數據恢復經驗談
介紹：
硬盤作為用戶存儲數據的主要場所，其最大的用途莫過于存儲數據，但有時往往由于用戶操作不甚等原因，造成用戶數據的丟失。如果對于普通用戶，數據對用戶相對而言并不重要，那么丟了就丟了，沒太大關系；但如果數據對用戶很重要（對于這類用戶，AWU推薦應經常備份數據），這時數據丟失了怎么辦呢？此文就是通過一次對硬盤數據的恢復過程分析來簡要說明一下硬盤數據恢復的大概方法，希望對大家恢復硬盤數據有一定的積極作用。
相關概念：
MBR（MAIN BOOT RECORD）即主引導記錄區，它位于整個硬盤的0磁道0柱面1扇區，包括硬盤引導程序和分區表。
DBR（DOS BOOT RECORD）即操作系統引導記錄區，通常位于硬盤的0磁道1柱面1扇區，是操作系統可直接訪問的第一個扇區，它也包括一個引導程序和一個被稱為BPB（BIOS PARAMETER BLOCK）的本分區參數記錄表。每個邏輯分區都有一個DBR。
FAT(file allocation table)即文件分配表，是dos,windows9X系統的文件尋址格式，為了數據安全起見，FAT一般做兩個，第二FAT為第一FAT的備份。
DIR 是DIRECTORY即根目錄區的簡寫，DIR緊接在第二FAT表之后。
估計數據丟失原因：
1、安裝多系統引導軟件后，異常操作造成。
2、遭到某種病毒感染。 數據丟失前狀態：2.5G 硬盤，原分區為：C：2G + D：500M，D盤裝有重要數據。兩分區均為FAT16格式。
數據丟失過程：
一次系統重啟后，D盤丟失。
數據丟失后的操作：
該客戶曾用FDISK重新分區，試圖按原分區大小再造分區，未果。但沒有格式化D盤，只格式化了C盤并重裝系統。
客戶的數據修復要求：
恢復D盤根目錄下”數碼相機”目錄內所有文件。
所用工具：
NORTON DISK DOCTOR：diskedit.exe
數據修復過程：
一、 數據備份：主要包括物理0磁道各扇區，各分區邏輯0磁道，FAT表和根目錄區等，再配以GHOST備份各分區的數據區。
二、 分析該硬盤的主引導扇區MBR（包括主分區表和引導程序）、各分區的引導扇區DBR、FAT表及根目錄區。
由于已經重新分區并能順利啟動C盤（拋開病毒原因），故MBR的邏輯結構應該沒問題，通過DISKEDIT察看MBR所在的0磁道第一扇區，證實估計正確，但現分區表與原分區表是否完全一致，還不能確定。
通過分區表，可以查找到各分區的引導扇區所在的物理位置，分析后可確定C盤的各項重要數據(引導扇區、第一FAT表、第二FAT表、根目錄區)均沒有異常，但D盤除了引導扇區DBR外、上訴的其他數據均無法對應，DBR之所以無異常，是因為重新分區的結果，而FAT1、FAT2和根目錄區面目全非的原因，大致應該有兩種可能：一是現分區與原分區不一致，導致數據對不上號；二是數據已被病毒破壞。
由于在察看MBR時，發現0磁道的其他扇區留有不明程序的殘余代碼，通過察看其中的一些顯示信息，可以判定是某種多系統軟件留下的，說明客戶曾經安裝過多系統管理軟件。這樣大致可以排除病毒破壞分區的可能，分區丟失應該是異常操作多系統管理軟件引起的。
三、 尋找原有分區 根據前面的分析，由于客戶在數據丟失后又進行了重新分區，而且估計現有的分區與原來的分區不一致，這樣無疑加大了數據修復的難度，但幸好沒有格式化D盤，因為如果單單只是FDISK，只會改寫原硬盤的各分區的第一扇區，如果這個扇區不落在原分區的重要參數區（DBR、FAT、根目錄）上，那么修復的成功率還是挺高的。 接下來就是尋找原有D盤的重要數據區了，根據客戶提供的資料可知，原D盤根目錄下有一叫”數碼相機”的子目錄，于是用DISKEDIT提供的搜索功能，搜索”數碼相機”對應的十六進制代碼，可以找到原有D盤的根目錄區。歷時30分鐘，通過過濾搜索結果，最終找到該根目錄所在的扇區，然后順藤摸瓜，向前翻過兩個FAT表（根據經驗大概400-500個扇區）找到原D盤的DBR所在的扇區，接著再向前翻63個扇區，找到原D盤的分區表，至此，最困難的問題攻克了。
四、 重建主分區表 因為客戶后來用FDISK重新建立的主分區表與原來的分區表并不一致，故必須手工重建原分區表，通過前面找到的原D盤分區表和原D盤的DBR，可以計算出主分區表。包括各分區的起始、結束扇區、分區大小、分區類型等。算出結果后，改寫0磁道1扇區的主分區表。
五、 重啟系統，出現原D盤，所有文件基本全部恢復?？截惓?#8221;數碼相機”目錄，做好備份。通知客戶取回數據。
有關本次案例的說明：
1、 數據備份時，不要過分相信ghost，ghost只認正確的分區，對于隱藏的分區它不會復制。對于不正確的分區，它會報告錯誤并停止復制過程。Ghost 并非一個純粹意義上的全盤復制軟件，它只復制那些FAT表上存在的文件，而非復制磁盤上所有的數據！
2、 走運的是，該客戶重新分的D盤剛好比原D盤大幾個磁道，故新的D盤分區表被建在原C盤最后端的數據區中。所以本次基本上可以說是100%恢復了原D盤的數據了。
3、 更走運的是，該客戶沒有重新格式化D盤，不然就不可能有那么高的恢復率了。
給讀者的建議：
在硬盤數據出現丟失后，請立即聯系當地的數據修復公司。最好不要再對硬盤進行寫操作，那樣會增大修復的難度，也影響到修復的成功率。
有關作者對硬盤數據修復的想法和文章，可到我的家庭網站www.familyliu.net查閱，歡迎有相同志趣的朋友和我一起探討：birch@21cn.com
