數(shù)據(jù)恢復技術(shù)詳解-ppt課件

1、數(shù)據(jù)恢復技術(shù)專題1：數(shù)據(jù)恢復7/17/20221數(shù)據(jù)恢復技術(shù)內(nèi)容數(shù)據(jù)恢復的定義和原理數(shù)據(jù)恢復技術(shù)分類介紹主引導記錄的恢復分區(qū)的恢復0磁道損壞的恢復硬盤邏輯鎖的處理磁盤壞道的處理DBR的恢復FAT的恢復數(shù)據(jù)文件的恢復RAID恢復7/17/20222數(shù)據(jù)恢復技術(shù)數(shù)據(jù)恢復技術(shù)基本知識按照數(shù)據(jù)恢復順序相關(guān)現(xiàn)狀列舉經(jīng)典案例故障分析解決方案推薦工具7/17/20223數(shù)據(jù)恢復技術(shù)練好基本功（1）硬盤數(shù)據(jù)存儲結(jié)構(gòu)要分清 剛買來的硬盤，我們是沒有辦法使用的，需要將它分區(qū)、格式化，然后再安裝上操作系統(tǒng)才可以使用。而在這一過程中，要將硬盤分成主引導區(qū)(MBR)、操作系統(tǒng)引導記錄區(qū)(DBR)、FAT表、DIR目錄區(qū)

2、和Data數(shù)據(jù)區(qū)等五部分(如圖，硬盤存儲的五個部分 7/17/20224數(shù)據(jù)恢復技術(shù)練好基本功（2）7/17/20225數(shù)據(jù)恢復技術(shù)對癥下藥數(shù)據(jù)數(shù)據(jù)的定義位于計算機存儲介質(zhì)上的信息系統(tǒng)數(shù)據(jù)和用戶數(shù)據(jù)數(shù)據(jù)恢復一個把異常數(shù)據(jù)還原為正常數(shù)據(jù)的過程數(shù)據(jù)問題邏輯問題硬件問題7/17/20226數(shù)據(jù)恢復技術(shù)對癥下藥恢復一般情況下，只要數(shù)據(jù)區(qū)沒有被覆蓋，都是可以恢復的?；謴晚樞騇BRDBRFATFDT數(shù)據(jù)文件0磁道和壞磁道7/17/20227數(shù)據(jù)恢復技術(shù)經(jīng)典案例實戰(zhàn)7/17/20228數(shù)據(jù)恢復技術(shù) 案例1 2005年6月8日，上海一家外貿(mào)公司老板的筆記本在開機啟動過程中突然斷電，當再次啟動的時候，系統(tǒng)能夠通

3、過自檢并檢測到硬盤，但是即將進入操作系統(tǒng)之前提示“ DISK BOOT FAILURE,INSERT SYSTEN DISK AND PRESS ENTER” 。然而當時該公司的IT維護人員并不知道如何將這臺全外置筆記本(沒有內(nèi)置光驅(qū)和軟驅(qū))引導進入DOS系統(tǒng)，而且對于數(shù)據(jù)恢復沒有什么了解。在送到數(shù)據(jù)恢復公司時，工程師使用外置軟盤啟動并直接在DOS下查看C盤分區(qū)時，發(fā)現(xiàn)其中的數(shù)據(jù)都完好無損。 7/17/20229數(shù)據(jù)恢復技術(shù)故障分析 這是一起典型的主引導區(qū)故障，此類故障大約占據(jù)整體軟件故障的30%以上另外，如果開機自檢后提示“ Miss operation system” 而且DOS下可以看到

4、C盤完整內(nèi)容，這也是屬于主引導區(qū)故障。7/17/202210數(shù)據(jù)恢復技術(shù)主引導區(qū)恢復正規(guī)數(shù)據(jù)恢復公司恢復數(shù)據(jù)的起價一般為300到400元通常來說，一旦主引導記錄和分區(qū)表被損壞，硬盤里的數(shù)據(jù)雖然無法訪問但也并沒有丟失。目前很多惡意程序都喜歡攻擊硬盤的主引導區(qū)與分區(qū)表。7/17/202211數(shù)據(jù)恢復技術(shù)主引導記錄的恢復屬于系統(tǒng)數(shù)據(jù)，功能確定，相對容易使用Fdisk恢復Fdisk命令行格式通用語法為：“Fdisk/參數(shù)”。7/17/202212數(shù)據(jù)恢復技術(shù)解決方案用軟盤啟動系統(tǒng)。然后鍵入“ C:” ，看看能否讀取C盤的內(nèi)容。如果C盤中的數(shù)據(jù)可以讀出的話，那么大家只要使用“Fdisk/mbr”命令進行

5、無條件重寫主引導區(qū)一般都能成功，而且可以保留原有的數(shù)據(jù)。7/17/202213數(shù)據(jù)恢復技術(shù)解決方案7/17/202214數(shù)據(jù)恢復技術(shù)推薦工具軟件名稱Fixmbr授權(quán)方式共享軟件軟件大小12KB下載地址 7/17/202215數(shù)據(jù)恢復技術(shù) 案例2 張先生是一家私營企業(yè)的財務(wù)主管，在電腦上安裝了Windows 98和Windows XP雙系統(tǒng)。但是最近想把Windows 98刪除并且合并分區(qū)。不料在采用PQ Magic時操作失誤，慌忙之下重新啟動計算機。當再次進入Windows 98后，發(fā)現(xiàn)硬盤最后兩個分區(qū)的容量都不對了，而且無法打開其中的文件。由于他保管的財務(wù)數(shù)據(jù)非常重要，因此一下子急得如熱鍋上

6、的螞蟻。最終張先生還是去了數(shù)據(jù)恢復公司進行處理，花費了整整600元，而且來回奔波令他苦不堪言。 7/17/202216數(shù)據(jù)恢復技術(shù)故障分析這應(yīng)當屬于典型的分區(qū)表故障分區(qū)表故障在各種軟件故障中也屬于常見的，大約占據(jù)整體軟件案例的30%。 7/17/202217數(shù)據(jù)恢復技術(shù)分區(qū)表破壞 分區(qū)表的概念比主引導區(qū)更大，因此其故障情況已經(jīng)包含上述主引導區(qū)故障操作系統(tǒng)對磁盤訪問建立在MBR和DBR之上，導致文件無法訪問與主引導區(qū)相比，分區(qū)表被破壞時的修復相對要復雜一些。重建分區(qū)表一般由手工完成，個別情況可以借助工具軟件自動完成 7/17/202218數(shù)據(jù)恢復技術(shù)自動修復自動修復分區(qū)表的操作一般就是通過查找備

7、份的分區(qū)表并復制相應(yīng)扇區(qū)。使用DiskGenius軟件。將DiskGenius軟件復制到DOS啟動盤之后可以直接運行，進入DiskGenius的主界面后，按下F10就能輕松地自動恢復硬盤分區(qū)表，而且這一招非常有效。 7/17/202219數(shù)據(jù)恢復技術(shù)手動修復手動修改將完全憑借經(jīng)驗，在WinHex等軟件下直接操作分區(qū)表數(shù)據(jù)。以一塊東芝30GB筆記本硬盤為例，使用WinHex打開磁盤后看到如下界面。其中從“ 80” 開始到“ 55AA” 結(jié)束的DPT硬盤分區(qū)表相當關(guān)鍵7/17/202220數(shù)據(jù)恢復技術(shù)推薦工具軟件名稱:DiskGenius授權(quán)方式:免費軟件軟件大小:143KB下載地址: 軟件名稱:

8、WinHex授權(quán)方式:免費軟件軟件大小:990KB下載地址: 7/17/202221數(shù)據(jù)恢復技術(shù)推薦工具分區(qū)大師：Partition Magic分區(qū)博士：Partition DoctorHex WorkshopDisk Probe7/17/202222數(shù)據(jù)恢復技術(shù) 案例3 東北地區(qū)某服裝設(shè)計公司的SCSI單盤服務(wù)器存儲著整個公司的設(shè)計資料，原本就發(fā)現(xiàn)該硬盤有輕微的壞道，但是并未引起管理員重視，也沒有做好備份工作。終于在2005年7月13日，硬盤無法啟動了，管理員嘗試格式化系統(tǒng)分區(qū)也宣告失敗。 7/17/202223數(shù)據(jù)恢復技術(shù)故障分析通過Scandisk掃描，發(fā)現(xiàn)壞道其實并不多，甚至將它作為從

9、盤掛在別的操作系統(tǒng)下也能看到部分分區(qū)內(nèi)容。但是由于壞道所處的位置非常特殊，因此造成硬盤無法啟動。經(jīng)檢測后發(fā)現(xiàn)，零磁道部分出現(xiàn)了壞道，這類故障必須使用有別于普通壞道的處理方法。 7/17/202224數(shù)據(jù)恢復技術(shù)0磁道損壞管理硬盤采用不使用0磁道的所有扇區(qū)的方式進行0磁道的保護只要0磁道損壞，整個硬盤報廢可以采用工具軟件將0磁道邏輯移動到1磁道使用，將硬盤“復活”注意一點，處理過后，不能再使用分區(qū)軟件進行分區(qū)7/17/202225數(shù)據(jù)恢復技術(shù)解決方案最簡單的方法將它設(shè)置為從盤，然后使用另一塊硬盤引導進入操作系統(tǒng)盤符分配，可能直接拷貝就能成功恢復數(shù)據(jù)復雜情況借助工具軟件7/17/202226數(shù)據(jù)恢

10、復技術(shù)推薦工具磁盤訪問工具效率源特點能夠針對扇區(qū)進行復制突破硬盤讀取時遇大量壞道無法識別硬盤分區(qū)的限制具有強力復制功能配合有校驗算法7/17/202227數(shù)據(jù)恢復技術(shù)使用工具數(shù)據(jù)恢復首先連上需要數(shù)據(jù)恢復的硬盤和一塊完好的硬盤然后使用含有效率源軟件的啟動盤引導系統(tǒng)，直接進入效率源軟件的主界面點選“SectorCopy”命令，輸入源盤與目標盤隨后，輸入Start和End數(shù)字以確認復制扇區(qū)的起始位置最后點擊“確認”按鈕后就可以開始扇區(qū)復制7/17/202228數(shù)據(jù)恢復技術(shù)后續(xù)工作修復修復硬盤修改硬盤分區(qū)表存儲位置屏蔽壞道借助工作軟件PCTOOLS9.0NU8.0DiskGenius7/17/2022

11、29數(shù)據(jù)恢復技術(shù)7/17/202230數(shù)據(jù)恢復技術(shù)7/17/202231數(shù)據(jù)恢復技術(shù)其它工具磁道修復工具Disk EditSmartFdiskPCTOOLSDiskMan專業(yè)扇區(qū)復制PC3000HIE (HardwareInfoExtractor)7/17/202232數(shù)據(jù)恢復技術(shù) 案例4 老王是圖書館管理員，2005年3月13日，其負責的一臺電腦突然在Windows下無法打開其中一個分區(qū)，雙擊分區(qū)圖標時提示“ 該分區(qū)未格式化” 。趕忙叫來IT部負責人之后，進入DOS系統(tǒng)，發(fā)現(xiàn)此時可以轉(zhuǎn)到該盤符，但是一旦輸入“ DIR” 命令時，系統(tǒng)就提示“ General Fail Reading Driv

12、e” 。這下可讓老王傻眼了，因為里面的數(shù)據(jù)是新進圖書的統(tǒng)計，如果丟失的話，后果不堪設(shè)想。萬般無奈之中，只熟悉硬件維修的IT負責人找到了一家數(shù)據(jù)恢復公司，豈料對方僅僅十幾分鐘就完全搞定，而且數(shù)據(jù)絲毫無損。 7/17/202233數(shù)據(jù)恢復技術(shù)故障分析直接使用格式化程序重新格式化能夠解決問題(排除物理壞道與病毒的干擾因素)但是這種做法卻與挽救數(shù)據(jù)的最終目的是相違背的。 7/17/202234數(shù)據(jù)恢復技術(shù)DBR的恢復DBR(操作系統(tǒng)引導記錄區(qū)) 是由高級格式化程序產(chǎn)生的是一段信息代碼如果遭到破壞，最終導致無法進入操作系統(tǒng)，部分文件夾信息也會丟失。 7/17/202235數(shù)據(jù)恢復技術(shù)解決方法直接使用Wi

13、nHex改寫DBR模板將存在問題的硬盤作為從盤掛接直接打開WinHex時選擇該磁盤直接在右上方的“ 訪問” 下拉列表中選擇DBR故障的分區(qū)打開“ 起始扇區(qū)模板” 這樣就能很輕松地解決問題 7/17/202236數(shù)據(jù)恢復技術(shù)7/17/202237數(shù)據(jù)恢復技術(shù)7/17/202238數(shù)據(jù)恢復技術(shù) 案例4 華南某設(shè)計院的一臺服務(wù)器承擔著整個設(shè)計院的存儲任務(wù)。2005年8月2日，由于管理員的誤操作，將2004全年的數(shù)據(jù)全部刪除。由于當時刪除的時候并不是放入“回收站”，而是直接刪除，因此普通方法根本無法找回。為了找回這些數(shù)據(jù)，慌亂之中管理員使用了當時的Ghost備份文件來恢復，但是恢復后發(fā)現(xiàn)還是沒有需要的

14、文件，并且把整個文件系統(tǒng)都弄得非?；靵y。最終在數(shù)據(jù)恢復公司的幫助下，該設(shè)計院才成功找回90%左右的數(shù)據(jù)，花費了整整2000元。 7/17/202239數(shù)據(jù)恢復技術(shù)故障分析誤操作而導致的文件丟失在軟件類數(shù)據(jù)恢復中大約占25%。磁盤刪除數(shù)據(jù)后，只是做了一個標記，數(shù)據(jù)并沒有真正被刪除，可以使用磁盤掃描的方法來恢復數(shù)據(jù)數(shù)據(jù)一旦被覆蓋，很難將數(shù)據(jù)完全恢復。 7/17/202240數(shù)據(jù)恢復技術(shù)數(shù)據(jù)恢復數(shù)據(jù)問題文件丟失文件被同名文件覆蓋分區(qū)被誤操作格式化分區(qū)被誤克隆采用磁盤掃描的方法來進行數(shù)據(jù)恢復相關(guān)工具軟件功能很強大 7/17/202241數(shù)據(jù)恢復技術(shù)三步曲方法大致可以分為三個步驟:選擇掃描范圍指定掃描類

15、型篩選數(shù)據(jù)7/17/202242數(shù)據(jù)恢復技術(shù)7/17/202243數(shù)據(jù)恢復技術(shù) 案例6 2005年9月4日，某上市公司物流部門的RAID磁盤陣列突然崩潰，此時陣列柜指示燈顯示硬盤掉線。由于整個RAID已經(jīng)崩潰，因此管理員無法進入系統(tǒng)，也就感到無從下手。在大腦一片空白的情況下，還是主管請來了專業(yè)的數(shù)據(jù)恢復公司，最后以單盤3000元的價格(總計8塊硬盤，2.4萬元)進行數(shù)據(jù)恢復操作。RAID崩潰而導致的數(shù)據(jù)災難在整體數(shù)據(jù)恢復案例中大約占據(jù)11%，盡管比例不是很高，但是收費卻相當驚人。RAID數(shù)據(jù)災難的癥狀包括亮指示燈、RAID信息丟失、分區(qū)丟失、所有硬盤變成單獨硬盤(軟RAID)等，這類故障的處理

16、方法比較復雜。 7/17/202244數(shù)據(jù)恢復技術(shù)故障分析RAID的分區(qū)表并非獨立保存在某一個硬盤上，因此需要使用專門的軟件獨立處理。RAID具有很多類型和組合RAID本身具有容錯能力，所以出現(xiàn)數(shù)據(jù)丟失，其數(shù)據(jù)相對很重要 7/17/202245數(shù)據(jù)恢復技術(shù)RAIN的恢復RAID的數(shù)據(jù)恢復，只要知道其原理，出現(xiàn)問題后，數(shù)據(jù)都可以恢復RAID數(shù)據(jù)拯救有“鏡”就行 7/17/202246數(shù)據(jù)恢復技術(shù)RAID5是一種具容錯能力的RAID 操作方式，不應(yīng)用專用容錯硬盤，容錯信息是平均的分布到所有硬盤上。其總?cè)萘繛?N-1)x最低容量硬盤的容量。但如果有兩個硬盤同時失效的話，所有數(shù)據(jù)將盡失。7/17/20

17、2247數(shù)據(jù)恢復技術(shù)RAID5校驗原理 7/17/202248數(shù)據(jù)恢復技術(shù)解決方法第一步、磁盤鏡像建議先使用RuntimeDiskExplorer制作鏡像盤得到磁盤鏡像后，源盤就可以保存在安全的地方所有的數(shù)據(jù)恢復操作直接在鏡像盤中處理7/17/202249數(shù)據(jù)恢復技術(shù)解決方法第二步、數(shù)據(jù)重組推薦使用RAIDReconstructor進入主界面時需要設(shè)定RAID類型與磁盤數(shù)量RAIDReconstructor會分析參數(shù)并把分散的數(shù)據(jù)拷貝出來。 注：RAID數(shù)據(jù)重組的重要參數(shù)磁盤數(shù)、塊大小和方向7/17/202250數(shù)據(jù)恢復技術(shù)7/17/202251數(shù)據(jù)恢復技術(shù)解決方法第三步、恢復數(shù)據(jù)數(shù)據(jù)重組后，

18、得到磁盤數(shù)據(jù)使用數(shù)據(jù)恢復工具來恢復數(shù)據(jù)例如：GetDataBack for NTFS注意有些工具可以整合第二和第三步RAID數(shù)據(jù)恢復需要一定的設(shè)備7/17/202252數(shù)據(jù)恢復技術(shù)其他工具軟件名稱:RuntimeDiskExplorer ForNTFS授權(quán)方式:共享軟件軟件大小:1677KB下載地址:軟件名稱:RuntimeDiskExplorerForFAT授權(quán)方式:共享軟件軟件大小:1637KB下載地址:軟件名稱:RAIDReconstructorForFAT授權(quán)方式:共享軟件軟件大小:1614KB下載地址:7/17/202253數(shù)據(jù)恢復技術(shù) 案例7 杭州某電機公司剛從國外購買的技術(shù)資料保

19、存在總經(jīng)理的臺式機中，不料該臺式機硬盤最終成為“數(shù)據(jù)殺手”。該硬盤起初工作速度緩慢，此后突然無法被BIOS識別，而且加電后帶有異常的“咔噠”聲。由于這些技術(shù)資料都是一次性授權(quán)，因此價值百萬的數(shù)據(jù)可謂命懸一線。 7/17/202254數(shù)據(jù)恢復技術(shù)故障分析一般而言，這類故障情況幾乎都是磁頭老化，必須進行開盤處理7/17/202255數(shù)據(jù)恢復技術(shù)實施常識開盤的前提條件是有一間潔凈度非常高的房間硬盤的密封都十分結(jié)實，但是只要使用六角螺絲刀也很好處理，并能清晰地看到其內(nèi)部結(jié)構(gòu)進行開盤操作時需要找到合適的備件更換磁頭的時候，工程師首先將內(nèi)部磁鐵蓋片掀開，此時需要用力得當，否則很容易弄傷盤片，從而導致數(shù)據(jù)徹

20、底報廢7/17/202256數(shù)據(jù)恢復技術(shù)7/17/202257數(shù)據(jù)恢復技術(shù)數(shù)據(jù)恢復注意事項 1、文件丟失后，不要再向該分區(qū)或者磁盤寫入信息，即剛被刪除的文件被恢復的可能性最大。2、小文件比大文件更容易恢復。3、恢復之前千萬千萬別用磁盤整理功能，否則數(shù)據(jù)恢復的成功幾率將大大減小。同時也盡量不要使用Fdisk程序，否則將會給你的恢復造成很大的困難。4、有足夠的空余磁盤空間或者外接新硬盤以備寫入恢復資料。 7/17/202258數(shù)據(jù)恢復技術(shù)系統(tǒng)無法啟動的提示信息Invalid partition table 無效的分區(qū)表 Error loading operating system 不能裝入引導系統(tǒng) Missing operating system 系統(tǒng)引導文件丟失 on-System disk or disk error 沒有系統(tǒng)盤或磁盤錯誤 7/17/202259數(shù)據(jù)恢復技術(shù)系統(tǒng)無法啟動的提