WatchStor.com — 领先的中文存储网络媒体 | 51CTO旗下网站

评测导购 > HBA > 正文

数据恢复中的高级磁盘编辑教程

Watchstor.com  佚名丨2009-10-24 10:00 标签:HBA 备份恢复 

我们的硬盘又称磁盘,在使用的时候磁盘需要进行一些高级的编辑,这些知识有助于我们对磁盘数据恢复有很大的帮助。而要深入理解数据数据恢复,必须熟悉硬盘数据结构与相关计算。

高级磁盘编辑

已知分区信息的情况下数据恢复引导扇区,方法有二。

其一,根据分区大小及硬盘物理参数计算出BPB(FAT32)各参数,复制另一正常FAT32分区引导扇区(共3~32个扇区),修改相应参数值即可;

其二,先保存完整的FAT副本2,用格式化的方法完成引导扇区的写入,再数据恢复FAT信息。对于方法一,若有一个完全相同(分区大小、物理参数)的硬盘分区,则不需要计算参数值,直接复制即可。本例演示方法二。

①数据恢复硬盘主分区信息(采用FAT32文件系统标识0BH),重启系统。

②执行DISKEDIT D:/M,定位至1405扇区(不知道FAT32首扇区号,可通过【Tools】→【Find Object】→【FAT】命令进行定位)查看,的确具备32-bit FAT首扇区的特征,同时可知此扇区位于0道22头20扇。

③执行【Object】→【Physical Sector】命令(快捷键为Alt+P),填入0道22头20扇及扇区数1310,按【OK】选定整个FAT副本作为对象。

④执行【Tools】→【Write Object To】命令,将此1310个扇区中前若干扇区写入文件(后面数据为全零的扇区可以省略,注意保存此文件的路径应位于未损坏硬盘,如C:\FAT.DAT),退出DISKEDIT。

⑤格式化D驱动器。

⑥将C:\FAT.DAT内容复制到扇区95~1404和1405~2714扇区。

由于DISKEDIT为单文档界面且C:\FAT DAT文件数据对DISKEDIT剪贴板来说数据量太大(DISKEDIT的剪贴板只支持4K多字节数据)。

⑦根目录在FAT32系统中和子目录一样存储在文件区,一般位于簇号为2(文件区首簇)的簇中,如果根目录并不位于簇2中,还需找出并更改引导首扇区(偏移2CH处)BPB(FAT32)“根目录开始簇号”参数为正确的值。本例中根目录正好位于文件区首簇,不做更改。

⑧至此,主分区应该完全数据恢复,经验证确实如此。

数据仍保存在D盘,但此硬盘经过反复分区,用NDD数据恢复的分区乱七八糟,根本不是我们所希望的。

因为NDD工作原理的局限,如果硬盘上具备分区/引导特征的扇区较多是很难轻松完成正确分区表信息的数据恢复的,此时必须结合DISKEDIT来完成,而且还需经过多次尝试。

方法①:通过【Tools】→【Find Object】→【Partition/Boot】在整个硬盘空间查找,记下每一个找到的位置(磁道号、磁头号、扇区号、相对扇区号),然后分析哪些是多余的,查看前后若干扇区以证实自己的猜测,尔后用NDD自动数据恢复分区信息,如上次猜测并不正确,重复以上步骤,直到找到为止。

方法②:与上类似,寻找所有可能作为分区开始的扇区,记下其值,然后利用【Tools】→【Advanced Recovery Mode】构建虚拟磁盘,虚拟磁盘可以如同真正磁盘一样工作,却不会改写硬盘一个字节。使用虚拟磁盘的好处在于不必重新启动系统即可生效,待找到目标文件后,将文件保存至未损坏硬盘上即可。

硬盘上所有系统信息(分区表、FAT、FDT等)均遭破坏,但用户记得文件部分内容。

每种文件均有特殊的格式,根据这些特殊格式搜索整个硬盘,可以找出大致位置,然后设法数据恢复。如果用户记得文件部分内容,则可以此部分内容为特征值进行查找。本例以一个Word97文档(就是此文章)为例进行说明。

①以维护模式(/M)启动DISKEDIT,转至硬盘2。

②本文章标题为“数据恢复硬盘数据”,这就是我们要查找的目标。注意,Word97采用UniCode内码保存文档,目标二进制表示为“62600D596C78D87670656E63”,并且此为文章开头字串,在Word97文档内应位于偏移0600H处(第四个扇区开头)。

③执行【Tools】→【Find】,在Hex框中输入目标值,选中【Search at specified offset】,并使其偏移为0,取消【Ignore Case】,按【Find】。耐心等待……

④当找到指定字串后,前移三个扇区(禁止NumLock,按数字小键盘“-”三次)。

⑤按Alt+P(Physical Sector)打开设置物理扇区范围对话框,按主窗口上部显示的磁道、磁头、扇区值填入,在扇区数中填入200(估计文章为100KB,即占200个扇区),按【OK】即将此200个扇区作为一个对象显示于窗口之中。

⑥按Alt+W(Write Object To)打开【Write】对话框,选择【to a file】,并命名为“!HF1!.DOC”(在文件名前后各加一个叹号是本人数据恢复硬盘数据的习惯,并非必须),保存即可。

注意:①上述第三步中,如果可以大致确定文件所在位置(即便误差为数百MB),先将光标移至合适扇区,这样可以缩短查找时间;②不排除已经找到的内容并非所需,应该继续往后查找直至找不到目标为止;③上述第5步中填入的扇区数为估计值,实际文件只有42KB(将文件另存为HF.DOC后可以发现),长一点没有关系,打开文档时,多余部分自动截断;只要文件在硬盘中连续存放,完全可以数据恢复;如果不连续,数据恢复起来可能有些难度了;④ Word97用三个扇区保存文档全局信息,所以找到标题后要前移三个扇区,如果所给特征并非文件标题,而是文中某个字串,则可往前查看直到找到Word97文件头特征值(以“D0CF 11E0 A1B1 1AE1 0000 0000 0000 0000 0000 0000 0000 0000 3E00 0300 FEFF 0900”开头)为止。

上面描述了几种数据恢复硬盘上数据文件的方法,而要深入理解数据数据恢复,必须熟悉硬盘数据结构与相关计算。尽管非专业人员对此不很熟悉,但熟悉起来并不困难,而且数据恢复自己的硬盘有时比别人(哪怕专业人员)更容易(因为掌握更多数据特征)。希望本篇能对电脑爱好者有所启发,更渴望能消除被CIH等病毒侵蚀后的恐慌。

【编辑推荐】

  1. SD卡数据恢复国内市场全面走热
  2. SSD固态硬盘取代传统硬盘指日可待
  3. 适合固态硬盘的操作系统选取
  4. 固态硬盘SSD的性能缺陷分析
  5. SSD固态硬盘处在一个尴尬的境地

相关资讯

今日微信独家

《华尔街日报》报道日前援引知情人士的消息称,由于被美国政府以国家安全问题为由进行调查,联想斥资23亿美元收购IBM低端服务器业务的交易陷入了停滞状态。
关注新浪官博 订阅微信订阅号

订阅焦点周刊

论坛与活动

2016中国数据加速峰会直播专题
2016中国数据加速峰会直播专题[详细]
点击查看

精彩视频

最新文章

1111111
1111111
asdasd
asdasd
同有科技应用型大数据存储在南京掀起智能风暴
同有科技应用型大数据存储在南京掀起智能风暴
斯蒂芬斯蒂芬
斯蒂芬斯蒂芬
京东双11技术备战 构建多中心交易系统
京东双11技术备战 构建多中心交易系统