電腦中什么最昂貴？CPU？內(nèi)存？或是硬盤？都不是，這里面任何一個部件都可以更換的，只有數(shù)據(jù)是最關(guān)鍵的，數(shù)據(jù)的丟失才是最大的損失。誤刪了數(shù)據(jù)，被病毒或軟件破壞了硬盤分區(qū)表，這一切的一切對于一只菜鳥來說代價都是非常慘重的……

　　數(shù)據(jù)恢復(fù)就是找回丟失的數(shù)據(jù)，例如徹底刪除某個文件或文件夾，重新格式化磁盤，重新分區(qū)磁盤等都會造成數(shù)據(jù)丟失。更嚴(yán)重的數(shù)據(jù)丟失是存儲介質(zhì)硬件損壞，例如，硬盤不小心摔壞了、硬盤根本就不認(rèn)了、硬盤有大量壞道等。

數(shù)據(jù)恢復(fù) 準(zhǔn)備篇

　　在進(jìn)行正式的數(shù)據(jù)恢復(fù)前，需要了解一些常見的數(shù)據(jù)恢復(fù)的原理，以便我們更好地恢復(fù)文件。

小提示

　　由于版面原因，關(guān)于零磁道、MBR、DPT等名詞，大家可以從的技術(shù)文檔中了解，這些名詞有助于你閱讀下面的實(shí)例。

1.文件誤刪丟失

　　當(dāng)我們存儲一個文件時，操作系統(tǒng)首先在一個記錄所有空間使用情況的表格中，找到足夠容納新文件的空間，然后把文件內(nèi)容寫到相對應(yīng)的硬盤扇區(qū)上，最后在表格中標(biāo)出該空間被占用了。當(dāng)要刪除一個文件時，一般并不對實(shí)際文件所占用的扇區(qū)進(jìn)行操作，而僅僅是在該表格中指明那些空間是空白的，可以分配給別的文件使用。這時，被刪除的文件的實(shí)際內(nèi)容并沒有受到破壞，可以恢復(fù)回來。但刪除文件后，又重新創(chuàng)建了文件，那么被刪除文件所占用的扇區(qū)就有可能被新創(chuàng)建的文件所使用，這時就無法恢復(fù)原來被刪除的文件了。

2.硬盤分區(qū)表丟失

　　分區(qū)表是硬盤的重要數(shù)據(jù)結(jié)構(gòu)，管理整個硬盤空間。分區(qū)表丟失，表現(xiàn)為硬盤原分區(qū)或部分分區(qū)消失，在Windows 2000/XP的“磁盤管理器”中看到未分區(qū)的硬盤或未分區(qū)的空間。出現(xiàn)這個問題有多種可能。

（1）病毒:遇到比較厲害的病毒，分區(qū)表有可能被損壞或丟失，如CIH病毒等。

（2）重新分區(qū):使用FDisk對磁盤重新劃分空間，那么原來的分區(qū)表被新的分區(qū)表將取代，這時，原來分區(qū)的數(shù)據(jù)并沒有損壞，僅僅是分區(qū)表指向了不正確的位置。

（3）誤操作:有時進(jìn)行如PQ或Ghost的操作時，如果出現(xiàn)斷電或誤操作的情況也可能會使硬盤分區(qū)表丟失。

3.硬盤剩余空間丟失

　　由于某些原因使硬盤空間丟失，文件系統(tǒng)出現(xiàn)文件問題導(dǎo)致某些簇成為“孤兒”，這些可被ScanDisk掃描出來，并保存為CHK文件。這時候需要查看，這些CHK文件是否有用，然后才能刪除，但通常這些文件是沒用的。

數(shù)據(jù)恢復(fù) 備份篇

　　有時當(dāng)硬盤出現(xiàn)了物理損壞，最好是用Ghost的原始模式(RAW)，把損壞磁盤按扇區(qū)備份到一個鏡像文件中，然后再進(jìn)行恢復(fù)操作，具體的方式如下。

第一步:將損壞的硬盤接到另外一臺有足夠硬盤空間的電腦上。

第二步:進(jìn)入DOS版的Ghost，選擇“Options”(選項)，點(diǎn)擊“Image/Tape”標(biāo)簽，然后選擇“Image All”(全部鏡像)項(見圖1)。

第三步:在Ghost中選擇“Local→Disk→To Image”，進(jìn)行備份，然后在選擇文件類型時，要選擇“*.IMG”格式(見圖2)，以便其他軟件打開鏡像文件。

第四步:備份好的鏡像文件可以用在虛擬機(jī)或恢復(fù)至相同型號的硬盤上進(jìn)行數(shù)據(jù)恢復(fù)，也可使用如DiskExplore這種可以直接編輯鏡像文件的軟件嘗試恢復(fù)。

數(shù)據(jù)恢復(fù) 上手篇

　　對于菜鳥來說，能夠簡單應(yīng)用幾款最基本的軟件，幾乎就可以不再求助其他人而自行進(jìn)行簡單恢復(fù)了。

1.恢復(fù)被誤刪的數(shù)據(jù)

　　如果要恢復(fù)被誤刪的數(shù)據(jù)，可以使用EasyRecovery，下載地址為，漢化版下載地址為。完成軟件安裝后，打開軟件，點(diǎn)擊窗口上側(cè)的“Properties”項，然后選擇“Language→簡體中文”項，點(diǎn)擊“確定”，重新進(jìn)入軟件，完成漢化。

第一步:進(jìn)入軟件，在窗口左側(cè)選擇“數(shù)據(jù)修復(fù)”，然后點(diǎn)擊右側(cè)的“DeletedRecovery”(見圖3)。

第二步:這時會打開新窗口，在左側(cè)選擇要掃描的分區(qū)，在窗口右側(cè)的“文件過濾器”中選擇要恢復(fù)的文件擴(kuò)展名，最后需要注意，如果要恢復(fù)的是文件夾，則需要勾選“完全掃描”項，完成后，點(diǎn)擊“下一步”按鈕，開始掃描被刪除的文件。

第三步:掃描完成后，可以看到所有掃描到的誤刪文件，勾選需要恢復(fù)的文件，點(diǎn)擊“下一步”，設(shè)置好文件恢復(fù)的路徑，再次點(diǎn)擊“下一步”即可。

小提示

　　EasyRecovery的功能非常強(qiáng)大，還有“磁盤診斷”等非常強(qiáng)大的功能，大家可以自行試用。

2.恢復(fù)文件分區(qū)表

　　如果是因?yàn)镕Disk或是其他原因?qū)⒂脖P分區(qū)表破壞，可直接使用Disk Genius(下載地址:http://nj2.onlinedown.net/down/DGen20b0219.zip)進(jìn)行恢復(fù)。

　　將軟件下載后，拷貝至引導(dǎo)盤，然后在DOS下運(yùn)行Disk Genius，選擇菜單中的“工具→重建分區(qū)表”即可恢復(fù)。

3.恢復(fù)被刪除的空間

　　如果你的硬盤剩余空間突然減少，在并沒有丟失重要信息的情況下，可以使用磁盤掃描程序?qū)τ脖P進(jìn)行掃描，然后刪除掉所有CHK文件即可。

數(shù)據(jù)恢復(fù) 高級實(shí)例篇

　　上面的介紹已經(jīng)足夠菜鳥進(jìn)行日常的恢復(fù)了，我們下面要介紹的是一些高級的硬盤恢復(fù)實(shí)例，對于大家很有指導(dǎo)意義。

實(shí)例1:手動恢復(fù)被CIH破壞的數(shù)據(jù)

　　N年前由于中了CIH病毒，無法引導(dǎo)操作系統(tǒng)。20GB硬盤系統(tǒng)分為3個分區(qū)，第一個分區(qū)是FAT32，大約5GB，第二個分區(qū)也是FAT32，大約8GB，最后一個分區(qū)是NTFS，重要的數(shù)據(jù)都在第二個分區(qū)上，只要恢復(fù)第二個分區(qū)就可以了。在當(dāng)時，修復(fù)硬盤的自動化工具還很少，所以完全需要手工計算來恢復(fù)分區(qū)表。其實(shí)目前的自動化的工具也是使用類似的原理來修復(fù)，電腦計算比人工計算要準(zhǔn)確得多，但有可能產(chǎn)生誤判，所以依然需要人工輔助。

第一步:使用DOS引導(dǎo)盤啟動，運(yùn)行Norton的DiskEditor工具(見圖4)，以物理磁盤的方式訪問(邏輯磁盤信息全部丟失)，發(fā)現(xiàn)MBR完全是無效代碼，分區(qū)表也無效，查看隨后的C區(qū)所在扇區(qū)，同樣是混亂數(shù)據(jù)，查看硬盤后面的扇區(qū)，看到很多熟悉的文件名字，判斷是硬盤前面部分被覆蓋，后面數(shù)據(jù)可能沒有受損。

第二步:確定D區(qū)及E區(qū)的開始和結(jié)束位置，在磁盤上搜索特征字符串，如“55AA”(擴(kuò)展分區(qū)表和分區(qū)的DBR的結(jié)束標(biāo)志)，或者根目錄的某些特殊文件名字。由于搜索速度比較慢，又因?yàn)镃區(qū)大約為5GB，所以可以從3GB甚至4GB的位置開始搜索。為了保險，從硬盤的3GB的偏移位置開始搜索DBR，規(guī)則條件有:“55AA”在扇區(qū)結(jié)尾，扇區(qū)開始有FAT32的簽名(OEM和FAT32等字樣)，隨后扇區(qū)有比較整齊的FAT數(shù)據(jù)，向前63扇區(qū)是擴(kuò)展分區(qū)表等。滿足的條件越多，可能性越大，經(jīng)過一系列的比較和判斷(這種工作手工方法非常吃力)，終于找到了D區(qū)的DBR，也就是D區(qū)實(shí)際的第一個扇區(qū)，向前偏移63個扇區(qū)，發(fā)現(xiàn)擴(kuò)展分區(qū)表完好無損，這樣就找到了完整的擴(kuò)展分區(qū)。

第三步:在主分區(qū)表中寫入擴(kuò)展分區(qū)的起始和結(jié)束信息以及相關(guān)的內(nèi)容。

第四步:重新用DOS系統(tǒng)盤啟動，發(fā)現(xiàn)了原來的D區(qū)，數(shù)據(jù)完好無損，而E區(qū)由于是NTFS，無法訪問，但其實(shí)E區(qū)也沒有損壞。

　　通過這樣一番搜索，重建了丟失的擴(kuò)展分區(qū)分區(qū)表，100%恢復(fù)了重要數(shù)據(jù)分區(qū)D區(qū)。使用磁盤工具重建分區(qū)表的過程基本類似，都是通過分析相關(guān)的信息重建分區(qū)表。其實(shí)這次數(shù)據(jù)恢復(fù)經(jīng)歷，完全可以用Disk Genius工具來恢復(fù)，而且更加方便一些。

實(shí)例2:分區(qū)表、FAT表丟失的數(shù)據(jù)恢復(fù)

　　一個朋友拿著一個4GB的硬盤來找我，說啟動后看不到分區(qū)，但里面有一個重要數(shù)據(jù)文件，也沒有備份。
我把這塊有問題的硬盤接到我的電腦上，然后大概了解了一下硬盤的情況，詢問硬盤損壞的原因:打開電腦，無法啟動，主板似乎沒有自檢，懷疑主板壞了，換了一塊主板，發(fā)現(xiàn)只能在BIOS里面找到硬盤，而不能進(jìn)入系統(tǒng)，接到別的電腦上，也看不到分區(qū)。初步判斷為分區(qū)表丟失，如果僅僅是分區(qū)表丟了的話比較簡單……

第一步:粗略查看硬盤數(shù)據(jù)。運(yùn)行WinHEX(下載地址:http://sq3.onlinedown.net/down/winhex.zip)(見圖5)或RunTimes的磁盤工具DiskExplorer(下載地址:http://sq.onlinedown.net/down/diskexpl.zip)，選中需要的物理硬盤。然后拖動滾動條，瀏覽一遍整個硬盤，可以看到一些有意義的字符串，還可以見到大批的零數(shù)據(jù)，當(dāng)然更多是看不懂的內(nèi)容。這個沒有關(guān)系，至少目前說明硬盤沒有什么明顯物理損壞或邏輯壞道。

第二步:自動尋找。用EasyRecovery里面的工具試圖自動找到分區(qū)，但沒有成功。

第三步:試圖重建分區(qū)表。查看第一個扇區(qū)也就是MBR的內(nèi)容，發(fā)現(xiàn)分區(qū)表完全損壞。如果僅僅是分區(qū)表損壞，完全可以通過搜索分區(qū)，然后根據(jù)分區(qū)的偏移重建分區(qū)表。

第四步:了解分區(qū)情況，如硬盤分有幾個區(qū)，每個分區(qū)大概多大，分區(qū)格式是什么。經(jīng)過詢問，了解到電腦大概是1999年左右買的，裝的是Windows 98，不知道幾個分區(qū)，不知道分區(qū)文件系統(tǒng)是FAT16還是FAT32，不知道重要的數(shù)據(jù)保存在哪個分區(qū)，哪個目錄名。雖然一問三知，但至少知道是FAT，不是NTFS，而且很可能是FAT32(純屬猜測)。根據(jù)經(jīng)驗(yàn)，一般第一個分區(qū)從第64個扇區(qū)開始，這個扇區(qū)是分區(qū)的第一個扇區(qū)，對于FAT來說，是引導(dǎo)扇區(qū)，里面存儲著BPB數(shù)據(jù)。從起始扇區(qū)一直瀏覽到第64個扇區(qū)，前面扇區(qū)的數(shù)據(jù)都很混亂，不像是空白的樣子，懷疑被病毒改寫了，看這樣的癥狀，猜測是CIH，損壞BIOS，導(dǎo)致主板不能啟動，同時搞亂C區(qū)的數(shù)據(jù)。一直到遠(yuǎn)遠(yuǎn)超過了64個扇區(qū)的時候，也沒有看到可能是FAT引導(dǎo)扇區(qū)的扇區(qū)。直接搜索扇區(qū)尾部的55AA，搜索了一會，似乎沒有找到引導(dǎo)扇區(qū)。

第五步:尋找根目錄。找不到引導(dǎo)扇區(qū)，無法定位分區(qū)的開始，從而無法定位FAT文件分配表的位置。換個思路，根目錄一般就在FAT表后，挨著FAT表，所以決定搜索根?？纯雌渌娔X中Windows 98的根目錄，有MSDOS這個文件名，于是搜索MSDOS這個字符串。很幸運(yùn)，找到了，在大約第16700個扇區(qū)里面，然后倒退幾個扇區(qū)，發(fā)現(xiàn)了FAT表，F(xiàn)AT表一般是排列很整齊的數(shù)據(jù)。如果不知道FAT表是什么樣的，那么你打開你自己的硬盤，看看FAT的16進(jìn)制表示，就知道這個很整齊大概是什么樣子了。這樣看來，第一個分區(qū)大概在硬盤的8M(16700*512/1024/1024=8M)左右的位置開始的。 找一個磁盤編輯工具，如DiskExplorer，從目錄徑扇區(qū)的開始位置用根目錄的模式查看，熟悉的文件名字出現(xiàn)了，說明這里確實(shí)是根目錄所在的扇區(qū)。查看FAT表，似乎前面部分的FAT損壞了一部分，而后面的比較完好，同時 還是沒有找到引導(dǎo)扇區(qū)，看來引導(dǎo)扇區(qū)被破壞了。

第六步:再一次自動尋找。根據(jù)前面的信息，已經(jīng)可以推算出大部分的信息了，但是手工勞動比較辛苦，還是試一試自動化的工具。

　　于是，再一次運(yùn)行EasyRecovery，點(diǎn)擊“數(shù)據(jù)修復(fù)→AdvancedRecovery”，然后在彈出窗口中點(diǎn)擊只有當(dāng)所選硬盤沒有分區(qū)時，才可使用的“高級選項”按鈕。第一次自動尋找的時候，就是使用了缺省的設(shè)置，所以搜索失敗，根據(jù)前面的分析，設(shè)定搜索范圍從16000個扇區(qū)開始，分區(qū)類型選擇FAT32、FAT的匹配模式，同時選擇忽略FAT表(缺省時候是最佳匹配)，然后就可以看到EasyRecovery不斷的顯示出查找的文件。

第七步:導(dǎo)出重要數(shù)據(jù)?？梢哉fEasyRecovery恢復(fù)得還是比較成功的，恢復(fù)出了相當(dāng)多的目錄結(jié)構(gòu)，關(guān)鍵是我看到了Lock2000目錄，這就是我們要尋找的重要數(shù)據(jù)目錄。其他沒有關(guān)系的數(shù)據(jù)就不要了。存儲Lock2000目錄后，打開文件，發(fā)現(xiàn)大部分文件完全恢復(fù)，少部分在最后面出現(xiàn)了亂碼，也就是最后面的數(shù)據(jù)不太對。

　　歷時1個小時，數(shù)據(jù)恢復(fù)基本上是成功的。得到的教訓(xùn)是，要充分利用自動化工具。不過，隨著大硬盤的增多，自動化工具掃描一次非常費(fèi)時間，即使4GB的硬盤也是比較慢的，在實(shí)例一中搜索20GB的硬盤是很慢的，要有耐心。所以要注意收集信息，信息收集越充分，提供給自動化工具的信息越多，數(shù)據(jù)恢復(fù)的可能也越大，速度也越快。

小提示

　　前面講的2個例子都沒有備份數(shù)據(jù)，這是因?yàn)閷?shí)例一是分區(qū)表徹底損壞，而后來僅僅修改了分區(qū)表，所以不必備份數(shù)據(jù);實(shí)例二是因?yàn)楝F(xiàn)在的數(shù)據(jù)修復(fù)工具基本上考慮到了保存原始數(shù)據(jù)的必要性，一般不是直接在硬盤上操作，而是僅僅在內(nèi)存中重建FAT等操作，基本沒有寫硬盤的操作，因?yàn)闆]有對硬盤的寫操作，所以不需要備份數(shù)據(jù)。

　　但是重申一點(diǎn)，重要數(shù)據(jù)最好備份，否則一旦誤操作，就后悔莫及了。

實(shí)例3:誤刪除文件的恢復(fù)

　　對于誤刪除的文件，我們有很多選擇，如FinalData、Recover4ALL、EasyRecovery，這些軟件使用很簡單，直接按照向?qū)У闹甘揪涂梢粤恕?BR>
　　下面介紹一種手工恢復(fù)被刪除數(shù)據(jù)的方法，特別是使用這種自動化的方法恢復(fù)無效的時候，這種方法適合恢復(fù)有明顯特征的結(jié)構(gòu)簡單的文件，如文本文件的恢復(fù)。

　　微軟公司的VC6有個一直沒有修改的BUG:存儲寫好的程序代碼時，偶爾會彈出一個對話框無法存儲文件，這時必須再存一次才可以，如果你直接關(guān)閉VC6，就會發(fā)現(xiàn)剛才那個文件被刪除了。剛好我的一個朋友就遇到了這樣的BUG，他很費(fèi)勁才調(diào)試好的很長的文件就失蹤了。我先試用了前面介紹的軟件，結(jié)果找出很多以前刪除的文件，就是沒有需要的。沒有辦法的情況下，只好使用強(qiáng)行搜索的方法了。

第一步:運(yùn)行WinHEX，選擇菜單中的“Tools→Open Disk”，選擇誤刪除文件所在C區(qū)。

第二步:選擇“Search”菜單項，使用“Find Text”項，在打開的C區(qū)上直接搜索程序代碼中的特征串“增加了處理Reg_Expand_SZ”(見圖6)。

第三步:經(jīng)過一段時間后，把找到代碼所在扇區(qū)的前后幾個扇區(qū)全部復(fù)制下來(見圖7)，拷貝到一個新的文件中，這樣就找回了原來的代碼。

　　如果文件分散在分區(qū)的多個位置，還需要根據(jù)文檔的內(nèi)部結(jié)構(gòu)來重新組織文檔，才能徹底恢復(fù)數(shù)據(jù)。

　　誤格式化的原理與此非常類似，僅僅是快速格式化時，并沒有覆蓋原來的數(shù)據(jù)，所以可以恢復(fù)。

實(shí)例4:恢復(fù)被占用的空白空間

　　近日，在DOS下運(yùn)行Ghost的硬盤分區(qū)(Partition to Image)映像備份，將系統(tǒng)分區(qū)C區(qū)備份到另一磁盤E區(qū)時，意外發(fā)生了斷電。待來電時，進(jìn)入Windows后，卻收到了“磁盤空間不足”的報警，打開E區(qū)“屬性”，才發(fā)現(xiàn)不見了近1GB的磁盤空間，可是找遍了“E:”盤的每個角落，除了因備份失敗增加了一個0字節(jié)的Windows XPsp2.GHO映像文件外，沒有其他變化。

　　由于Ghost備份是在DOS下被意外中止的，會不會是造成了“磁盤中的簇丟失”？于是，運(yùn)行Windows磁盤掃描程序試試。在“我的電腦”中右擊E區(qū)圖標(biāo)，選擇“屬性→工具”，點(diǎn)下“查錯”中的“開始檢查”按鈕，在彈出的選框中把“自動修復(fù)文件系統(tǒng)錯誤”、“掃描并試圖恢復(fù)壞扇區(qū)”兩項選中，并按下“開始”，重啟電腦即可運(yùn)行針對E區(qū)的磁盤掃描了。

　　重新進(jìn)入Windows，打開“資源管理器”選取本地磁盤“E”，此時就E盤中會出現(xiàn)名為“FOUND.000”的文件夾(該文件夾為隱藏文件夾)，打開后就可見到占用磁盤空間的“原兇”──還原碎片文件“FILE0000.CHK”已在其中等候你的處置了，將它刪除即可。

感謝飛客網(wǎng)()提供部分資料