数据恢复教程.doc

连邦IT服务中心--------教程系列 芯片级维修教程---数据恢复  数据恢复分两大类：硬件恢复和软件恢复。 所谓硬件恢复按存储介质有：硬盘、U盘、存储卡、软盘、光盘等等硬件损坏的数据恢复。 就硬盘物理损伤【盘体坏道、电路板芯片烧毁、盘体异响等故障】所导致的数据无法看见与导出，只有设法让硬盘处于“正常工作状态”，才能导出数据。 所谓软件恢复按问题分有：人为故障或者病毒破坏所造成的数据丢失（如误删除、误格式化，误分区等等）。 要深刻牢记的是：数据不能被二次破坏、覆盖！ 掌握数据恢复的要领：问、看、摸、听、备份。 问------接到维修件时要询问用户相关情况与使用过程【如：插上硬盘不开机、系统不启动、下载文件后出问题等等】。 看------线路板的完整性【有无烧焦的元件、是否有维修的痕迹等】。 摸-----维修件的温度情况【如：线路板是否温度过高和元器件烫手等】。 听-----维修件有无异响情况。 备份-----在恢复数据之前最好先将原盘镜像。【特别是病毒攻击的和服务器硬盘一定要先镜像原盘。】 一、硬件恢复数据 硬件修复的准备工作：常用维修工具与常用配件（如线路板、芯片、晶振等等）。 当硬件修复后遇到扇区坏道得情况，还得借助有关软件工具和硬件工具才能基本完好的导出数据。 二、软件恢复数据 软件恢复数据又分普通软件恢复、特殊软件恢复和手工恢复数据。 普通软件恢复------有EasyRecovery Professional、R-Studio、FinalData、易我、数据恢复大师等等常用恢复软件。 特殊软件恢复------有PC3000和效率源等固件刷写工具。 手工恢复数据------借助相关工具[如：WinHex] 用十六进制编辑器改写代码的方法还原数据。 手工恢复数据 手工恢复数据恢复成功率比较高，而且比较有趣味和挑战性，能找回许多傻瓜似的软件所找不回来的文件，但是要求工程师一定要有耐性，而且一定要保持清醒，清楚自己正在操作什么，操作完了会有什么后果，能不能退回到上一步状态。特别是对一些破坏性操作，一定要考虑周到，只要条件允许，就一定要在操作之前进行备份，否则会造成“血”的教训，切记！！！ 手工恢复MBR、DBR、FAT，需要大量的计算。使用Winhex手工恢复数据之后，结合数据恢复软件会使数据恢复成功率大大提高，但有一些软件在扫描过程中会对原盘破坏数据，在使用中一定要谨慎！！！而且同一个软件，一个新手用和一个老手用数据恢复成功率绝对是不一样的。 关于二进制、十六进制、八进制它们之间的转换就不多讲了，因为他对我们数据恢复来说帮助不大，而且很容易把我们搞晕。 手工数据恢复主要用十六进制编辑器：Winhex （数据恢复首选软件）与KVFIX等。 我们先了解一下数据结构： 下面是一个分了三个区的整个硬盘的数据结构 MBR C盘 EBR D盘 EBR E盘 MBR（Main Boot Record），即主引导纪录。通常位于整个硬盘的1磁头1磁道0柱面0扇区（即整个硬盘的第一扇区），共占用了63个扇区，但实际只使用了1个扇区（512字节）。在总共512字节的主引导记录中，MBR又可分为四部分：第一部分：引导代码，占用了440个字节（其地址在偏移0~1B7H处）；第二部分：Windows磁盘签名，占用了6字节（其地址在偏移1B8H ~1BDH处）；第三部分：分区表，占用了64字节（其地址在偏移1BEH ~1FDH处）；第四部分：55AA，结束标志，占用了两个字节（其地址在偏移1FEH ~1FFH处）。后面我们要说的用winhex软件来恢复误分区，主要就是恢复第三部分：分区表。引导代码的作用：就是让硬盘具备可以引导的功能。如果引导代码丢失，分区表还在，那么这个硬盘作为从盘所有分区数据都还在，只是这个硬盘自己不能够用来启动进系统了。如果要恢复引导代码，可以用DOS下的命令：FDISK /MBR；这个命令只是用来恢复引导代码，不会引起分区改变，丢失数据。另外，也可以用工具软件，比如DISKGEN、WINHEX等。Windows磁盘签名是Windows系统对硬盘初始化时写入的一个磁盘标签，Wndows系统依靠这个签名来识别硬盘，如果这个签名丢失，Windows系统就认为该硬盘没有初始化。但分区表如果丢失，后果就是整个硬盘一个分区没有，就好象刚买来一个新硬盘没有分过区一样。是很多病毒喜欢破坏的区域。EBR（Extended Boot Record），也叫做扩展MBR（Extended MBR）。因为主引导记录MBR最多只能描述4个分区项，如果想要在一个硬盘上分多于4个区，就要采用EBR扩展引导记录的办法。MBR、EBR只有将硬盘进行分区后才能产生。 比如MBR和EBR