劉宏斌

摘要 硬盤有價(jià)，數(shù)據(jù)無價(jià)。重要的數(shù)據(jù)被破壞，損失是無可估量的，數(shù)據(jù)恢復(fù)行業(yè)也就應(yīng)運(yùn)而生。在恢復(fù)丟失的數(shù)據(jù)，使用不同的方法有軟件的方式也有硬件的方式，從文件的損壞程度或等級(jí)，通過專業(yè)的數(shù)據(jù)恢復(fù)方法都可能將數(shù)據(jù)恢復(fù)出來。

關(guān)鍵詞 數(shù)據(jù)恢復(fù)；主引導(dǎo)扇區(qū)；引導(dǎo)扇區(qū)

中圖分類號(hào)TP3

文獻(xiàn)標(biāo)識(shí)碼A

文章編號(hào)1674-6708（2016）156-0069-01

現(xiàn)在的社會(huì)基本上進(jìn)入信息化時(shí)代，信息化是當(dāng)今時(shí)代發(fā)展的必然趨勢(shì)，信息化可以代表著先進(jìn)的生產(chǎn)力，在我們?nèi)粘Ｉ钪?，用?”和“1”的形式表示許多的事物。數(shù)字技術(shù)與我們的聯(lián)系越來越密切，當(dāng)它失效的時(shí)候就會(huì)承擔(dān)非常大的危害。

數(shù)據(jù)恢復(fù)所涉及到的范圍非常的廣泛，恢復(fù)各類存儲(chǔ)設(shè)備的時(shí)候都要會(huì)各種各樣差別，還有數(shù)據(jù)被破壞和丟失原因也都不一樣。

磁盤存儲(chǔ)技術(shù)的基本原理我們先來了解一下，這樣可以幫助我們對(duì)數(shù)據(jù)恢復(fù)的工作更加了解。其原理：就是通過磁頭改變盤片上的極性的狀態(tài)來存儲(chǔ)和讀取對(duì)應(yīng)的數(shù)據(jù)。計(jì)算機(jī)是用二進(jìn)制的方法來表示存還是讀，打個(gè)比方：用計(jì)算機(jī)來描述一張空白的白紙和一個(gè)黑點(diǎn)，如果是用二進(jìn)制來描述就用很多的“1”來描述一張紙和用一個(gè)“0”來表示一個(gè)黑點(diǎn)，而磁盤存儲(chǔ)技術(shù)是通過改變電流方向來進(jìn)行實(shí)現(xiàn)的，加載正向電流時(shí)，磁力的方向就會(huì)向一邊走，而加載負(fù)電流時(shí)就會(huì)反方向走，這樣可以把紙和黑點(diǎn)描述的很清楚了。定義磁盤時(shí)，磁盤由磁道、扇區(qū)還有磁頭組成，而磁道是由許多磁性物質(zhì)任意排列組成，這些磁性物質(zhì)通過磁頭來改變磁力方向，從而達(dá)到讀和寫的目的了。通過上面的介紹，可以知道操作系統(tǒng)清除數(shù)據(jù)時(shí)，磁盤介質(zhì)上的磁性物質(zhì)沒有被清除掉。操作作只是把磁性物質(zhì)的順序重新排列了一下，但是還是對(duì)這些物質(zhì)作了對(duì)應(yīng)刪除標(biāo)記。也就是說我們作了刪除或格式化等操作時(shí)，并沒有真正的消失。我們只需要找到對(duì)應(yīng)的標(biāo)記和原來的排列記錄，就可以找到數(shù)據(jù)，這也為數(shù)據(jù)恢復(fù)提供了便利。

除了前面介紹的磁存儲(chǔ)設(shè)備，另外還有一些存儲(chǔ)設(shè)備的存儲(chǔ)原理也是和磁存儲(chǔ)的原理一樣，那么數(shù)據(jù)恢復(fù)原理和操作也是基本相同。因?yàn)檫@些存儲(chǔ)設(shè)備和磁盤設(shè)備都是用磁道、扇區(qū)、磁頭、簇來對(duì)數(shù)據(jù)的進(jìn)行描述的。

了解了數(shù)據(jù)恢復(fù)的原理之后，應(yīng)該知道一般的刪除文件（比如說放入回收站或是用DEL刪除文件或文件夾），是不能徹底的把文件上的數(shù)據(jù)清除。很多單位請(qǐng)專門做數(shù)據(jù)銷毀的公司使用特殊的設(shè)備和軟件來徹底的對(duì)他們的重要數(shù)據(jù)進(jìn)行清除或銷毀。經(jīng)過很多的實(shí)踐，僅僅對(duì)存儲(chǔ)介質(zhì)進(jìn)行反復(fù)寫入再刪除，或拆解，或其它的物理損壞，也有非常大的概率可以把數(shù)據(jù)恢復(fù)出來一部分。就比如說很多在壞的手機(jī)中就可能恢復(fù)出原來的手機(jī)中存放的照片。

很多原因?qū)е聰?shù)據(jù)出錯(cuò)。比較多的是執(zhí)行錯(cuò)誤的指令，比如刪除了不該刪文件、用相同的文件名把另一個(gè)有用文件給覆蓋了等。還有存儲(chǔ)設(shè)備自己的損壞也有大部分原因。還有是備份的時(shí)候的非下常中斷或是斷電，數(shù)據(jù)就會(huì)被損壞。在這些損的原因當(dāng)中，刪除和格式化造成的文件數(shù)據(jù)丟失相對(duì)來說還是簡(jiǎn)單一點(diǎn)的，我們知道，數(shù)據(jù)并沒有因?yàn)閯h除或格式化面從存儲(chǔ)設(shè)備上丟除，使用數(shù)據(jù)恢復(fù)軟件（比如“WINHEX”）就可能的將數(shù)據(jù)找出來。而設(shè)備自身被損壞就會(huì)在恢復(fù)過程中的難度加大，還要準(zhǔn)備一些必在的硬件配件，拿U盤來說，如果芯片沒有問題，而是電路板出現(xiàn)的故障，那么只需要把芯片取下來換一個(gè)好的電路板就可能修復(fù)故障了，這種損壞一般叫做物理性損壞，存儲(chǔ)設(shè)備出現(xiàn)的問題叫做“邏輯性損壞”。

把數(shù)據(jù)損壞的原因以及故障是怎么出現(xiàn)的，那么對(duì)恢復(fù)出來數(shù)據(jù)就有很大的幫助。數(shù)據(jù)恢復(fù)方式不一樣也會(huì)對(duì)存儲(chǔ)設(shè)備有不同的后果，選擇不對(duì)的恢復(fù)方法。，不但恢復(fù)不出來數(shù)據(jù)，還會(huì)把數(shù)據(jù)給弄亂了導(dǎo)致數(shù)據(jù)結(jié)構(gòu)損壞。在恢復(fù)時(shí)應(yīng)該在現(xiàn)有信息的進(jìn)行逐步的操作，根據(jù)現(xiàn)有的信息找出損壞的原因，找到解決的方法。

硬盤內(nèi)的數(shù)據(jù)由這幾個(gè)部分組成：MBR區(qū)、DBR區(qū)、FAT表區(qū)、DIR區(qū)和DATA區(qū)。

主引導(dǎo)扇區(qū)：

主引導(dǎo)扇區(qū)在硬盤的第0磁道0柱面1扇區(qū)，包括硬盤主引導(dǎo)記錄MBR和分區(qū)表DPT。主引導(dǎo)扇共有512個(gè)字節(jié)，引導(dǎo)程序從0開始到439結(jié)束占用440個(gè)字節(jié)，后面是WINDOWS磁盤簽名占用4個(gè)字節(jié)。分區(qū)表用了64個(gè)字節(jié)，是在IBEH以開始的。結(jié)束標(biāo)志為55AAH，在扇區(qū)的最后位置占兩個(gè)字節(jié)。分區(qū)表中首個(gè)字節(jié)80H代表這個(gè)分區(qū)可以引導(dǎo)，而OOH不可以引導(dǎo)

操作作系統(tǒng)引導(dǎo)扇區(qū)

DBR （DOS Boot Record）即操作系統(tǒng)引導(dǎo)扇區(qū)，DBR在當(dāng)前所在分區(qū)的開始扇區(qū)，比方說c盤的第一個(gè)開始扇區(qū)位置，就對(duì)應(yīng)的c盤的DBR區(qū)，同樣其它盤的第一個(gè)開起始扇區(qū)地址，就是這個(gè)盤對(duì)應(yīng)的DBR區(qū)。由引導(dǎo)程序和BPB組成。DBR在不同的分區(qū)，它類別也就不一樣。

FAT （File Allocation Table）即文件分配表，是DOS/ Win9x系統(tǒng)的文件尋址系統(tǒng)。 FAT表有兩個(gè)，第二FAT表是第一FAT表的備份，F(xiàn)AT表區(qū)緊跟在DBR及保留扇區(qū)之后，F(xiàn)ATI的具體地址偏移量為OEH -OFH的兩字節(jié)，F(xiàn)AT2跟在FATI之后，它的地址可以用FATI的所在扇區(qū)號(hào)加上每個(gè)FAT所占的扇區(qū)數(shù)獲得。而FAT16文件系統(tǒng)只有DBR區(qū)，占一個(gè)扇區(qū)，是沒有保留扇區(qū)的。

DIR是Directory即根目錄區(qū)，根目錄區(qū)在第二文件分配表（FAT2表）的后面一個(gè)扇區(qū)，如果只有FAT表還不可能確定這個(gè)文件在磁盤中的具體的位置，F(xiàn)AT表中的數(shù)據(jù)還要和DIR中的數(shù)據(jù)配合在一起才能夠確定文件的具體的位置。DIR中記錄每個(gè)文件和目錄的開始位置、文件的屬性等。確定位置時(shí)，系統(tǒng)會(huì)依據(jù)DIR中存放的開始位置，并結(jié)合FAT表中的數(shù)據(jù)就可以獲得文件具體位置和容量了。

DATA即DATA區(qū)，這個(gè)區(qū)在硬盤的空間有很大一部分，如果沒有主引導(dǎo)區(qū)、FAT區(qū)DIR區(qū)，它就能是代碼，不起任何作用。這時(shí)還要說明一下，磁盤格式化或分區(qū)格式化的時(shí)候，并不是把數(shù)據(jù)（DATA）區(qū)的數(shù)據(jù)真的給刪除，只是把FAT表給重新寫了一下，而其他的位置，如果僅僅對(duì)MBR和DBR修改一下參數(shù)，那么DATA區(qū)的數(shù)據(jù)沒有被改動(dòng)，修復(fù)硬盤的數(shù)據(jù)最大可能就是因?yàn)檫@個(gè)。