硬盤數據恢復知識

 

1、　硬件或介質問題的情況
①、　硬盤壞：硬盤自檢不到的情況一般是硬件故障，又可分為主版的　硬盤控制器（括IDE口）故障和硬盤本身的故障。如果問題在主板上　，那么數據應當沒有影響。如果出在硬盤上，也不是一定不能修復。　硬盤可能的故障又可能在控制電路、電機和磁頭以及盤片。如果是控　制電路的問題，一般修好它，就可以讀出數據。但如果電機、磁頭和盤片故障，即使修理也要返回原廠，數據恢復基本沒有可操作性。
②、　軟盤壞：當軟盤數據損壞時，可以有幾種處理，一種是用NDD修　復，他會強制讀出你壞區中的東西，MOVE到空白扇區中，這就意味著　如果你的磁盤很滿操作是沒法進行的。你也可以用HDCOPY2.0以上版本　READ軟盤，他也會進行強讀，使讀入緩沖區的數據是完好的，你再寫　入一張好磁盤就可以了。當然這些方式，要看盤壞的程度。如果0磁道壞，數據也并非無法搶救，早先可以通過扇區讀的方式，把后面的數　據讀出，不過一般來說，你依然可以HDCOPY來實驗。
2、系統問題的情況
①、　在硬盤崩潰的情況下，我們經常要和一些提示信息打交道。我們　要了解他典型提示信息的含義，注意這些原因僅僅分析邏輯損壞而不是　硬盤物理壞道的情況。
提示信息
可能原因
參考處理
Invalid　Partition　Table
分區信息中1BE、1CE、1DE處不符合只有一個80而其他兩處為0　用工具設定，操作在前面已經講了。
Error　Loading　Operating　System
主引導程序讀BOOT區5次沒成功。
重建BOOT區
Missing　Operating　System　DOS
引導區的55AA標記丟失
用工具設定，把前面讀寫主引導區程序的DX=80改為180即可
Non-System　Disk　or　Disk　Error
BOOT區中的系統文件名與根目錄中的前兩個文件不同
SYS命令重新傳遞系統，
Disk　Boot　Failure
讀系統文件錯誤　SYS命令重新傳遞系統，
Invalid　Driver　Specifcationg
如果試圖切換到一個確實存在的邏輯分區出現以下信　息，說明主分區表的分區記錄被破壞了。
根據各分區情況重建分區表，或者用自動修復工具修　復。注意分區丟失是 常見的故障之一，此時不要緊　張，一般的說此時數據并沒有問題，如果你不了解處理　的方法。你可以選擇我前面介紹的自動修復分區工具進　行處理，他們大多只改寫主分區表的數據區，不會影響　你的其他數據。特別提醒大家，這些工具有的不支持　8.4G硬盤，有的與BIOS對硬盤的識別有關系。如果你　在一臺機器上不行，可以換臺BIOS不同的機器實驗一下。
Bad　or　missing　command　interpreter
這是說找不到COMMAND.com，或者COMMAND文件壞了。
如果你COPY過去COMMAND文件還是如此，一般來說是　感染了某種病毒。
Invalid　media　type　reading　drive　X　,Abort,Retry,Fail?
該盤沒有高級格式化，或BOOT區中I/O參數表被破壞。
這里情況較多，手工處理比較復雜，特別指出，此時　DISKEDIT可能無法運行，建議用工具修復。
Incorrect　DOS　Version
可能是文件版本不統一，對9X來說，有95　95osr/2,98,98　oem/2等版本，重新SYS　時，不要弄錯　了。
用正確版本的啟動盤重新SYS系統
另外說明一下，對于比較老的機器還有1071和not　found　rom　basic、ROM　BASIC　OK等提示，在目前機器中以消失。另外，當　代碼區完全被破壞的情況下，系統關于無系統的提示是來自BIOS　的，這條提示與BIOS的種類有關。另外，FDISK/MBR對代碼區的　重建是我們經常采用的。再介紹一種比較極端的情況，就是硬盤　自檢正常，而用軟盤和硬盤都無法正常啟動的情況，這可能是，　病毒或惡意程序利用，DOS3以上版本啟動中都要檢索分區表這一　特點，把分區表置為死循環。造成啟動中死機。網上曾經流傳過　DOS6.22k修改方案，其實是修改西文MS-DOS6.22的　IO.SYS，把　C2　03　06　E8　0A　00　07　72　03替換為：C2　03　90　E8　0A　00　72　80　90就可以啟動被類似情況鎖住的硬盤。
②、　9X無法正常進入或工作：以下僅僅是對可能的軟故障分析　，沒有考慮硬件故障.進入圖形界面前死機情況比較復雜，可能與加載的某些驅動有關　可以在START　MS　WINDOWS時，用F8激活菜單，設置為step　by　step　，看是哪項使系統死機。而后從CONFIG或者SYSTEM。INI中刪除進入圖形界面后死機一般這與開機加載的程序有關進入安全模式（此時自動　運行的程序將不能加載），對注冊表中的　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run*　中的鍵值和啟動組中加載的程序進行分析。必要的予以刪除。顯示IEXPLORE.EXE錯誤，不能進行任何操作
可能有某個系統的動態連接庫損壞覆蓋安裝WIN9X，或從　其他機器上COPY損壞的連接庫。（確定哪個庫損壞一般　比較困難）
頻繁出現出錯各種信息
一般是虛擬內存不足造成的看C盤是否剩余空間過少，　或者打開的應用程序和窗口太多。
2、　全盤崩潰和分區丟失
首先重建MBR代碼區，再根據情況修正分區表。修正分區　表的基本思路是查找以55AA為結束的扇區，再根據扇區結構　和后面是否有FAT等情況判定是否為分區表， 后計算填回，　主分區表，由于需要計算，過程比較煩瑣，就不仔細介紹了　，希望大家用前面介紹的工具，比如NDD處理。如果文件仍然　無法讀取，要考慮用TIRAMINT等工具進行修復。如果在FAT　表徹底崩潰的情況下，恢復某個指定文件，可以用DISKEDIT　或DEBUG查找已知信息。比如文件為文本，文件中含“軟件　狗”，那么我我們就要把他們轉換為內碼C8　ED　BC　FE　B9　B7　進行查找。
3、　文件丟失、誤格式化的情況
一般的來說，文件刪除僅僅是把文件的首字節，改為E5H，而并　不破壞本身，因此可以恢復。但由于對不連續文件要恢復文件　鏈，由于手工交叉恢復對一般計算機用戶來說并不容易，在這　篇縮略版中就不講了，建議用工具處理，如果已經安裝了Norton　Utilities，可以用他來查找。另外，RECOVERNT　等工具，都是　恢復的利器。特別注意的是，千萬不要在發現文件丟失后，在　本機安裝什么恢復工具，你可能恰恰把文件覆蓋掉了。特別是　你的文件在C盤的情況下，如果你發現主要文件被你失手清掉了　，（比如你按SHIFT刪除），你應該馬上直接關閉電源，用軟盤　啟動進行恢復或把硬盤串接到其他有恢復工具的機器處理。誤格　式化的情況可以用等工具處理。
4、　文件損壞的情況
一般的說，恢復文件損壞需要清楚的了解文件的結構，并不是很　容易的事情，而這方面的工具也不多。不過一般的說，文件如果　字節正常，不能正常打開往往是文件頭損壞。
就文件恢復舉幾個　簡單例子。
類型　特征　處理
ZIP、TGZ等壓縮無法解壓
ZIP文件損壞的情況下可以用一個名為ZIPFIX的工具　處理。不過如果你的文件是從FTP站點上下載的，那么　有可能是你沒有定義下載模式為BIN。
自解壓文件無法解壓
可能是可執行文件頭損壞，可以用對應壓縮工具按一般　壓縮文件解壓。
DBF文件死機后無法打開
典型的文件頭中的記錄數與實際不匹配了，把文件頭中　的記錄數向下調整，遺憾的是公式我找不到了。
5、　硬盤被加密或變換：
此時千萬不要FDISK/MBR，SYS等處理，否則可　能數據再也無法找回，一定要反解加密算法，或找到被移走的重要扇區。　對于那些加密硬盤數據的病毒，清除時一定要選擇能恢復加密數據的可　靠殺毒軟件。
6、　文件加密后密碼遺忘：
對于很多字處理軟件的文件加密和ZIP等壓　縮的加密，你是不能靠加密逆過程來完成的，因為那從理論上是異常　困難的。目前有一些相關的軟件，他們的思想一般都是用一個大字典集　中的數據循環用相同算法加密后與密碼的密文匹配，直到一致時則說明　找到了密碼。你可以去尋找這些軟件，當然，有些軟件是有后門的，比　如DOS　下的WPS，Ctrl+qiubojun就是通用密碼。Undiskp的作者馮志宏　是解文件密碼的個中，大家不妨去他的主頁看看。
7、　系統用戶密碼遺忘的處理：
簡單的方法就是用軟盤啟動（NT的你也　可以把盤掛接在其他NT上），找到支持該文件系統結構的軟件（比如針對　NT的NTFSDOS），利用他把密碼文件清掉、或者是COPY出密碼檔案，用破解　軟件套字典來處理。前者時間短但所有用戶信息丟失，后者時間長，但保　全了所有用戶信息。對UNIX系統，我建議你一定先做一張應急盤.