硬盤數(shù)據(jù)恢復知識

 

1、　硬件或介質(zhì)問題的情況
①、　硬盤壞：硬盤自檢不到的情況一般是硬件故障，又可分為主版的　硬盤控制器（括IDE口）故障和硬盤本身的故障。如果問題在主板上　，那么數(shù)據(jù)應當沒有影響。如果出在硬盤上，也不是一定不能修復。　硬盤可能的故障又可能在控制電路、電機和磁頭以及盤片。如果是控　制電路的問題，一般修好它，就可以讀出數(shù)據(jù)。但如果電機、磁頭和盤片故障，即使修理也要返回原廠，數(shù)據(jù)恢復基本沒有可操作性。
②、　軟盤壞：當軟盤數(shù)據(jù)損壞時，可以有幾種處理，一種是用NDD修　復，他會強制讀出你壞區(qū)中的東西，MOVE到空白扇區(qū)中，這就意味著　如果你的磁盤很滿操作是沒法進行的。你也可以用HDCOPY2.0以上版本　READ軟盤，他也會進行強讀，使讀入緩沖區(qū)的數(shù)據(jù)是完好的，你再寫　入一張好磁盤就可以了。當然這些方式，要看盤壞的程度。如果0磁道壞，數(shù)據(jù)也并非無法搶救，早先可以通過扇區(qū)讀的方式，把后面的數(shù)　據(jù)讀出，不過一般來說，你依然可以HDCOPY來實驗。
2、系統(tǒng)問題的情況
①、　在硬盤崩潰的情況下，我們經(jīng)常要和一些提示信息打交道。我們　要了解他典型提示信息的含義，注意這些原因僅僅分析邏輯損壞而不是　硬盤物理壞道的情況。
提示信息
可能原因
參考處理
Invalid　Partition　Table
分區(qū)信息中1BE、1CE、1DE處不符合只有一個80而其他兩處為0　用工具設定，操作在前面已經(jīng)講了。
Error　Loading　Operating　System
主引導程序讀BOOT區(qū)5次沒成功。
重建BOOT區(qū)
Missing　Operating　System　DOS
引導區(qū)的55AA標記丟失
用工具設定，把前面讀寫主引導區(qū)程序的DX=80改為180即可
Non-System　Disk　or　Disk　Error
BOOT區(qū)中的系統(tǒng)文件名與根目錄中的前兩個文件不同
SYS命令重新傳遞系統(tǒng)，
Disk　Boot　Failure
讀系統(tǒng)文件錯誤　SYS命令重新傳遞系統(tǒng)，
Invalid　Driver　Specifcationg
如果試圖切換到一個確實存在的邏輯分區(qū)出現(xiàn)以下信　息，說明主分區(qū)表的分區(qū)記錄被破壞了。
根據(jù)各分區(qū)情況重建分區(qū)表，或者用自動修復工具修　復。注意分區(qū)丟失是 常見的故障之一，此時不要緊　張，一般的說此時數(shù)據(jù)并沒有問題，如果你不了解處理　的方法。你可以選擇我前面介紹的自動修復分區(qū)工具進　行處理，他們大多只改寫主分區(qū)表的數(shù)據(jù)區(qū)，不會影響　你的其他數(shù)據(jù)。特別提醒大家，這些工具有的不支持　8.4G硬盤，有的與BIOS對硬盤的識別有關系。如果你　在一臺機器上不行，可以換臺BIOS不同的機器實驗一下。
Bad　or　missing　command　interpreter
這是說找不到COMMAND.com，或者COMMAND文件壞了。
如果你COPY過去COMMAND文件還是如此，一般來說是　感染了某種病毒。
Invalid　media　type　reading　drive　X　,Abort,Retry,Fail?
該盤沒有高級格式化，或BOOT區(qū)中I/O參數(shù)表被破壞。
這里情況較多，手工處理比較復雜，特別指出，此時　DISKEDIT可能無法運行，建議用工具修復。
Incorrect　DOS　Version
可能是文件版本不統(tǒng)一，對9X來說，有95　95osr/2,98,98　oem/2等版本，重新SYS　時，不要弄錯　了。
用正確版本的啟動盤重新SYS系統(tǒng)
另外說明一下，對于比較老的機器還有1071和not　found　rom　basic、ROM　BASIC　OK等提示，在目前機器中以消失。另外，當　代碼區(qū)完全被破壞的情況下，系統(tǒng)關于無系統(tǒng)的提示是來自BIOS　的，這條提示與BIOS的種類有關。另外，F(xiàn)DISK/MBR對代碼區(qū)的　重建是我們經(jīng)常采用的。再介紹一種比較極端的情況，就是硬盤　自檢正常，而用軟盤和硬盤都無法正常啟動的情況，這可能是，　病毒或惡意程序利用，DOS3以上版本啟動中都要檢索分區(qū)表這一　特點，把分區(qū)表置為死循環(huán)。造成啟動中死機。網(wǎng)上曾經(jīng)流傳過　DOS6.22k修改方案，其實是修改西文MS-DOS6.22的　IO.SYS，把　C2　03　06　E8　0A　00　07　72　03替換為：C2　03　90　E8　0A　00　72　80　90就可以啟動被類似情況鎖住的硬盤。
②、　9X無法正常進入或工作：以下僅僅是對可能的軟故障分析　，沒有考慮硬件故障.進入圖形界面前死機情況比較復雜，可能與加載的某些驅動有關　可以在START　MS　WINDOWS時，用F8激活菜單，設置為step　by　step　，看是哪項使系統(tǒng)死機。而后從CONFIG或者SYSTEM。INI中刪除進入圖形界面后死機一般這與開機加載的程序有關進入安全模式（此時自動　運行的程序將不能加載），對注冊表中的　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run*　中的鍵值和啟動組中加載的程序進行分析。必要的予以刪除。顯示IEXPLORE.EXE錯誤，不能進行任何操作
可能有某個系統(tǒng)的動態(tài)連接庫損壞覆蓋安裝WIN9X，或從　其他機器上COPY損壞的連接庫。（確定哪個庫損壞一般　比較困難）
頻繁出現(xiàn)出錯各種信息
一般是虛擬內(nèi)存不足造成的看C盤是否剩余空間過少，　或者打開的應用程序和窗口太多。
2、　全盤崩潰和分區(qū)丟失
首先重建MBR代碼區(qū)，再根據(jù)情況修正分區(qū)表。修正分區(qū)　表的基本思路是查找以55AA為結束的扇區(qū)，再根據(jù)扇區(qū)結構　和后面是否有FAT等情況判定是否為分區(qū)表， 后計算填回，　主分區(qū)表，由于需要計算，過程比較煩瑣，就不仔細介紹了　，希望大家用前面介紹的工具，比如NDD處理。如果文件仍然　無法讀取，要考慮用TIRAMINT等工具進行修復。如果在FAT　表徹底崩潰的情況下，恢復某個指定文件，可以用DISKEDIT　或DEBUG查找已知信息。比如文件為文本，文件中含“軟件　狗”，那么我我們就要把他們轉換為內(nèi)碼C8　ED　BC　FE　B9　B7　進行查找。
3、　文件丟失、誤格式化的情況
一般的來說，文件刪除僅僅是把文件的首字節(jié)，改為E5H，而并　不破壞本身，因此可以恢復。但由于對不連續(xù)文件要恢復文件　鏈，由于手工交叉恢復對一般計算機用戶來說并不容易，在這　篇縮略版中就不講了，建議用工具處理，如果已經(jīng)安裝了Norton　Utilities，可以用他來查找。另外，RECOVERNT　等工具，都是　恢復的利器。特別注意的是，千萬不要在發(fā)現(xiàn)文件丟失后，在　本機安裝什么恢復工具，你可能恰恰把文件覆蓋掉了。特別是　你的文件在C盤的情況下，如果你發(fā)現(xiàn)主要文件被你失手清掉了　，（比如你按SHIFT刪除），你應該馬上直接關閉電源，用軟盤　啟動進行恢復或把硬盤串接到其他有恢復工具的機器處理。誤格　式化的情況可以用等工具處理。
4、　文件損壞的情況
一般的說，恢復文件損壞需要清楚的了解文件的結構，并不是很　容易的事情，而這方面的工具也不多。不過一般的說，文件如果　字節(jié)正常，不能正常打開往往是文件頭損壞。
就文件恢復舉幾個　簡單例子。
類型　特征　處理
ZIP、TGZ等壓縮無法解壓
ZIP文件損壞的情況下可以用一個名為ZIPFIX的工具　處理。不過如果你的文件是從FTP站點上下載的，那么　有可能是你沒有定義下載模式為BIN。
自解壓文件無法解壓
可能是可執(zhí)行文件頭損壞，可以用對應壓縮工具按一般　壓縮文件解壓。
DBF文件死機后無法打開
典型的文件頭中的記錄數(shù)與實際不匹配了，把文件頭中　的記錄數(shù)向下調(diào)整，遺憾的是公式我找不到了。
5、　硬盤被加密或變換：
此時千萬不要FDISK/MBR，SYS等處理，否則可　能數(shù)據(jù)再也無法找回，一定要反解加密算法，或找到被移走的重要扇區(qū)。　對于那些加密硬盤數(shù)據(jù)的病毒，清除時一定要選擇能恢復加密數(shù)據(jù)的可　靠殺毒軟件。
6、　文件加密后密碼遺忘：
對于很多字處理軟件的文件加密和ZIP等壓　縮的加密，你是不能靠加密逆過程來完成的，因為那從理論上是異常　困難的。目前有一些相關的軟件，他們的思想一般都是用一個大字典集　中的數(shù)據(jù)循環(huán)用相同算法加密后與密碼的密文匹配，直到一致時則說明　找到了密碼。你可以去尋找這些軟件，當然，有些軟件是有后門的，比　如DOS　下的WPS，Ctrl+qiubojun就是通用密碼。Undiskp的作者馮志宏　是解文件密碼的個中，大家不妨去他的主頁看看。
7、　系統(tǒng)用戶密碼遺忘的處理：
簡單的方法就是用軟盤啟動（NT的你也　可以把盤掛接在其他NT上），找到支持該文件系統(tǒng)結構的軟件（比如針對　NT的NTFSDOS），利用他把密碼文件清掉、或者是COPY出密碼檔案，用破解　軟件套字典來處理。前者時間短但所有用戶信息丟失，后者時間長，但保　全了所有用戶信息。對UNIX系統(tǒng)，我建議你一定先做一張應急盤.