資料恢復與軟故障處理基本指南
第一篇、廣義的資料恢復
長期以來電腦領域資料恢復似乎缺乏一個把握全貌的，如果說給出一個比較能把握全貌的說法，我們首先應當給電腦資料一個廣義的概念，某些人覺得只有類似文字檔案、資料庫中的記錄或表這樣的東西才是資料，其實從廣義上說，任何位於電腦存儲介質上的資訊都是資料，無論是哪種介質，也無論是具體作用，他們都是資料。與這種概念對應，任何使這些資訊發生非主觀意願之外的變化都可視為破壞。那麼資料恢復是就是一個把異常資料還原為正常資料的過程。
一、對數據的潛在威脅
1、惡意的程式：大家最熟悉的惡意程式就是病毒，很多人認為病毒對資料的影響僅僅是病毒的破壞性，這是不正確的，實際上病毒的感染本身就是一種破壞，一個病毒無論他借助修改你的引導區、可執行程式還是OFFICE文檔，他都把你正常的資料做了改變，當然，你可能舉良性伴隨性病毒這種極端的例子。但毫無疑問，他同樣對資料構成了破壞，至少他減少了你的硬碟的可用空間。同時，惡意的程式還包括特洛伊木馬，邏輯炸彈等等。惡意的程式造成的破壞可能是最難恢復的。
2、其他惡意的破壞，即使不借助病毒或者其他的工具，只要擁有足夠的許可權，任何系統都有一定的“自毀”能力。比如依靠系統正常的刪除、移動、格式化等操作也可以達到破壞資料的目的。隨著網路技術的發展，威脅已經不僅僅限於本機，
3、誤操作：很多資料丟失源於使用者的操作失誤，比如誤刪除，誤格式化等等。
4、作業系統或應用軟體的錯誤：隨著作業系統和應用程式的代碼量的成倍增加，BUG也在不斷增加。我們最常用的桌面系統WIN9X就是一個BUG大王。作業系統和應用軟體的錯誤，往往會給人的工作帶來一些不可預期的影響。比如前階段，發現FRONTPAGE98的一個BUG，觸發後會把你目錄下的檔全部刪除，另外，象著名的遊戲神話II，出現了如不安裝在默認目錄中可能會使你丟失擴展分區這樣嚴重的問題。
5、加密和許可權：儘管加密和許可權設置是你保護資料的有效手段，但遺忘密碼也會帶來很大的問題。
6、掉電：機器突然掉電的後果可能不僅僅是記憶體資料的丟失，也可能造成磁片資料的丟失，或導致系統無法正常啟動。
7、記憶體溢出：導致記憶體溢出或者進程非法終止等低層錯誤的原因很多，他就象掉電一樣，會使你損失當前的工作。
8、升級：軟體系統升級有時會帶來一些問題，後面我們將舉相應例子。
9、硬體損壞和失竊：這可能是最嚴重的威脅之一。有時這把你恢復資料的可能降低為零。
二、資料丟失的各種邏輯現象
對資料的恢復，基本上是一種邏輯處理。只有對情況有一個準確的判定，才能做出準確的應對。一般的來說，問題可以歸納為以下幾種情況。
1、 硬碟無法完成正確引導：因物理故障造成的邏輯損壞、引導區故障、重要磁區崩潰等等，都會使系統不能完成正常的自舉過程。
2、 檔丟失：由於有意破壞，誤刪除等等都會造成資料的丟失。另外，這種歸類不僅僅包括某個或某幾個檔，也適用於目錄，分區或卷的丟失。
3、 文件無法正常打開：由於病毒感染，加密，檔頭損壞等情況，會使檔無法正常打開。
4、 數據紊亂：由於各種因素的影響，資料庫中的資訊，文字檔案等，可能面目全非。
三、保護資料的建議
這個專題是探討資料恢復的，而不是資訊保護的，因此點到為止，一句話，那就是防患於未然，我們列舉了對資料的威脅，如果我們最大程度的減弱了這些威脅，對每一種可預知的潛在威脅都有相應的預防和對策，我們的資料安全才會有最大的保障。這些對策主要包括選擇良好的反病毒和系統維護產品、加強保安全措施、採用UPS掉電保護、提高用戶操作水準和安全意識、形成系統的資訊管理和備份制度等等。都可以有效的保證資料的安全，總之，我對資料恢復的認識與病毒是相同的——與其亡羊補牢，不如防患未然。
第二篇、資料恢復的準備知識
1、系統工作機理的簡單介紹（本節由lowpower縮寫）這一部分在原作中是最重要的一章，考慮到篇幅關係，進行了大量的刪節。
①、 DOS（DOS相容系統）硬碟資料的構成
DOS磁片系統，可以按照邏輯分區的概念管理物理空間，不同分區可以裝載不同的OS系統。示意如下：
硬碟空間
第一磁區 | 分區1 | 分區2| 分區3 |分區4 |
主引導磁區|引導磁區|引導磁區|引導磁區|引導磁區|
各分區公用|各個分區相對獨立，可安裝不同作業系統。
對FAT結構的分區每一分區都有獨立的引導記錄，FDT表，FAT表等。同時，系統還有一個最為重要的主引導記錄。在0柱0面1磁區，今後我們用CYL代表柱、SIDE代表面，SEC代表磁區。以下一個FAT結構分區的簡圖。
保留區－－磁片參數表、DOS引導記錄
控制區－－FAT表1、FAT表2根目錄區
資料區－－資料區
以下簡單介紹一下重要的部分：
主引導記錄又稱主分區表、MBR等等：MBR占一個磁區，在CYL 0、SIDE 0 、SEC 1，由代碼區和資料區構成。其中代碼區是一端標準的程式，完成 BIOS自舉到OS BOOT之間的工作，為OS啟動做最後的準備。標準代碼區可以由FDISK/MBR重建，但對於多系統引導的不標準MBR，將被這一操作破壞。MBR的資料區記錄了分區情況。
系統磁區：CYL 0、SIDE 0 、SEC 1-CYL 0、SIDE 0 、SEC 63，共62個磁區引導區又稱BOOT區：CYL 0、SIDE 1 、SEC 1 這是我們過去稱的DOS引導區。也占一個磁區。
文件分配表又稱FAT：是記錄檔佔用簇的情況和連接關係的地方。一般有兩個FAT表，起到備份的作用。FAT12、FAT16的第一FAT表一般均在0-1-2，FAT32的第一FAT表在0-1-33。由於FAT表記錄檔佔用磁區連接的地方，如果兩個FAT表都壞了，後果不堪設想。
由於FAT表的長度與當前分區的大小有關所以FAT2的位址是需要計算的。
根目錄區（ROOT、FDT）：這裏記錄了根目錄裏的目錄檔項等，ROOT區跟在FAT2後面。
數據區：跟在ROOT區後面，這才是資料內容。
其實， MBR、隱含磁區、BOOT區，重建都比較容易。資料恢復的關鍵在於恢復資料檔案。由於FAT表記錄了檔在硬碟上佔用磁區的鏈表，如果2個FAT表都完全損壞了。那麼恢復檔，特別是佔用多個不連續磁區檔就相當困難了。
②、 主引導記錄簡單說明：
主引導記錄是硬碟引導的起點，關於代碼區不多說了，其資料區，比較重要的是2個標誌，80H和55AA，80H一般在偏移1BE處，80是分區啟動的標誌的標記表示系統可引導，且整個分區表只能有一個80標記。另一個就是結尾的55AA標記，用來表示主引導記錄是一個有效的記錄。另外，各個分區自身的引導記錄，也是以55AA結束，這是我們查找分區的標誌。我們後面在介紹如何主引導記錄中，給出了一個完整的分區表的例子，大家可對照查看。資料區中，用10H位元組表示一個分區，最多可表示4個分區，分別從1BE、1CE、1DE、1EE開始，我們後面給出了分區表項對應地址的含義。大家可以對應分析一下以下分區的情況。
80 01 01 00 0B FE BF FC 3F 00-00 00 7E 86 BB 00
① ② ③ ④ ⑤ ⑥
①：啟動標記，80表示可引導分區
②：分區開始的磁頭號為01、開始的磁區號為01、開始的柱面號為00，由於開始的磁區號為2進制6位，而開始的柱面號為2進制10位元，因此磁區號所用位元組的高兩位元要加在柱面號高兩位。
③：分區的系統類型FAT32（0B），01是FAT12，04為FAT16，06為BIGDOS，07為NTFS，其他參見分區類型表。
④：分區結束磁頭號254、分區結束磁區號63、分區結束柱面號764
⑤：首磁區的相對磁區號63
⑥：總磁區數12289622
2、常見手工處理工具與DOS外部命令介紹
DEBUG：古老和最為常見的調試跟蹤軟體，始終捆綁在微軟的DOS/WIN9X作業系統中。有19個子命令。有編寫執行彙編指令，直接讀寫絕對磁區和記憶體單元等功能，可以在最艱苦的條件下工作。DOS6.22以下的系統，DEBUG.EXE在DOS目錄下，WIN9X系統中它在WINDOWS\COMMAND目錄下，它也出現在WIN9X所生成的應急盤中。
DISKEDIT：常見16進制編輯軟體，字元介面，可以以檔方式和磁區方式讀寫邏輯內容，可以讀寫絕對磁區，可以方便的查找編輯分區表、FAT表、ROOT區等重要磁區。這一點要比DEBUG更方便。但在一些重要磁區損壞的情況下，DISKEDIT可能無法啟動。DISKEDIT軟體可以在著名的Norton Utilities套裝軟體中找到。最新的DISKEDIT出現在NU4中。
NDD：常見的FAT檔結構磁片修復工具，就是著名的NORTON磁片醫生，可以自動修復分區丟失等情況，可以搶救軟碟壞區中的資料，強制讀出後搬移到其他空白磁區。希望大家不要再使用NORTON FOR DOS7或8的NDD，這個版本由於不支援大分區、FAT32、長檔案名等技術，會給你帶來大量的麻煩。建議大家使用Norton Utilities4或更高版本中的NDD.EXE，這是純DOS下的工具。在硬碟崩潰或異常的情況下，他可能可以帶給用戶以希望。WIN9X下的磁片醫生調用的並不是這個程式，而
是NDD32.EXE.
FDISK：FDISK當然是個危險的命令，很多人非常恐懼，事實上，FDISK命令的運行並不影響任何分區內的硬碟資料，他對分區的設置操作，只改變主分區表的資料區。而特別是FDISK異常重要的隱含參數/MBR，可以重建主分區表的代碼區，清除主引導型病毒等。這是非常有用的操作。DOS6.22以下的系統，FDISK.EXE在DOS目錄下，WIN9X系統中它在WINDOWS\COMMAND目錄下，它也出現在WIN9X所生成的應急盤中。
FORMAT：在一些人眼中，FORMAT是最可怕的命令，但他並不是對硬碟清零，特別值得注意的是，很多檔恢復工具都建議你恢復前先FORMAT該分區起到保護的餓作用。DOS6.22以下的系統，FORMAT.COM在DOS目錄下，WIN9X系統中它在WINDOWS\COMMAND目錄下，它也出現在WIN9X所生成的應急盤中。
HD-COPY：傳統的軟碟COPY工具，2.0版本以後加入了強制讀的功能，可以讀出一些損壞磁區的內容。
SYS：SYS命令是重建BOOT區的最簡潔的手段，也可以殺除BOOT區病毒。DOS6.22以下的系統，sys.COM在DOS目錄下，WIN9X系統中它在WINDOWS\COMMAND目錄下，它也出現在WIN9X所生成的應急盤中。
令我非常遺憾的是，至今我沒有發現比較出色的磁區級備份鏡象工具，我曾寫過一個HD-MIRROR，但由於錯誤較多，我提供下載的第二天就停止了發佈，另外fixc的作者noz寫過一個clone.exe，但可惜只適合相同的硬碟。我也曾以為GHOST可以做到這點，事實上，你目前還不能指望他為你備份一塊深度破損的硬碟。。如果有一個有效的能以按磁區機制（而不是檔機制）壓縮備份一塊硬碟將之做成一個鏡象檔的話，那麼我們的恢復工作就擁有了更多的保證和餘地。我們可以更大膽的做恢復的嘗試。
3、一些自動處理工具或套裝軟體
首先介紹國內的一些免費修復工具
FIXMBR：何公道先生寫的一個修復MBR的工具，適合處理邏輯分區丟失的情況， 有一些可選參數，支持FAT32、FAT16，不支持NTFS、LINUX等分區，支援8.4G以上硬碟。可修復CIH發作後的擴展邏輯分區。
VRVFIX：北信源公司的推出的修復硬碟共用工具，適合處理邏輯分區丟失的情況，處理的基本比較準確。支持FAT32、FAT16，不支持NTFS、LINUX等分區。也不支援8.4G以上硬碟。
FIXC：國內最早出現的可以修復部分被CIH破壞的C盤的工具，作者是NOZ，新版本也加入了修復分區資訊的功能，支援FAT32、FAT16，有限支援NTFS，不支援8.4G以上硬碟。目前的版本已經比較完善。
FIXHDPT：TBSOFT工作室的分區資訊修復工具。支持FAT32、FAT16，不支持NTFS和LINUX，不支援8.4G以上硬碟，是歷史比較長的工具之一。
RE(ReapirEasy)：本人早期寫的分區表修復工具，支持FAT32、FAT16，有限支援NTFS，不支援8.4G 以上硬碟，和某些BIOS不相容。其整體水準低於前面列舉的工具。國外一些系統維護的工具目前已經達到了非常強大的程度。
Norton Utilities：歷史最悠久的系統維護工具。不僅可以資料恢復，還可以系統加速和修補記憶體錯誤。目前最新的版本是NU4.5 FOR 9X、NU2 FOR NT等。
Tiramint：最為出色的災難恢復工具之一，有NTFS、FAT32、FAT16、NOVELL4種版本。生成急救軟碟，可以對深度破壞的磁片進行交叉恢復。
4、常用的基本操作
① 讀出主引導記錄：這是系統級數據恢復可能涉及最多的程式之一。例：
DEBUG
-a100 ；從此處開始彙編
126C:0100 mov ax,201； 讀操作一個磁區
126C:0103 mov bx,300； 送入地址300
126C:0106 mov cx,1 ；0面1扇
126C:0109 mov dx,80 ；80H為硬碟，頭為0
126C:010C int 13
126C:010E int 3
126C:010F
-g=100 ；執行
AX=0050 BX=0300 CX=0001 DX=0080 SP=FFEE BP=0000 SI=0000 DI=0000 DS=126C ES=126C SS=126C CS=126C IP=010E NV UP EI PL NZ NA PO NC
這裏用了I/O中斷13，涉及的寄存器含義為ah,操作方式，02H為讀，03H為寫，al送磁區數，bx送準備裝入磁區的記憶體偏移位址，cx送從哪一道哪一磁區開始，我們一般依靠改換CX來讀寫不同邏輯盤某個邏輯磁區。dx送盤符和頭數INT 3是中斷點中斷，使程式運行到此停止。
② 顯示引導區內容：我們把磁區讀到某個記憶體位址並不是目的。而是為了看到他的內容，在DEBUG中D命令可以方便的查看記憶體單元的內容。續前例，如果我們要看到主引導區的內容的話，既然裝載到300。-d300 l200就可以查看了，一個引導區的映象類似如下，可以直觀的看 到我們前面所提到的代碼區和資料區。是否正常請大家自行分析一下
126C:0300 33 C0 8E D0 BC 00 7C FB-50 07 50 1F FC BE 1B 7C 3.....|.P.P....|
126C:0310 BF 1B 06 50 57 B9 E5 01-F3 A4 CB BE BE 07 B1 04 ...PW...........
126C:0320 38 2C 7C 09 75 15 83 C6-10 E2 F5 CD 18 8B 14 8B 8,|.u...........
126C:0330 EE 83 C6 10 49 74 16 38-2C 74 F6 BE 10 07 4E AC ....It.8,t....N.
126C:0340 3C 00 74 FA BB 07 00 B4-0E CD 10 EB F2 89 46 25 <.t...........F%
126C:0350 96 8A 46 04 B4 06 3C 0E-74 11 B4 0B 3C 0C 74 05 ..F...<.t...<.t.
126C:0360 3A C4 75 2B 40 C6 46 25-06 75 24 BB AA 55 50 B4 :.u+@.F%.u$..UP.
126C:0370 41 CD 13 58 72 16 81 FB-55 AA 75 10 F6 C1 01 74 A..Xr...U.u....t
126C:0380 0B 8A E0 88 56 24 C7 06-A1 06 EB 1E 88 66 04 BF ....V$.......f..
126C:0390 0A 00 B8 01 02 8B DC 33-C9 83 FF 05 7F 03 8B 4E .......3.......N
126C:03A0 25 03 4E 02 CD 13 72 29-BE 46 07 81 3E FE 7D 55 %.N...r).F..>.}U
126C:03B0 AA 74 5A 83 EF 05 7F DA-85 F6 75 83 BE 27 07 EB .tZ.......u..'..
126C:03C0 8A 98 91 52 99 03 46 08-13 56 0A E8 12 00 5A EB ...R..F..V....Z.
126C:03D0 D5 4F 74 E4 33 C0 CD 13-EB B8 00 00 00 00 00 00 .Ot.3...........
126C:03E0 56 33 F6 56 56 52 50 06-53 51 BE 10 00 56 8B F4 V3.VVRP.SQ...V..
126C:03F0 50 52 B8 00 42 8A 56 24-CD 13 5A 58 8D 64 10 72 PR..B.V$..ZX.d.r
126C:0400 0A 40 75 01 42 80 C7 02-E2 F7 F8 5E C3 EB 74 49 .@u.B......^..tI
126C:0410 6E 76 61 6C 69 64 20 70-61 72 74 69 74 69 6F 6E nvalid partition
126C:0420 20 74 61 62 6C 65 00 45-72 72 6F 72 20 6C 6F 61 table.Error loa
126C:0430 64 69 6E 67 20 6F 70 65-72 61 74 69 6E 67 20 73 ding operating s
126C:0440 79 73 74 65 6D 00 4D 69-73 73 69 6E 67 20 6F 70 ystem.Missing op
126C:0450 65 72 61 74 69 6E 67 20-73 79 73 74 65 6D 00 00 erating system..
126C:0460 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 ................
126C:0470 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 ................
126C:0480 00 00 00 8B FC 1E 57 8B-F5 CB 00 00 00 00 00 00 ......W.........
126C:0490 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 ................
126C:04A0 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 ................
126C:04B0 00 00 00 00 00 00 00 00-00 00 00 00 00 00 80 01 ................
126C:04C0 01 00 0B FE BF FC 3F 00-00 00 7E 86 BB 00 00 00 ......?...~.....
126C:04D0 81 FD 0F FE FF FF BD 86-BB 00 E0 A9 75 00 00 00 ............u...
126C:04E0 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 ................
126C:04F0 00 00 00 00 00 00 00 00-00 00 00 00 00 00 55 AA ..............U.
③ 反彙編主引導區內容：判定MBR的代碼區是否正常，對於資料區的基本情況，我們可以通過直觀觀察得出，但對於存在引導型病毒，或者引導區出現異常代碼的情況，我們可能需要分析MBR中代碼區的指令。這一般要對已經讀入記憶體的引導區進行反彙編。反彙編用指令U，續前例：
-u300 l15D ；反彙編主引導磁區代碼區內容
126C:0300 33C0 XOR AX,AX
126C:0302 8ED0 MOV SS,AX
…………
126C:045C 65 DB 65
126C:045D 6D DB 6D
④ 寫記憶體單元，在我們的前例中，主分區類型是0B是FAT32的，假定這個類型實際是NTFS的，我們該如何修改呢？由於主分區類型的偏移是4C3H，我們可以用E命令寫到記憶體單元中，從附表中查得NTFS的類型為07。因此-e4c3 7再比如說，假定我們想把無效的分區表清零，那麼，我們應當用另一個命令F，這個命令可以用填充一個記憶體位址範圍。清零分區表的操作就是-f4be 4ff 00，以下兩個操作也比較常見。
重置80標記，-e4be 80
重置55AA標記，-f4ff 4fe 55 aa
不要忘記了，此時僅僅是改動了記憶體中的資料，並未寫到硬碟上。因此需要用int 13中斷把改寫的結果，寫回硬碟。續前例，
-a100
126C:0100 mov ax,301 ； 寫操作一個磁區
-g=100 ；執行
其實，我們相當於修改了剛才輸入的讀主引導磁區程式，使程式變為。
126C:0100 mov ax,301 ； 寫操作一個磁區
126C:0103 mov bx,300 ；從記憶體位址300
126C:0106 mov cx,1 ；0面1扇
126C:0109 mov dx,80 ；80H為硬碟，頭為0
126C:010C int 13
126C:010E int 3 ；中斷點
⑤ 絕對磁片內容的讀出與寫入
類似操作在FAT32結構硬碟被CIH破壞的修復中比較常見，我們後面將講到恢復的基本思路就是用第二FAT表覆蓋第一FAT表。那麼無疑要讀出第二FAT表的內容，再回寫到第一FAT表的位置上。一般的來說，大量連續磁區的讀出寫入DISKEDIT進行非常方便，如果用DEBUG做則要寫一段子程式，不過程式的主要技巧就是利用int 25絕對磁片讀中斷讀出的內容，而用int 26絕對磁片寫做內容寫入。
5、資料可恢復的前提
有人覺得這個題目說法比較奇特，但資料恢復，作為一個資料再現的過程，一定要解決兩個問題，第一是從哪里恢復的問題，第二是怎麼恢復的問題。解決了這兩個問題，我們事實上就把握了資料恢復的全部思想脈絡。而這一部分就是從哪里恢復的問題。
①、 有效而及時的備份中是資料恢復最可靠的來源，在許多人宣導備份到秒的今天，恐怕不會有人懷疑這點。而有些備份機制則是系統內建的，比如兩份FAT表。
②、 資料的實際有效性的判定是關鍵，對我們來說，硬碟無法自舉、檔找不到、檔打不開等現象，其實並不與資料丟失畫等號。因為此時往往資料只是從作業系統的角度是一種邏輯丟失，而從物理磁區意義上，它仍然存在或部分存在。最明顯的就是檔刪除的例子，事實上，這只是把檔首位元組，改為0E而已。而此時文件體依然存在。
③、 資料損壞過程的可逆性分析：對資料的改變無非兩種，取代和變換，前者是不可逆的，而後者則是可逆的。我們以殺毒為例，對於大多檔性病毒來說，那些以附加而非代換方式感染的檔型病毒，理想的殺毒過程就是感染的逆過程。這種分析也常見與重要資訊被隱藏搬移或者被加密的情況，但分析將比較複雜。
④、 資料本身是否是標準資訊：有些資訊實際是通用或局部通用的，你無須考慮如何從本機搶救。只要相同或相近的系統版本就可以了，比如BOOT區、隱含磁區、WINDOWS的DLL檔等等。典型的例子如分區表的代碼區，這是一段標準代碼，事實上，它就放在你的FDISK程式裏面，你可以用DEBUG把他提取出來。
⑤、 資料本身是否可以由其他資訊統計再生：有些資訊儘管丟失了，也沒有備份。但它實際可以從其他資料中間接求得。最典型的就是主分區表中的分區資訊，即使你把他清零也不必害怕，因為你可以從你幾個分區中計算再生。
⑥、 破壞的完成程度：事實上，FDISK、FORMAT都不會徹底破壞資料，一般只有低格和磁區覆蓋操作才會徹底破壞資料。但有時，破壞過程或者誤操作過程會因人工終止、死機等原因不能完成。最明顯的就是CIH病毒的例子，由於CIH是以1024位元組為單位覆蓋磁區，這當然是不可逆過程，於是我們最初都認為，破壞是很難恢復的，除非人工終止。事實上，當病毒覆蓋某些磁區時會與9X系統發生衝突，從而造成死機，使資料得到了保護。
第三章、資料恢復基本攻略
1、 硬體或介質問題的情況
①、硬碟壞：硬碟自檢不到的情況一般是硬體故障，又可分為主版的硬碟控制器（包括IDE口）故障和硬碟本身的故障。如果問題在主板上，那麼資料應當沒有影響。如果出在硬碟上，也不是一定不能修復。硬碟可能的故障又可能在控制電路、電機和磁頭以及碟片。如果是控制電路的問題，一般修好它，就可以讀出資料。但如果電機、磁頭和碟片故障，即使修理也要返回原廠，資料恢復基本沒有可操作性。
②、軟碟壞：當軟碟資料損壞時，可以有幾種處理，一種是用NDD修復，他會強制讀出你壞區中的東西，MOVE到空白磁區中，這就意味著如果你的磁片很滿操作是沒法進行的。你也可以用HDCOPY2.0以上版本READ軟碟，他也會進行強讀，使讀入緩衝區的資料是完好的，你再寫入一張好磁片就可以了。當然這些方式，要看盤壞的程度。如果0磁軌壞，資料也並非無法搶救，早先可以通過磁區讀的方式，把後面的資料讀出，不過一般來說，你依然可以HDCOPY來實驗。
2、系統問題的情況
①、在硬碟崩潰的情況下，我們經常要和一些提示資訊打交道。我們要瞭解他典型提示資訊的含義，注意這些原因僅僅分析邏輯損壞而不是硬碟物理壞道的情況。
提示資訊
可能原因
參考處理
Invalid Partition Table
分區資訊中1BE、1CE、1DE處不符合只有一個80而其他兩處為0
用工具設定，操作在前面已經講了。
Error Loading Operating System
主引導程式讀BOOT區5次沒成功。
重建BOOT區
Missing Operating System
DOS 引導區的55AA標記丟失
用工具設定，把前面讀寫主引導區程式的DX=80改為180即可
Non-System Disk or Disk Error
BOOT區中的系統檔案名與根目錄中的前兩個檔不同
SYS命令重新傳遞系統，
Disk Boot Failure
讀系統檔錯誤
SYS命令重新傳遞系統，
Invalid Driver Specifcationg
如果試圖切換到一個確實存在的邏輯分區出現以下資訊，說明主分區表的分區記錄被破壞了。
根據各分區情況重建分區表，或者用自動修復工具修復。注意分區丟失是最常見的故障之一，此時不要緊張，一般的說此時資料並沒有問題，如果你不瞭解處理的方法。你可以選擇我前面介紹的自動修復分區工具進行處理，他們大多只改寫主分區表的資料區，不會影響你的其他資料。特別提醒大家，這些工具有的不支援8.4G硬碟，有的與BIOS對硬碟的識別有關係。如果你在一台機器上不行，可以換台BIOS不同的機器實驗一下。
Bad or missing command interpreter
這是說找不到COMMAND.com，或者COMMAND檔壞了。
如果你COPY過去COMMAND檔還是如此，一般來說是感染了某種病毒。
Invalid media type reading drive
X ,Abort,Retry,Fail?
該盤沒有高級格式化，或BOOT區中I/O參數表被破壞。
這裏情況較多，手工處理比較複雜，特別指出，此時DISKEDIT可能無法運行，建議用工具修復。
Incorrect DOS Version
可能是檔版本不統一，對9X來說，有95，95osr/2,98,98 oem/2等版本，重新SYS時，不要弄錯了。
用正確版本的啟動盤重新SYS系統。
另外說明一下，對於比較老的機器還有1071和not found rom basic、ROM BASIC OK等提示，在目前機器中以消失。另外，當代碼區完全被破壞的情況下，系統關於無系統的提示是來自BIOS的，這條提示與BIOS的種類有關。另外，FDISK/MBR對代碼區的重建是我們經常採用的。再介紹一種比較極端的情況，就是硬碟自檢正常，而用軟碟和硬碟都無法正常啟動的情況，這可能是，病毒或惡意程式利用，DOS3以上版本啟動中都要檢索分區表這一特點，把分區表置為閉環。造成啟動中死機。網上曾經流傳過DOS6.22k修改方案，其實是修改西文MS-DOS6.22的 IO.SYS，把C2 03 06 E8 0A 00 07 72 03替換為：C2 03 90 E8 0A 00 72 80 90就可以啟動被類似情況鎖住的硬碟。
②、WIN9X無法正常進入或工作：以下僅僅是對可能的軟故障分析，沒有考慮硬體故障.
進入圖形介面前死機情況比較複雜，可能與載入的某些驅動有關可以在START MS WINDOWS時，用F8啟動功能表，設置為step by step，看是哪項使系統死機。而後從CONFIG或者SYSTEM。INI中刪除
進入圖形介面後死機： 一般這與開機載入的程式有關進入安全模式（此時自動運行的程式將不能載入），對註冊表中的HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run*中的鍵值和啟動組中載入的程式進行分析。必要的予以刪除。
顯示IEXPLORE.EXE錯誤，不能進行任何操作可能有某個系統的動態連接庫損壞覆蓋安裝WIN9X，或從其他機器上COPY損壞的連接庫。（確定哪個庫損壞一般比較困難）
頻繁出現出錯各種資訊：一般是虛擬記憶體不足造成的看C盤是否剩餘空間過少，或者打開的應用程式和視窗太多。
2、全盤崩潰和分區丟失
首先重建MBR代碼區，再根據情況修正分區表。修正分區表的基本思路是查找以55AA為結束的磁區，再根據磁區結構和後面是否有FAT等情況判定是否為分區表，最後計算填回，主分區表，由於需要計算，過程比較煩瑣，就不仔細介紹了，希望大家用前面介紹的工具，比如NDD處理。如果檔仍然無法讀取，要考慮用TIRAMINT等工具進行修復。如果在FAT表徹底崩潰的情況下，恢復某個指定檔，可以用DISKEDIT或DEBUG查找已知資訊。比如檔為文本，檔中包含“軟體狗”，那麼我我們就要把他們轉換為內碼C8 ED BC FE B9 B7進行查找。
3、檔丟失、誤格式化的情況
一般的來說，檔刪除僅僅是把檔的首位元組，改為E5H，而並不破壞本身，因此可以恢復。但由於對不連續檔要恢復檔鏈，由於手工交叉恢復對一般電腦用戶來說並不容易，在這篇縮略版中就不講了，建議用工具處理，如果已經安裝了Norton Utilities，可以用他來查找。另外，RECOVERNT 等工具，都是恢復的利器。特別注意的是，千萬不要在發現檔丟失後，在本機安裝什麼恢復工具，你可能恰恰把檔覆蓋掉了。特別是你的檔在C盤的情況下，如果你發現主要檔被你失手清掉了
，（比如你按SHIFT刪除），你應該馬上直接關閉電源，用軟碟啟動進行恢復或把硬碟串接到其他有恢復工具的機器處理。誤格式化的情況可以用工具處理。
4、檔損壞的情況
一般的說，恢復檔損壞需要清楚的瞭解檔的結構，並不是很容易的事情，而這方面的工具也不多。不過一般的說，檔如果位元組正常，不能正常打開往往是檔頭損壞。就檔恢復舉幾個簡單例子。
類型
特徵
處理
ZIP、TGZ等壓縮包無法解壓
ZIP檔損壞的情況下可以用一個名為ZIPFIX的工具處理。不過如果你的檔是從FTP站點上下載的，那麼有可能是你沒有定義下載模式為BIN。
自解壓文件無法解壓
可能是可執行檔頭損壞，可以用對應壓縮工具按一般壓縮檔解壓。
DBF文件死機後無法打開
典型的檔頭中的記錄數與實際不匹配了，把檔頭中的記錄數向下調整，遺憾的是公式我找不到了。
5、硬碟被加密或變換
此時千萬不要FDISK/MBR，SYS等處理，否則可能資料再也無法找回，一定要反解加密演算法，或找到被移走的重要磁區。對於那些加密硬碟資料的病毒，清除時一定要選擇能恢復加密資料的可靠殺毒軟體。
6、檔加密後密碼遺忘
對於很多文字處理軟體的檔加密和ZIP等壓縮包的加密，你是不能靠加密逆過程來完成的，因為那從理論上是異常困難的。目前有一些相關的軟體，他們的思想一般都是用一個大字典集中的資料迴圈用相同演算法加密後與密碼的密文匹配，直到一致時則說明找到了密碼。你可以去尋找這些軟體，當然，有些軟體是有後門的，比如DOS下的WPS，Ctrl+qiubojun就是通用密碼。Undiskp的作者馮志巨集是解檔密碼的個中高手，大家不妨去他的主頁看看。
7、系統用戶密碼遺忘的處理：最簡單的方法就是用軟碟啟動（NT的你也可以把盤掛接在其他NT上），找到支援該檔系統結構的軟體（比如針對NT的NTFSDOS），利用他把密碼檔清掉、或者是COPY出密碼檔案，用破解軟體套字典來處理。前者時間短但所有用戶資訊丟失，後者時間長，但保全了所有用戶資訊。對UNIX系統，我建議你一定先做一張應急盤。
第四章、恢復實例
下面舉一些資料恢復或者軟故障處理的例子，這些事例是從我參與大量的故障處理中選取的一些典型事例。在選取典型事例中，遵循了以下原則。
①、 處理過程能夠表現一定思想，而不是純粹的技術手段。
②、 處理過程本身並不算複雜，基本不出現組合語言程式，一般讀者能夠理解。
③、 處理過程本身並不完美，中間可能犯了一些錯誤，有的甚至局部失敗。可以使大家引為借鑒。
④、 處理過程本身並不僅僅是純粹的邏輯思維，有人的心理活動對技術的干擾。以使大家能更好的避免這些。
1、 被CIH破壞硬碟恢復一例
委託恢復人：某銀行
硬碟情況：CIH發作，藍屏死機。該單位電腦人員曾用KV300 F10進行修復，但沒有成功，又恢復了保存的MBR。
修復工具：
準備好軟碟3張：
DISK1 -WIN98啟動盤（帶DEBUG）
DISK2-DISKEDIT等工具（此盤不要防寫）
DISK3-DOS下殺CIH的工具
基本思想：
1、FAT2沒有損壞的情況，用FAT2覆蓋FAT1。
2、FAT2也已經損壞的情況，我一般是只期待找回其中某些關鍵的檔了。
我們最期待的是這些檔是連續的。如果不連續的話，也並非沒有可能，但這往往還要知道檔的一些細節，包括對一些檔本身的連接結構有瞭解。如果FAT2沒有完全破壞，是有一定用處的，另外，一般來說，FAT16的硬碟因為FAT表靠前破壞的比較嚴重，一般兩個FAT表都壞了，小硬碟也很難恢復了。
修復過程：
把我的硬碟摘下，掛上待恢復的的硬碟，開機，進入SETUP，檢測硬碟，把參數記下——CLY 620 HEAD 128 PRECOMP 0 LANDZ 4959 SECTOR 63 MODE LBA。 用準備好的軟碟啟動：
A：>C：
顯示Invalid drive specification
FDISK/MBR重建主引導記錄。（這是個習慣），重新軟碟引導：（可能沒有必要）。
此時已經看的見C：硬碟。
啟動DISKEDIT，啟動過程中顯示Invalid media type reading DRIVER C,哎呀，算了，還是先用DEBUG清空分區表,，並置80和55aa標誌。
重新啟動，再運行DISKEDIT，顯示設定為READ ONLY，沒關係，把TOOLS/CONFIGURATION中的唯讀選項去掉，存檔，好了，可以編輯了。由於當時接的硬碟有多塊，我把這塊當成了是一塊只有C分區，所以沒看別的東西，我們期待FAT2沒有損壞，以用FAT2覆蓋FAT1，在這個時候DISKEDIT要比DEBUG容易的多，在FIND OBJECT中選擇FAT，查一下起始磁區，好的，在CYL 0 SIDE68 SEC 14，0000H，F8 FF FF 0F（FAT32的），好的，FAT2沒壞。其實如果不用DISKEDIT的可以用一端小程式查，偏移0000的F8 FF FF。
由於以為只有C分區，所以，上來就在FIND中查找IOSYS（IO和SYS中要有空格）以查找ROOT區。找到後觀察，是否有C：\下常見文件。好的，ROOT區沒被破壞。記下了該磁區的CYL 0、SIDE 68、SEC 14，備用。FAT1一般前面已經被破壞了，但後面應該還在，這可以作為檢查。因為是32位的，FAT1一般在CYL 0 SIDE1 SEC 33。因為有了ROOT區然後應該計算FAT表的長度了，因為FAT2到ROOT前一磁區為止，所以非常簡單。
然後可以用FAT2覆蓋FAT1，這裏用DEBUG還是DISKEDIT都可以，如果用DEBUG一般是用INT 25讀絕對磁區，再用INT 26寫入，用DISKEDIT則比較簡單。程式：（略）
然後可以恢復主引導記錄、隱含磁區和BOOT區，可以先用NDD修復分區表，其他可以考慮可以考慮用標準覆蓋法，如果你希望下一步由NORTO NUtilities來接手,這些都可以不做。我從另一台FAT32的機器上取來了相應的部分，寫了進去。我這時發現好象有一個D盤。先看一下在說吧。
好了，關機串上我的硬碟，用NORTON Utilities 4掃描C盤，檔基本恢復，對C盤殺毒，WHY，沒有發現病毒，換了2種殺毒軟體還是沒有病毒，現在顯示C盤是948M，有一個D盤，但是95下無法流覽，DOS下亂碼。於是打電話核實當時的情況，原來是26日那天，放進一張光碟，光碟機燈亮了一會，就硬碟狂響，藍屏死機了。應該證實我的推斷一樣，是光碟的AUTORUN程式有CIH病毒。所以說沒有即時防禦能力的軟體是沒有意義的。另外，他們的硬碟確實分兩個區，而且重要文件在D區。然後在修復D盤吧，再回到DOS，用DEBUG查找結束標誌為55AA的磁區，然後根據後面是否有FAT判定是否為擴展分區。此時可算出大小來返回修訂主分區表。當然，許多工具也可以很好的完成這一工作。如果你沒有把握，就用他們完成好了。其實我就是用自己的RE做的，否則手工做確實太麻煩。
經驗總結：
①、你不要聽信或者憑記憶想一塊硬碟該是怎麼樣的，一定要自己去看，我就是犯了這個錯誤。
②、某些軟體的修復功能確實如一些網友所講可能有一定隱患，如果銀行的電腦人員在用KV300 F10處理之前沒有備份，可能要給我找些麻煩。
我們應當看到，恢復資料要本著幾項原則。
①、 最好先備份，這也是而後我寫HD-MIRROR的原因
②、 優先搶救最關鍵的資料
③、 在穩妥的情況下先把最穩定的雞蛋撈出來，（理應先修復擴展分區，再修復C），最好修復一部分備份一部分。
④、 要先作好準備，不要忙中出錯，此間，由於我的機器沒有裝過NORTON，先解壓，習慣的敲了一個D：\TEMP,這才想起來D盤已經是人家的硬碟，檔險些解在沒有完全修好的C盤上。這種錯誤有時會經常發生。
2、 LINUX錯誤安裝帶來問題一例
委託恢復人：某信息港
硬碟情況：4.3G硬碟，分三個區，D、E中有很多重要資料。原來裝95系統，做主盤。在試圖向從盤上裝LINUX的時，誤將安裝盤符選為C，而後發現終止，此時硬碟無法自舉。軟碟啟動無法看到任何有效分區。
工具準備：
DISK1 - WIN98啟動盤（帶DEBUG）
DISK2 - DISKEDIT等工具（此盤不要防寫）
修復思想：
修復分區表中的擴展分區，重置主分區的分區類型。
修復過程：
用軟碟啟動，FDISK/MBR清除LILO，重建代碼，用DISKEDIT調入MBR觀察，已經沒有了擴展邏輯分區的資訊。80啟動分區的類型已經變成83（LINUX）這時我犯了與前面類似的錯誤，本應先修復分區資訊，但我卻依然去先試圖C。而且修復C的時是否我又犯了一個致命的錯誤，那就是我算錯了C盤的大小。本來C盤是650M左右的一個分區，應當把分區類型置為06H（大DOS），而我誤算C為340M，因此我置為了04H（普通FAT16），這時我想對C做進一步修復，就把硬碟串到我的機器上，開機後C盤可見，文件似乎完好。此時我選擇用NU來自動修復它的C盤。最後的結果是，由於我選錯了分區類型，修復使C盤徹底崩潰。我重新起機後，再試圖用NU檢測C時，我的98
馬上藍屏，另一個惡果就是我決定從軟碟啟動，用DISKEDIT查看時，發現可能由於I/O參數表的損壞，DISKEDIT無法啟動了。而後，我用RE恢復分區表，但在我的方正上，RE竟然溢出，後來，我找到一台兼容機，在上面運行RE，這才恢復了D、E兩個分區。此時，委託我恢復的朋友打來電話，說只找到D、E就可以。我這才放心。
經驗總結：分區類型只是一個位元組，卻會帶來如此嚴重的後果。可見，修復資料必須異常慎重。
3、 NT SERVER硬碟崩潰一例
相應情況：
這是單位裏的一台NT伺服器。三個NTFS分區，有重要資料在內。硬碟崩潰，不能啟動，軟碟啟動後，用NTFSDOS 不能映射任何邏輯分區。
工具準備：
DISK1 - WIN98啟動盤（帶DEBUG）
DISK2 - DISKEDIT等工具（此盤不要防寫）
修復過程：
用DEBUG讀取主分區表，發現完全混亂。反彙編後發現為一段有邏輯意義的代碼，我當時十分緊張，以為硬碟被加密了。只好向一個高手HIT-007求援，不料他用DEBUG看了兩下，馬上退出來，做了FDISK/MBR。我大驚失色。但重起後，硬碟竟能啟動進入NT，當然只剩下C一個分區。而後我很容易的恢復了另外兩個分區。他對我說，你一看MBR中的內容就被嚇住了，我向後看後面的一些系統磁區情況都是正常的。這就說明只是MBR不正常而已。
經驗總結：資料恢復中情緒的因素很重要，無論什麼情況不能慌張，因為這可能影響到你 是否能全面冷靜的思考。
4、 NOVELL伺服器掉電問題一例：
相應情況：
這是兩年前處理過的一個問題，我當時在某證券營業部兼職做網管，開市時，一台NOVELL伺服器因UPS故障突然掉電重起。當時的交易系統還是DBF資料庫，按照規程，應該運行一個全部資料庫重建索引常式。但索引中，卻有7個庫無法重建，檢查發現，是庫無法打開。
修復情況：
我恍惚記得深圳一個證券界電腦工程師對我說過，DBF檔頭在突然死機中可能會損壞。但不知細節如何。我初步判定，由於庫寫入時，先修改檔頭中的記錄總數，再寫入記錄。可能是掉電時檔頭已經修改但記錄沒有成功寫入，因此，應該是記錄數不符。但檔頭中記錄數在哪里呢。我於是這樣處理，把這些損壞的資料庫和一個完好的資料庫COPY到本地，用FOXPRO打開看到記錄數，換算成16進制。然後查找這個HEX串，判定找到記錄數位址，（這個庫記錄數應當比較多，減少混淆的可能，否則容易找錯）。由於我不知道處理DBF的公式，只好把損壞資料庫的記錄數每次減一，然後再用FOXPRO打開實驗。其中5個資料庫減一後就可以打開，只有一個資料庫直到減4後才正常。全處理過程從掉電開始只有20分鐘，基本沒有影響交易進行。
經驗總結：當出現問題，但你不知道確切的處理方法時，要充分進行分析。
5、 某財務系統資料處理一例：
相應情況：
也是我在證券公司處理的情況，某單機版財務系統，基於Clipper，當時是年初安裝，使用正常至6月份底，突然發現該月資料紊亂，與實際出入巨大。出品公司的人來看過後，聲稱需要1周處理時間和近萬元的處理費，我聽說後，建議財務部拒絕其“訛詐”，由我來處理。
分析處理過程：
由於我對財務一竅不通，我請財務經理講明瞭情況和一些概念，又分析了系統的大致結構。我發現本月每一筆資料都是正常的，只是因為多了上千筆沒有發生的收支，才使匯總表發生了變化。那麼這些資料是哪里來的，就成了問題的關鍵。在看了該軟體的初始狀態後，我似有所悟，問財務軟體初裝後並沒有的上百個“科目”是從哪里建立的。財務經理回憶是上年底從某營業部發來的，我當時就明白了，那個營業部是上一年6月成立的，問題顯然出在該營業部提供的初始科目不為空，由於上年1-5月該營業部尚不存在，所以資料為空，而該營業部6月以後的資料則隨科目轉入了我所在營業部的財務系統。經過對當初轉入初始科目的對照，證實了我的判斷。於是，我做了一段程式，按照對應關係把相關資料從系統庫中摘除。從分析問題到問題的解決，只用了三個小時。
經驗總結：
①、 當出現資料紊亂時，很重要一點就是找到干擾源。
②、 資料處理絕非僅僅就是一個技術問題，特別是金融系統，一定要得到這方面的專業人士的配合。我想如果沒有那位財務經理的信任鼓勵和讓我對會計知識的速成，問題處理就不會如此順利。
這只是一些簡單恢復的例子，類似的，大家可以將在完整版的文章中看到更多。想說明一點，有一些朋友建議過我把一些複雜的災難恢復和資料搶救的細節寫出來，但因為這些涉及到相關單位一些系統資訊等等，就對不起大家了。最後，如果相關問題的話，大家可以到我們主持的169電腦醫院查找更多資料，我們的虛擬功能變數名稱是usafe.yeah.net
--附表：
1、 磁片分區表
位址|說明|位元組數
1BEH|分區信息1|10H
1CEH|分區信息2|10H
1DEH|分區信息3|10H
1EFH|分區信息4|10H
1FFH|結束標誌55AA|2H
2、 分區資訊說明
偏移長度含義
0|位元組| 啟動狀態，80H：活動分區（可引導區），0H：非活動分區
1|位元組|分區起始的磁頭
2|字 |分區起始的磁區和柱面
4|位元組|分區類型
5|位元組|分區終止的磁頭
6|字|分區終止的磁區和柱面
8|雙字|分區起始決對磁區
0CH|雙字|分區磁區數
3、 分區類型表（這是一個比較全的分區類型表了）
0 Empty
1 FAT12
2 XENIX root
3 XENIX usr
4 FAT16 <32M
5 Extended
6 FAT16
7 HPFS/NTFS
8 AIX
9 AIX bootable
a OS/2 Boot Manag
b Win95 FAT32
c Win95 FAT32 (LB
e Win95 FAT16 (LB
f Win95 Ext'd (LB
10 OPUS
11 Hidden FAT12
12 Compaq diagnost
16 Hidden FAT16
14 Hidden FAT16 <3
17 Hidden HPFS/NTF
18 AST Windows swa
24 NEC DOS
3c PartitionMagic
40 Venix 80286
41 PPC PReP Boot
42 SFS
4d QNX4.x
4e QNX4.x 2nd part
4f QNX4.x 3rd part
50 OnTrack DM
51 OnTrack DM6 Aux
52 CP/M
53 OnTrack DM6 Aux
54 OnTrackDM6
55 EZ-Drive
56 Golden Bow
5c Priam Edisk
61 SpeedStor
63 GNU HURD or Sys
64 Novell Netware
65 Novell Netware
70 DiskSecure Mult
75 PC/IX
80 Old Minix
81 Minix / old Lin
82 Linux swap
83 Linux
84 OS/2 hidden C:
85 Linux extended
86 NTFS volume set
87 NTFS volume set
93 Amoeba
94 Amoeba BBT
a0 IBM Thinkpad hi
a5 BSD/386
a6 OpenBSD
a7 NeXTSTEP
b7 BSDI fs
b8 BSDI swap
c1 DRDOS/sec (FAT-
c4 DRDOS/sec (FAT-
c6 DRDOS/sec (FAT-
c7 Syrinx
db CP/M / CTOS / .
e1 DOS access
e3 DOS R/O
e4 SpeedStor
eb BeOS fs
f1 SpeedStor
f4 SpeedStor
f2 DOS secondary
fe LANstep
ff BBT
4、 DOS8+3結構磁片目錄項
偏移|說明 |長度（10進制）
00H |檔案名 |8
08H |副檔名 |3
0BH |屬性 |1
0CH |保留區 |10
16H |生成/最後修改時間|2
18H |生成/最後修改日期|2
1AH |起始簇 |4
1CH |位元組長度 |4 |
發表於 2008-5-2 17:29
|