数据恢复的常用方法.doc

数据恢复的常用方法硬盘作为计算机中存储数据的载体，往往会因为硬件、软件，恶意与非恶意破坏等因素而出现存储数据完全或部分丢失的现象，特别是在这个随时可能遭受攻击的网络时代，硬盘数据还面临网络方面的破坏。重要数据文件一旦丢失，损失势必难以估量面对这些潜在的危险，再周密和谨慎的数据备份工作都不可能为我们的数据文件提供实时、完整的保护。因此，如何在硬盘数据被破坏后进行妥善而有效的数据拯救，就成为广大用户普遍关心的一件事情。下面本文就硬盘存储数据丢失的原因、恢复技术及相关保护措施方面进行了一些探讨。一、数据丢失的原因及产生现象造成数据丢失的原因大致可以分为三大类：软件、硬件和网络。1.软件方面的起因比较复杂，通常有病毒感染、误格式化、误分区、误克隆、误作等几种，具体表现为无作系统，读盘错误，文件找不到、打不开、乱码，报告无分区等。2.硬件方面的起因有磁盘划伤、磁组损坏、芯片及其它原器件烧坏、突然断电等。具体表现为硬盘不认，盘体有异常响声或电机不转、通电后无任何声音等现象。3.网络方面的起因有共享漏洞被探知并利用此漏洞进行的数据破坏、木马病毒等。上述三种数据的丢失往往都是瞬间发生的事情，能否正确地第一时间判断出数据丢失的原因对于下一步所讲述的数据恢复是很重要的。二、硬盘数据恢复的可能性与成功率什么是数据修复呢，数据修复就是把遭受破坏或误作导致丢失的数据找回来的方法。包括硬盘、软盘、可移动磁盘的数据恢复等。数据恢复可以针对不同作系统（DOS、Windows9X/NT/2000、UNIX、NOVELL等）的数据进行恢复，对于一些比较特殊的数据丢失原因，数据恢复可能会出现完全不能恢复或只能恢复部分数据，如：数据被覆盖（OVERWRITE）、低级格式化（LOWLEVELFORMAT）、磁盘盘片严重损伤等。1.恢复数据的几项原则如果希望在数据恢复时保持最大程度的恢复率，应遵循以下几项原则：发现问题时：如果可能，应立即停止所有的写作，并进行必要的数据备份，出现明显的硬件故障时，不要尝试修复，应送往专业的数据恢复公司。恢复数据时：如果可能，则应立即进行必要的数据备份，并优先抢救最关键的数据，在恢复分区时则应优先修复扩展分区，再修复C。2.数据恢复可能性分析硬盘数据丢失后，数据还能恢复吗？这是许多电脑用户最关心的问题。根据现有的数据恢复实践和经验表明：大多数情况下，用户找不到的数据往往并没有真正的丢失和被破坏，80%的情况下,数据都是可以复原的。下面是常见的几种数据恢复可能性与成功率分析：病毒破坏破坏硬盘数据信息是电脑病毒主要的设计目的与破坏手段。有些病毒可以篡改、删除用户文件数据，导致文件无法打开，或文件丢失；有些更具破坏力的病毒则修改系统数据，导致计算机无法正常启动和运行。针对病毒导致的硬盘数据丢失，国内各大杀毒软件厂商都掌握了相当成熟的恢复经验，例如江民科技的KV系列杀毒软件就曾将恢复这类数据的过程与方面在软件中设计成了一个模块，即使是初级的用户也只需经过简单的几个步骤就可恢复85100%的数据。软件破坏软件破坏通常包括：误删除、误格式化、误分区、误克隆等。目前的硬盘数据恢复技术对于软件破坏而导致的数据丢失恢复成功率相当的高平均90以上。此类数据恢复技术已经可以对FAT12、FAT16、FAT32、NTFS4.0、NTFS5.0等分区格式，DOS、Windows9X/ME、WindowsNT/2000、WindowsXP、UNIX、Linux等作系统完全兼容。硬件破坏硬件原因导致数据丢失，如果是介质设备硬件损坏，电路板有明显的烧毁痕迹或设备（如硬盘）有异响或BIOS不认硬盘参数，这种情况下的数据恢复对于个人用户显得非常困难，所以遇到这种情况，应立即送往具有硬件修理能力的数据恢复公司进行专业恢复。这类故障通常要首先排除硬件故障，使介质在特殊的工作平台上能正确的工作，其次是要确认所发生的硬件故障没有破坏存储数据的介质本身，这种情况下数据恢复的概率就颇为戏剧性了。警告：用户在第一时间发现数据已损失，如果本身并无数据恢复把握，应立即停止任何作，特别是数据写入和磁盘整理作应绝对禁止。这样才能最大限度地保证数据的恢复。否则往往有可能会破坏数据的完整性，丧失最后的数据恢复机会三、恢复数据常用工具软件介绍1.OntrackEasyRecoveryV6.00.09EasyRecovery是一款威力非常强大硬盘数据恢复工具，能够恢复因分区表破坏、病毒攻击、误格式化等原因而丢失的数据，EasyRecovery不会向原始驱动器写入任何数据，它主要是在内存中重建文件分区表使数据能够安全地传输到其他驱动器中。该软件可以恢复大于8.4GB的硬盘，支持长文件名。EasyRecoveryV6.00.09版本还使用了全新的数据恢复引擎，能够对ZIP文件以及微软的Office系列文档进行修复！2.FinalData当文件被误删除（并从回收站中清除）、FAT表或者磁盘根区被病毒侵蚀造成文件信息全部丢失、物理故障造成FAT表或者磁盘根区不可读，以及磁盘格式化造成的全部文件信息丢失之后，FinalData都能够通过直接扫描目标磁盘抽取并恢复出文件信息（包括文件名、文件类型、原始位置、创建日期、删除日期、文件长度等），用户可以根据这些信息方便地查找和恢复自己需要的文件。甚至在数据文件已经被部分覆盖以后，专业版FinalData也可以将剩余部分文件恢复出来。3.FileScavenger2.1FileScavenger是一款能够恢复在NTFS格式下数据被意外删除的工具，全面支持Windows2000/XP/NT系统，但前提条件是所删除的硬盘尚未被改写新的文件上去才可以救回，提供了找寻文件类型功能，如*.doc及*.txt，能够救回的文件不只单一文件，还包括整个目录及压缩文件，也支持救回来的文件选择在原来所在位置恢复或储存到其它的硬盘。在使用FileScavenger时，需要在Windows2000/NT系统中以系统管理员身份登录。4.BadCopyPro3.50当我们复制软盘、光盘中的文件时，往往会遇到因数据某些位元不能读取或损坏的情况，正常情况下我们就必需放弃整个文件了，这显然是很可惜的。但是这个时候，如果你尝试使用一下BadCopyPro，那么极有可能它会使你的数据读取变得流畅自如，其专业的磁盘文件读取及修复功能将可以最大程度地解决光盘或磁盘上的坏文件数据复制困难的问题。BadCopyPro的使用方法相当简单，所有的复原过程也都是自动的。只需要点选是软盘或是光盘，以及标明要修复的文件在哪个目录底下以及文件名等等，就交给它了。四、数据恢复常见方法作为个人用户，知晓和掌握一些行之有效的数据恢复方法是非常有必要的，这些方法可以在用户对恢复数据时大显身手。1.数据恢复的作过程（1）对硬件和基本配置进行检查。对于电脑无法检测硬盘的情况，首先要检查以下几点：硬盘驱动器与硬盘控制器的连接是否正常，硬盘驱动器电源线连接是否正常；如果存在多个设备需检查硬盘之间或硬盘与光驱等设备之间是否存在冲突；检查CMOS中的硬盘信息是否正确无误。（2）主引导区检查及修复MBR（MainBootRecord）主引导区，它位于整个硬盘的0磁道0柱面1扇区。包括硬盘引导程序和分区表。主引导区如果被病毒、误作等破坏，可能导致硬盘或数据无法访问。此时应用软盘启动系统，尝试是否可以访问硬盘，如果能够访问，则说明可能仅是作系统被破坏，如果不能访问，则有可能将面临硬件故障，这就不是用一般的软件方法可以轻易的修复了。修复硬盘主引导信息的方法对于菜鸟来说可能复杂一些，所以我们建议在用软盘引导系统后，运行KV3000中的修复功能对其进行修复（包括快速重建硬盘分区表）。2.误删除文件的恢复误删除文件是每个电脑用户都会犯的错误，如果是重要数据被误删除那可真是欲哭无泪了，我们以一个典型的例子来讲解一下最简单有效的恢复措施。例如用WORD撰写文章的时候，该文章被误删除，那么我们可以通过还原回收站文件来恢复数据，如果是按Ctrl+Delete组合键彻底删除文件，则需在系统中设置显示全部文件后，就可以在文章所在目录中找到WRL0982.tmp（类似文件名，一般选数据最大的文件）文件，用WORD打开，你会发现最后一次修改存盘的文章内容赫然在内。3.系统文件丢失的数据恢复系统文件丢失将直接导致系统无法进入或无法正常运行，从而使数据读取困难，针对这种情况我们可以通过覆盖安装系统或将此硬盘作为另一硬盘的从盘，再进行数据转移的方法来完成数据的恢复。但是在某些情况下，例如校园网络，这种方法就显得非常繁琐且不适合，所以本文强烈建议您使用还原精灵这款软件，它可以在特殊环境中使用软件数据还原技术使系统文件保持永不丢失。还原精灵在安装后预先将系统内容做好全部或部分备份，当系统崩溃或者混乱需要重新安装的时候，用户即可使用该软件将原来的备份进行恢复，将系统内容还原到备份那个时点的内容，且备份和恢复数据时所花费的时间只有几秒钟，并且占用的空间只有整个硬盘空间的万分之一大小（相对于克隆软件的1：1来说显得占有极大的优势，从而比较适合于校园教室中硬盘较小的特点）。还原精灵可以同时保护多达30个的逻辑盘，支持Windows系列作系统与DOS作系统，支持NTFS、FAT32、BIGDOS、FAT16等多种分区格式，支持五种硬盘数据还原方式：不还原、自动还原、手动还原、定时还原和数据转储。还原时间设置可以精确到分钟。支持分区工具制作的多重开机环境，如分区工具SystemCommand和PQMagic。该软件的安装相对复杂一些，在此我们对安装过程中几个重要的步骤进行讲解。在出现作系统设置界面时，请按实际情况设置。在下一步出现的界面中根据实际情况设置选项，本文选第二项。多个作系统必须安装多个还原精灵。在下一步出现的安装模式设置界面中设定还原精灵保护的范围，如只保护系统或所有系统（自定义），并设置安装路径。在下一步中设置还原方式（还原精灵最大的优点就是允许用户根据需要设定手动还原或自动还原，这一功能特别适合学校机房的管理。自动还原即重开机后系统自动恢复到保护前的状态）、管理员密码、自动还原CMOS（这项功能非常适用校园用户使用，当系统在启动时还原精灵如果发现CMOS信息被改变，就会提示你是保存还是恢复，默认选项是恢复）等，你还可以点击高级设置来设定还原天数。接着该软件进行安装，在安装的最后需要重新启动电脑以完成安装。安装后该软件会在系统托盘和开始菜单中生成快捷运行方式。初始密码为：12345678在重启电脑后进入系统前，还原精灵还会自动进行一些设定。那么如何使用还原精灵进行还原数据呢？方法如下：右键点击系统托盘中的还原精灵图标，在弹出的快捷菜单中选择还原精灵命令菜单，在弹出的还原精灵还原界面中选中还原前的选框，然后点击设置命令按钮，此时会弹出密码对话框，在其中输入管理员密码。接着需要点击弹出的是否重启提示框中的是进行数据的还原。4误格式化的数据恢复高级格式化作一般有两种，一种是在DOS下使用Format命令；另一种是在Windows环境下针对从盘进行格式化。格式化的数据恢复可以针对系统盘也可以针对从盘，我们只需要知道高级格式化的作并没有把硬盘上的文件数据清除，而仅是重写了FAT表就行了，由此我们完全可以借助一些工具软件来有效恢复已经被高级格式化过的硬盘上的数据。如果是用DOS下的Format命令将硬盘格式化，那么针对FAT或FAT32格式，我们可以在启动盘中拷贝著名的UNFormat命令进行恢复磁盘格式化功能。此时系统会将计算机的所有磁盘驱动器全部列表显示出来，从中选择需要恢复的硬盘分区后，单击OK按钮，UNFormat即会自动对磁盘进行检测，查找有关恢复格式化信息，最后再根据这些信息对错误格式化的磁盘进行恢复，随后只需在UNFormat恢复完成后重新使用磁盘扫描程序对恢复后的磁盘进行扫描，排除因恢复过程所造成的磁盘软故障之后就可以使用了。如果你对DOS不熟悉，那么本文建议使用FinalData，它傻瓜式的作与强大的数据恢复功能无疑会是你的最佳选择,FinalData与同类软件相比，在恢复效果上及作简便性上可以说是更胜一筹。它可以恢复你的数据、主引导记录（MBR）、引导扇区、FAT。它能找回其他类似工具所找不到的，安全，快速，专业！FinalData有Windows9X/me和NT/2000/XP两个版本，本文讲述的为9X版本。FinalData的安装非常简单，用户只需按照安装向导提示即可完成软件的安装。但是必须注意的是：在该软件安装时请注意因恢复的内容和具体情况不同而安装也略有不同，例如你的硬盘所有分区都被误格，而此时你恢复的盘符恰恰是C盘，那么你就只能在其它电脑中安装该软件，然后将需恢复的硬盘设为从盘，然后才可以恢复你的C盘内容。如果你直接在C盘上安装的话，将无法恢复C盘的全部内容。启动软件后点击文件中的打开，出现选择驱动器窗口，我们可以在逻辑驱动器选项卡中选择被删除文件先前所在的驱动器的盘符，或者在物理驱动器选项卡中直接选择计算机中的某一块硬盘，确认无误后软件将会对所选驱动器进行必要的文件扫描。在结束了初步扫描的过程后，系统会让用户来选择以簇为单位的磁盘分区搜索范围，如果我们知道所删除文件在磁盘中的大概位置，就可以通过开始和结束滑杆进行合理的位置调整，这样可以大大缩减程序扫描的时间；然而一般的用户对此并不十分了解，所以笔者还是建议大家使用软件的缺省设置，当然相应的要耗费的时间较长。程序搜索完成后将会自动进行分析工作，在软件的窗口中罗列出了所有搜索到的文件以及文件夹名称，其文件的浏览方式与资源管理器如出一辙，我们可以看到一些文件和文件夹的名称中第一个字符变成了符号，那么说明这就是曾经被删除的项目。在这里我们可以很轻松的进行需要资料的恢复，只要将其选中（也可以使用Ctrl+A全部选择），点击工具栏中的复原按钮就可以了。然后我们需要在弹出来的窗口中确定文件所要保存的路径，值得注意的是保存路径的驱动器一定不要用误删除文件所在的驱动器否则将会导致任务的失败。提示：如果一个文件从回收站被删除掉，其名称将会发生变化，重命名的规则是：D（即删除）其所在的驱动器盘符被删除文件的序列号原文件扩展名，如df77:jpg是指从F盘中第77个被删除的一个jpg图形文件。高级技巧：当硬盘的所有分区都被删除的时候，如何恢复硬盘数据？其实恢复工作并不难，方法如下：前提：此时硬盘应保证分区只被删除而没有格式化。将需恢复盘设为从盘挂在任一台装有FinalData的电脑上，启动系统后，双击我的电脑，你会发现根本找不到从盘，此时就需要FinalData来大显身手了。启动FinalData点击文件中的打开，出现选择驱动器窗口。注意：关键的地方就在这里，此时我们必须在物理驱动器选项卡中选择从盘，不必害怕选错，根据硬盘容量选择即可。以下的恢复过程与上文内容所述步骤相同。几点经验：根据对FinalData的实际应用，本文总结了几点经验供用户参考：a.假设D分区已经被格化式，但是此时却需要恢复格式化前的文件，那么请保证此时D分区中没有进行过拷贝、整理磁盘等作，也就是说，该分区的最后一次作就是格式化。此时该分区的内容将可以得到很好的恢复。b.如果你的系统是双系统，一个Windows98，一个是WindowsXP，那么如果你在Windows98下使用FinalDataFOR9X版本恢复WindowsXP将只能恢复其中的极小一部分内容，所以我们建议您在其它的装有WindowsNT/2000/XP的电脑上使用FinalDataFORNT/2000/XP版本来恢复你的WindowsXP，这样的效果比较好。c.如果你恢复的文件是图像文件，请注意FinalData将只能恢复其中很小的一部分，绝大部分将无法恢复，即使恢复的图像文件也必须逐个查看是否完整。d.从实际的作过程来看，FinalData的作方式非常简单的，作过程中用户看到的是目录、文件等自己比较熟悉的内容，而非簇、扇区、二进制标志等底层信息。此外，用户可能会想为什么FinalData不能将目标盘修复到和以前一模一样呢，而只是把受损硬盘上的数据读取出来，备份到其它硬盘，实际上这正是FinalData非同一般的安全性的体现。FinalData在整个恢复作过程中对目标磁盘完全是一种只读性作，没有对其进行任何修改。这样即使在恢复过程中有误作或者恢复不成功，至少不会对硬盘造成进一步的破坏。当然，正如上述总结的几条经验一样，FinalData软件也会因种种原因造成数据的无法恢复，所以最日常电脑应用中最重要的工作就是做好重要文件的备份工作。如果是一个大型机房，建议重要数据要备份在二台以上的电脑中，并且予以严格的加密措施方能尽可能的保护数据的安全性和可恢复性。提示：虽然FinalData的功能很强大，但是其对物理性损坏的磁盘数据恢复无效。所以当遇见物理性损坏的磁盘建议不必再尝试FinalData，而应该立即前往专业的数据恢复公司解决问题。5当硬盘出现坏道时的数据恢复在电脑日常使用中，常常会因存储介质本身的损坏，使我们无法正常从软盘、硬盘、光盘中读取数据，每当遇到这种情况时，如果你使用Windows的复制功能，那么它会在任一个字节读不出来的情况下，毫不犹豫的放弃整个文件，因此导致整个文件报废。如果硬盘出现坏道，但系统及文件仍在，可以在纯DOS状态下尝试是否可读取，DOS读取软件的能力相对Windows较强，遇到读不出的文件，有時在出現提示后按几下R键多试几次或许就可以读出了。要是这种方法不行，那么可以判断此扇区确已损坏。不过软件是由一个个的扇区組成，一般来说，软件损坏多数是连续的几个扇区损坏，只要能跳过这几个扇区，其他资料仍可救出。此时应将该硬盘作为从盘挂附在另一台电脑中，再使用BadCopy进行数据读取。五、几点建议再强有力的数据恢复工具也不能保证在任何情况下都百分之百的恢复所有数据，因此先期采取一些成熟的技术措施做好日常的硬盘数据保护工作是非常有必要的。1启用S.M.A.R.T.（自监测、分析、报告技术）这是现在硬盘普遍采用的数据安全技术，在硬盘工作的时候监测系统对电机、电路、磁盘、磁头的状态进行分析，当S.M.A.R.T监测并分析出硬盘可能出现问题时会及时向用户报警以避免电脑数据受到损失，有的还会自动降速并备份数据。现在出厂的硬盘基本上都支持S.M.A.R.T技术。2定期使用Vopt99、Defrag、NortonSpeed等磁盘碎片整理优化工具进行整理硬盘数据。这样可以提高硬盘访问速率。即使发生不测，也可提高的数据文件恢复的概率！3安装一个优秀的病毒防火墙电脑病毒带来的数据破坏往往不可预见（包括分区表破坏、数据覆盖等；例如CIH病毒破坏的硬盘，其分区表已被彻底改写，用A盘启动也无法找到硬盘），由此病毒破坏硬盘数据的症状也不好描述，基本上大部分的数据损坏情况都有可能是病毒引起的，所以最稳妥的方法还是安装一个优秀的病毒防火墙。4启用硬盘厂商专门设计的数据保护系统，如西部数据的数据卫士等。这类数据保护技术可以在硬盘速度越来越快的今天，极大的保障硬盘在急速狂飙时数据的完整性与可靠性。各种文件数据恢复的特点 数据恢复是一项复杂的工作，并不是所有情况都千篇一律的，了解各种磁盘数据丢失的原因，有针对性的进行扫描恢复，这样的恢复成功率才更高 本地硬盘数据恢复的特点 U盘数据恢复的特点（SD卡数据恢复特点） 移动硬盘数据恢复的特点（不同于普通U盘） JPG数码相片恢复 WORD文档恢复 EXCEL表格文件恢复 数据恢复中需要注意的问题 数据恢复过程中最怕被误操作而造成二次破坏，造成恢复难度陡增。数据恢复过程中，禁止往源盘里面写入新数据的。 不要做DskChk磁盘检查。一般文件系统出现错误后，系统开机进入启动画面时会自动提示是否需要做磁盘检查，默认10秒后开始进行DskChk磁盘检查操作，这个操作有时候可以修复一些小损坏的目录文件，但是很多时候会破坏了数据。因为复杂的目录结构它是无法修复的。修复失败后，在根目录下会形成FOUND.000这样的目录，里面有大量的以.CHK为扩展名的文件。有时候这些文件改个名字就可以恢复，有时候则完蛋了，特别是FAT32分区或者是NTFS比较大的数据库文件等。 不要再次格式化分区。用户第一次格式化分区后分区类型改变，造成数据丢失，比如原来是FAT32分区格成NTFS分区，或者原来是NTFS的分区格式化成FAT32分区。数据丢失后，用一般的软件不能扫描出原来的目录格式，就再次把分区格式化会原来的类型，再来扫描数据。我们指出的是，第2次格式化会原来的分区类型就是严重的错误操作，很可能把本来可以恢复的一些大的文件给破坏了，造成永久无法恢复。 不要把数据直接恢复到源盘上。很多普通客户删除文件后，用一般的软件恢复出来的文件直接还原到原来的目录下，这样破坏原来数据的可能性非常大，所以严格禁止直接还原到源盘。 不要进行重建分区操作。分区表破坏或者分区被删除后，若直接使用分区表重建工具直接建立或者格式化分区，很容易破坏掉原先分区的文件分配表(FAT)或者文件记录表(MFT)等重要区域，造成恢复难度大大增加。我们在恢复的实践过程中碰到过多次客户在分区表破坏后，先自行尝试过几种分区工具都无法恢复数据后才想到找专业人员帮忙，结果我们发现在多种分区工具作用后，破坏了一些重要的目录文件，造成文件目录恢复不完整，有些大的文件无法恢复。而按客户描述的最初分区丢失的情况，这些文件一般都可以完全恢复了，真是很可惜啊。专业的数据恢复人员在重建分区表之前都会先定位分区的具体位置(逻辑扇区号)，然后用扇区查看工具先检查分区的几个重要参数比如DBR/FAT/FDT/MFT等，确认后才修改分区表的，而且修改完分区表后在启动系统过程中会禁止系统做dskchk破坏分区目录，保证数据不会被破坏到。 阵列丢失后不要重做阵列。我们在挽救服务器阵列的实践中遇到过有些网管在服务器崩溃后强行让阵列上线，即使掉线了的硬盘也强制上线，或者直接做rebuilding。这些操作都是非常危险的，任何写入盘的操作都有可能破坏数据。 数据丢失后，要严禁往需要恢复的分区里面存新文件。最好是关闭下载工具，不要上网，不必要的应用程序也关掉，再来扫描恢复数据。若要恢复的分区是系统分区，当数据文件删除丢失后，若这个电脑里面没有数据库之类的重要数据，我们建议您直接把电脑断电，然后把硬盘挂到别的电脑来恢复，因为在关机或者开机状态下，操作系统会往系统盘里面写数据，可能会破坏数据。 平时在正常使用数据时候也需要注意的问题 不要剪切文件。我们经常碰到客户剪切一个目录到另外一个盘，中间出错，源盘目录没有，目