对-MFT偏移-的修正----亲历一次数据修复.docxVIP

对 MFT偏移 的修正 ---亲历一次数据修复? ? 前阵子，我在一次正常开机后，打开QQ空间，突然系统死机。点击鼠标无反应，按键ctrl+alt+del想杀进程确无反应，于是只好按主机reset键强制重启，结果RP爆发，百年一遇…? ? 重启后，无法进XP系统，用PE光盘进，发现C盘和E盘都提示“文件或目录损坏且无法读取”，于是用ptdd重建mbr，仍进不了系统。重启又进入PE，发现此250G的5个分区的硬盘中，E盘反而可以正常读取了，其他分区出现上面那个提示。用PTDD重建分区表，没解决。 后来在网上搜过“文件或目录损坏且无法读取”的解决方法，最多提到的是chkdsk /f, 但是在PE里，提示无法识别ntfs。于是只好把硬盘挂载到室友的电脑里，用chkdsk /f修复，修复后我在Xp双击这些分区，原来的C盘，F盘G盘依旧无法进入，还是那个错误提示。而D盘可以了。后来挂载到我电脑另一个硬盘的linux里，竟然能进F和G盘，里面有FOUND.000这类文件夹，在里面找到了不少修复回来的文件，随机在不同目录点了几个都能用。? ? 于是接下来要解决的问题有：? ? 1.同样全部是ntfs系统，为什么XP无法读取F和G分区，而linux可以？（虽然不可以在windows里读取，但至少在linux下可以把数据导出备份，成功了一点点）? ? 2.如果从数据修复的角度看，现在只剩下C分区了。头疼… PTDD，DISKGEN，还有用过一些磁盘错误扫描，都检查不出什么错误。（这里明显我是病急乱投医…）? ? 本着不修复好不罢休的精神吧，虽然C分区的数据真的没有了也不至于损失多惨重，可恰好我可以在另一个硬盘linux里的虚拟机里的XP上网，所以也不需要急用电脑而不得不重装系统。（双系统的好处之一 o(∩_∩)o ）之后是上网找专业论坛，搜索期刊。顺便做下广告，我觉得中国硬盘基地技术论坛不错。我也是第一次从这里知道可以用winhex修复数据。并且也通过搜索得知我的故障可能是MFT有错。在里面看过一句话，“你要是不会手动16进制写mft，不知道他的规则，计算方式。就别费劲了，你从现在学，学3个月有可能能学会”。天啊，估计我没这耐性，更主要是我还有不少事情做…不过我试着去了解吧，趁机能懂点东西也不错。于是，从一开始不懂mft，然后慢慢的去了解ntfs的文件系统…其实一共也不需花多少时间，中间快20天都忙着考试和找工。这里还有个小插曲，因为看过这方面的书，那时候印象较深，还去笔试面试了一个数据修复公司，吹吹自己会用winhex和其他修复软件，通过了。说1月中旬给个回复去不去，去的话开始实习了，不过待遇感觉太低所以不想了的。毕竟生活压力吧，还有综合考虑兴趣与待遇，还有发展。? ? 说点硬盘ntfs文件系统的，或许很多人也听过了。之前我没怎么了解，后来借此机会也趁机学学了。硬盘由引导扇区（Boot Sector）与各分区组成。不超过四个主分区，原因是主引导记录（MBR）里的分区表里只有64字节，一共只可描述4个分区表项，从winhex里看，描述一个分区表项用16字节。有人可以分七八个分区是因为用到扩展分区，现在我们的普遍分法是一个主分区+一个扩展分区，然后扩展分区又是由相应的EBR（即扩展MBR）里的分区表来描述。一个以Ｃ盘为主分区，ＤＥＦ为扩展分区的硬盘数据结构如下所示： ? 关于主引导记录MBR。一般都占用63个扇区，即从第0-62扇区（这里有个例外，虚拟机里我看过只有56个扇区），而实际有写入内容的一般只有一个扇区，及常说的0柱面0磁道1扇区。1个扇区512字节，MBR其实分三部分，1.引导代码446节 2.分区表64字节 3.结束标记55AA，及2个字节。 ? ? ? 如果，两蓝色竖线把第一个扇区划分为三部分，及上述的MBR三部分。两蓝竖线间为分区表。每16字节为一个分区表项，两个紧挨着的数字为一个字节。第一个分区中：第一个红色框内80代表活动分区。绿色框01 01 00代表磁头号、扇区号、柱面号。第一个蓝色框07代表NTFS分区。紧接着三条绿横线，分别是本分区结束磁头号、扇区号、柱面号，然后是本分区之前已用的扇区数（3F000000，必须倒过来，即0000003F，转为10进制63，即MBR要占用63扇区，注意MBR是不属于磁盘第一个分区!），最后是本分区的总扇区数（E5588101,倒过来，018158E5,即扇区512/1024/1024/1024=12.04G）第二个分区：第二个红色框00表示非活动区。绿色框00 C1 FF代表磁头号、扇区号、柱面号。第二个蓝色框0F代表扩展分区。三条绿线所表达的也与上面相同。（注意这里的第二个分区代表扩展分区，切勿与通常的D盘