数据恢复实战.doc

数据恢复实战 故障现象 在使用WORD软件时听到硬盘异响，象是数据误写声音，急忙重新启动计算机，则计算机无法自举。 分析 硬盘可以正常在BIOS中测到，但无论用软盘、硬盘启动均不能访问C：，D：，E：，F：，分析可能是硬盘硬件中介质坏。 由于硬盘中存放有重要信息，应设法修复。 处理方法：由于是突然出现读写错误，从硬件上分析，则可能是控制板上的某个电路失效，首先应该尝试更换硬盘上的控制板。 维修过程 设法购得一个完全一样的硬盘，互换主板后坏硬盘故障依旧，新硬盘完好。可以判定故障在硬盘盘面、磁头或软故障。 用DEBUG对底层硬盘扇区进行读写，得出结论是硬盘上各分区中均有扇区出现读写错误，对C：，D：，均出现在FAT的前扇区上。重新写入首扇区后，其它扇区可读，但由于首扇区的前几个字节决定其FAT格式，因而必须复原。 分析发现FAT32方式下，首扇区和次扇区共用决定扇区分配格式，我们用硬盘0磁道复制方式重建分区，使2 个硬盘完全一样，这样将好硬盘上的C：中0/1两个扇区用 L 100 2 0 2 (读入) W 100 0 2 2 (写入一个空软盘) 在有故障的硬盘中执行 L 100 0 2 2(读入软盘上的信息) W 100 2 0 2 重建后发现还不能使用，第三个扇区开始是一些有规则的乱数据，看20H扇区内容，好机子上是”F8 FF……”，像是一个旧式的硬盘FAT起始标志。而坏的机子上是一些不一样的，像是0道启动信息的内容，应尝试复制好的数据到该盘上。 L 100 2 20 1 W 100 0 2 1 到有故障的计算机上： L 100 0 2 1 W 100 2 20 1 故障仍未排除。实在没有办法只能认真学习有关FAT32的知识后，对本机硬盘内的数据进行分析，慢慢弄清硬盘上FAT的结构，故障原因也渐渐清楚了。 再分析 可能由于介质坏或电路板的偶然故障，造成计算机在写文件时出现错误，使2个FAT的信息不能正常读写，总是出现”数据读错”，这通常不会是病毒造成。通过分析，我的硬盘参数： 序号 项目 C： D： E： F： 1 每扇区512字节 0200 0200 0200 0200D 2 每簇16扇区 10 10 08 10 3 保留扇区数20个 0020 0200 0200 0200 4 FAT的个数 02 02 02 02 5 根目录项数（保留） 0000 0000 0000 0000 6 分区总扇区数8(保留) 0000 0000 0000 0000 7 分区介质标识 F8 F8 F8 F8 8 每个FAT占扇区数（保留） 0000 0000 0000 0000 9 每道扇区数63个 003F 0003F 003F 003F 10 磁头数255个 00FF 00FF 00FF 00FF 11 隐含扇区数63个 0000003F03CB3739 12 分区总扇区数 014392E2 0143D1A2 00FFAC14 0143D1A2 13 每个FAT占扇区数 2871 3FDC 2871 14 扩展标志 0000 0000 0000 0000 15 文件系统版本号 000 000 000 000 16 根目录起始簇号0000000200000002 17 FSINFO扇区大启动扇区 0001 0001 0001 0001 18 后备BOOT区 0006 0006 0006 0006 关键数据 C： D： E： F： 每簇扇区数 10 10 10 28 FAT1开始 20 20 20 20 FAT1结束 2888 2890 2890 3FFB FAT2开始 2889 2891 2891 3FFC FAT2结束 50F1 5101 5101 7FD7 DAT开始 50F2 5102 5102 7FD8 FAT数量 2 2 2 2 FAT长度 2869 2871 2871 3FDC 逻辑盘号 02 04 05 06 再处理 本机D：上FAT1/2的首扇区均不能读出，可以尝试用文件结束标志”FF FF FF F0”填充。 这个硬盘经常进行碎片整理，前面存放的文件肯定是旧文件或系统文件，因而一旦失败也损失小，一些文件会变成碎块。 执行下述命令： L 100 4 20 1(失败) F 100 2 FF FF FF FF F0(填充) E 100 F8(重设F8硬盘标志) W 100 4 20 1(成功) W 100 4 2891