数据恢复常识

数据恢复常识

磁盘在正常情况下，数据的保存往往是不受重视的。但是，一旦磁盘的软件或硬件部分受到损害，我们的一些重要的数据可能就会永远无法恢复，所以懂一点数据存储和恢复的常识是非常重要的。

数据恢复诚然需要大量的专业知识，但简单的数据恢复却是我们每一个人都能完成的。另外，根据数据的存储原理和存储介质的特性，丢失的数据可以通过专业人员和专业设备得到相当程度的恢复。只是单纯的对存储介质进行覆写，乃至从物理上破坏存储设备，都不能保证数据不会被恢复出来。在一些拥有尖端设备的实验室中，既使被覆盖多次的磁盘，也可能被还原出最早存储在上面的磁性信号。这种情况对那些需要恢复他们宝贵数据的用户来说可能是个令人激动的消息。

本文仅就数据恢复的最基本原理和方法作一些介绍，帮助大家了解磁盘使用的一些好习惯，能进行一点最基本的数据恢复。

●数据的格式化：

硬盘在存储数据之前，一般需经过低级格式化、分区、高级格式化这三个步骤之后才能使用。其作用是在物理硬盘上建立一定的数据逻辑结构。

◇低级格式化的主要功能：

低格一般在出厂前就完成了。它的作用是检测硬盘磁介质，划分磁道，为每个磁道划分扇区，并根据用户选定的交叉因子安排扇区在磁道中的排列顺序等。当硬盘出现了很严重的错误，用分区、高级格式化等方法都无法解决（如病毒等），以及硬盘出现坏道时，可以用低格来清零和屏蔽相关扇区。低格会全部删除数据，较早的低格软件也容易损害硬盘。

◇分区和格式化概念：

新买来的硬盘，就像一张面积相当大的白纸，我们必须把它分成几个区域，这就是分区(DOS下分区命令为Fdisk)。格式化就相当于我们在白纸上打格，这样我们才能整齐、有序的在纸上写字。高级格式化是在分区建立系统启动引导区，建立如FAT32、NTFS的文件系统，以及确定文件簇大小等（DOS下高级格式化命令为Foramt）。

◇RAW：

RAW指未格式化的磁盘（即原始的，未经加工的。RAW也是Windows默认的一种光盘文件系统），一些U盘中毒之后或一些误操作，也可能是系统出些故障，都会使其文件系统变为RAW，硬盘有时由于系统的原因也可能变成这种情况。

●数据恢复的基本前提和原则：

数据恢复通常只能在数据文件删除之后相应存储位置没有写入新数据的情况下进行。所以在数据丢失后，一般不能再对磁盘进行读写操作。因为一旦新的数据写入， 1

磁粒子极性将无可挽回的被改变从而使得旧有的数据真正意义上被清除。

文件被覆写后，有时虽然能找到文件的文件名及部分真实的数据内容，但文件往往是不能使用的。

首先，数据恢复时应启动其它磁盘上的操作系统来操作，而把数据盘作为从盘来使用。

因为在系统启动后，系统盘及虚拟内存等系统文件所在的磁盘上的被删除数据，有可能会被系统文件所覆盖。另外，同一磁盘的各种其它文件操作也会使丢失的数据容易被覆写。

因此，数据恢复时，可以从另一块硬盘或从U盘、光盘启动系统，在PE或DOS下操作要恢复数据的硬盘。也可以在硬盘启动菜单中选择启动DOS系统来操作，如maxdos等。

其次，在使用第三方软件进行数据扫描、恢复的时候，不能把恢复出来的数据，直接放置到数据原位置，这样会造成上述的数据覆盖。另外，还要确保保存的位置有足够的容量。

最后，数据恢复时，可以只针对一类或少数几类文件进行恢复，以加快恢复的速度。应着重恢复用户的文档、图片等内容，尽量不对系统文件进行恢复。

●数据恢复的简单原理和方法：

◇删除恢复：

FAT分区中，文件删除无非是在FDT中将第1字符改成“E5”，DATA区将首字节改为“0E”，格式化也不能根本删去。这种数据只要没有经过覆盖，大部分都能正常恢复。

文件恢复软件就是查找并分析磁盘上的文件头，找出其中做过删除标记的文件并尝试重写其被改写的两个代码，以进行数据恢复。文件恢复软件的原理都是大同小异，不同的只是它们对文件头的扫描以及恢复分散存放的文件数据的能力。

系统的分页文件（虚拟内存）通常都会存放在系统分区，而操作系统会随时对其进行读取，也就是说不管我们是否写入新文件，被删除的文件随时都可能被系统写入的数据所覆盖。

完整恢复被新数据覆盖了的文件的可能性是非常渺茫的，所以尽量不要将重要文件存放在系统所在分区。

发现文件被误删后不要再进行保存文件、拷贝文件、下载或者安装等任何可能导致数据被覆盖的操作。尽快使用文件恢复软件进行扫描并尝试进行恢复。

刚删除的文件在FAT表中处于较靠前的位置，如果自己误删了文件又被马上发现，那么在用软件恢复时，可以在扫描了百分几的进度后，就终止扫描，一般都能找到。如果没找到您的目标，可以按此进度（需先“保存进度”）继续扫描，不必从头开始一次。如果您要扫描所有的文件，那么可能会有数万个甚至10多万个已经删除文件的列表。因为不同时期可能产生过使用同一个文件名的几个文件，此时您要找自己想恢复的目标就比较困难了。

2

NTFS分区中，删除一个文件时，系统至少在三个地方做了改变：

(1)该文件MFT头偏移16H处的字节置0，表示文件被删除。

(2)其父文件夹的INDEX_ROOT属性（90H属性）或者INDEX_ALLOCATION（A0H属性）；

(3)在位图（$Bitmap）元数据文件中把该文件所占用的簇对应的位置置0，表示腾空。

我们要手工恢复数据的话，按照上面原理，可分为下面几步进行：

第一步：首先要找到MFT。

第二步：MFT的第一个文件记录称为基本文件记录（大文件还可能有多个记录），当中存储有其他扩展文件记录的一些信息。

第三步：通过文件记录的INDEX_ROOT索引根、INDEX_ALLOCATION索引分配以及位图Bitmap对被删文件加以确认和定位。找到该文件在数据区中的存储位置。

第四步：恢复该文件。进行数据恢复时，所做的修改，其实并没有写回到原文件属性上。这就有效的避免了被访文件的再次破坏。

◇格式化恢复：

Format命令也只是重写FAT和DBR，因此分区被误格式化而导致的数据丢失，并没有把DATA区的数据清除（除非你使用了“Format X: /U”全面格式化命令，强制对每一扇区写“F6”）。

硬盘分区虽然也是一种格式化的删除操作，但它也只是建立或修改了MBR和DBR，绝大部分的DATA区的数据并没有被改变，这也是许多硬盘数据能够得以修复的原因。

如果分区改变后要恢复原来的数据，应该先恢复原来的分区表，才进行下一步操作。可用DISKGEN或PTDD等重建分区表，搜出来的分区需要检查大小和位置是否正确。找到了正确的分区后，就可以直接修复了。

但即便如此，MBR，DBR，FAT，DIR之一被破坏的话，我们的数据也无法正常读取。

如果是MBR部分出了问题,即使只是“55AA”标志字丢失或被改为其他值，通常都会出现“无效分区表”、逻辑盘丢失、启动死机等现象。

如果是DBR部分出了问题，通常会出现“未格式化的分区”的错误提示。

当分区出现“未被格式化，是否要将其格式化”提示时，分区若有重要数据则一定不要将其进行格式化，因为格式化后，格式化程序从新建立新的文件系统。此时，可直接用恢复软件进行恢复，也可以用WinHex等工具恢复系统备份的DBR。

DBR备份位置：FAT32分区为DOS逻辑扇区第6扇，NTFS在其分区最后的1扇区。

如果你经常整理磁盘，那么你的数据区的数据可能是连续的，这样即使MBR/FAT/

DIR全部坏了，我们也可以使用磁盘编辑软件只要找到一个文件的起始保存位置，那么这个文件就有可能被恢复。

◇磁盘损坏的恢复：

由于硬盘损坏（缓存写入失败，硬盘文件无法正常读取、删除等）而导致的数据丢失，现阶段无法处理。即便用软件扫描恢复，恢复出来的数据也无法再使用，如： 3

图片文件提示损坏无法打开浏览，文档恢复后打开乱码。

“磁盘结构损坏且无法读取”提示出现的原因：1.突然关机；2.硬盘没有正常通过系统卸载；3.病毒破坏。如果用chkdsk等进行修复，往往会造成更严重的数据破坏。

对于有坏道的磁盘可制作磁盘镜像，将磁盘数据完全镜像到了一块正常的磁盘上面，这样在对这块镜像的磁盘做恢复操作就不会再有坏道的干扰了。

制作磁盘镜像的方式有很多，如使用WinHex或效率源来制作。WinHex正如其名，是Windows下的十六进制编辑软件。能自动的分析分区链和文件簇链，并能以不同的方式进行不同程度的备份，直至克隆整个硬盘。

坏道使硬盘数据不能正常读出，若需恢复数据，千万不可进行硬盘坏道修复，必须首先恢复数据！

●使用的好习惯：

1. 经常检查磁盘，重要数据经常备份。HD Tune检查磁盘快捷方便，使用简单。不应把重要文件放在系统盘，如我的文档、收藏夹、QQ个人记录、Download等。除此之外，还应对分区表、注册表等进行备份。

2．防范病毒等对数据的破坏，不要在存储设备运行的时候突然断电，注意保持存储设备周围环境的温度、湿度和洁净程度，经常对设备进行软硬件的维护等。

3. 定期对磁盘等存储设备进行碎片整理是一个很好的操作习惯。在恢复误删除文件的时候，如果这个文件的存储位置非常分散，任何一个部分的损坏都可能造成整个文件无法还原。而进行数据整理可以使文件的存储位置尽量连续，这样可以在很大程度上增加恢复的成功率。既使必须利用一些16进制工具手动恢复数据，也可以大大降低工作难度和强度。

4. 尽量使用强壮的文件系统，比如在允许应用NTFS的时候就不要选择FAT文件系统。因为NTFS的文件索引（MFT）是保存在硬盘中间的，使用该索引进行数据恢复可以提高处理速度和成功率，并且较之FAT分区，NTFS的文件索引安全性更高。

5.重要数据丢失后，应尽快处理。在恢复前首先应停止一切操作，不要再分区和格式化，也不要随意地进行各种扫描，因为这些都有可能损害要恢复的数据。仔细分析后，先解决或避开磁盘硬件问题，再进行数据恢复。自己不能解决，就应求助于专业人员。

●磁盘碎片整理的好处：

1.可以减少磁盘寻道时间。

2.加快磁盘读写文件的速度。

3.可以延长磁盘的使用寿命。

4.给日后恢复数据打下良好的基础。

但是过频地整理对磁盘是有损害的，也是不必要的。

●U盘数据丢失的原因：

4

1.不小心执行了误格式化操作；

2.计算机病毒破坏；

3.计算机USB接口或U盘自身的电路故障；

4.不正确的在计算机USB接口上插拔U盘；

5.不小心在U盘上误删除了文件；

6.计算机U盘接口或U盘自身的电路故障；

7.由于软件错误，U盘中的文件系统变为Raw格式；

8.插入U盘后，系统提示U盘需要格式化。

U盘数据恢复如果是硬件问题，建议您请专业数据恢复公司的专家来恢复U盘中的数据。如果不是硬件问题，那么，U盘数据恢复和普通硬盘数据恢复没什么区别。

●正常文件系统变成raw文件系统的原因：

S XP下的分区的文件系统是EXFAT。安装EXFAT补丁，并重启电脑就行了。

2.如果点击盘符电脑会很卡，则说明这个分区的关键区域有坏扇区难以读取，需要用工具把整个盘镜像出去再去恢复数据。

3.如果是无缘无故的出现未格式化，那么很可能是文件系统结构损坏。

4.如果是U盘或内存卡出现未格式化，需要右击我的电脑-管理-磁盘管理，看下设备状态是否良好。如果是良好是软故障，如果无媒体或不可读取那么是硬件故障。

●硬盘损坏的特征:

1.电脑出现下面三个蓝屏信息，在排除其他软件故障后，很可能就是硬盘出了问题。

◆0x00000077: KERNEL_STACK_INPAGE_ERROR

◆0x0000007B: INACCESSIBLE_BOOT_DEVICE

◆0x000000ED: UNMOUNTABLE_BOOT_VOLUME

2.硬盘无法引导，可以看到盘符，但不能进么操作，或是无法看到盘符。

3.文件名或文件内容乱码，文件夹错乱。

4.每次开机后，都会自动进行磁盘扫描，如果程序能很顺利的通过，就表示硬盘有软坏道。如果很慢，或是虽然可以通过但显示了“B”，表示硬盘出现了物理坏道。

5.每次对同一文件或文件夹进行任意操作(如打开、复制等)时，系统长时间无响应、死机，甚至出现“嘎啦”声，或提示无法读写文件。

6. Windows提示“无法读取或写入该文件”，杀毒时在扫描过程中死机。

7. 出现Hard disk drive failure、Hard drive controller failure、Sector not found或General error in reading drive C等信息时。

一般来说，硬盘坏道分为“按逻辑地址记录的坏扇区”，(逻辑坏道，软坏道)及“按物理地址记录的坏扇区”(物理坏道)两种。前者一般用软件可以修复，如上面的1、2、3、4；而后者为物理损坏，如上面的4、5、6、7，可以用隐藏的方法维修。

如果硬盘出现了坏道最好马上处理，以免扩散。

5

●P-list(永久缺陷表)与G-list(增长缺陷表):

由于硬盘是极其精密的硬盘，所以不可以100%的完美，大多硬盘在出厂时都有有一定缺陷，厂家在硬盘出厂前对硬盘进行低级格式化，把找到的坏道，坏扇区记录在P-list中，而在使用时，将无法见到这些坏道，不会影响用户使用。P表能存放4000左右的坏道或更多。

而随着硬盘的使用，就会出现坏道，但硬盘具备自动修复功能:当硬盘发现了一个坏扇区时，自动分配一个备用的扇区替换该扇区，然后将这个坏扇区及替换记录保存在G-list中。G表大约能存放几百个到一千左右的坏道。比如早期的火球系列限度是500，超过限度，就无法修复了。有些硬盘的自动修复机制的激发条件很严格，需要如DM等软件来判断，所以用这些软件可以消除一些“坏道”。

Mhdd也是一款非常不错的硬盘坏道修复软件，它可以同HDDREG等配合使用来消除坏道。

●硬盘不能正常启动的原因：

1．电源容量偏小，冷启动时负荷重。

2．硬盘驱、控本身故障（撞击、擦刮声）。

3．主板对应电路元件（PG时序配合等）。

4．机箱形变使硬盘位置变化。

5．为一“白盘”。

6．系统被破坏（软盘等启动应看到硬盘）。

7．电源线、数据线故障。

8．硬盘接口电路有问题。

9．有物理缺陷（坏块、坏道）。

10．不同品牌、容量、转速的两HDD接在同一电缆上，没有认主从盘。

●HDD容量变化原因：

1.有坏块、坏道。

2.大量文件丢失，但未释放占用空间。

3.病毒占用空间（蠕虫）或禁用部分硬盘的物理区域。

●硬盘维护：

1.避免撞击。

2.机箱质量过关。

3.减少电压波动。

4.减少振动摇晃。

总线不能处于非标外频下（一般为33MHz）。

6.避免热插拔。

7.防潮（吹风、启动Pause30分钟、预热）。

8.防止刺破外壳换气孔。

9.防止机箱过热。

10．减少静电和灰尘的影响，避免将HDD放在机箱上。

6

11．修补坏道：PQ、FBDISK等，坏区隐藏后不能用FDISK等分区软件把它激活。

12．防止误删或用错误的文件覆盖了有用数据，预防应用程序特别是备份程序的异常中止。

●HDD提示错误的原因和解决方法：

disk drive failure。 （硬件方面出错的可能性大。一般为CMOS错，数据线电源线、供电端口、接口电路等方面故障，逻辑或物理坏道坏块等）。

system disk or disk error或 Non-System disk or disk error，replace disk and

press a key to reboot” （一般为操作系统出错或损坏。已检测到HDD，但BOOT区中的系统文件名与根目录中的前两个文件不同。可用SYS命令重新传递系统，或Fdisk /mbr，重写主引导记录。可读则重装OS，不可读则FAT坏、0磁道坏等）。

controller failure , press F1 to resume （未测到HDD，数据线电源线或接口松动、信号线接反、跳线错）。

not reday error ,Insert boot diskette in A press any key when ready （CMOS无电，信息丢失，更换CMOS电池）。

not present （CMOS错、连接问题）。

6.读写错（能启动OS）：软件修复。

load operating system （读Dos引导记录出错，可重建BOOT区）。

g operating system （表示DOS引导记录无有效标志55AAH，或MBR坏等）

d partition table （“无效分区表”,没有或存在两个以上活动分区）。

ROM Basic，System Halted”（不能进入ROM Basic，系统停止响应，分区表遭破坏）。

Boot Failure （读系统文件错误，可用SYS命令重新传递系统或Fdisk /mbr）。

d Driver Specification （分区丢失，DPT被破坏，重建或修复DPT）。

DISKGEN（磁盘精灵），其分区管理功能强大，兼容性强，适应广，速度快，也是最好的数据恢复工具之一。用它来重写主引导记录、保存和寻找分区表、无损调整分区以及数据的恢复等都是很方便和强大的。

另外，其在DOS、PE和WINDOWS（包括WIN8）系统下DISKGEN都能运行。

DiskGenius 软件网站： / 。

数据恢复软件哪个好： /knowledge/#01 。

7