數(shù)據(jù)恢復(fù)技術(shù)

根據(jù)權(quán)威數(shù)據(jù)恢復(fù)機(jī)構(gòu)51Recovery了解，數(shù)據(jù)恢復(fù)技術(shù)是信息技術(shù)中一項新興的高新技術(shù)，由于存儲介質(zhì)的高速發(fā)展，因此這項技術(shù)也是在不斷發(fā)展中。固態(tài)硬盤作為一種革新性品，代表未來存儲技術(shù)發(fā)展的方向，雖然有些廠商已經(jīng)在設(shè)計的時候已經(jīng)設(shè)計ECC校驗，或許通過更換內(nèi)部部件、軟件等維修方式，相對這種技術(shù)還是有很大的局限性。當(dāng)負(fù)責(zé)儲存數(shù)據(jù)的閃存顆粒有毀損，現(xiàn)時的數(shù)據(jù)修復(fù)技術(shù)是不可能在損壞的芯片中救回數(shù)據(jù)。因此，目前來看針對固態(tài)硬盤發(fā)生故障，還沒有一套完整的數(shù)據(jù)恢復(fù)解決方案。

一、恢復(fù)重裝XP后的Ubuntu引導(dǎo)分區(qū)

windows xp崩潰了，于是重裝xp，把原來的Ubuntu引導(dǎo)分區(qū)表mbr給沖掉了，不過沒關(guān)系，修復(fù)一下mbr就可以了。 首先說一下mbr的作用：當(dāng)我們啟動計算機(jī)時。計算機(jī)首先運行Power On Self Test(POST)，即加電自檢。POST檢測系統(tǒng)的總內(nèi)存以及其他硬件設(shè)備的現(xiàn)狀。如果計算機(jī)系統(tǒng)的BIOS（基礎(chǔ)輸入/輸出系統(tǒng)）是即插即用的，那么計算機(jī)硬件設(shè)備將經(jīng)過檢驗以及完成配置。計算機(jī)的基礎(chǔ)輸入/輸出系統(tǒng)（BIOS）定位計算機(jī)的引導(dǎo)設(shè)備，然后MBR(Master Boot Record－硬盤主導(dǎo)記錄)被加載并運行。如果用戶僅安裝Windows98，則被自動引導(dǎo)到桌面。如果是WindowsXP/2000/2003，那么則會將控制權(quán)交給NTLDR－系統(tǒng)加載器，調(diào)用Boot.ini，顯示多重選單文件。抹MBR就是抹硬盤引導(dǎo)記錄。

當(dāng)我們重裝了windows以后，由于硬盤mbr被重寫，即把原來mbr中g(shù)rub的信息清除了，那么grub自然就不能啟動了，也就不能引導(dǎo)linux了，此時很多人可能就只能重裝linux了，但其實只需簡單的對mbr修復(fù)一下就可以了。

下面就說一下修復(fù)mbr的方法：

首先，把Ubuntu的安裝光盤放進(jìn)去,然后啟動.正常進(jìn)入安裝界面，打開終端：

1、輸入：sudo grub,于是變成

grub>

2、先找到你的ubuntu的啟動分區(qū)在哪(就是你的/boot目錄所在的分區(qū))

輸入：find /boot/grub/stage1

我機(jī)器上回車之后顯示：(hd0,2) 這里hd0是指第一個硬盤,2代表第3個分區(qū)，即Ubuntu根目錄所在分區(qū)(0代表第一個分區(qū))。

3、輸入：grub>root (hd0,2)

4、輸入：grub>setup (hd0)

如果出現(xiàn)successed，就表示成功了。

5、輸入：grub>quit，然后重啟。

對于有多個硬盤的朋友，請但是注意一點，如果你的windows裝在第一塊磁盤，而linux裝在第二塊磁盤，而你的bios設(shè)置為從第一塊磁盤啟動，那么在進(jìn)行以上第3步的時候，一定要把參數(shù)設(shè)為你的第一塊磁盤。即要把grub裝入引導(dǎo)硬盤的mbr里，當(dāng)然，比較傻瓜的，你可以將grub裝入每塊硬盤的mbr，不信你試試看，肯定可以啟動，這只是一個先后次序問題

二、NTFS格式大硬盤數(shù)據(jù)恢復(fù)特殊案例

一塊80G 邁拓金九硬盤，某天突然進(jìn)不了分區(qū)，提示為“無法訪問X： 參數(shù)錯誤”。硬盤上為該公司為本市攝制和編輯的運動會視頻和音頻文件，攝錄磁帶中已清除，運動會也不可能再開一次。先前到某電腦公司去試過，結(jié)果沒能解決問題。廣告公司經(jīng)理和我的一個朋友是朋友，知道此事后就轉(zhuǎn)來我處。

修復(fù)過程：該硬盤為只有一個NTFS分區(qū)的數(shù)據(jù)盤，先在DOS下用扇區(qū)編輯軟件查看LBA0--63扇區(qū)，結(jié)果發(fā)現(xiàn)分區(qū)表和63扇區(qū)都有錯誤，1—62扇區(qū)間有大量扇區(qū)被寫上不明代碼，87-102扇區(qū)不正常，先手工修復(fù)分區(qū)表，恢復(fù)63引導(dǎo)扇區(qū)，刪除1—62扇區(qū)間的代碼。87-102扇區(qū)之間暫不處理，到WINDOWS下檢查，結(jié)果還是出現(xiàn)同樣的提示，試用恢復(fù)軟件1，可以看到目錄結(jié)構(gòu)，再試FINALDATE，這個軟件此時太不盡人意；用恢復(fù)軟件1選擇某目錄進(jìn)行試恢復(fù)，結(jié)果28個試恢復(fù)文件只恢復(fù)2個，其余的全部為0字節(jié)，恢復(fù)工作陷入困境。再次對79-102扇區(qū)進(jìn)行分析，79扇區(qū)面目全非，被嚴(yán)重篡改破壞，80-86扇區(qū)被清空，87-102扇區(qū)的內(nèi)容也不正常。經(jīng)過一番苦思冥想，對某些扇區(qū)進(jìn)行備份后做清除，備份被放到1-62扇區(qū)之間，以備不測時改回原樣。

再次在WINDOWS下用恢復(fù)軟件1進(jìn)行恢復(fù)，讓其讀該盤約10秒鐘，停止掃描，看到的內(nèi)容和前面提到的相同，試恢復(fù)一個文件夾，從恢復(fù)過程能看到這時恢復(fù)動作正常了，隨后對其余的文件和文件夾進(jìn)行恢復(fù)，近3個多小時后，63.9G資料全部恢復(fù)，文件中幾乎就AVI、WAV、PSD和其它格式的圖形文件，逐個打開完全正常?；謴?fù)工作順利結(jié)束，大功告成。

后來一個朋友說這個分區(qū)應(yīng)該是2000格式化出來的，mft在分區(qū)的前面，很容易被破壞，象此案里里面87-102扇區(qū)里大約有6個左右的用戶文件/文件夾是恢復(fù)不出來的，但102~~以后的文件應(yīng)該能完全恢復(fù)的。在ntfs里面，一般90扇區(qū)以后的mft才是用戶的文件信息，前面的是系統(tǒng)的一些元文件，對數(shù)據(jù)恢復(fù)影響不大的。

個人覺得ntfs還是比較先進(jìn)的，文件碎片都放在一個mft里面，只要這個扇區(qū)沒有被破壞，就可以恢復(fù)。

NTFS的結(jié)構(gòu)確實比較復(fù)雜，正常情況下所有的操作MFT中有記錄。但是，那些扇區(qū)被使用，那些沒被使用，這些概念還是很有用的。

實驗盤被刪除79-102扇區(qū)內(nèi)容后，開機(jī)后不需要第三方軟件，文件和目錄直接可以讀出拷貝到其它地方。查看被刪除扇區(qū)內(nèi)容，95扇區(qū)后的內(nèi)容都自動修復(fù)了，80-94嘛......看來MFT中應(yīng)該還有一個備份，或是具有自動修復(fù)功能。

故障盤為何就不能自動修復(fù)？且不讓訪問。故障盤中某些扇區(qū)看來是被利用了。它的數(shù)據(jù)恢復(fù)是通過第三方軟件得到的，對第三方軟件來講，就算格式化了，絕大部分?jǐn)?shù)據(jù)還是能找回來的。

數(shù)據(jù)恢復(fù)恢復(fù)過程主要是將保存在存儲介質(zhì)上的資料重新拼接整理，即使資料被誤刪或者硬盤驅(qū)動器出現(xiàn)故障，只要在存儲介質(zhì)的存儲區(qū)域沒有嚴(yán)重受損的情況下，還是可以通過數(shù)據(jù)恢復(fù)技術(shù)將資料完好無損的恢復(fù)出來。

當(dāng)存儲介質(zhì)（包括硬盤、移動硬盤、U盤、軟盤、閃存、磁帶等）由于軟件問題（如誤刪除、病毒、系統(tǒng)故障等）或硬件原因（如震蕩、撞擊、電路板或磁頭損壞、機(jī)械故障等）導(dǎo)致數(shù)據(jù)丟失時，

便可通過數(shù)據(jù)恢復(fù)技術(shù)把資料全部或者部分還原。因此，數(shù)據(jù)恢復(fù)技術(shù)分為：軟件問題數(shù)據(jù)恢復(fù)技術(shù)和硬件問題數(shù)據(jù)恢復(fù)技術(shù)。

其中，軟件問題，如由格式化誤刪或者病毒引起的資料損失的情況下，大部分?jǐn)?shù)據(jù)通過數(shù)據(jù)恢復(fù)軟件（如Easyrecovery、FinalData、Recovery my file等），加上一些使用技巧和經(jīng)驗，仍能將恢復(fù)的，除非數(shù)據(jù)已被完全覆蓋。因為損失的只有資料的連接環(huán)節(jié)，重新恢復(fù)連接資料區(qū)連接環(huán)節(jié)的話，便可以重新將資料恢復(fù)。

而因為硬盤本身問題而無法讀取資料時，需要通過專業(yè)的數(shù)據(jù)恢復(fù)工程師配合專業(yè)數(shù)據(jù)恢復(fù)設(shè)備（如效率源Data Compass、開盤機(jī)、DCK硬盤復(fù)制機(jī)等），在無塵環(huán)境下維修和更換發(fā)生故障的零件，但因硬盤的款式繁多，而且每個品牌或者型號會使用不同的零件，所以專業(yè)數(shù)據(jù)恢復(fù)公司會建立了完善的零件庫，存儲大部分介質(zhì)的零件，以配合數(shù)據(jù)恢復(fù)技術(shù)服務(wù)。

1.數(shù)據(jù)恢復(fù)原理一-分區(qū)表

數(shù)據(jù)恢復(fù)原理與分區(qū)表關(guān)系緊密。在主引導(dǎo)區(qū)中，從地址BE開始，到FD結(jié)束為止的64個字節(jié)中的內(nèi)容就是通常所說的分區(qū)表。無論系統(tǒng)中建立多少個邏輯磁盤，在主引導(dǎo)扇區(qū)中通過一個擴(kuò)展分區(qū)的參數(shù)就可以逐個找到每一個邏輯磁盤。需要特別注意的是，由于主分區(qū)之后的各個分區(qū)是通過一種單向鏈表的結(jié)構(gòu)來實現(xiàn)鏈接的，因此，若單向鏈表發(fā)生問題，將導(dǎo)致邏輯磁盤的丟失。這就是當(dāng)硬盤被CIH病毒破壞后，我們可以通過KV3000的F10功能來找到丟失的D，E及以后的邏輯分區(qū)的原因。

2.數(shù)據(jù)恢復(fù)原理二-目錄區(qū)與數(shù)據(jù)區(qū)

目錄區(qū)DIR:是Directory即根目錄區(qū)的簡寫，在FAT12和FAT16格式中，DIR緊接在第二FAT表之后，而在FAT32格式中，根目錄區(qū)的位置可以在分區(qū)中的任意位置，其起始位置是由引導(dǎo)扇區(qū)給出的。單有FAT表還不能確定文件在磁盤中的具體位置，只有FAT表和DIR區(qū)配合使用，才能準(zhǔn)確定位文件的確切位置。

數(shù)據(jù)區(qū)（DATA） 在DIR區(qū)之后，才是真正意義上的數(shù)據(jù)存儲區(qū)，即DATA區(qū)。

DATA雖然占據(jù)了硬盤的絕大部分空間，但沒有了前面的各部分，它對于我們來說，也只能是一些枯燥的二進(jìn)制代碼，沒有任何意義。

3.數(shù)據(jù)恢復(fù)原理三-引導(dǎo)扇區(qū)與分配表操作系統(tǒng)引導(dǎo)扇區(qū)（OBR）

OBR（OS Boot Record）即操作系統(tǒng)引導(dǎo)扇區(qū)，通常位于硬盤的0磁道1柱面1扇區(qū)（這是對于DOS來說的，對于那些以多重引導(dǎo)方式啟動的系統(tǒng)則位于相應(yīng)的主分區(qū)/擴(kuò)展分區(qū)的第一個扇區(qū)），是操作系統(tǒng)可直接訪問的第一個扇區(qū)，它也包括一個引導(dǎo)程序和一個被稱為BPB（BIOS Parameter Block）的本分區(qū)參數(shù)記錄表。文件分配表（FAT）

FAT(File Allocation Table)即文件分配表，是DOS/Win9x系統(tǒng)的文件尋址系統(tǒng)。為了防止意外損壞，F(xiàn)AT一般做兩個（也可以設(shè)置為一個），第二FAT為第一FAT的備份, FAT區(qū)緊接在OBR之后（對于FAT32格式，位置是從引導(dǎo)扇區(qū)開始的第32個扇區(qū)就是第一個FAT表的位置），其大小由這個分區(qū)的空間大小及文件分配單元的大小決定。

在國內(nèi)，數(shù)據(jù)恢復(fù)工程師盡管已經(jīng)有了數(shù)量上的突變，但很多所謂的"數(shù)據(jù)恢復(fù)工程師"幾乎就沒有走出電腦城，服務(wù)內(nèi)容更多地集中于臺式機(jī)和筆記本電腦等個人電腦領(lǐng)域。對于出現(xiàn)在服務(wù)器、磁帶機(jī)等專用存儲設(shè)備的高端數(shù)據(jù)恢復(fù)技術(shù)領(lǐng)域的問題，它們往往束手無策。除了會用幾款數(shù)據(jù)恢復(fù)軟件外，根本沒有足夠的技術(shù)實力為丟失數(shù)據(jù)的用戶提供完善的服務(wù)。這一尷尬局面，使得技術(shù)和服務(wù)無法取得更大突破，"產(chǎn)業(yè)鏈"的形成與擴(kuò)張也就無從談起。

如今，真正稱得上專業(yè)數(shù)據(jù)恢復(fù)工程師的人數(shù)掐手可數(shù)，而且基本都集中在上海、北京、深圳等這些大城市。這些高手很少是給人打工，多數(shù)以老板兼技術(shù)員的身份，他們也會接同行所謂大公司不能做的活。一般給企業(yè)打工的數(shù)據(jù)恢復(fù)工程師收入也就是3000、4000元人民幣，月薪能拿5000元人民幣以上就比較少了。大多數(shù)技術(shù)工程師的工資在4000元人民幣這個門檻徘徊，從這個角度說明很多工程師的水平就一般般，所以在選擇數(shù)據(jù)恢復(fù)公司時一定要慎重。

媒體稱數(shù)據(jù)恢復(fù)工程師年薪達(dá)10萬元人民幣，這樣的工程師很少。他們一個人精通各種軟硬件，熟悉各種文件系統(tǒng)，熟悉各種存儲介質(zhì)，而且需要有配件儲存量強(qiáng)大的公司支持。在國內(nèi)，對于數(shù)據(jù)恢復(fù)工程師職稱的考核沒有一個標(biāo)準(zhǔn)，我們所看到的"XXXX認(rèn)證數(shù)據(jù)恢復(fù)工程師"，不過是某某數(shù)據(jù)恢復(fù)公司的噱頭，或者可以說是涉及到教育類的一種公司發(fā)展手段，其實只是在一種企業(yè)包裝下的所謂的人才。

數(shù)據(jù)恢復(fù)工程師應(yīng)該是指利用自己掌握的專業(yè)知識，以及從業(yè)經(jīng)驗，通過專業(yè)軟硬件工具，對出現(xiàn)問題的存儲介質(zhì)進(jìn)行檢測處理，能夠恢復(fù)出上面的有效文件數(shù)據(jù)的人。

在魚目混珠的數(shù)據(jù)恢復(fù)工程師稱呼下，高素質(zhì)的數(shù)據(jù)恢復(fù)工程師緊缺卻是業(yè)內(nèi)外不爭的事實。如今，真正稱的上專業(yè)的優(yōu)秀人才有兩種:一是在數(shù)據(jù)恢復(fù)行業(yè)從事多年，犧牲掉過很多顧客的數(shù)據(jù)，跌打滾爬出來的經(jīng)驗主義者;二是從著名的硬盤廠商走出來的技術(shù)工人，他們從硬盤本身著手，對數(shù)據(jù)恢復(fù)的認(rèn)識會更深。