误GHOST情况数据恢复技巧

1、误GHOST情况数据恢复技巧今天，给同事做系统的时候出现错误操作！导致系统安装后就剩下一个C盘，其他都没有了，也就是说整个磁盘就分了一个区，其他区的资料也跟着没有了。于是找资料。终于找到了方法！拿出来大家分享！方法如下：方法一：（借助Diskgenius一般5块钱的盘都会带这个工具。本人采用方法一解决问题！需要说明的是：要是在软件搜索的时候请不要动鼠标，不然容易重新启动！请耐心等待。）如果我们在恢复分区时这样选择：LocalDiskfromimage。Ghost就认为我们现在所要进行的是把以前的硬盘备份映像文件（*.gho）恢复到整个硬盘（如图2）!显而易见，这样的选择操作所带来的结果仅仅只是

2、把原来备份的某一个分区的备份映像文件恢复到整个硬盘。这就是开机后只有一个分区，而计算机又能正常启动的原因。我们先来分析一个所有的逻辑盘有没有可以恢复的可能性。这里我们假定原硬盘的逻辑分区为4个，假设C盘为系统分区。硬盘开始后区硬盘结束扇区主分区C逻羯分区D一一分区E逻辑分区FIC盘敷据区|D盅数据区|E彘放据区|F彘数辗tttt分区睚表、C区分区礁表，D区分区戢表、£区分区链表、F区FAT及C区目录FAT及D区目录FAT及E区目录FAT及F区目录一、如果误将主分区C区的映像文件还原来整个硬盘还原时Ghost将从硬盘的起始扇区开始写入数据，并根据使用者输入的硬盘容量参数重新定义硬盘分区

3、表（Ghost选项中的默认容量为硬盘最大容量）。由于还原的数据大小受到原C区有效数据数据容量的限制，因此从硬盘的起始扇区开始还原的数据其覆盖范围不会超出原C区的边界，这就意味着原D、E、F区的所有数据应该是完好无损的，而此时看不到D、E、F区仅仅是因为Ghost修改了分区表而已，这种情况在恢复了主分区表后即能恢复所有逻辑盘。二、如果误将逻辑D区的映像还原到整个硬盘因原逻辑D盘没有安装操作系统，故硬盘不能启动，但可以从软驱或光驱启动，启动后只可以看到一个分区（即原逻辑D盘）及数据。这时分为两种情况：1、如果原D区的有效数据容量小于原C区容量，则原C区数据被破坏，但D、E、F分区完好无损，可以恢复

4、。2、如果原D区的有效数据容量大于原C区容量，其还原数据的覆盖范围将超出原C区的范围并进入D我，因此不仅原C区数据被破坏，同时原D区数据也难以幸免于难，但原E、F分区数据完好无损，可以恢复。三、如果误将逻辑E的映像还原到整个硬盘1、如果原E区的有效数据容量小于原C区容量，则原C区数据被破坏，但D、E、F分区完好无损，可以恢复。2、如果原E区的有效数据容量大于原C区的容量而小于C、D容量之和，其破坏范围为原C、D区，但原E、F区完好无损，可以恢复。其它情况可以依此类推。虽然不同的误操作都会有不同的结果，但有一点比较明确，那就是只要有灾难”的发生，第一个被破坏的便是主C区及硬盘的主引导记录。而硬盘

5、的主引导记录中又包含了硬盘主分区表，因此误操作后的结果往往是虽能正常启动，但逻辑盘数已改变，或硬盘根本就无法正常启动。这种结果与遭遇到CIH病毒破坏后的结果十分的相似。通过以上分析我们可以得出这样的结论，只要某个（或几个）逻辑盘的整盘数据没有被重新覆盖，其可以恢复的可能性应该是相当大的，从实际情况来看几乎为100%。未遭破坏之逻辑盘数据恢复的关键是需要重新构造硬盘分区表。在这里恢复类似硬盘数据，笔者弓II烈推荐您使用国产软件DiskGenius(DiskMan)。它具有强大的分区表重建功能，能恢复被破坏的分区表。首先用软盘引导计算机，然后在DOS系统下启动DiskGenius,打开DiskGe

6、nius后也会看到只有一个分区。这时选择工具”菜单，然后选择重建分区表”命令。在弹出的对话框中单击继续”按钮。硬盘小）分区工。工具（D直看（5帮助中）由«n忑DiskGeninsUZ.00序系辨各静号1837k品区此过程有两种方丈。一种是全自动行武，由Di。Gi州自幼蟀搜索分区，另一种是交互方式,将友琪二个分区都给出握示，由您自己选择r自动方式I,交互方式I）:433SS12430WWLEDISK0Ef1Z4332Mb31W279第1项盘思容量为HE（1H0=1048576字节L50$城：柱面，进头，扇区总房豆敌为：mix：au.mix：EXT二口LOGIC：运行下一步操作，在弹出的

7、对话框中选交互方式经过一阵搜索后，计算机就会找出丢失的分区，然后再选择保留”命令。当搜索找出全部丢失的分区后，选择第一项菜单中的退出”命令，退出DiskGenius。重新启动计算机后所丢失的分区将会被恢复，而且数据也不会丢失如果你的硬盘分区表也因为某种原因硬盘分区表被改写或严重破坏，引起硬盘和系统瘫痪，DiskGenius会通过未被破坏的分区引导记录信息重新建立分区表，该软件将首先搜索0柱面0磁头从2扇区开始的隐含扇区，寻找被改变或破坏的分区表。接下来搜索每个磁头的第一个扇区。搜索过程可以采用自动方式”和交互方式”两种方式进行。自动方式保留发现的每一个分区，适用于大多数情况；交互方式对发现的每

8、一个分区都给出提示，由用户选择是否保留。当自动方式重建分区表不正确时，可以采用交互方式重新搜索。等存盘后一切都好了，但是有时也不能保证百分之百正确恢复。所以保护分区表最保险的方法还是用它选备份分区信息，并且将DiskGenius作为必备工具软件，放到系统紧急启动盘上，有备无患，该软件大小仅有140KB左右，一张软盘即可存放。顺便说一下这个强大的分区工具DiskGenius,diskgen原名DiskGenius(DiskMan)该软件具有如下特点：1 .采用图形界面，支持鼠标操作。以图表的形式揭示了分区表的详细结构。2 .全中文显示，自带汉字库，无须任何汉字系统支持。3 .支持多种系统分区，能

9、建立如UNIX、Linux、NTFS、OS2等操作系统分区。4 .可手工修改分区参数，并可对分区参数进行检查。5 .可建立多达四个主DOS分区。6 .可在保留扩展分区的情况下删除主DOS分区，使您可以重新规划主DOS分区（即C盘）。7 .可隐藏分区。8 .能查看硬盘任意扇区。9 .提供备份包括逻辑分区表及各分区引导记录在内的所有硬盘分区信息。10 .具有分区表重建功能，能恢复被破坏的分区表；11 .所有操作在内存中进行，由用户自行存盘，可防止误操作。利用DiskGenius这些强大的功能，你可以方便地维护自己的硬盘数据。最后要提醒朋友们注意的是：如果硬盘发一故障大多数情况下都是软”故障，尽量采

10、用修复的方法，不要胡乱的格式化甚至低格这样危险的操作，而造成数据永久的丢失由于使用SymantecGhost软件进行分区恢复时，操作失误，错将光盘中备份的分区镜像文件（partitionfromimage）当成硬盘镜像文件进行恢复（diskfromimage）,造成分区表被重写，整个硬盘只有一个主分区，原4个硬盘分区及其数据全部丢失。由于硬盘中有大量实验数据和个人文档资料，情急之中就联系到了我，希望能够提供一点帮助。Ghost操作错误导致数据丢失是非常常见的问题，一般情况下，在没有被覆盖的磁盘区域，完全可以通过easyrecovery、Finaldata、Rec4all、GoldenRecov

11、ery等等常用数据恢复软件进行恢复，但是恢复过程较为冗长，并且很多软件不能识别中文文件名，以及恢复后的数据中删除文件、碎片文件、交叉链接文件混杂，挑选上也颇为头疼，因此首先考虑恢复分区，再次考虑恢复文件。，简单看了一下这台电脑当前的硬盘状况：只有一个C盘，容量为80G。我尝试用NortonDiskDoctor检查分区错误，结果分区正常，貌似分区表已经被重写。在用多种方式进行尝试后，决定冒险用Diskman的重建分区表功能进行分区表恢复操作。在DOS运行Diskman,首先将所有分区全部删除（起到初始化的目的），然后以燹互方式”重建分区表，在对柱面进行扫描过程中，每找到一次以往分区信息的同时，注

12、意左边图形化磁盘分区信息是否和原磁盘分区信息一致，如果不一致，就继续查找。好在我今晚比较走运，在一段较为漫长的扫描和诸多提示之后，终于找到了尚未被清除的正确分区信息，存盘并重启电脑之后，4个硬盘分区又回来了。我在PatitionMagic下检查了分区错误之后，在C盘安装了操作系统，进入系统后发现除受Ghost覆盖操作影响的C盘外，其他各分区数据均没有数据丢失现象，呵呵，终Haigou总结：对于由于分区表错误引起的数据丢失，最好先考虑恢复分区，其次才是数据恢复；只要没有进行低级格式化（Lformat）,并且没有进行写操作（文件粘贴拷贝），一般是很容易将误删除的文件恢复回来的，所以重要的是一一不要

13、慌张，不要往硬盘里拷贝东西！方法二：（该方法本人没有测试，不过理论上应该是没有问题的以备选用）平时遇到的误Ghost情况有两种,一种是误用了带Ghost功能的XP安装盘，这种安装盘会重建分区表，把你的硬盘分为四个区，然后把XP系统Ghost到C盘；第二种是利用Ghost备份还原系统，本应把备份还原到C分区，但一不小心还原到整个硬盘上了。这两种操作的实质是一样的，都改写了硬盘的分区表，而且向硬盘覆盖了一些数据。从数据恢复的角度来看，C分区被覆盖了数据，国内由于没有深层恢复技术，基本被覆盖的数据是回不来的，但C分区之后的数据基本是可以完全恢复的。举个例子加以说明，一块硬盘原来有三个分区，分别是C,

14、D,E,D盘和E盘有重要数据。原打算用Ghost在C盘装上一个XP系统，但操作时不小心，把Ghost备份还原到了整个硬盘，这下子硬盘上只有一个C分区了。如下图所示意，这个硬盘共有16G,原先C盘8G,D和E各是4G,现在只有一个C盘，大小是16G从上图可以看出，Ghost作了两件事情，一是覆盖了C盘的一部分空间，二是重写了分区表。除了被Ghost覆盖了一部分数据，其余的数据都毫发无损，我们只要能重建分区表，原来的D盘和E盘的数据就可以重见天日了。要重建分区表，关键是要知道第一个扩展分区起始的位置，找到了这个位置，所有的问题就都解决了。平时我解决这个问题，一般用Winhex,现把方法都写出来供大

15、家参考。Winhex是个五星级的扇区编辑工具，虽然只有2M大小，但功能及其强大，什么分析分区表，分析DBR,计算偏移，簇链追踪都不在话下，是数据恢复工程师的保留武器。我们先请它出场，但使用Winhex要求对数据存储原理有一定了解，要不然看了Winhex的界面就崩溃的也不在少数。我们把要恢复的硬盘挂到另外一台计算机上，如下图所示，磁盘1就是要目标硬盘，现在它只有一个分区，我们要把它的分区恢复原状。3i+rntfS(XHU)囱题s*?ra+jj半件直若器*卜上共享双件英,心本地住户知耨*国胜他E意和鲁接割设备冒理器-四序借*廿即移动存话静蝌£1痒片里双程序雷|班星官理，虫服务和应用相序(

16、CJT.O9(XNT内:留京婢国拣、（B：）：8.00翎UTFS求毒艮好席动:启动Winhex,在工具菜单中选择磁盘编辑器,如下图所示，选择打开第二块物理硬盘HD1（wmware搭的实验环境）。乌文为值操作A）更皆®窗口利明毯:髯1布局蒲怨In件茶蔬犹与I容量I型胆修圃|招叁总区叁本EE状奉感好便衣17舶部5<MlCfi-Jm昭察外仅基充FTF£放案目蚱皑即瓜MG：4313,Mu基FT哨点联利孝ttft1荽事IB.QOGB耽nWinhex打开了物理硬盘，如下图所示就是0扇区的内容，0扇区内容分为三部分，引导程序，分区表和55AA的结束标志。图中绿色部分就是分区表，由于

17、现在硬盘中只有一个分区，因此分区表中只有一项。TirtHes-Q£t山文件。编糖的提案卬O穿号由工具9专用选讨营口糖助的01心小UOUDJOHCO(JQOOOOODOQOOOOOOEOooofinooFO00000010。OOOOOQ110000000120W00W13U000000140000000150iionnooieo00000017000000018(1岫痂欣OOOOOOIAOOOOOOOIBOoonoomcfiOOOOOOIDOOOOOOOIEOOOUOQOIF。4505395600EBE4FR砧3苣8313阳OOB453宾0:73667ODUJOJ0110鸵006E如0

18、000AB630351ol32WOOK77能007200%B4696C20加8900OU0000:2267f7378BCDuo,uouo,uo0QUUDU20UUU00UOOJ偏粹是4603CD138A56aA7FOAFFF4CD13EB“2613T900叩0044'M6f74697300UU00S3737500307613065372698B在0。UQ0。BO9IC510F6C2Elei可20EE67£6COCOCOF6OU00(JU”口AB8好BBC1GA61F9596c6720&D00w00BOBoI冏幽0100733外卵20oooowooFeCD02即4E32

19、55a74%Sg03OE4?496m死ZJ61647379TO6S0001000)QUUJ00030003COUUGO00UJ=0造旭-EP访问中八JO7C.k#工,尔.三?*?|如SA婕.妈,?酬嚼41CDV院小华IffiSI6rt面画筹t+吊7C6AJ.j.v*5j.门74OB.士磬剧?皿Qt.?661溺V.另在Inva“51lidpartitiont596Eble.Errorloadi73711gocerating3y37261eu).MissingoperJO00tin;systcnt.140000JU0030ODJU朋1BE.1F口大小：4C好，现在我们要重建正确的分区表，分区表中要

20、有两项，一项是对主分区C的描述，另一项是对扩展分区的描述。现在的关键是要找出扩展分区的起点，由于原硬盘的C分区大约是8000M,每个柱面的大小是255X63X512=8225280字节=7.8M,因此原扩展分区的起点大约是8000+7.8=1025,也就是说扩展分区的起点在1025柱面附近。考虑到误差因素，我们放宽范围，让Winhex从950柱面开始搜索扩展分区的起始扇区。扩展分区的起始扇区有扩展分区表，而且扇区以55AA结束，我们根据这个特征可以指定搜索条件，具体思路是每个扇区512个字节，编号从0到511,我们让Winhex检索哪个扇区的510和511字节是55和AA,这个扇区就有可能是我

21、们要找的扩展分区起始扇区。当然了，也有可能某个不相干的扇区也是以55AA结尾，那就要作进一步的筛选。一般情况下，扩展分区的起始扇区总是位于某个柱面的0磁头1扇区，这些条件我们都要加以利用。好了，首先定位到950柱面0磁头1扇区，我们准备从这里开始搜索，在Winhex的位置”菜单中选择转到扇区”，如下图所示，填入参数是950/0/1o再次声明，950柱面只是一个凭经验估算的结果。转到扇区。蹴:»物理出）：柱面/硬道：950|磁头/螂面如0扇区；在Winhex'搜索”菜单中，选择查找16进制数值姿打就曰国”,如下图所示。事立40端箱包常置位直著。工且m停用n通顷町窗口但j帮助上一

22、日月.解首换文4：LG进制数僮物.硬拼IG边IM数值®CtrlHcuiJAiurClfllBCuliAllIKOffset1D1C06CC01D1C06C101D1C06C201D1C06CS0imen年如1D1C06CE01D1C0GCC01D1CUCC7U1D1C06CE0imcofiC9.fi1H1C06CA01D1C06CE01D1UUCU1D1C06CT01D1C06CE01D1C06CFO1D1C06DC01D1C06D101D1C06D201D1C06D301口1C0&1虱0IooouoooooooooUD00oooo0000oooo0000oooooooo00

23、U0nococUC0C0£0C0CUC0C0C0C优GC0C0C0C整数数值中.浮互效值©.文本骸又.cocoEcococoCO5cocoococ01ocor.ococuiocorcooccooccooccococo0C0C0Ccooo00cococo00ooco000000eodo0G0Q013OOOCi00oc"UH0000000Q00000口OCIuonooo叫ooCiOCIO00Q0ooGOC'O0000OU00000000DO00on0000000000000000QU00000000W00000000000000000000皿000000000

24、000no000000000000ooooOl00oooo00uc0000000000oooooo)0)0用)0见0000UIJ00000000uu00DO0000000000000900CIC01)000000000000000D0000000001)0D0<)00oooo此oo00>)0DO9U00no00oo吸0000ooDO1)0DO00DOco0303OJ00303co0】03oo030303030J0：8033030加303。30gJO90103030JO30303030303030g扁区152E175W3355“32偏信量E1CU6CQ0=0雌i5理”1BE-TPJ大

25、小4C如下图所示，我们输入了搜索参数，搜索的16进制数值为55AA,搜索方向是向下，这是告诉Winhex从950柱面向后搜索。条件设为从偏移510开始，因为1个扇区有512字节,编号从0字节到511,55在510位置，AA在511位置。搜索开始了，一会就找到了一个符合条件的扇区，到底是不是我们要照的扩展分区起始扇区呢？我们在Winhex的查看”菜单中选择显示详细资料面板；这样就可以显示出扇区的LBA和CHS参数，如下图所示，这个扇区位于1019柱面254磁头63扇区。显然是一个NTFS分区的结束扇区，很有可能就是原C盘的最后一个扇区。这个扇区不是我们需要的，继续搜索！琅？1Vi-tuallD：

26、llardDii¥«,(M®COGOOOGOOOOCOOO-固件版本：UWIUIMT我“的赤希桂之状宓：原幅被曲筑Ml：C掴泄相月：(Vz总计等量：160GG1:174地融字节i-.r.当嶷胭西矢区在甲房g$385022季节偏区：5U利余扇区在空尾：10712在面经号：川襦将头饵号：54后原编导：S3相工扇叵编号：163E6：36OffsetLF411F6B01F411F6COIF411Mg1F411FCE01F4UF6F01HUFTOO1F411F71O1F411F7201F411F73O1F411FT4O1F411F75OLF411F窗01F411FY701F

27、411F7S01F411F7W1P41LP7M)1F411F7B0iHllFTCO1F4UF7WlP41ir7IO1F411F7F0D.23182400CD74叫H060306IC0000旗50死OFSS0CDOB4g3AL6665g6&5S66rFlFEU00S6邮0102CD13FF0610Q0CSAOF£01M0；8EFGEBF2C3仍制65僵72OD0ft4B54即篇nonoGD7072552D43“n2072G573OD0000DO4567；372OFSIA00C366G6毋然2053氏6810E8E3FF80240016IFIFEB2066C2SACA668A16

28、2400OF821900FF犯意00E8的00A0ACSC00740A412064W72加即4C445220OA朗R44二"3?365646C£B416CFG1727400d0000083ABFB55AA755。,E0666GOOFS23A0U01QU803E1400003BF4CD13*v5，小犯DO&6ClU18COE43CCO052COF瞄郎FFFB01E80369R4就障69”3第20船63得7769”320GO14S?90的000DOA50?42B印65如0A000033a063C9-jJL；二DEFog防cioiAl100D6600IE66U3EN0UU

29、OOF典610C66535B07B70E18OUEAIDF,36060ACC00StC。6607IF的6100FB助FB0700CD10726551新79.££MOfi6973736g?3北QPT2G573736120746F000000OO0000匹融再向下找到的扇区就很象我们的目标了，如下图所示，这个扇区中有一个分区表，而且位置在1020柱面0磁头1扇区，和我们估算的1025柱面相差无几，凭经验基本可以认定这就是我们要找的目标。FlinEex-登好”，支扑0，蜩地©携亲切位置直看®工具；专用露比顶电）用口也J布助3口片昌蝗皆电翳s?找急片然T&quo

30、t;0g孑二3ma3ff®sviituaiut卜a陛pri/e恻凰gOOft）闰（ODO帕UI冏隹第本:（ODOOOC1毅久的iS辑模式tat览珀散消窃熟：0黄消槐腐:相胃总卜密用：16.0GB1'/建M9J铝季管延疏:?n»flSt共戮：255由叵碘：6：字书f展叵：52啊愈庠区在姑品：M7F必Q0E头叵端媾潴号号号延：1行美康区喘号：16300207露器：蛇ii演售口工将格千毡城悖(丁展竽1*6如制ANSIASCH'匕国制2FX16=336NtiLF411F350000000IF411F960000000LF411F97000OD0。1F411F9300

31、00D001F4HF990000000LP4JIFMUWUO001F411F®O0000Q0IMIFOIF411F9H0IMUFStO000000OD000000GO00000000000DDOg0000000000000000000000000000000000000000QU0U000U00u。OG0000000000000000000003000000000000000。00000003000000000003oo000000000)oo加的u000UJUuooooooooOO00OOOO00000000000000000003ooLF411FT00000001F411FAOO

32、00OO00lh41irAlU00QUuu1F411FA2000OO001F411FA300000001F411FA4000OO001F411FA5000OO00IF411FA600000001F411FA7000OO001F411FA80000000LF4HFA90OOOO00000000000000COOO00000000W叩00wwwOOOO0000QO00OOOO00000000OO0000000ft00OO00000D000000GO00000000DO0000000000OOOO000000000000OO00oo00fflI16?a63C0：3365a412偏甚至iFCIFqm0

33、00000000055心O')0000000003oouuuoooouwujtng000000000)oo00000000000)oooonooonooomog00OODOQO000)OO00OODO0000030000OO00000003oo00OODO000003OOoo津门o：o:】Qujj.yUJJ过李|两".UUj.适岗印”9本申好了，假定我们找到的1020柱面0磁头1扇区就是扩展分区的起点，那我们就可以判断原先的C分区是从0柱面1磁头1扇区开始，至IJ1019柱面254磁头63扇区结束。那扩展分区结束在什么地方呢？从分区表中的第二项可以知道答案，分区表的第二项描述

34、了第二个扩展分区的起点和终点，第二个扩展分区的终点就是我们要找的扩展分区的结束位置。从分区表来看，第二个扩展分区的起点距当前扇区有7D047E个扇区，大小是88C8AE个扇区。经过计算，扩展分区的终点是2087柱面254磁头63扇区。说到这儿，要对一些朋友说声抱歉了，这些计算涉及到分区原理，如果以前没有接触过，确实不容易看懂。我会抽时间写一些介绍数据恢复原理的文章。经过计算，我们算出C分区从0/1/11019/254/63,扩展分区从1020/0/12087/254/63。有了这些参数，我们在硬盘0扇区的分区表中写出两项分区表，分别描述C分区和扩展分区就可以了。如下图所示，两项分区表的参数分别是8001010007FEFFFF3F000000BD08FA00和0000C1FF0FFEFFFFFC08FA002CCD0501。修改完分区表后，保存设置，重启计算机。fiEdicxfOfiLJ一文件a)£a)餐素应置旧叠营篁。上。昌青浮广电里改工展古用选顽如窗口的帮勖腌息黑就T也华4当电O然送由城辑攫式状愚：巳传网撤消雄同：n撒利相反工城生输入忘