数据恢复经验总结

admin管理员组

文章数量:1530945

2024年1月11日发(作者：)

数据恢复经验总结

正规的数据恢复不会往要恢复数据的硬盘做任何写的操作，大都会备份一份再设法去恢复数据。只要在磁盘管理器里可以看到硬盘空间，应该可以用WINHEX对硬盘做镜像，然后对镜像实施数据恢复操作。

恢复是以恢复分区磁盘为上策，以搜索恢复文件为下策。

如果资料重要先，WINHEX打开，按ctrl+d，分区先做个镜像。

以前查找分区表，恢复分区表都是用DISKGEN。简单一点的分区表重建还是很不错的，但复杂情况的恢复一直没有什么心得。并且DISKGEN搜索分区表毕竟是软件自动为主，而自己掌握的分区表知识并没有找到可以让DISKGEN加速搜索的目的。

学习分区表知识，一定要学会使用WINHEX，借助WINHEX，手动查找恢复分区表，才能让知识真正成为自己的。

用WINHEX打开硬盘，直接定位到硬盘的最后一个扇区，然后，搜索十六进制数值0055AA，偏移位置512字节为单位的510字节，从当前位置向上面（前面）搜索。将“列出搜索结果”勾选上，这样可以生成位置报告。

过一会儿找到了0055AA，查看扇区数据，是NTFS的DBR扇区描述。直接应用摸板查看数据。

DBR扇区的恢复一般都是查找备用的DBR扇区，FAT32格式的磁盘，在格式化的时候，会在主DBR扇区后面第6个扇区位置上，保有一个备用的DBR扇区，NTFS则是在本磁盘的最后一个扇区保有一个备用DBR扇区，也就是下一个分区起始扇区的前一扇区，由于NTFS磁盘DBR扇区的BPB表是加了校验码的，因此恢复DBR扇区的关键就是BPB表的恢复问题，只要有正确的BPB表，DBR引导代码可以用本盘相同格式磁盘的DBR代码来拼凑，同样可以恢复出DBR扇区的内容，这里要引起注意的是，狭义的DBR指的是引导代码和信息提示代码这部分，并不包括BPB表，广义的DBR则可以理解为DBR扇区，为了不混淆概念，最好把DBR狭义表达，要表达包括BPB表整个扇区时，应该称为DBR扇区，MBR的表达也是一样，要表达MBR+DPT+系统签名+磁盘签名时，应该称为主引导扇区或MBR扇区，而不应该直称MBR。

要恢复扩展分区的D盘，可以先试着恢复DBR扇区，只有在DBR扇区恢复无果的情况下，才用文件恢复类软件来搜索并恢复之。

R-STUDIO一定要注册后才能发挥效能，功能是没说的了，我是只是用该软件来恢复丢失的文件，该软件支持多种分区格式，包括Linux和MAC分区，识别的文件类型也是非常多的，这个软件在使用上是有技巧的，慢慢摸索会有心得的。

用WINHEX搜索往往要用很长时间，我们希望搜索到一个命中以后，就可以开始分析命中扇区的信息，看看是否是我们关注的扇区内容，如果要等搜索完毕再开始分析，势必要等待一个很长的时间，有时是几个小时，这样做恢复实在是效率太低，我在使用WINHEX的搜索功能时，对于NTFS磁盘分区，一般是采用从后往前搜索的方法，当发现有一个命中后，即刻终止搜索，此时这个命中就会列在命中目标的列表里，如果不终止，就要等待搜索全部完毕才会列出，终止的目的就是要提前获得这个列表，然后再次开始从第一个命中的下

一个扇区开始搜索，此后的命中，就会实时地列在列表中了，我们就可以与搜索同步，对所列命中扇区进行分析了，这是一个非常实用的技巧，在网上替网友恢复分区表时，用此方法经常奏效，常常是搜索还没进行到一半，我的分区恢复工作已经结束了，节省了大量的时间，这就是得益于WINHEX的这项功能支持，但我发现很多WINHEX版本并不支持这样的搜索，往往是第一次搜索可以搜到所有符合条件的命中，如果中间终止再开始搜索，则不会再有符合条件的命中被发现和列出了，这可能是Winhex的一个鲜为人知的BUG，为了实现这一操作，我发现WINHEX v14.2英文版可以实现这种操作，但14.2的不是法政版，无法浏览磁盘的目录和文件，因此我根据需要，用14.2来搜索，用15.4来浏览目录文件，怀疑那些汉化版在汉化过程中，将这项功能破坏了。后来发现了一个汉化版似乎可以支持多次搜索并命中，也可以浏览文件和目录，但由于文件保存不善，不慎丢失了，等有时间再去查找验证。

常用的几个数据恢复软件

1、 —— 用于对硬盘扇区进行查看和编辑

2、PTDD V3.5 —— 用于快速搜索恢复标准结构的分区表

3、Diskgenius V3.2 —— 用于搜索恢复标准和非标准结构的分区表和从临时分区结构中取得文件

4、WinHex —— 用于对硬盘扇区进行查看、搜索和编辑，支持RAID

5、R-Studio V5.1 —— 用于搜索丢失的文件，性能强悍，支持多种文件格式包括UNIX格式，支持RAID

6、 —— 用于辅助远程操作

设置DBR搜索条件，最好多加一个00字节，即搜索00 55 AA，这样可以过滤掉很多假DBR扇区，此外勾上列出搜索结果比较好，因为搜索到的DBR往往不止一个，会有好多DBR需要鉴别，因此多列几个出来，有利于恢复正确的分区。从后往前搜索适合恢复NTFS格式的磁盘，对于Fat32格式的，还是要从前往后搜索更好。

搜索EBR也可以多加一个00字节，主要是用于过滤假DBR和假EBR扇区，减轻甄别时的工作量。

条件512=510的意思是在512个字节里搜索，从偏移510开始比对搜索内容，也就是从倒数第二个字节开始比对，这里是找所有最后55AA标志的扇区，通常这样的扇区是系统使用的扇区，MBR、EBR、DBR等扇区都有这个标志，找到这种扇区后，根据DBR的提示信息可以快速判断是不是DBR扇区，要精细判断，还是要根据BPB提供的数据，找到$FMT表来验证。

用PTDD软件搜索不到DBR结构，经询问原来分区两个，均为NTFS分区并且是扩展分区，经用WinHex从硬盘后部往前搜索DBR扇区，1秒就找到了后一个磁盘的备份DBR，继而推算出分区表，原来两个分区都是主分区，第一磁盘的工作DBR被破坏，用备用DBR恢复，然后手工计算并填写MBR扇区的主分区表，重新挂载该移动硬盘后，数据完美恢复。

磁盘阵列RAID数据抢救比较麻烦，需要重组原来的阵列，再来抢救数据，直接对硬盘进行恢复，只能恢复体积小于RAID一个存储块的文件。

恢复分区表等操作都是徒劳的，因为RAID0对硬盘数据实施的是多硬盘分布布局的，是将分区结构分布在两个硬盘上，不论数据还是分区结构，都是按块交替分布的，假如块定义的是64个扇区，那么在存储一个文件的时候，会把文件按64扇区大小，拆分成数块，奇数块存放在1号硬盘上，偶数块则存放在2号硬盘上，这样，你想恢复就很不容易了，在一

个硬盘上只有一半的信息，两个硬盘之间的关系很复杂，必须重组RAID0以后，才能恢复完整的分区结构，进而恢复逻辑磁盘结构，在这两个结构正确的情况下，你的文件才能正确连接成FAT链，存储块才是可寻址的，你已经破坏了RAID0的结构，恢复起来很难了，本来你不要乱操作，保护好现场，用R-STUDIO软件，可以重组RAID0，数据是很容易恢复的，到了目前的境地，要恢复可能有点难，但还是值得一试的，用R-Studio重组RAID0，由于你的破坏，重组后可能看不到分区，这时就要用文件搜索的方法来找寻丢失的文件，重组成功的前提是，硬盘顺序不要搞错。

WINHEX具有RAID重组功能。可以在重组后恢复数据，在重组RAID0后，可以将数据恢复的。

硬盘乱码时，东西重要就用winhex先做一个磁盘镜像吧，之后就可以大胆的试着恢复。了。

装系统前需确认C盘和桌面有没有重要资料。

XP自带的磁盘管理器分区

XP自带的磁盘管理分区最不容易出问题，其自带的磁盘管理器，用于分区是比较好的，至少对微软的windows系统来说，是最适合的，它最理解windows的需求，哪怕是在细节方面，也是非常吻合的。其他分区软件则要随意一些，其分区参数有时不是很规范，不过还要注意一个问题，即使你分区参数是很标准的，但在使用中因为启动过其它分区工具或涉及分区操作的软件，有些软件会自作主张修改分区表里的参数，把分区参数搞得不标准了，这就不是原初分区软件的问题了，在数据恢复的过程当中，见过很多分区参数不正常的现象，这些都是造成分区发生意外的潜在原因，由此还可以推测磁盘文件系统结构的定义参数，也会被一些软件修改，这些参数被改得不标准，处于很不稳定状态，极易在复杂操作中出现问题，比如RAW磁盘，还有在动态调整磁盘中崩溃等，都是因参数不标准，软件无法面对这样的不伦不类参数造成的。

要恢复扩展分区的D盘，可以先试着恢复DBR扇区，只有在DBR扇区恢复无果的情况下，才用文件恢复类软件来搜索并恢复

CRC错误及硬盘RAW

用Victoria软件检查一遍硬盘，弄清硬盘有什么故障，然后再施之以针对性的措施，硬盘操作奇慢，一般都是坏道多或CRC冗余校验失败的扇区多造成的，如果是坏道造成的，一般是没办法，只有强行读取，找一个好软件，读取重试次数不要多的软件，这样可以节省时间，如果是CRC冗余校验错误引起的操作过慢，可以完全格式化硬盘后，再来恢复。

异常关机引起容易导致磁盘DBR扇区CRC循环冗余校验错误造成故障，用备用DBR覆盖就解决了问题

CRC循环冗余校验错误，是一种很讨厌的磁盘故障，有硬件问题造成的，也有逻辑问题形成的。在接有存在CRC冗余校验错误硬盘的主机上操作，系统反应会极慢，正常情况下系统不可能造成这种离奇的故障，但在特殊情况下，这种故障却每每出现，比如移动硬盘供电不足，硬盘工作在欠电状态下，写入的CRC码很容易出错，造成大量的CRC冗余校验错误，其次，异常断电和野蛮关机，也会造成CRC错误，前不久一个网友就是因为不愿等待，直接拔电源，结果三个逻辑盘的DBR扇区都是CRC错误，用什么软件也找不回原来的磁盘，我远程帮他看过，就发现是CRC错误，用备份的DBR强行写入一遍，磁盘当即就可以用Diskgenius看到了，CRC对硬盘数据造成威胁是很大的，要想去除也不是很容易，

到目前为止，还没有发现有纠正CRC错误的软件，面对CRC错误，人们往往束手无策，在实践中发现，WindowsXP系统的完全高级格式化功能，能纠正CRC错误，并且不会改变原扇区数据内容，但它会清除磁盘的FAT区（文件分配表）和DIR根目录区，只要操作者运用得当，在备份FAT表和根目录区后再进行格式化操作，纠正CRC错误后再恢复FAT和根目录区，就可恢复数据，如果要备份的FAT和根目录区就有CRC错误，可以直接格式化，然后再做格式化后的数据恢复，一样不失为一种好的方法。此方法仅实验过不多的次数，并不适合所有场合。

面对这样的问题，我们同样很棘手，一般的方法是把分区慢速格式化，在这种情况下，格式化程序会假设所有扇区数据都是没用的了，会对每一个扇区重新计算并填写CRC冗余校验码，格式化程序除了清空根目录区和FAT区占用的扇区外，并不改变数据区扇区的内容，这样就可以在纠正CRC冗余校验错误后，用数据恢复软件来恢复格式化钱的数据，此时由于CRC冗余校验错误已经排除，恢复起来就快多了，但要损失少量的数据，当然，由硬件引起的此类错误是无法纠正的，对于楼主的情况，不妨对分区照此处理，然后再用格式化恢复软件恢复格式化前的数据试试。用系统的格式化功能慢格一遍，然后再恢复丢失的文件，用R-STUDIO搜索，可以恢复出来。慢格是要检查每一个扇区的状况的，对于CRC冗余校验码不对的扇区，要重新校验，以判断扇区的好坏，坏的扇区要标记，使有坏扇区的簇不再被操作系统所使用，这样的操作当然要耗费时间，PQ格式化则不会做这项工作，所以格完后，还是有CRC冗余校验错误。建议用victoria软件检测一下硬盘，看看健康状况如何？

至于恢复软件的选择，经测试600G硬盘NTFS格式，分区提示RAW错误后，数据及空间显示为零。用PowerDataRecovery花了近2小时恢复，结果和Diskgenius一样，恢复出来的图象和文本均损坏，最后开了FinalData和EasyRecovery一晚上，EasyRecovery恢复效果和前二者一样，但FinalData恢复出来的文件均能正常打开。

硬盘问题无法GHSOT

前几日朋友遇到一硬盘，不能做系统，不能GHOST，说是有坏道。拿来我给用hddreg修复了20多个坏道。

但是ghost时，没过几秒钟提示出错！后又用DG重新分区、重建分区表之类的折腾，还是不能ghost，PE下也试了„„

无耐，只好找出XP原版安装试试，结果顺利安装完成。

硬盘上出现坏道，之所以不能用GHOST的办法来做系统，是因为GHOST软件是在硬盘扇区全部都是完好的假设下工作的，它会快速规划文件系统，并不检查所有簇的好坏情况，当遇到坏扇区的时候，就没法改写到其它簇去，这是GHOST软件的一个弱点，安装盘就不一样，它在格式化的时候，会标注出坏簇，安装的时候就会避开坏簇不用，因此可以安装成功。

可以将GHO镜像，用GHO浏览器，提取文件到硬盘，如已经用MS的磁盘管理分区格式化过，可以正常启动，但需要选择对应的GHO浏览器版本，否则，需要使用BOOTSECT

/NT52 /NT60 修正启动引导。

慎用PQ

PQ这个软件除了操作概念直观以外，没有什么优点，主要是应该因为PQ的版本很老了，对大盘或者新盘支持都不怎么好，很容易出问题，建议慎重使用PQ，分区软件最好就用磁盘管理器，格式化要用系统自带的功能，PQ是怎么格式化的，目前不太了解，恢复数据建议用注册版的R-STUDIO V5.X版。

数据硬盘划区安全存放

数据硬盘分区格式尽量选择NTFS，而且要在最前面即第一个分区分成20G的小分区，作为缓冲分区，然后后面再分正式使用的数据存放NTFS分区，这样后面的数据分区相对安全些，切不可只分一个区，那样一旦发生误操作，往往就是灾难性的，只有一个分区的硬盘数据抢救，不能用恢复分区的办法来实现，只能用文件恢复软件来搜索，恢复时要转移数据，需要大量的空间，而有缓冲区的硬盘就不一样，覆盖一般都发生在硬盘前部，只会破坏第一个分区的数据，后面分区往往是分区表丢失，只要重新恢复原来的分区表，即可恢复数据，不需要另外的空间来倒腾数据，这是有很大不同的，第一个分区一般只放一些无关紧要的文件，丢了也不要紧。

坏扇区过多屏蔽与低格

扇区编辑工具，WINHEX最强大，SectorEditor做为补充，再不行，加上HXD，也够用了。 其实最实用还是WINHEX。不过，PE下的效果，WINHEX实在太差，主要还是界面问题。真要数据恢复，PE下用的时候并不多，只是权宜之计。

是慢还是有坏道，用MHDD扫描一下不就知道了？先确定坏道的多少才决定用哪种方式，有坏道用MHDD擦一下或用THDD加进G表（硬盘分区表），或者用硬盘厂家提供的低格工具格一下，隐藏方案是下下策，没有办法的办法，若是有工具维修的话那是最好不过了。

坏扇区多的话，就没办法了，只能是使用的办法来屏蔽，坏扇区少，用DM低格可以将坏扇区记录到缺陷扇区列表里，屏蔽这些坏扇区，如果坏扇区多，缺陷扇区列表记录不下，就不能用低格的办法来解决问题了，坏扇区是修不好的，坏扇区是要屏蔽的，屏蔽了坏扇区，也不能保证坏区不扩散，其实LZ的方法不错，只要在屏蔽的坏区后面留有适当数量的好扇区充当缓冲，应该可以延缓坏区扩散的，对于磁盘表面脱落碎片造成的坏区扩大，用什么方法都克服不了的，只能是将就用，用到哪天是哪天。

如果完全格式化不能纠正磁盘的CRC循环冗余错误，这就说明造成该错误的部位可能不在扇区数据区，而是在扇区的低级格式区，否则就是数据区物理损坏，建议用低格软件处理，如果幸运的话，可以重新使用该硬盘，但恢复的概率通常不高，特别是新式硬盘，低格效果不敢恭维，低格有风险，慎重定夺！

U盘量产后，类似低格，数据都清零了，将无法恢复数据。

娃哥平时用的数据恢复全是绿色版软件，而且不喜欢用破解版，用破解版是要吃苦头的。

在操作远程数据恢复时，网络延迟超过15秒，以及跨网远程恢复，都是件痛苦或失败的活

Diskgenius功能很强，但对于远程恢复数据的来讲，有一个显著的缺点，就是一旦操作者选择了保存恢复出来的分区表，系统就会死机，这是与DG内部自动自举各逻辑磁盘有关系，往往会造成远程控制连接丢失，对方是菜鸟，这就很麻烦了，PTDD不存在这样的问题，保存后会自动计算好分区表，填入主引导扇区，此时，就可以用DG来访问新的分区表和磁盘了，而原来的系统仍然可以继续工作，DG如果可以在保存分区表的时候，不重新自举磁盘，或由用户选择自举与否就好了，PTDD由于不支持搜索柱面非对齐的硬盘分区链表，因此使用局限性是很大的，目前只好用DG搜索非柱面对齐的分区表，根据搜索出来的参数，计算出扩展分区表，然后手工填入，目的就是要避免自举磁盘时的死机，实在是感到美中不足啊。

本文标签： 恢复扇区分区搜索硬盘