當前位置:首頁 > 技術分享技術分享

一次資料救援的過程說明

發佈時機:  瀏覽:

硬碟作爲使用者儲存數據的主要裝置,其最大的用途莫過於儲存數據,但有時往往由於使用者操作不當,造成使用者數據的遺失。如果對於普通使用者,數據對使用者相對而言並不重要,那麽遺失了就遺失了,沒有太大關係;但如果數據對使用者很重要(對於這類使用者,應經常備份數據),這時數據遺失了怎麽辦呢?此文就是通過一次對硬碟數據的救援過程來簡要說明一下硬碟數據救援的方法,希望能對大家救援硬碟數據有一定的幫助。 

 

相關概念 

MBR(Main Boot Record)主引導記錄區,它位於整個硬碟的0磁軌0柱面1扇區,包括硬碟引導程序和分區表。 

DBRDos Boot Record)即操作系統引導記錄區,通常位於硬碟的0磁軌1柱面1扇區,是操作系統可直接訪問的第一個扇區,它也包括一個引導程序和一個被稱爲BPBBIOS Parameter Block)的本分區參數記錄表。每個邏輯分區都有一個DBR 

FAT(File Allocation Table)檔案配置表,是DOS、Windows9X系統的數據尋址格式,爲了數據安全起見,FAT一般做成兩個,第二FAT爲第一FAT的備份。 

DIR是Directory即根目錄區的簡寫,DIR緊接在第二FAT表之後。

 

估計數據遺失原因: 

1.安裝多系統引導軟體後,異常操作造成。 

 

2.遭到某種病毒感染。數據遺失前狀態:2.5GB硬碟,原分區爲:C2GBD500MBD槽裝有重要數據。兩分區均爲FAT16格式。 

數據遺失過程 

一次系統重啓後,D槽遺失。 

數據遺失後的操作 

該客戶曾用Fdisk重新分區,試圖按原分區大小再造分區,未果。但沒有格式化D槽,只格式化了C槽並重裝系統。 

客戶的數據修複要求

 

救援D碟根目錄下數位相機目錄內所有數據。 

所用工具:  NORTON DISK DOCTORdiskedit.exe 

數據修複過程: 

一、數據備份 主要包括物理0磁軌各扇區,各分區邏輯0磁軌,FAT表和根目錄區等,再配以GHOST備份各分區的數據區。 

二、分析該硬碟的主引導扇區MBR(包括主分區表和引導程序)、各分區的引導扇區DBRFAT表及根目錄區。 

由於已經重新分區並能順利啓動C碟(抛開病毒原因),故MBR的邏輯結構應該沒問題,通過Diskedit命令察看MBR所在的0磁軌第一扇區,證實估計正確,但現分區表與原分區表是否完全一致,還不能確定。 

通過分區表,可以查找到各分區的引導扇區所在的物理位置,分析後可確定C槽的各項重要數據(引導扇區、第一FAT表、第二FAT表、根目錄區)均沒有異常,但D碟除了引導扇區DBR外、上述的其他數據均無法對應,DBR之所以無異常,是因爲重新分區的結果,而FAT1FAT2和根目錄區面目全非的原因,大致應該有兩種可能:一是現分區與原分區不一致,導致數據對不上號;二是數據已被病毒破壞。 

由於在察看MBR時,發現0磁軌的其他扇區留有不明程序的殘餘代碼,通過察看其中的一些顯示信息,可以判定是某種多系統軟體留下的,說明客戶曾經安裝過多系統管理軟體。這樣大致可以排除病毒破壞分區的可能,分區遺失應該是異常操作多系統管理軟體引起的。 

三、尋找原有分區 根據前面的分析,由於客戶在數據遺失後又進行了重新分區,而且估計現有的分區與原來的分區不一致,這樣無疑加大了數據修複的難度,但幸好沒有格式化D碟,因爲如果單單只是Fdisk,只會改寫原硬碟的各分區的第一扇區。如果這個扇區不落在原分區的重要參數區(DBRFAT、根目錄)上,那麽修複的成功率還是挺高的。接下來就是尋找原有D碟的重要數據區了。根據客戶提供的資料可知,原D碟根目錄下有一個叫數位相機的子目錄,於是用DISKEDIT提供的搜索功能,搜索數位相機對應的十六進制代碼,可以找到原有D碟的根目錄區。歷時30分鍾,通過過濾搜索結果,最終找到該根目錄所在的扇區,然後順藤摸瓜,向前翻過兩個FAT表(根據經驗大概400個扇區~500個扇區)找到原DDBR所在的扇區,接著再向前翻63個扇區,找到原D碟的分區表,至此,最困難的問題攻克了。 

四、重建主分區表 因爲客戶後來用Fdisk重新建立的主分區表與原來的分區表並不一致,故必須手工重建原分區表,通過前面找到的原D碟分區表和原D碟的DBR,可以計算出主分區表,包括各分區的起始、結束扇區、分區大小、分區類型等。算出結果後,改寫0磁軌1扇區的主分區表。 

五、重啓系統,出現原D碟,所有數據基本全部救援。拷貝出數位相機目錄,做好備份。通知客戶取回數據。  

說明:  

 

1.數據備份時,不要過分相信GHOSTGHOST只認正確的分區,對於隱藏的分區它不會複制。對於不正確的分區,它會報告錯誤並停止複制過程。GHOST並非一個純粹意義上的全碟複制軟體,它只複制那些FAT表上存在的數據,並非複制磁碟上所有的數據!

 

2.幸運的是,該客戶重新分的D碟剛好比原D碟大幾個磁軌,故新的D碟分區表被建在原C碟最後端的數據區中。所以本次維修基本上可以說100%地救援了原D碟的數據。 

 

3.更幸運的是,該客戶沒有重新格式化D碟,不然就不可能有那麽高的救援率了。 

給讀者的建議 

在硬碟數據出現遺失後,請立即聯系當地的資料救援公司。最好不要再對硬碟進行讀寫操作,那樣會增大修複的難度,也影響到修複的成功率。

 

 

 

 

我們晟誼科技有免費諮詢電話:0800-600-966 !
更多資訊及成功案例可上網站
http://www.data-tw.com查詢!謝謝

創用 CC 授權條款
晟誼資料救援晟誼科技製作,以創用CC 姓名標示-相同方式分享 4.0 國際 授權條款釋出。
此作品衍生自http://www.data-tw.com/

  發表評論 共有條評論  
用戶名: 密碼:  
聯絡人: E-mail: 電 話:
驗證碼:   (看不清楚,點擊刷新)
 
  評論(共有 0 條評論)
站內搜尋
軟體下載

客户案例
教學視頻
返回首頁
聯絡我們
    新竹服務站 地址: 新竹市金城一路11號1樓 電話:(03)5713211
    台中漢碩站 地址: 台中市公益路117-2號 電話: (04) 23015535
    台南服務站 地址:台南市北門路一段262號2樓(06)7030-501轉212
    中壢華冠站 地址: 桃園縣中壢市明德路15號 電話: (03) 2813885
    中壢華冠站 地址: 中壢市320中正路389號 168 櫃 (03) 281-3885#12
資料救援-晟誼科技 版權所有 Copyrigh@ 2003-2012 All Rights Reserved 客服熱線:0800-600-966 硬碟資料救援專家,全力為您提供資料救援服務!