效率源DataCompass对于硬盘数据区坏道严重直接提取关

1、效率源信息安全技术有限责任公司 地址:成都市一环路南二段中国科学院成都分院计算机研究所603 邮编:610041 效率源DataCompass 对于硬盘数据区坏道严重直接提取关键数据的数据恢复教程数据的数据恢复教程DataCompass 主要针对的故障为主要针对的故障为:1、简单故障简单故障:(1分区丢失(2文件丢失破坏(3病毒破坏(4误格式化(5误删除(6误克隆2、复杂故障复杂故障:(1硬盘由于固件区物理坏道,通过正常的修复方法无法修复的数据恢复(注:目前只支持日立/IBM 硬盘,其它系列的硬盘后期会陆续免费升级支持(2硬盘固件区严重问题通过DataCompass 热交换数据恢复(3被摔过有

2、轻微敲击声,但硬盘能够访问到数据区的数据恢复(4硬盘扇区有严重的物理坏道的数据恢复(5由于硬盘的磁头彻底损坏,更换磁头后不稳定读取、产生大量坏道的数据恢复效率源信息安全技术有限责任公司 地址:成都市一环路南二段中国科学院成都分院计算机研究所603 邮编:610041 (6磁头本身不稳定或者电机本身不稳定的数据恢复(7硬盘大量坏道、由于更换磁头以后产生的磁头不稳定或者大量坏道需要快速获取指定数据的数据恢复(8需要全盘数据的数据恢复,即硬盘镜像DataCompass 不能直接处理的情况不能直接处理的情况:如果硬盘物理上有彻底完全损坏的情况,DataCompass 是不能直接进行数据恢复的。下边列举

3、一些不能直接通过DataCompass 进行数据恢复的情况:硬盘电路板有问题硬盘磁头彻底损坏硬盘电机彻底损坏硬盘盘片数据介质层有严重划伤硬盘被做过全盘清零或目标数据区被覆盖无法查看到数据区数据的情况本教程以日立硬盘(MODEL:HTS424040M9AT00,SN:Q2JE8JKL做数据恢复为例。首先对硬盘的外观进行检测,查看盘体是否有撞击、开盘等情况,并且可以向客户询问相关情况,检查硬盘螺丝是否有被拧开过的痕迹,这主要是了解硬盘是否已被人开启过;详细观查盘体上有没有明显的物理损坏痕迹,这样的损坏不是软件能够修复的。所以在通电前效率源信息安全技术有限责任公司 地址:成都市一环路南二段中国科学院

4、成都分院计算机研究所603 邮编:610041 一定要做好这些方面的详细检查。硬盘的电路板是硬盘故障的高发区。因为电路板可能被烧毁、被更换、或者是电路板上的电子器件损坏等等。我们拿到硬盘后首先要确定硬盘的电路板是否是硬盘的原配电路板。这是一个非常重要的步骤,很多问题往往都是由于电路板不是硬盘的原配电路板造成的。之后还要检查硬盘的电路板有无明显的原器件烧毁现象,一般可以通过闻电路板有没有烧焦的气味来判断。如果电路板原器件被烧毁,那么也会导致硬盘无法正常工作,这属于物理损坏的范畴,需通过更换匹配的电路板等方法来先解决。硬盘标签是在没有接入程序前判断硬盘型号以及各项参数的重要标志。现在市场上充斥着许

5、多的假标硬盘,而这些假标会严重误导技术人员,所以必须要掌握一定的识别假标盘的技巧。通常假标盘的标签都相当的粗糙,假标盘的标签所反映的信息一般是不完整的。假标硬盘的标签一般都是手工贴上去的,在硬盘的边缘会露出手工操作的不精确位置,这也是判断假标的重要依据。还可以在检查完硬盘的电路板以及确定硬盘大致无物理损伤后进入程序,通过程序来确定硬盘的具体参数型号。判断硬盘的标签情况可以在平时的修盘过程中多总结观察,经验自会慢慢养成!检测结果为该硬盘外观完好,没有开过盘的迹象,P CB 电路板也看不出看有明显的烧毁痕迹。效率源信息安全技术有限责任公司 地址:成都市一环路南二段中国科学院成都分院计算机研究所60

6、3 邮编:610041 硬盘表现出来的现象:把此硬盘直接连到电脑作为从盘,打开电脑的电源,在COMS 下边可以正常识别到此硬盘的相关参数;但是,进入操作系统的速度非常慢,基本上不能正常进入操作系统,由于速度太慢,我们关掉电脑的电源,把硬盘取下来,先启动操作系统,通过移动硬盘的接线方式连接到电脑的U SB 口上,其现象是鼠标失去控制,所有程序失去响应。操作系统表现出假死机的现象,主机的系统分区也看不到。 初步判断,硬盘应该是数据区坏道比较严重,为了更直观的查看硬盘的数据区损坏情况,将此硬盘挂从盘,启动电脑进入DOS 模式下,使用MHDD 软件来扫描坏道:效率源信息安全技术有限责任公司 地址:成都

7、市一环路南二段中国科学院成都分院计算机研究所603 邮编:610041 从扫描的过程来看,此盘的坏道非常严重,有大量红绿块和X ;绿块代表存取速度较慢,红块代表此处读取很困难, X 是代表有坏道或者有错误的地方,从前边的情况分析来看,将此盘直接挂从盘拷数据基本上是不可能的,因为操作系统在启动以后,会自动检查所有硬件设备,当发现硬盘驱动器的时候,会去读取硬盘的所有分区信息,但是一旦遇到有坏扇区,就会不断的去循环读取损坏的扇区,导致整效率源信息安全技术有限责任公司 地址:成都市一环路南二段中国科学院成都分院计算机研究所603 邮编:610041 个系统处于死循环中,从而造成系统崩溃。通过客户反馈的

8、信息,了解到了此盘详细的重要数据的存放位置和文件大概的容量。介于此种情况,我们使用DataCompass 来进行此硬盘的重要数据的快速提取。首先,把DATACOM P ASS 正确连接到电脑上,数据原盘正确的连接到DATACOM P ASS 上,此处以移动硬盘的方式将影子硬盘连接好。DATACOM P ASS 可以操作在任意的笔记本和台式机电脑上,连接图可以参见下图的接线 方式:启动DATACOM P ASS 底层控制软件,进入Ha rdw a re Co n t rl 控制面板:效率源信息安全技术有限责任公司 地址:成都市一环路南二段中国科学院成都分院计算机研究所603 邮编:610041

9、打开控制面板上的电源开关,等待硬盘的状态R EAD Y 。打开数据原硬盘的读取功能:效率源信息安全技术有限责任公司 地址:成都市一环路南二段中国科学院成都分院计算机研究所603 邮编:610041 “E n a ble Wri t e”是对原盘的写操作控制。在数据恢复的过程中,保证原盘的绝对原始性是很重要的,DATACOM P ASS 保留了对原盘的写入功能,但是必须要同时满足两个条件:1、 手动打开对原盘写入功能2、 关闭影子功能,因为如果影子盘功能打开,写入的数据是写到影子盘里边,而不会写到数据原盘上。通常情况下,不建议对数据原盘进行写入数据操作。效率源信息安全技术有限责任公司 地址:成都

10、市一环路南二段中国科学院成都分院计算机研究所603 邮编:610041 “E n a ble U DMA ”功能将控制对数据原盘的读取模式,默认情况下是使用“P IO ”,打开这个功能以后就使用“U DMA ”模式。U DMA 是高速数据读取模式。对于坏道比较多的盘,建议使用P IO 模 式。底层控制程序提供了多组设置来对数据原盘坏道的读取控制,包效率源信息安全技术有限责任公司 地址:成都市一环路南二段中国科学院成都分院计算机研究所603 邮编:610041 括:延迟时间读、重复次数、软复位次数、硬复位次数、关电开电复位次数等控制读取流程设置如下图所示 :“W a i t ing f o r

11、re a dine ss t i m e”延迟时间读取:读取扇区的时间不得超过规定的延迟时间。要是超过了这个规定的延迟读取时间,系统将认为读取数据不成功,并以0x 40返回。“Re t ry t i m e s ”重复读取次数:重复读取次数就是在规定的延迟读取时间范围内失败后,为了获取该扇区的数据,再重新读取该扇区的次数,每读取一次的最长时间都不得超过规定的延迟读取时间 “So f t Re s e t t i m e s ”软复位次数:在重复读取多次以后,都不能正确获取到数据,然后在读取下一个扇区时,仍然失去响应,不能正确获取到有效数据,系统则会自动执行软复位操作发送重置指令效率源信息安全技

12、术有限责任公司 地址:成都市一环路南二段中国科学院成都分院计算机研究所603 邮编:610041 “Ha rd Re s e t t i m e s ”硬复位次数:在达到软复位设定的次数后,硬盘仍然失去响应,在硬盘不掉电的情况下,数据指南针控制器发送一个电源信号进行复位。“P o wer s u pp ly Re s e t t i m e s ”电源复位次数:在达到硬复位次数以后,硬盘仍然失去响应,不能及时就绪,则数据指南针控制器就将进行电源复位,所谓的电源复位就是指数据指南针控制器将停止给源硬盘供电,然后再重新给源硬盘开启电源。对于一般的用户来说,是不需要关心参数的设置问题,只需要使用参数

13、默认的设定值就完全可以了。对于少数特殊情况的硬盘,如硬盘的坏道特别严重等,可以根据自己平时数据恢复的经验去修改默认设定值,在平时的数据恢复过程中,通常情况下,建议使用默认设定值。因为这些默认设定值都是经过效率源开发人员大量实际操作中研究得出的理想结果。点击“D ef a ul t S e tt ing”后,再点“Sa v e”保存设置,“Re sta r t ”复位以后就可以马上生效。可以设定隐藏LBA 为0值,表示将从磁盘的0拄面0磁头1扇区(C/H/S 为0/0/1,即磁盘的第一个扇区开始,也可以将隐藏LBA 的值设为小于磁盘总的LBA 值的任意非负值,则表示将跳过前面隐藏的扇区,直接从隐

14、藏的LBA 值开始读取数据。屏蔽1扇区的效率源信息安全技术有限责任公司 地址:成都市一环路南二段中国科学院成都分院计算机研究所603 邮编:610041 目的:可以防止操作系统读取原盘的分区,造成系统被卡死或操作系统反应慢,此功能通常情况下用在硬盘坏道比较 严重的情况。如果硬盘不能正常读取,建议客户手动把LBA 值改为硬盘的实际容量,因为如果默认的LBA 值比硬盘实际LBA 值小的话,那么程序只能读取到设定的LBA 值范围内的内容。比如假设我们是一个500G 的故障硬盘,不能正常识别,通过虚拟技术以后,如果不手动修改对应的LBA 值,那么程序只能读取前默认的128G 的内容,后面剩余容量则无法

15、读取。反之如果默认LBA 值大于硬盘实际容量,则不修改也无大碍,后边的LBA 将无内容。点Tota l LBA,从硬盘上获取硬盘的真实容量。效率源信息安全技术有限责任公司 地址:成都市一环路南二段中国科学院成都分院计算机研究所603 邮编:610041 由于该盘的坏道严重,为了保险起见,还是把影子硬盘加载好,这样可以最大限度减少对原盘的读取次数,保护原盘,避免硬盘坏道造成的卡死等问题。当然如果知道硬盘并没有多少坏道,也可以不打开影子功能,提高数据拷贝的速度。影子技术是不同于传统的磁盘镜像技术,影子盘所起的作用不是简单地作为源盘的镜像盘,并不是将源盘的数据作一对一的强力复制到影子盘。传统的镜像技

16、术并且只能是在镜像建立完成后,才能再对镜像盘进行数据恢复。但在这里,采用的影子技术是无须等到影子建立完成后再进行数据恢复,他们是同时进行的,并且影子技术不是直接从影子盘上进行数据恢复,而是直接对源盘上进行恢复,在恢复的时候,首先检查源盘的LBA 值是否已经建立了影子,若已经建立了就效率源信息安全技术有限责任公司 地址:成都市一环路南二段中国科学院成都分院计算机研究所603 邮编:610041 直接从影子盘上读取数据,若是没有建立影子,则直接从源盘上读取数据,并根据读取的结果再判定是否建立影子。从传统的镜像技术的角度来看,镜像必须是完全建立成功后才能再恢复数据,并且对中间部分有坏道的LBA 值的

17、数据不能读出的处理是相当脆弱的,甚至影响到并不是坏道的数据恢复。采用影子技术就不会存在这种问题,对读取失败的LBA 值并不建立影子,只是对该值的数据做了特殊处理,全部填充0x 40用于欺骗系统不要进行自动扫描磁盘,避免系统读坏道卡死的问题。使用影子技术的好处还在于操作极其方便、简单,可以让用户任意设定LBA 的范围建立影子,若在一定的时间内没有建完,可以任意关闭程序,在下次有时间时再操作,对已经建立了影子的地方就是不会重新在建立影子了,直接读取数据,只会对没有建立影子的LBA 值进行读取并创建影子。选择影子盘,特别指出对影子盘的要求:1. 建议选择容量大于等于数据原盘的硬盘做影子盘。2. 确定

18、磁盘作为影子盘前,请务必先将影子盘中的数据备份,避免造成没有必要的损失。3、所选择的影子硬盘一定要保证没有坏道,完好,否则会影响数据恢复的成功率。进入S h a d o w D i s k 控制面板,在S h a d o w D i s k 中选择影子盘。系统会自动屏蔽掉当前的操作系统盘。效率源信息安全技术有限责任公司 地址:成都市一环路南二段中国科学院成都分院计算机研究所603 邮编:610041 选中影子盘以后,”I ni t i a li z e S h a d o w D i s k ”这个按扭就可以使用了。“I ni t i a li z e S h a d o w D i s k

19、”是初始化影子盘,对于每一个需要数据恢复的坏盘在第一次做数据的时候,程序只需要初始化一次即可。注:如果是第一次建立影子盘,需要初始化;如果是一次没做完,第二次接着做,只需要将影子盘关闭,第二次接着做点击打开影子盘,即可,因为之前读取的数据已经在影子盘中建立了索引,重新开始后程序会自动读取影子硬盘上已有的数据,减少对故障原盘读取的同时,节省大量的时间。效率源信息安全技术有限责任公司 地址:成都市一环路南二段中国科学院成都分院计算机研究所603 邮编:610041 点击初始化影子盘以后,程序将把影子盘初始化三部分:1、保留区;2、索引区;3、影 子数据区;影子盘初始化完成以后,可以设置影子盘与源盘

20、对应的范围,在效率源信息安全技术有限责任公司 地址:成都市一环路南二段中国科学院成都分院计算机研究所603 邮编:610041 “Sta r t LBA ”中输入原盘的开始位置,“E nd LBA ”中输入原盘的结束位置。“S h a d o w D i s k La bel”可以对该影子盘建立标签,以便于区分不同的影 子盘。点击“E n a ble S h a d o w D i s k ”就可以开启影子的功能,从原盘读取的所有扇区都会在影子硬盘上写入一份 。效率源信息安全技术有限责任公司 地址:成都市一环路南二段中国科学院成都分院计算机研究所603 邮编:610041 影子技术,针对磁头和

21、扇区不稳定情况,最大限度减少对源盘的读操作,从而有效解决磁头频繁读写和划伤扇区的二次损伤问题。建立影子完成以后,进入S e c to r V iew 面板,可以查看硬盘任意扇区内容。查看数据的目的,主要是确定该盘是否能读取数据,是否还存在固件级的问题。比如:硬盘能就绪,但是相关固件模块有损坏,不能看到数据,日立硬盘能够就绪,但是N V R OM 有问题或者不匹配,等等。这些都是不能直接拷取数据的,所以需要通过扇区查看来最后确认是否以能进行数据提取。在DEC 框或HE X 框中输入要查看扇区的LBA 地址,DEC 表示十进制数,HE X 表示16进制数。任意在一框中输入数据,系统会在另一框中显示

22、出对应的数值来 。当查看到的数据全是4040时,表示当前访问的扇区是坏的,读不出数据来,系统默认以4040显示。效率源信息安全技术有限责任公司 地址:成都市一环路南二段中国科学院成都分院计算机研究所603 邮编:610041 当确定查看到数据不全是4040,能真正读到硬盘数据区的数据时,就可以使用效率源Data Compass E x p l o rer 来拷取数据了。点击面板上的“DC E x p l o rer”,系统自动起用上层的数据恢复程序,或在安装目录下双击DCE XP .E X E 也是一样效果 。进入DC E XP 程序界面后,选择F ile Re c o v ery 面板。这一

23、面板效率源信息安全技术有限责任公司 地址:成都市一环路南二段中国科学院成都分院计算机研究所603 邮编:610041 可以直接查看系统分区和文件目录,是最直观的数据查看和提取功 能。点击“Op en D i s k ”,上层数据恢复软件,自动查找读取该硬盘的逻辑分区。效率源信息安全技术有限责任公司 地址:成都市一环路南二段中国科学院成都分院计算机研究所603 邮编:610041 在很短的时间内就正常看到硬盘的分区,其原因是DCE XP 采用的是分层扫描技术,首先只对硬盘的根目录进行扫描读取,这样大大缩短了读取目录信息的时间,客户再根据其有用数据进行选择性的数据效率源信息安全技术有限责任公司 地

24、址:成都市一环路南二段中国科学院成都分院计算机研究所603 邮编:610041 恢复,一层一层向下推进,最大程度的节省了数据恢复的时间;可以直接提取文件,也可以对硬盘进行镜像,在做数据恢复的过程中,可以对数据源盘进行全盘、分区、或者任意LBA 范围内的镜像,镜像的目标可以镜像到文件,也可以镜像到磁盘;镜像的过程中提供快速正向、快速反向、精确正向、精确反向等功能进行灵活选择,同时通过位图技术,还可以选择快速镜像有效数据所有读取的分区信息将在左上方的方框中显示。可以通过点击“+”“-”来控制是否显示分区信息 。该盘只有一个分区,显示的内容为(F AT32:LBA 63 SI Z E 7813902

25、5=38153MB。说明该分区格式为F AT32,分区开始位置为63效率源信息安全技术有限责任公司 地址:成都市一环路南二段中国科学院成都分院计算机研究所603 邮编:610041 扇区,分区大小是38153MB。双击该分区记录,在其下方将显示4个文件目录:R OOT,DELETED,LOST,SEA R CHED。R OOT 顾名思义就是根目录,将显示该分区下的所有文件和目录。 DELETED 将显示已被删除掉的文件LOST 显示的是,丢失了上一级目录的文件和文件夹SEA R CHED 显示的是使用了S e a r ch Do c u m en t 功能以后所查看到的文件。双击R OOT 目

26、录,程序自动读取目录表,在右方显示出文件目录。效率源信息安全技术有限责任公司 地址:成都市一环路南二段中国科学院成都分院计算机研究所603 邮编:610041 双击任意一个目录就可以打开该目录的下级文件目录。对应左边的目录树也会相应的变化。DCE XP 数据恢复工具,采用逐层读取技术,可以节约大量的读盘时间,并能更直观的查看数据。效率源信息安全技术有限责任公司 地址:成都市一环路南二段中国科学院成都分院计算机研究所603 邮编:610041 将需要恢复的数据前的小方框打上勾以后,就表示已经选中了该文 件。鼠标选中需要恢复的数据以后,点右键,弹出一系统菜单。选择效率源信息安全技术有限责任公司 地

27、址:成都市一环路南二段中国科学院成都分院计算机研究所603 邮编:610041 Re c o v er Ma r k ed 将进入文件保存选项 。在数据恢复选项中,左边表示的是文件保存路径,可以手动选择文件保存位置,也可以建立新的文件目录。效率源信息安全技术有限责任公司 地址:成都市一环路南二段中国科学院成都分院计算机研究所603 邮编:610041 右边的参数选项依次表示为:S k i p file s w h en re a ding f a iled 当读取文件失败时,直接跳过该文件。S k i p file if i t h as a en t ire s e c to r o f 4

28、0 ch a r a c t er 当读取的扇区全是40字符时,跳过该文件。效率源信息安全技术有限责任公司 地址:成都市一环路南二段中国科学院成都分院计算机研究所603 邮编:610041 S k i p file if i t h as 00 ch a r a c t er o nly in sta r t s e 当文件的开始扇区全为00时,跳过该文件。S k i p file if i t h as in v a lid file h e a der 当文件头是无效的时候,跳过该文件。Re s e t po wer w h en re a ding f a iled 当读取文件失败的时候,重起电源。Re t ry o n file f a iled to be re c o v erd 当恢复数据失败时,是否重试 。在拷贝数据的时候,可以灵活运用以上的选项。这样可以节省大量的时间和提高数据恢复出来文件的打开成功率。设置完成以后,点OK,程序就开始恢复选取的数据。效率源信息安全技术有限责任公司 地址:成都市一环路南二段中国科学院成都分院计算