(完整word版)数据恢复技术实训报告0001

1、 班级:计机101 学号:1013250130 姓名：林旭钿 扌旨导老师：朱定善 广东交通职业技术学院 交通信息学院 目录 引言 3 内容摘要 3 一、数据技术概述 3 1. 传统机械硬盘数据恢复技术概论 3. 2. 固态硬盘的数据恢复技术概述 4. 数据恢复原理一 -分区表 4. 数据恢复原理二 -目录区与数据区 4. 数据恢复原理三 -引导扇区与分配表操作系统引导扇区（ OBR ） 4 二、数据恢复的可能性 5 三、常用数据恢复软件简介 5 Easyrecovery 5 Finaldata 5. R-Studio 6. Drive Rescue6. Recover4all 6. File

2、Scavenger6 Getdataback7. RecoverNT 7. Search and Recover 7 DataExplore （数据恢复大师）7 Lost 一般来说， 在用户发现数据灾丢失后， 如果没有自行采取带有破坏性的恢复尝试， 如： 杀病毒、 直接用各种方法恢复数据等操作， 这种情况下数据恢复的成功率可以达到： 85以 上，有些情况下如病毒破坏、误删除及误格式化等问题甚至可以接近100%。 第二种：情况是介质设备硬件损坏，电路板有明显的烧毁痕迹或设备（如硬盘 ）有异响 或 BIOS 不认硬盘参数： 这种情况下的数据恢复是更为复杂和困难的，首先要排除硬件故障，使介质在特殊的

3、 工作平台上能正确的工作，其次是要确认所发生的硬件故障没有破坏存储数据的介质本身， 当然这种情况下数据恢复的概率就更有戏剧性了。 三、常用数据恢复软件简介 Easyrecovery Easyrecovery 是一个非常著名的老牌数据恢复软件。该软件功能可以说是非常强大。无 论是误删除 /格式化还是重新分区后的数据丢失，其都可以轻松解决，其甚至可以不依靠分 区表来按照簇来进行硬盘扫描。 但要注意不通过分区表来进行数据扫描， 很可能不能完全恢 复数据， 原因是通常一个大文件被存储在很多不同的区域的簇内，即使我们找到了这个文件 的一些簇上的数据， 很可能恢复之后的文件是损坏的。 所以这种方法并不是万

4、能的， 但其提 供给我们一个新的数据恢复方法， 适合分区表严重损坏使用其他恢复软件不能恢复的情况下 使用。 Easyrecovery 最新版本加入了一整套检测功能，包括驱动器测试、分区测试、磁盘空 间管理以及制作安全启动盘等。 这些功能对于日常维护硬盘数据来说， 非常实用， 我们可以 通过驱动器和分区检测来发现文件关联错误以及硬盘上的坏道。 Finaldata Finaldata2.0 是目前 Finaldata 的最新版本。 Finaldata 是一个日本人开发的数据恢复软件， Finaldata 自身的优势就是恢复速度快， 可以免去搜索丢失数据漫长的时间等待。 不仅恢复速 度快，而且其在数

5、据恢复方面功能也十分强大， 不仅可以按照物理硬盘或者逻辑分区来进行 扫描， 还可以通过对硬盘的绝对扇区来扫描分区表， 找到丢失的分区。 Finaldata 在对硬盘扫 描之后会在其浏览器的左侧显示出文件的各种信息， 并且把找到的文件状态进行归类， 如果 状态是已经被破坏， 那么也就是说如果对数据进行恢复也不能完全找回数据。 这样方便我们 了解恢复数据的可能性。 同时此款软件还可以通过扩展名来进行同类文件的搜索， 这样就方 便我们对同一类型文件进行数据恢复。 Finaldata 的速度之快不仅表现在对硬盘扫描时迅速， 把已经找到要恢复的文件进行保存 的速度也非常迅速， Finaldata 能充分

6、利用 IDE 硬盘的 ATA133 、ATA100 等最大接口速度， 对数据进行快速保存，在保存数据时间方面， Finaldata 比其他同类型软件要快一倍以上。 R-Studio R-Studio 是损坏硬盘上资料的救星。它能针对各种不同版本的 Windows 操作系统之文 件系统都能应付自如。 甚至连非 Windows 系列的 Linux 操作系统， R-Studio 软件也照样能够 应付。而在 Windows NT ，Windows2000 等操作系统上所使用的 NTFS 文件系统， R-Stduio 亦具有处理的能力， 而且 R-Studio 甚至也能处理 NTFS 文件系统的加密与压

7、缩状态， 并将发 生问题的文件复原。 除了本地磁盘以外， R-Studio 甚至能透过网络去检测其他电脑上硬盘的 状况。且在挽救资料损毁的文件以外， R-Studio 也包括了误删文件的复原能力，让未使用回 收站或是已清空回收站的文件， 都照样能够找回来。 最特别的一点是在标准的磁盘安装方式 以外， R-Studio 也能支持 RAID 磁盘阵列系统。 Drive Rescue Drive Rescue 是一款优秀而且免费的磁盘数据拯救程序，它能恢复驱动器（例如硬盘） 上误删或遗失的数据，即使已经失去分区表或硬盘已被快速格式化或者遭遇系统崩溃等情 况，找回驱动器重要文件系统信息如分区表、引导记

8、录、FAT、文件/目录记录等。当然对于 物理损坏的硬盘它也无能为力。 Drive Rescue 支持 FAT 12/16/32 分区和 Windows 全系列操作 系统以及双硬盘。 Recover4all Recover4all 是一款非常优秀的文件恢复软件。可以恢复任何由于冒失而删除的文件， 只需轻轻点击鼠标， 删除的文件便可失而付返。 不管你丢失的文件是故意的还是直接的删除， 也不管删除了多久，次数有多少，对 Recover4all 来说，一切都不是问题。本软件无需安装， 可在软盘上直接运行 . File Scavenger File Scavenger 能够恢复在 NTFS 格式下意外删

9、除的文件工具，提供了找寻文件类型功 能，如*.doc及*.txt，能够救回的文件不只单一文件，还包括整个目录及压缩文件，也支持 救回来的文件选择在原来所在位置恢复或储存到其它的硬盘 Getdataback GetDataBack 能帮我们在 5 个步骤之内轻轻松松的还原数据，不管您的硬盘是否还能被 操作系统所辨认，也不管您的根目录或者是所有的目录都已经丢失了。 RecoverNT RecoverNT 是一套功能强大的硬盘资料恢复软件，可以在 Windows9x 下将你不小心格 式化 ；硬盘资料给起死回生，适用于 FAT、FAT32 、NTFS 系统下，可以挽救单独的文件或 是整个目录的文件。

10、Search and Recover Search and Recover 是出品 System Mechanic 的 iolo 公司发布的一款硬盘数据恢复工具。 可以使用向导方式快速恢复已删除数据，也可以通过高级数据恢复工具最大限度的挽救数 据。它的另一大特色是可以恢复Outlook 、Outlook Express 、 Netscape 等邮件程序中删除的 邮件信息， 现在即使误删除的邮件也可以恢复了。 同时 Search and Recover 还附带一个安全 删除工具，可以通过多次（最多 100 次）覆盖的方法以达到安全删除数据的目的。在 Win2000/XP 下， Search an

11、d Recover 还提供了一个驱动器映像工具，可以对某一驱动器进 行 100% 的完全克隆， 避免已删除数据由于磁盘操作被覆盖， 提供最高的数据恢复可能性。 DataExplore （数据恢复大师） DataExplore 是一款功能强大 ,提供了较低层次恢复功能的数据恢复软件,只要数据没有 被覆盖掉 ,文件就能找得到 ,本软件无须安装 ,解压后可以直接运行 ,请不要在待恢复的分区上 运行本软件 .其支持 FAT12,FAT16,FAT32,NTFS,EXT2 文件系统 ,能找出被删除 /被格式化 /完全 格式化 /删除分区 /分区表被破坏后磁盘里文件 ,分区被删除或分区表被破坏的情况下可以

12、以 虚拟卷方式加载 ,并以资源浏览器的方式进行管理,文件 /文件夹可以拖放 ,被删除的文件以打 红 X 的方式加以标志 ,能组织磁盘扇区成文件 .能显示文件信息和文件在磁盘中的位置,方便 的磁盘扇区浏览功能 ,内置有文本 ,十六进制 ,图片和网页等多种视图 （可打印 ）, 可以在在未恢 复出文件的情况下预览文件 .可浏览网络硬盘 .提供 JScript 脚本编辑和解析 ,相应的有 API 供 脚本调用 ,并将脚本执行结果列表显示 ,通过脚本可以查找特殊的磁盘信息并存成文件,也可 以用来搜索复杂的数据 .所有操作均在内存中完成 , 不破坏源数据 ,加载分析的结果可以保存 成文件 .界面友好 .有

13、远程恢复功能 ,只要在用户远程运行服务器 ,专业人员就可以远程恢复导 出客户的数据文件 ,很有实用价值的一款功能 ,是做数据恢复业务的好帮手 . 最新功能 : 支持无分区的恢复 ,以物理方式加载整个硬盘 ,做卷分析 ,本程序根据硬盘上残 留文件信息自动在内存中建立出 FAT32,NTFS 分区 ,按原目录结构分类文件。 Lost&Found Lost&Found 由出品 Partition Magic 的 PowerQuest 公司所出的产品 , 是一套恢复硬盘因 病毒感染， 意外格式化等因素所导至损失的资料工具软件 , 能将已删除的文件资料找出并救 回, 也能找出已重新格式化的硬盘 , 被破

14、坏的 FAT 分配表 , 启动扇区等等 , 几乎能找出及发 现任何在硬盘上的资料 （支持 FAT16 和 FAT32 及长文件名 ）, 并尽可能的救回 , 并提供了分析 和提示恢复的可能性功能 ,救回来的资料能选择在原来所在位置恢复或储存到其它可写入资 料的的硬盘 , ZIP, MO 支持所有 IDE, EIDE 及 SCSI 设备 , 亦提供了自动备份目录 , 文件和系 统配置文件 , 能在任何时间恢复 PCtools（DOS） 该软件具有初级的数据恢复功能，使用计算机时间较长时间的用户对此软件较为熟悉。 由于只在 DOS 下使用改工具，目前此款软件的应用范围已经大大缩小，取代它的则是在 w

15、indows 操作系统下使用的数据恢复软件。 四、数据恢复案例 （ 一 ） 恢复重装 XP 后的 Ubuntu 引导分区 windows xp崩溃了，于是重装xp,把原来的Ubuntu引导分区表 mbr给冲掉了，不过没 关系，修复一下 mbr 就可以了。 首先说一下 mbr 的作用：当我们启动计算机时。计算机首 先运行Power On Self Test（POST），即加电自检。POST检测系统的总内存以及其他硬件设备 的现状。如果计算机系统的BIOS （基础输入 /输出系统）是即插即用的，那么计算机硬件设 备将经过检验以及完成配置。计算机的基础输入/输出系统（BIOS ）定位计算机的引导设备

16、， 然后 MBR（Master Boot Record 硬盘主导记录 ）被加载并运行。 如果用户仅安装 Windows98 , 则被自动引导到桌面。如果是 WindowsXP/2000/2003 ,那么则会将控制权交给 NTLDR 系 统加载器,调用 Boot.ini ,显示多重选单文件。抹 MBR 就是抹硬盘引导记录。 当我们重装了 windows 以后,由于硬盘 mbr 被重写,即把原来 mbr 中 grub 的信息清除 了,那么 grub 自然就不能启动了, 也就不能引导 linux 了,此时很多人可能就只能重装 linux 了，但其实只需简单的对 mbr修复一下就可以了。 下面就说一下

17、修复 mbr 的方法： 首先,把 Ubuntu 的安装光盘放进去 ,然后启动 .正常进入安装界面,打开终端： 1、输入：sudo grub，于是变成 grub 2、 先找到你的ubuntu的启动分区在哪（就是你的/boot目录所在的分区） 输入： find /boot/grub/stage1 我机器上回车之后显示：（hd0,2）这里hdO是指第一个硬盘,2代表第3个分区，即Ubuntu 根目录所在分区 （0 代表第一个分区 ）。 3、输入： grubroot （hd0,2） 4、输入： grubsetup （hd0） 如果出现successed,就表示成功了。 5、输入： grubquit ，

18、然后重启。 对于有多个硬盘的朋友， 请但是注意一点， 如果你的 windows 装在第一块磁盘， 而 linux 装在第二块磁盘，而你的 bios 设置为从第一块磁盘启动，那么在进行以上第 3 步的时候， 一定要把参数设为你的第一块磁盘。即要把 grub 装入引导硬盘的 mbr 里，当然，比较傻瓜 的，你可以将 grub装入每块硬盘的 mbr，不信你试试看，肯定可以启动，这只是一个先后 次序问题 （二）NTFS格式大硬盘数据恢复特殊案例 一块 80G 迈拓金九硬盘，某天突然进不了分区，提示为 “无法访问 X ： 参数错误 ”。硬 盘上为该公司为本市摄制和编辑的运动会视频和音频文件，摄录磁带中已

19、清除， 运动会也不 可能再开一次。 先前到某电脑公司去试过， 结果没能解决问题。 广告公司经理和我的一个朋 友是朋友，知道此事后就转来我处。 修复过程：该硬盘为只有一个 NTFS 分区的数据盘，先在 DOS 下用扇区编辑软件查看 LBA0-63 扇区，结果发现分区表和 63 扇区都有错误， 1 62 扇区间有大量扇区被写上不明 代码， 87-102扇区不正常，先手工修复分区表，恢复 63引导扇区，删除 162 扇区间的代 码。 87-102 扇区之间暂不处理，到 WINDOWS 下检查，结果还是出现同样的提示，试用恢 复软件 1，可以看到目录结构，再试 FINALDATE ，这个软件此时太不尽

20、人意；用恢复软件 1选择某目录进行试恢复，结果 28个试恢复文件只恢复 2 个，其余的全部为 0 字节，恢复 工作陷入困境。再次对 79-102 扇区进行分析， 79 扇区面目全非，被严重篡改破坏， 80-86 扇区被清空， 87-102 扇区的内容也不正常。经过一番苦思冥想，对某些扇区进行备份后做 清除，备份被放到 1-62 扇区之间，以备不测时改回原样。 再次在 WINDOWS 下用恢复软件 1 进行恢复， 让其读该盘约 10秒钟， 停止扫描， 看到 的内容和前面提到的相同， 试恢复一个文件夹， 从恢复过程能看到这时恢复动作正常了， 随 后对其余的文件和文件夹进行恢复，近3个多小时后， 6

21、3.9G 资料全部恢复，文件中几乎就 AVI、WAV、PSD 和其它格式的图形文件，逐个打开完全正常。恢复工作顺利结束，大功告 成。 后来一个朋友说这个分区应该是 2000 格式化出来的， mft 在分区的前面，很容易被破 坏，象此案里里面 87-102 扇区里大约有 6 个左右的用户文件 /文件夹是恢复不出来的，但 102以后的文件应该能完全恢复的。 在ntfs里面，一般90扇区以后的mft才是用户的文件 信息，前面的是系统的一些元文件，对数据恢复影响不大的。 个人觉得 ntfs 还是比较先进的， 文件碎片都放在一个 mft 里面， 只要这个扇区没有被破 坏，就可以恢复。 NTFS 的结构确实比较复杂，正常情况下所有的操作 MFT 中有记录。但是，那些扇区 被使用，那些没被使用，这些概念还是很有用的。 实验盘被删除 79-102 扇区内容后，开机后不需要第三方软件，文件和目录直接可以读 出拷贝到其它地方。