數(shù)據(jù)恢復(fù)技術(shù)大全40086

1、一、數(shù)據(jù)恢復(fù)基礎(chǔ)知識(shí)說(shuō)到數(shù)據(jù)恢復(fù)，我們就不能不提到硬盤(pán)的數(shù)據(jù)結(jié)構(gòu)、文件的存儲(chǔ)原理，甚至操作系統(tǒng)的啟動(dòng)流程，這些是你在恢硬盤(pán)數(shù)據(jù)時(shí)不得不利用的基本知識(shí)。即使你不需要恢復(fù)數(shù)據(jù)，理解了這些知識(shí)（即使只是稍微多知道一些），對(duì)于你平時(shí)的電腦操作和應(yīng)用也是很有幫助的。我們就從硬盤(pán)的數(shù)據(jù)結(jié)構(gòu)談起吧……1、硬盤(pán)數(shù)據(jù)結(jié)構(gòu)剛出廠一塊硬盤(pán)，我們是沒(méi)有辦法使用的，你需要將它分區(qū)、格式化，然后再安裝上操作系統(tǒng)才可以使用。就拿我們一直沿用到現(xiàn)在的Win9xMe系列

2、來(lái)說(shuō)，我們一般要將硬盤(pán)分成主引導(dǎo)扇區(qū)、操作系統(tǒng)引導(dǎo)扇區(qū)、FAT、DIR和Data等五部分（其中只有主引導(dǎo)扇區(qū)是唯一的，其它的隨你的分區(qū)數(shù)的增加而增加）。主引導(dǎo)扇區(qū):主引導(dǎo)扇區(qū)位于整個(gè)硬盤(pán)的0磁道0柱面1扇區(qū)，包括硬盤(pán)主引導(dǎo)記錄MBR（MainBootRecd）和分區(qū)表DPT（DiskPartitionTable）。其中主引導(dǎo)記錄的作用就是檢查分區(qū)表是否正確以及確定哪個(gè)分區(qū)為引導(dǎo)分區(qū)，并在程序結(jié)束時(shí)把該分區(qū)的啟動(dòng)程序（也就是操作系統(tǒng)引導(dǎo)扇

3、區(qū)）調(diào)入內(nèi)存加以執(zhí)行。至于分區(qū)表，很多人都知道，以80H或00H為開(kāi)始標(biāo)志，以55AAH為結(jié)束標(biāo)志，共64字節(jié)，位于本扇區(qū)的最末端。值得一提的是，MBR是由分區(qū)程序（例如DOS的Fdisk.exe）產(chǎn)生的，不同的操作系統(tǒng)可能這個(gè)扇區(qū)是不盡相同。如果你有這個(gè)意向也可以自己去編寫(xiě)一個(gè)，只要它能完成前述的任務(wù)即可，這也是為什么能實(shí)現(xiàn)多系統(tǒng)啟動(dòng)的原因（說(shuō)句題外話:正因?yàn)檫@個(gè)主引導(dǎo)記錄容易編寫(xiě)，所以才出現(xiàn)了很多的引導(dǎo)區(qū)病毒）。操作系統(tǒng)引導(dǎo)扇區(qū)：O

4、BR（OSBootRecd）即操作系統(tǒng)引導(dǎo)扇區(qū)，通常位于硬盤(pán)的0磁道1柱面1扇區(qū)（這是對(duì)于DOS來(lái)說(shuō)的，對(duì)于那些以多重引導(dǎo)方式啟動(dòng)的系統(tǒng)則位于相應(yīng)的主分區(qū)擴(kuò)展分區(qū)的第一個(gè)扇區(qū)），是操作系統(tǒng)可直接訪問(wèn)的第一個(gè)扇區(qū)，它也包括一個(gè)引導(dǎo)程序和一個(gè)被稱(chēng)為BPB（BIOSParameterBlock）的本分區(qū)參數(shù)記錄表。其實(shí)每個(gè)邏輯分區(qū)都有一個(gè)OBR，其參數(shù)視分區(qū)的大小、操作系統(tǒng)的類(lèi)別而有所不同。引導(dǎo)程序的主要任務(wù)是判斷本分區(qū)根目錄前兩個(gè)文件是否為

5、操作系統(tǒng)的引導(dǎo)文件（例如MSDOS或者起源于MSDOS的Win9xMe的IO.SYS和MSDOS.SYS）。如是，就把第一個(gè)文件讀入內(nèi)存，并把控制權(quán)交予該文件。BPB參數(shù)塊記錄著本分區(qū)的起始扇區(qū)、結(jié)束扇區(qū)、文件存儲(chǔ)格式、硬盤(pán)介質(zhì)描述符、根目錄大小、FAT個(gè)數(shù)、分配單元（AllocationUnit，以前也稱(chēng)之為簇）的大小等重要參數(shù)。OBR由高級(jí)格式化程序產(chǎn)生（例如DOS的）。文件分配表：FAT(FileAllocationTable)即

6、文件分配表，是DOSWin9x系統(tǒng)的文件尋址系統(tǒng)，為了數(shù)據(jù)安全起見(jiàn)，F(xiàn)AT一般做兩個(gè)，第二FAT為第一FAT的備份FAT區(qū)緊接在OBR之后，其大小由本分區(qū)的大小及文件分配單元的大小決定。FAT的格式歷來(lái)有很多選擇，Microsoft的DOS及Windows采用我們所熟悉的FAT12、FAT16和FAT32格式，但除此以外并非沒(méi)有其它格式的FAT，像WindowsNT、OS2、UNIXLinux、Novell等都有自己的文件管理方式。目錄

7、區(qū)：DIR是Directy即根目錄區(qū)的簡(jiǎn)寫(xiě)，DIR緊接在第二FAT表之后只有FAT還不能定位文件在磁盤(pán)中的位置，F(xiàn)AT還必須和DIR配合才能準(zhǔn)確定位文件的位置。DIR記錄著每個(gè)文件區(qū)，其余的動(dòng)作和上邊的讀取動(dòng)作差不多。文件的刪除看了前面的文件的讀取和寫(xiě)入，你可能沒(méi)有往下邊繼續(xù)看的信心了，不過(guò)放心，Win9x的文件刪除工作卻是很簡(jiǎn)單的，簡(jiǎn)單到只在目錄區(qū)做了一點(diǎn)小改動(dòng)——將目錄區(qū)的文件的第一個(gè)字符改成了E5就表示將改文件刪除了。Fdisk和

8、Fmat的一點(diǎn)小說(shuō)明和文件的刪除類(lèi)似，利用Fdisk刪除再建立分區(qū)和利用Fmat格式化邏輯磁盤(pán)（假設(shè)你格式化的時(shí)候并沒(méi)有使用U這個(gè)無(wú)條件格式化參數(shù)）都沒(méi)有將數(shù)據(jù)從DATA區(qū)直接刪除，前者只是改變了分區(qū)表，后者只是修改了FAT表，因此被誤刪除的分區(qū)和誤格式化的硬盤(pán)完全有可能恢復(fù)……系統(tǒng)啟動(dòng)流程各種不同的操作系統(tǒng)啟動(dòng)流程不盡相同，我們這里以Win9xDOS的啟動(dòng)流程為例。第一階段:系統(tǒng)加電自檢POST過(guò)程。POST是(PowerOnSelf

9、Test)的縮寫(xiě)，也就是加電自檢的意思，微機(jī)執(zhí)行內(nèi)存FFFF0H處的程序（這里是一段固化的ROM程序），對(duì)系統(tǒng)的硬件（包括內(nèi)存）進(jìn)行檢查。第二階段:讀取分區(qū)記錄和引導(dǎo)記錄。當(dāng)微機(jī)檢查到硬件正常并與CMOS設(shè)置相符后，按照CMOS設(shè)置從相應(yīng)設(shè)備啟動(dòng)（我們這里假設(shè)從硬盤(pán)啟動(dòng)），讀取硬盤(pán)的分區(qū)記錄（DPT）和主引導(dǎo)記錄（MBR）。第三階段:讀取DOS引導(dǎo)記錄。微機(jī)正確讀取分區(qū)記錄和主引導(dǎo)記錄后，如果主引導(dǎo)記錄和分區(qū)表校驗(yàn)正確，則執(zhí)行主引導(dǎo)記錄

10、并進(jìn)一步讀取DOS引導(dǎo)記錄（位于每一個(gè)主分區(qū)的第一個(gè)扇區(qū)），然后執(zhí)行該DOS引導(dǎo)記錄。第四階段:裝載系統(tǒng)隱含文件。將DOS系統(tǒng)的隱含文件IO.SYS入內(nèi)存，加載基本的文件系統(tǒng)FAT，這時(shí)候一般會(huì)出現(xiàn)StartingWindows9x...的標(biāo)志，IO.SYS將MS.SYS讀入內(nèi)存，并處理System.dat和User.dat文件，加載磁盤(pán)壓縮程序。第五階段:實(shí)DOS模式配置。系統(tǒng)隱含文件裝載完成，微機(jī)將執(zhí)行系統(tǒng)隱含文件，并執(zhí)行系統(tǒng)配置文

11、件（Config.sys），加載Config.sys中定義的各種驅(qū)動(dòng)程序。第六階段:調(diào)入命令解釋程序()。系統(tǒng)裝載命令管理程序，以便對(duì)系統(tǒng)的各種操作命令進(jìn)行協(xié)調(diào)管理（我們所使用的Dir、Copy等內(nèi)部命令就是由提供的）。第七階段:執(zhí)行批處理文件(Autoexec.bat)。微機(jī)將一步一步地執(zhí)行批處理文件中的各條命令。第八階段:加載。負(fù)責(zé)將Windows下的各種驅(qū)動(dòng)程序和啟動(dòng)執(zhí)行文件加以執(zhí)行，至此啟動(dòng)完畢。數(shù)據(jù)恢復(fù)的基礎(chǔ)知識(shí)到此就給你介紹