常見硬盤數據恢復的思想與方法

萬麗華 鄒賢芳

【摘 要】本文從常見的數據丟失的情況出發，給出相應的恢復方法。

【關鍵詞】硬盤；數據丟失；數據恢復

一、硬盤分區概述

（1）硬盤分區。硬盤安裝好后，要進行分區和格式化后，才能存儲數據。分區就是將硬盤容量分割為多個獨立的存儲空間。硬盤分區的工具在DOS系統下有FDISK、DISKGEN、PQ

MAGIC等，在Windows系統中可以用磁盤管理來實現。（2）硬盤格式化。格式化就是為每個分區空間創建文件系統，分區在格式化后才能存取文件，用戶數據都是以文件形式組織存放的。格式化操作可以使用FORMAT命令，或其他的分區、格式化工具等。也可以在Windows系統的安裝或磁盤管理中完成。

二、硬盤數據組織結構

（1）主引導扇區。在硬盤的0磁頭0柱面1扇區是主引導扇區，它由三部分組成：一是主引導記錄（MBR）；二是硬盤分區表（DPT）；三是結束標識（“55AA”）。主引導扇區大小為512字節，其中MBR占446字節，DPT占64字節，結束標志占2字節（55AA）。硬盤主引導扇區在各個DOS版本下其內容基本一致，主要完成的任務是：第一，存放硬盤分區表，這是硬盤正確讀寫的關鍵數據；第二，檢查硬盤分區的正確性，要求只能且必須存在一個活動分區；第三，確定活動分區號，并讀出相應操作系統的引導記錄；第四，檢查操作系統引導記錄的正確性，DOS引導扇區末尾存在著一個“55AA”H標志，供引導程序識別；第五，把操作系統的引導記錄調入內存加以執行，操作系統就此開始啟動。（2）分區表。傳統的分區方案是將分區信息保存到磁盤的第一個扇區中的64個字節中，每個分區項占用16個字節，這16個字節中存有活動狀態標志、文件系統標識、起止柱面號、磁頭號、扇區號、隱含扇區數目、分區總扇區數目等內容。由于MBR扇區只有64個字節用于分區表，所以只能記錄4個分區的信息。這就是硬盤主分區數目不能超過4個的原因。后來為了支持更多的分區，引入了擴展分區及邏輯分區的概念，但每個分區項仍用16個字節存儲。

三、文件系統

文件系統就是存取文件的一組格式和程序，可對文件進行管理。常用的Windows系統中使用的文件系統有FAT和NTFS。FAT文件系統是以前配合DOS操作系統發展而來，現在仍然對它仍然保持兼容，主要用于數碼存儲設備中。NTFS系統則是Windows2000以及以上操作系統所特有的文件系統，它能提供更好的安全性、管理性、可恢復性功能，能用于商業環境。現在流行的LINUX操作系統使用EXT、EXT2文件系統。FAT文件系統分為FAT12、FAT16和FAT32，現在的硬盤均使用FAT32格式，它由引導扇區、保留區、FAT表、數據區組成，其中文件系統信息放在引導扇區、FAT表和目錄中。NTFS文件系統中整個分區都用于裝載文件數據，它將文件系統信息以文件形式來存儲，其中最重要的就是$MFT元文件，里面記錄了該分區中所有文件的文件屬性信息。

四、誤刪除、誤格式化的局部數據恢復思路與方法

當做刪除或格式化操作時，系統并未將文件數據內容清除，只是在其它地方做了標記，改變了狀態。每個分區的0扇區記錄了這個分區的文件系統信息。當數據丟失時，可在此處讀出文件系統格式信息，然后將文件的各類屬性及數據讀出，從而恢復文件。對于局部數據恢復，可用EasyRecovery、

Final Data甚至360安全衛士里的文件恢復小工具來進行。EasyRecovery不會向原始驅動器寫入任何內容，主要在內存中重建文件分區表使數據能夠安全傳輸到其他驅動器中。EasyRecovery可以從被病毒破壞或已格式化的硬盤中恢復數據，被破壞的硬盤中像丟失的引導記錄、BIOS參數數據塊、分區表、FAT表、引導區都可以由它來恢復。另外，應用該軟件還可以對ZIP文件及微軟的Office系列文檔進行修復，其界面如下圖所示。

五、誤重分區全盤數據恢復思路與方法

硬盤被重新分區后，原來的數據將會全部丟失，但只要沒有破壞到原分區的文件系統信息數據，就可以將原分區找回，同時還能保留里面的數據，因此速度快而且效果好。EasyRe

covery或Final Data是通過掃描磁盤來恢復數據，而分區表破壞造成的全盤數據丟失，可以通過Diskgenius或Parattion Table Doctor等軟件來進行分區表重建，從而達到恢復數據目的。在純DOS下運行Diskgenius，運行后它會自動檢測當前硬盤并提供每個分區信息，如上圖所示。左邊柱形圖表示硬盤、有幾截就代表有幾個分區，在萊單欄點選【工具】|【重建分區】，Diskgenius便開始搜索并重建分區，搜索過程可采用“自動方式”或“交互方式”，“自動方式”保留發現的每一個分區、“交互方式”對發現的每一個分區給出提示并由用戶選擇，用戶可以根據自身需求進行選擇，在分區表的重建完成后，用戶就可以看到以前分區上的數據了。