Windows文件恢复

1、背景描述随着信息技术的快速发展和信息化进程的逐步深入，人们的日常工作和生活已越来越离不开电脑里存储的数据。而一旦重要数据丢失或者损坏，无论是企业还是个人，都贱面临巨大的损失。所以，我们有必要掌握基本的磁盘存储原理和常用文件数据恢复软件。数据存储及恢复的基本原理分区文件分区表格式化与删除覆盖分区硬盘存放数据的基本单位为扇区，我们可以理解为一本书的一页。当我们装机或买来一个移动硬盘，第一步便是为了方便管理分区。无论用何种分区工具，都会在硬盘的第一个扇区标注上硬盘的分区数量、每个分区的大小，起始位臵等信息，术语称为主引导记录(MBR)，也有人称为分区信息表。当主引导记录因为各种原因（硬盘坏道、病毒、

2、误操作等）被破坏后，一些或全部分区自然就会丢失不见了，根据数据信息特征，我们可以重新推算计算分区大小及位臵，手工标注到分区信息表，“丢失”的分区回来了。文件分区表为了管理文件存储，硬盘分区完毕后，接下来的工作是格式化分区。格式化程序根据分区大小，合理的将分区划分为目录文件分配区和数据区，就像我们看得小说，前几页为章节目录，后面才是真正的内容。文件分配表内记录着每一个文件的属性、大小、在数据区的位臵。我们对所有文件的操作，都是根据文件分配表来进行的。文件分区表遭到破坏以后，系统无法定位到文件，虽然每个文件的真实内容还存放在数据区，系统仍然会认为文件已经不存在。我们的数据丢失了，就像一本小说的目录

3、被撕掉一样。要想直接去想要的章节，已经不可能了，要想得到想要的内容（恢复数据），只能凭记忆知道具体内容的大约页数，或每页（扇区）寻找你要的内容。我们的数据还可以恢复回来。格式化与删除我们向硬盘里存放文件时,系统首先会在文件分配表内写上文件名称、大小，并根据数据区的空闲空间在文件分配表上继续写上文件内容在数据区的起始位臵。然后开始向数据区写上文件的真实内容，一个文件存放操作才算完毕。删除操作却简单的很，当我们需要删除一个文件时,系统只是在文件分配表内在该文件前面写一个删除标志，表示该文件已被删除,他所占用的空间已被“释放”，其他文件可以使用他占用的空间。所以，当我们删除文件又想找回他（数据恢复）

4、时，只需用工具将删除标志去掉，数据被恢复回来了。当然，前提是没有新的文件写入，该文件所占用的空间没有被新内容覆盖。格式化与删除格式化操作和删除相似，都只操作文件分配表，不过格式化是将所有文件都加上删除标志，或干脆将文件分配表清空，系统将认为硬盘分区上不存在任何内容。格式化操作并没有对数据区做任何操作，目录空了，内容还在，借助数据恢复知识和相应工具，数据仍然能够被恢复回来。覆盖因为磁盘的存储特性，当我们不需要硬盘上的数据时，数据并没有被拿走。删除时系统只是在文件上写一个删除标志，格式化和低级格式化也是在磁盘上重新覆盖写一遍以数字0为内容的数据，这就是覆盖。一个文件被标记上删除标志后，他所占用的空

5、间在有新文件写入时，将有可能被新文件占用覆盖写上新内容。这时删除的文件名虽然还在，但他指向数据区的空间内容已经被覆盖改变，恢复出来的将是错误异常内容。同样文件分配表内有删除标记的文件信息所占用的空间也有可能被新文件名文件信息占用覆盖，文件名也将不存在了。覆盖当将一个分区格式化后，又拷贝上新内容,新数据只是覆盖掉分区前部分空间，去掉新内容占用的空间，该分区剩余空间数据区上无序内容仍然有可能被重新组织，将数据恢复出来。同理，克隆、一键恢复、系统还原等造成的数据丢失，只要新数据占用空间小于破坏前空间容量，数据恢复工程师就有可能恢复你要的分区和数据分析硬盘的数据结构硬盘的数据结构示意图：分析硬盘的数据

6、结构MBR（Master Boot Record，即主引导纪录），位于整个硬盘的0柱面0磁道1扇区，共占用了63个扇区，但实际只使用了1个扇区（512字节）。在总共512字节的主引导记录中，MBR又可分为三部分： 引导代码，占用了446个字节 分区表，占用了64字节 55AA，结束标志，占用了两个字节EBR，也叫做扩展MBR（Extended MBR）。因为主引导记录MBR最多只能描述4个分区项，如果想要在一个硬盘上分多于4个区，就要采用扩展MBR的办法。分析硬盘的数据结构MBR分区结构分析硬盘的数据结构MBR分区结构分析硬盘的数据结构MBR分区结构 启动代码:主引导记录最开头是第一阶段引导代

7、码。其中的硬盘引导程序的主要作用是检查分区表是否正确并且在系统硬件完成自检以后将控制权交给硬盘上的引导程序（如GNU GRUB）。 它不依赖任何操作系统，而且启动代码也是可以改变的，从而能够实现多系统引导。分析硬盘的数据结构MBR分区结构 硬盘分区表:硬盘分区表占据主引导扇区的64个字节(偏移01BEH偏移01FDH)，可以对四个分区的信息进行描述，其中每个分区的信息占据16个字节分析硬盘的数据结构MBR分区结构 硬盘分区表:80 01 01 00 07 FE FF FF 3F 00 00 00 00 34 80 0C 80：表示该分区为活动分区 01 01 00：开始磁头/开始扇区和开始柱面

8、 07 ：文件系统标志位 07表示NTFS文件系统 FE FF FF ：结束磁头/结束扇区和结束柱面 00 00 00 3F ：分区起始的相对扇区号 0C 80 34 00：分区总的扇区数分析硬盘的数据结构MBR分区结构 硬盘分区表:从主引导记录的结构可以知道，它仅仅包含一个64个字节的硬盘分区表。由于每个分区信息需要16个字节，所以对于采用MBR型分区结构的硬盘，最多只能识别4个主要分区（Primary partition）。所以对于一个采用此种分区结构的硬盘来说，想要得到4个以上的主要分区是不可能的。这里就需要引出扩展分区了。扩展分区也是主要分区的一种，但它与主分区的不同在于理论上可以划分

9、为无数个逻辑分区。分析硬盘的数据结构MBR分区结构 硬盘分区表:扩展分区中逻辑驱动器的引导记录是链式的。每一个逻辑分区都有一个和MBR结构类似的扩展引导记录(EBR)，其分区表的第一项指向该逻辑分区本身的引导扇区，第二项指向下一个逻辑驱动器的EBR，分区表第三、第四项没有用到。分析硬盘的数据结构MBR分区结构 硬盘分区表:分析硬盘的数据结构MBR分区结构 硬盘分区表:Windows系统默认情况下，一般都是只划分一个主分区给系统，剩余的部分全部划入扩展分区。这里有下面几点需要注意： 在MBR分区表中最多4个主分区或者3个主分区1个扩展分区，也就是说扩展分区只能有一个，然后可以再细分为多个逻辑分区

10、。 在Linux系统中，硬盘分区命名为sda1sda4或者hda1hda4（其中a表示硬盘编号可能是a、b、c等等）。在MBR硬盘中，分区号14是主分区（或者扩展分区），逻辑分区号只能从5开始。 在MBR分区表中，一个分区最大的容量为2T，且每个分区的起始柱面必须在这个disk的前2T内。你有一个3T的硬盘，根据要求你至少要把它划分为2个分区，且最后一个分区的起始扇区要位于硬盘的前2T空间内。如果硬盘太大则必须改用GPT。Windows文件恢复用Winhex恢复误删的文件：1.在D盘上新建2个文件，分别命名为“test1”和“test2”，然后用两种方式删除，test1是用Shift+Delete键删除，test2是直接删除，然后再回收站里删除。Windows文件恢复用Winhex恢复误删的文件：2. 用winhex打开D盘，在中间的文件列表内查看，可以看到刚才删除的文件“test1”，但呈现透明，而且前面有个问号？的标志。但只显示删除的文件test1。Windows文件恢复用Winhex恢复误删的文件：3. 如果要看到删除的文