張珈銘 馬昊

摘要：在數(shù)字化進(jìn)程中，數(shù)據(jù)丟失造成的破壞難以衡量。該文基于Winhex軟件，介紹了數(shù)據(jù)恢復(fù)的原理，以FAT32誤格式化為例，介紹了數(shù)據(jù)恢復(fù)的詳細(xì)過程，重點(diǎn)介紹了一種快速計(jì)算簇大小的方法，提高數(shù)據(jù)恢復(fù)的速度和準(zhǔn)確度。

關(guān)鍵詞：數(shù)據(jù)恢復(fù);Winhex;簇大小

中圖分類號(hào)：TP319 文獻(xiàn)標(biāo)識(shí)碼：A

文章編號(hào)：1009-3044（2020）13-0284-02

在信息數(shù)字化高速發(fā)展的今天，存儲(chǔ)在計(jì)算機(jī)中的數(shù)據(jù)資源極其重要。而一些人為，病毒，甚至存儲(chǔ)介質(zhì)自身缺陷造成的數(shù)據(jù)丟失，往往無法用金錢來衡量。因此，如何預(yù)防存儲(chǔ)介質(zhì)中的數(shù)據(jù)免受破壞，如何快速恢復(fù)丟失的數(shù)據(jù)，引起了越來越多的重視。在常見的數(shù)據(jù)恢復(fù)方法中，把數(shù)據(jù)恢復(fù)分為：硬恢復(fù)和軟恢復(fù)，如果保存數(shù)據(jù)的存儲(chǔ)介質(zhì)出現(xiàn)了物理故障，比如盤體有壞道，電路板芯片燒壞，盤體異響等故障，導(dǎo)致用戶取不出里面的數(shù)據(jù)，在這種情況下對(duì)該介質(zhì)中丟失的數(shù)據(jù)進(jìn)行恢復(fù)，就稱為硬恢復(fù);如果保存數(shù)據(jù)的存儲(chǔ)介質(zhì)沒有任何物理故障，由人為或病毒破壞所造成的數(shù)據(jù)丟失（比如誤格式化，誤分區(qū)），那么這樣的數(shù)據(jù)恢復(fù)就叫軟恢復(fù)。本文主要介紹的是一種基于Winhex工具的數(shù)據(jù)恢復(fù)。

1Winhex介紹

Winhex是一款功能十分強(qiáng)大的數(shù)據(jù)恢復(fù)軟件，占用內(nèi)存小，它主要用來檢查和修復(fù)各種文件、恢復(fù)刪除文件、硬盤損壞造成的數(shù)據(jù)丟失等。同時(shí)它還可以讓你看到其他程序隱藏起來的文件和數(shù)據(jù)。

Winhex還是一款十六進(jìn)制磁盤編輯軟件，用它來進(jìn)行數(shù)據(jù)恢復(fù)時(shí)，如圖l所示先用Winhex打開磁盤，邏輯驅(qū)動(dòng)器是指電腦中的C、D、E、F盤格式化時(shí)產(chǎn)生的盤符;物理驅(qū)動(dòng)器是指：電腦中看得見摸得著的物理硬盤、u盤、移動(dòng)硬盤、光盤等。一般數(shù)據(jù)恢復(fù)都是從物理硬盤中打開需要恢復(fù)的分區(qū)。Winhex界面主要由工具欄，文件顯示區(qū)，偏移，十六進(jìn)制區(qū)，文本字符區(qū)，硬盤分區(qū)信息組成，如圖2所示。

2數(shù)據(jù)恢復(fù)原理

數(shù)據(jù)是存儲(chǔ)在硬盤上，硬盤一般劃分為四個(gè)部分。分別是主引導(dǎo)扇區(qū)MBR，文件分配表FAT，目錄區(qū)DIR和數(shù)據(jù)區(qū)Data。

硬盤的MBR分區(qū)表也叫Dos分區(qū)表，0號(hào)扇區(qū)是主引導(dǎo)記錄（MBR），Dos分區(qū)體系常用分區(qū)表來記錄每個(gè)分區(qū)的類型起始位置和分區(qū)的大小，如圖3所示。其中分區(qū)表就位于0號(hào)扇區(qū)，所以0號(hào)扇區(qū)如果損壞，那么硬盤就不能正確地識(shí)別分區(qū)。分區(qū)表的00H-00H偏移長(zhǎng)度有1字節(jié)，OOH：不可引導(dǎo);80H：可引導(dǎo)（一般是系統(tǒng)盤）。01H-03H偏移長(zhǎng)度有3字節(jié)，內(nèi)容是分區(qū)的起始CHS地址。04H-04H偏移長(zhǎng)度有1字節(jié)，為分區(qū)的類型。05H-07H偏移長(zhǎng)度有3字節(jié)，內(nèi)容為CHS地址（可空）。08H-0BH偏移長(zhǎng)度有4字節(jié)，為分區(qū)的起始扇區(qū)號(hào)。0CH-0FH偏移長(zhǎng)度有4字節(jié)，為分區(qū)所包含的扇區(qū)數(shù)。07H為NTFS、EX-FAT格式。0CH、OBH為FAT32格式，0FH、05H表示擴(kuò)展分區(qū)表。EEH表示為GPT格式。MBR硬盤的分區(qū)是連續(xù)的，一個(gè)緊挨著一個(gè)。所以在做數(shù)據(jù)恢復(fù)時(shí)，往往找到一個(gè)分區(qū)時(shí)，很快就能找到所有的分區(qū)。

每個(gè)硬盤一般都有幾億到幾十億個(gè)扇區(qū)，為了方便查看所需的信息首先需要找到對(duì)應(yīng)的字符?？梢酝ㄟ^搜索界面查找所需信息（如圖4所示），偏移條件是指每512個(gè)字節(jié)從第幾個(gè)字節(jié)開始比較，比如搜索扇區(qū)結(jié)尾55AA（如圖3所示），可以設(shè)置偏移計(jì)算512=510（即跳過前面510個(gè)字節(jié)，只搜后兩字節(jié)），這樣可以大大縮短搜索信息所需的時(shí)間，提高工作效率。也可以選擇列出搜索結(jié)果（如圖5所示），判斷出所需要的字符串具體有幾個(gè)，在第幾個(gè)扇區(qū)，由此判斷出硬盤有什么問題，最后對(duì)癥下藥進(jìn)行恢復(fù)。

3FAT32誤格式化成NTFS恢復(fù)方法

在數(shù)據(jù)丟失中，有一種常見的故障，就是誤格式化。比如，硬盤或磁盤被誤格式化，引起數(shù)據(jù)全部丟失。這種數(shù)據(jù)丟失，可以依靠專門的數(shù)據(jù)恢復(fù)工具Winhex，手工計(jì)算，恢復(fù)分區(qū)表等辦法，來實(shí)現(xiàn)數(shù)據(jù)恢復(fù)。

首先，在計(jì)算機(jī)下附加FAT32格式的磁盤，在磁盤里存放一些文件，然后將其格式化成NTFS格式，再用Winhex軟件打開?？匆幌?號(hào)扇區(qū)它的備份DBR是否存在，備份DBR一般是已經(jīng)消失的。搜索F8FF，尋找FAT表，然后分別在2048扇區(qū)找到了FATl，在30720扇區(qū)找到了FAT2，兩個(gè)扇區(qū)數(shù)相減等于28672，求得整個(gè)FAT表的大小了。FAT表的大小加上FAT2的位置為59392，求得根目錄的位置。FAT表的大小為28672，每個(gè)FAT表有128個(gè)扇區(qū)，整個(gè)文件系統(tǒng)有128"28672=3670016個(gè)簇，用總扇區(qū)數(shù)232763737減去根目錄位置59392差值為232704345再除以3670016，商為63，最接近的數(shù)為64，即簇的大小為64。

除了上面介紹的常規(guī)方法之外，還有一種快速計(jì)算簇大小的方法。先搜索F8FF，用來尋找FAT表。之后在2048號(hào)扇區(qū)找到了FAT表1，在131072號(hào)扇區(qū)找到了FAT表2。用兩個(gè)子目錄來計(jì)算簇大小，在260160找到了一個(gè)子目錄，按F3繼續(xù)搜索，在260224找到了第二個(gè)子目錄，那么簇大小就是260224-260160=64，這樣能準(zhǔn)確地算出簇大小而不是算出近似值。

隨意打開一個(gè)FAT32格式的磁盤，查找它的DBR，將其復(fù)制到被格式化盤的0號(hào)扇區(qū)，修改關(guān)鍵參數(shù)：簇大小，F(xiàn)AT表大小，文件系統(tǒng)總扇區(qū)數(shù)，保存之后再重新打開，被破壞的文件就能被看到了。如果不能直接打開就只能復(fù)制文件出來，F(xiàn)AT32文件系統(tǒng)的文件不像NTFS文件系統(tǒng)，NTFS的文件是全都保存在一塊地方，可以用命令恢復(fù)，而FAT32的文件保存的相對(duì)比較分散，所以還是直接復(fù)制出來更好。

4結(jié)語

FAT32文件系統(tǒng)格式化成NTFS，對(duì)文件的破壞主要是對(duì)NTFS文件系統(tǒng)的特點(diǎn)進(jìn)行的。NTFS在格式化時(shí)會(huì)產(chǎn)生一些源文件，會(huì)分布在硬盤的各個(gè)地方，但是它對(duì)文件的破壞是很小的，不像FAT文件系統(tǒng)格式化成FAT32，要將前面的那些關(guān)鍵的FAT表，根目錄直接破壞掉，一般格式化成NTFS是沒有那么嚴(yán)重的，是隨機(jī)的。最后，快速計(jì)算簇大小的方法，可以精確計(jì)算，節(jié)省時(shí)間和避免誤差。