失4.文件丢失和错误格式化5.文件损坏6.硬盘被加密或转换7.文件加密后忘记密码8.系统用户密码遗忘处理三。数据备份简介1.最应该备份的是什么2.备份在哪里硬盘数据恢复示例的完整解决方案之一1)解决方案2)无法挽回的局面3)损坏原因及修复可行性分析硬盘数据恢复示例完整解决方案21)解决方案2)无法挽回的局面3)损坏原因及修复可行性分析硬盘数据恢复示例的第三种解决方案1)解决方案2)无法挽回的局面3)损坏原

2、因及修复可行性分析第四部分硬盘数据恢复案例整体解决方案1)两个建议2)解决方案3)实战操作第五部分硬盘数据恢复实例的整体解决方案1)回收1)FAT分区2)恢复2)NTFS3)分区格式的恢复第六部分硬盘数据恢复案例整体解决方案硬盘数据恢复示例完整解决方案的第7部分硬盘数据恢复示例的完整解决方案数据恢复和软故障处理基本指南第1部分第一，广义的数据恢复数据丢失的各种逻辑现象数据恢复和软故障处理基本指南第二部分第二章，数据恢复准备知识数据恢复和软故障处理基本指南第三部分第三章，数据恢复的基本策略数据恢复和软故障处理基本指南第4部分第四章，回收实例硬盘维护秘密找不到硬盘硬盘错误提示硬盘诊断程序硬盘故障判

3、断过程一、数据恢复的基础知识说到数据恢复，我们不能不提到硬盘的数据结构、文件的存储原理，甚至操作系统的启动过程。这些是恢复硬盘数据时必须用到的基本知识。即使你不需要恢复数据和理解知识(即使你只知道一点点)，它也非常有助于你通常的计算机操作和应用。让我们从硬盘的数据结构开始。1.硬盘数据结构我们不能使用刚出厂的硬盘。您需要对其进行分区、格式化，然后在使用之前安装操作系统。以我们一直使用的Win9x/Me系列为例，我们通常将硬盘分为五个部分：主引导扇区、操作系统引导扇区、FAT、DIR和数据(只有主引导扇区是唯一的，其他的随着分区号的增加而增加)。主引导扇区：主引导扇区位于整个硬盘的0磁道0柱面1

4、扇区，包括硬盘主引导记录MBR(主引导记录)和分区表DPT(磁盘分区表)。主引导记录用于检查分区表是否正确，并确定哪个分区是引导分区，并将该分区的引导程序(即操作系统引导扇区)转移到存储器中，以便在程序结束时执行。至于分区表，很多人都知道它以80H或00H作为开始标记，以55AAH作为结束标记，总共64个字节，并且位于这个扇区的末尾。值得一提的是，MBR是由分区程序生成的。不同的操作系统可能有不同的扇区。如果你有这个打算，你也可以自己写一个，只要它能完成上述任务，这也是多系统启动能够实现的原因(顺便说一下，是因为这个主引导记录很容易写，所以有很多引导病毒)。操作系统引导扇区：OBR(操作系统引

5、导记录)是操作系统引导扇区，它通常位于硬盘的磁道0、柱面1、扇区1(这是对应的用于DOS的主分区/扩展分区的第一个扇区，对于那些以多引导模式启动的系统而言)，并且是操作系统可直接访问的第一个扇区。它还包括一个引导程序和一个被称为BPB(基本输入输出系统参数块)的分区参数记录表。事实上，每个逻辑分区都有一个OBR，它的参数根据分区的大小和操作系统的类型而变化。引导程序的主要任务是确定该分区根目录中的前两个文件是否是操作系统的引导文件(例如，MSDOS或IO)。SYS和MSDOS。Win9x/Me系统源自MSDOS)。如果是这样，将第一个文件读入内存，并对该文件进行控制。BPB参数块记录重要参数，

6、如分区的起始扇区、结束扇区、文件存储格式、硬盘媒体描述符、根目录大小、FAT号、分配单元(以前也称为集群)大小。OBR是由高级格式程序生成的。文件分配表：文件分配表是DOS/Win9x系统的文件寻址系统。为了数据安全，FAT通常分为两部分，第二部分是第一部分的备份。FAT区域的大小由该分区的大小和OBR后文件分配单元的大小决定。FAT格式总是有很多选择。微软的操作系统和操作系统都采用大家熟悉的FAT12、FAT16和FAT32格式，但没有其他格式的FAT是不存在的，如Windows NT、OS/2、UNIX/Linux、Novell等。它们都有自己的文件管理方法。目录区域：目录是目录的简称，即

7、根目录区域。目录紧接在第二个FAT表之后。只有FAT无法定位文件在磁盘中的位置，FAT必须与DIR合作才能准确定位文件的位置。目录记录每个文件(目录)的起始单位(这是最重要的)，文件的属性等。当定位文件位置时，操作系统可以根据目录和FAT表中的起始单元知道文件在磁盘上的具体位置和大小。在目录区之后，是真正的数据存储区，即数据区。数据区：数据占用了大部分硬盘空间，但如果没有前面的部分，它对我们来说只能是一些无聊的二进制代码，没有任何意义。这里需要解释的一点是，格式化程序(指高级格式，如DOS下的格式)不会擦除数据区中的数据，而只是重写FAT表。对于分区硬盘，它只修改主内存和主内存。数据区中的绝大

8、多数数据都没有改变，这也是许多硬盘数据可以修复的原因。然而，即使如此，如果其中一个坏了，也足够我们这些所谓的“自己动手”的老鸟花半天时间了.重要的是要提醒每个人，如果你定期组织磁盘，你的数据区中的数据可能是连续的，所以即使MBR/FAT/DIR被完全破坏，我们也可以使用磁盘编辑软件(如磁盘编辑系统下的磁盘编辑)。只要我们找到文件的初始存储位置，文件就可能被恢复(当然，这需要一个前提，即不要覆盖文件.)。2、硬盘分区方法我们通常谈论的分区概念无非是三种：主分区、扩展分区和逻辑分区。主分区是一个相对简单的分区，通常位于硬盘的前部，形成一个逻辑C盘。不允许在主分区中创建更多的逻辑磁盘。扩展分区的概念

9、更加复杂，这也是分区和逻辑磁盘混淆的主要原因。因为硬盘只为分区表保留64字节的存储空间，并且每个分区的参数占用16字节，所以在主引导扇区中总共可以存储4个数据分区。操作系统只允许存储4个数据分区。如果一个逻辑磁盘是一个分区，系统最多只允许4个逻辑磁盘。对于特定的应用，四个逻辑磁盘通常无法满足实际需求。为了给操作系统构建更多的逻辑磁盘，系统引入了扩展分区的概念。严格来说，所谓的扩展分区并不是真正的分区。它只是指向下一个分区的指针。这个指针结构将形成一个单向链表。这样，除了主分区，只有一个被称为扩展分区的分区数据需要存储在主引导扇区中。通过这个扩展分区的数据，可以找到下一个分区(实际上是下一个逻辑

10、磁盘)的起始位置，并且可以从这个起始位置类推找到所有分区。无论系统中构建了多少逻辑磁盘，每个逻辑磁盘都可以通过扩展分区的参数在主引导扇区中逐个找到。应该特别注意的是，主分区之后的每个分区都是通过单向链表结构链接的。因此，如果单向链表有问题，逻辑磁盘将会丢失。3.数据存储原理既然数据是要恢复的，当然，我们必须提到数据存储的原理。在此，我们还将介绍一些与数据删除和硬盘格式化相关的问题.文件读取操作系统从目录区读取文件信息(包括文件存储在数据区的第一个簇的文件名、后缀、文件大小、修改日期和簇号)。这里我们假设第一个簇号是0023。操作系统从0023集群中读取相应的数据，然后找到0023单位的FAT。

11、如果内容是文件结束标志(FF)，则表示文件结束，否则，内容存储下一个数据簇的簇号，如此重复，直到满足文件结束标志。文件的编写当我们想要保存文件时，操作系统首先在目录区中找到一个空的区域来写入相应的信息，例如文件名、大小和创建时间，然后在数据区中找到一个空的空间来保存文件，并将数据区中的第一个集群写入目录区，其余的操作类似于上面的读取操作。删除文件读完和写完之前的文件后，你可能没有信心继续往下看，但是请放心，Win9x的文件删除非常简单，只需在目录区做一个小的改变。将目录区域中文件的第一个字符更改为E5表示该文件将被删除。关于Fdisk和格式的一点解释与删除文件类似，既不使用Fdisk删除和重建

12、分区，也不使用Format格式化逻辑磁盘(假设格式化时没有使用无条件格式参数/U)，直接从数据区删除数据。前者只改变分区表，而后者只修改FAT表，因此被错误删除的分区和格式不正确的硬盘完全有可能恢复.系统启动过程不同操作系统的启动过程是不同的。这里我们以Win9x/DOS启动过程为例。第一阶段：系统通电自检开机自检过程。开机自检是开机自检的缩写，意思是开机自检。微型计算机在存储器FFFF0H中执行程序(这是一个固化的只读存储器程序)，并检查系统的硬件(包括存储器)。第二阶段：读取分区记录和引导记录。当微型计算机检查硬件正常并且符合互补金属氧化物半导体设置时，它根据互补金属氧化物半导体设置从相应

13、的设备启动(这里我们假设从硬盘启动)，并且读取硬盘的分区记录(DPT)和主引导记录(MBR)。第三阶段：读取DOS引导记录。在微型计算机正确地读取分区记录和主引导记录之后，如果主引导记录和分区表被正确地验证，则执行主引导记录，并且进一步读取DOS引导记录(位于每个主分区的第一扇区中)，然后执行DOS引导记录。第四阶段：加载系统隐式文件。把隐藏的文件输入输出。系统进入内存并加载基本文件系统。此时，启动窗口9x的标志.通常会出现。IO。系统将系统读入内存，处理系统数据和用户数据文件，并加载磁盘压缩程序。第五阶段：真实DOS模式配置。加载系统隐式文件后，微型计算机将执行系统隐式文件，执行系统配置文件

14、(Config.sys)并加载config.sys中定义的各种驱动程序第六阶段：调用命令解释器。系统加载命令管理程序，以协调和管理系统的各种操作命令(我们使用的内部命令，如目录和副本，由C提供)。第七阶段：执行批处理文件。微型计算机将逐步执行批处理文件中的每个命令。第八级：装载W。W负责在Windows下执行各种驱动程序和启动执行文件，从而完成启动。已经向您介绍了数据恢复的基本知识。如果你已经掌握了上述知识，并相信借助工具和软件，很容易恢复你丢失的数据，让我们不要在这里多说，让我们进入真正的实战操作.其次，硬盘数据恢复方案分析在硬盘数据由于各种原因被

15、销毁后，我们只能？当然，我们最大的期望是。你不应该使用以下方法！因为即使是一个完整的事后解决方案也不能保证所有数据的完整性。然而，要做到真正万无一失，更重要的任务是在事故发生之前预防事故。1.删除文档语言A.症状这可能是最简单也是最常见的数据损坏。直接的表达是删除文件后清空回收站，或者按住Shift键删除，或者在回收站的“属性”中勾选“不要将文件移动到回收站，但要完全删除”。B.解决方法由于这是最常见的数据损坏，当然也是最容易恢复的，因此根据不同的操作系统给出了以下解决方案。1)。1)Win9x/Me下的解决方案换句话说，FAT16/32分区下的文件删除和恢复应该是大多数恢复软件的基本功能。但

16、是，我们作为示例使用的软件Recover4all仅提供了在Win9x/Me下恢复被错误删除的文件的功能。事实上，很多事情不仅仅是追求完美，适可而止，简单就是美丽。2)。2)下的解决方案。WinNT/2000换句话说，如何恢复在NTFS分区下被错误删除的文件。对于这个相对简单的要求，filescarvenger完全胜任。当然，filescarvenger的目标是。它只能在WinNet/2000系统中使用(同时，它必须以管理员用户身份登录)，并且只对NTFS格式的分区有效。但是，它支持恢复压缩的NTFS分区或文件夹中的文件，并且对格式化的NTFS分区中的文件也有效(请注意，文件清除程序只能恢复格式化分区中的文件，而不能恢复整个格式化分区中的文件)。C.无法挽回的局面如果文件中存储的磁盘空间是在删除后写入的，则在正常情况下恢复的概率为0。因此，错误恢复已删除文件的重要前提是不要写入已删除文件所在的分区。病毒损害和症状现在使用电脑的人一提到“病毒”就变得苍白。病毒造成的数据损坏通常是不可预测的(包括分区表损坏、数据覆盖范围等)。)；例如，被CIH病毒损坏的硬盘的分区表已经被完全重写，并且即使硬盘是从磁盘A)开始的，也找不到该硬盘。被病毒破坏的硬盘数据的症状没有被很好地描述，并且大多数数据破坏情况可能是由病毒引起的。因此，最安全的方