基于windows操作平臺的數(shù)據(jù)恢復(fù)技術(shù)

1、<p><b>　　摘 要</b></p><p>　　現(xiàn)代科技迅猛發(fā)展，電子產(chǎn)品充斥在我們生活中的每一個角落，給我們生活帶來便利的同時也帶來了諸多的問題，比如誤操作和惡意刪除導(dǎo)致原本的數(shù)據(jù)丟失，因此研究數(shù)據(jù)備份和數(shù)據(jù)恢復(fù)就顯得越來越重要。針對基于windows操作平臺出現(xiàn)數(shù)據(jù)丟失的情況，本論文將從數(shù)據(jù)結(jié)構(gòu)、數(shù)據(jù)存儲原理及相關(guān)的文管系統(tǒng)（FAT/FAT32/NTFS）等方面詳細分

2、析存儲設(shè)備出現(xiàn)數(shù)據(jù)丟失的情況及相關(guān)的數(shù)據(jù)恢復(fù)技術(shù)，以及如何最大限度地還原本來已經(jīng)丟失的數(shù)據(jù)。在本論文的中篇部分針對數(shù)據(jù)的軟恢復(fù)，將詳細介紹目前流行的數(shù)據(jù)恢復(fù)應(yīng)用，對主流的幾個應(yīng)用做一個比較，最后介紹數(shù)據(jù)恢復(fù)實例。</p><p>　　關(guān)鍵詞： windows操作平臺 數(shù)據(jù)存儲 數(shù)據(jù)恢復(fù) 數(shù)據(jù)安全</p><p><b>　　目 錄</b></p>

3、<p>　　中文摘要……………………………………………………..…………Ⅰ</p><p>　　英文摘要…………………………………………………..……………Ⅱ</p><p>　　目錄……………………………………………………………..………Ⅲ</p><p>　　前言………………………………………………………………………1</p><

4、p>　　一、數(shù)據(jù)恢復(fù)及常見存儲設(shè)備……………………………..……………1</p><p>　?。ㄒ唬┏Ｒ姷拇鎯υO(shè)備………………………………………..…………1</p><p>　　二、第一章 相關(guān)存儲設(shè)備的文管系統(tǒng)介紹………………..…………3</p><p>　　（一）常見的文管系統(tǒng)…………………………………………………3</p><p&

5、gt;　　(二)FAT及其衍生系統(tǒng)簡介……………………………………………3</p><p>　　(三)NTFS簡介…………………..…………………………..…………4</p><p>　　三、常見的數(shù)據(jù)丟失的情況及癥狀……………………………………7</p><p>　?。ㄒ唬┏Ｒ姷臄?shù)據(jù)丟失情況（誤操作）…………………………………7</p><p&

6、gt;　?。ǘ?shù)據(jù)出現(xiàn)問題的癥狀……………………………………………8</p><p>　?。ㄈ?shù)據(jù)丟失的原因（非誤操作）…………………………………9</p><p>　　四、數(shù)據(jù)恢復(fù)應(yīng)用及恢復(fù)操作…………………………………………10</p><p>　?。ㄒ唬?shù)據(jù)恢復(fù)的一般原則……………………………………………10</p><p>　　（

7、二）數(shù)據(jù)恢復(fù)的相關(guān)軟件及恢復(fù)操作………………………………10</p><p>　?。ㄈ╊A(yù)防和應(yīng)對數(shù)據(jù)丟失……………………………………………16</p><p>　　總結(jié)與體會……………………………………..………………………19</p><p>　　參考文獻………………………..………………………………………21</p><p><b

8、>　　前言</b></p><p>　　當今社會,網(wǎng)絡(luò)成為人們?nèi)粘Ｉ钪胁豢苫蛉钡囊徊糠?無論是老師、學生、還是政府機構(gòu)和普通群眾,年齡從學前兒童到耄耋之老,都將網(wǎng)絡(luò)當成生活必不可少的一部分.</p><p>　　但是隨著網(wǎng)絡(luò)的發(fā)展,網(wǎng)絡(luò)帶來的問題也越來越多,尤其是最近幾年,犯罪事件越來越多,作案人員也從當初的單人作案,逐漸演變成現(xiàn)在的團伙作案.而給罪犯定罪的證據(jù)也隨著

9、網(wǎng)絡(luò)技術(shù)的發(fā)展變得越來越艱難,尤其是基層的辦案人員的科技素質(zhì)不夠,往往就令到犯罪人員越來越猖狂,甚至塵囂直上,入侵政府機構(gòu)網(wǎng)站,篡改網(wǎng)頁內(nèi)容,拍板政府權(quán)威.</p><p>　　而在商業(yè)方面,銀行信用卡信息盜竊與網(wǎng)購安全的問題越來越突出,罪犯利用網(wǎng)絡(luò)進行犯罪,導(dǎo)致證據(jù)難以搜集.而一些犯罪嫌疑人將數(shù)據(jù)銷毀,導(dǎo)致證據(jù)搜查難以進行,也越來越不容易界定甚至是確定嫌疑人的罪名.</p><p>　　

10、而在民用方面,一些互聯(lián)網(wǎng)用戶的錯誤操作,將一些重要的文件刪除,而沒有足夠的科技素養(yǎng)的普通民眾也不知到該怎么恢復(fù),當下的數(shù)據(jù)市場也沒有足夠普及的技術(shù)配套設(shè)施能幫助用戶恢復(fù)數(shù)據(jù)。</p><p>　　這就更突出我國的數(shù)據(jù)恢復(fù)市場不夠完善、普及,更說明我國的數(shù)據(jù)恢復(fù)市場存在巨大的潛力。如果能將數(shù)據(jù)恢復(fù)的相關(guān)技術(shù)普及,那么這對我國的經(jīng)濟發(fā)展產(chǎn)生更大的推理,而且能提高民眾的科技素養(yǎng)水平,促使更多的科研人員涌現(xiàn),推使我國的科

11、技迅速發(fā)展,形成一個良性的循環(huán),使得我國科技市場乃至國力發(fā)展往更大更繁榮的方向發(fā)展,最終成為世界科技發(fā)展的重要支柱.</p><p>　　在硬件產(chǎn)業(yè)方面,存儲設(shè)備是電子科技的核心內(nèi)容,只有了解到存儲設(shè)備的工作過程乃至是存在的缺陷,才能讓硬件產(chǎn)業(yè)異軍突起,研發(fā)出更加優(yōu)秀的存儲設(shè)備,打破由外國跨國公司的壟斷,使得長久以來我國在高科技設(shè)備對外國依賴過高的問題能夠解決,不會再出現(xiàn)創(chuàng)新乏力,缺乏有競爭力的電子硬件高科核心企

12、業(yè)的尷尬處境.</p><p>　　第一章 數(shù)據(jù)恢復(fù)及常見存儲設(shè)備（Windows）</p><p><b>　　一、數(shù)據(jù)恢復(fù)的定義</b></p><p>　　數(shù)據(jù)恢復(fù)是指原本的數(shù)據(jù)因為誤操作、惡意刪除或者是自然、意外或人為的災(zāi)禍而遭受破壞或由硬件缺陷導(dǎo)致不可訪問，或不可獲取，或?qū)е聛G失的數(shù)據(jù)通過軟件或者是物理手段使原本的數(shù)據(jù)重現(xiàn)。但數(shù)據(jù)恢復(fù)

13、不同于數(shù)據(jù)備份，不是所有的情況都可以恢復(fù)</p><p>　　數(shù)據(jù)恢復(fù)不僅僅可以通過使用相關(guān)的軟件修復(fù)本來的數(shù)據(jù)，更可以通過物理的方法來修復(fù)存儲設(shè)備的物理損害，從而恢復(fù)原本數(shù)據(jù)的真正“面目”。</p><p>　　因此數(shù)據(jù)恢復(fù)也分成“軟恢復(fù)”與“硬恢復(fù)”，但是人們常說的數(shù)據(jù)恢復(fù)主要是“軟恢復(fù)”，而不涉及到“硬恢復(fù)”，這一來是因為其設(shè)備成本高昂，二來是一般的數(shù)據(jù)丟失問題都可以使用軟恢復(fù)來修復(fù)

14、，這就導(dǎo)致人們對硬恢復(fù)感覺陌生甚至是完全不認識。</p><p>　　由此可知，軟恢復(fù)是指在數(shù)據(jù)恢復(fù)過程中沒有使用物理設(shè)備對存儲設(shè)備進行物理上的恢復(fù)，常見于一般的誤操作或者是惡意刪除導(dǎo)致的數(shù)據(jù)丟失、不可訪問、不可獲取，比如：如誤操作、網(wǎng)絡(luò)刪除、操作時斷電、誤分區(qū)、病毒感染、誤格式化、誤克隆等，一般表現(xiàn)為讀盤錯誤，無操作系統(tǒng)，文件找不到、打不開，報告無分區(qū)、未格式化、密碼丟失、亂碼等，總而言之，軟恢復(fù)并不涉及到物理

15、設(shè)備的修復(fù)問題。</p><p>　　而硬恢復(fù)則是指主要通過物理的手段來修復(fù)存儲設(shè)備的物理損壞，常見于因為自然、意外、人為的災(zāi)禍而遭受的破壞或硬件本身存在的缺陷而導(dǎo)致的數(shù)據(jù)不可訪問、不可獲取，可見硬恢復(fù)會涉及到硬件修理，如磁道損壞、磁盤劃傷、磁組損壞、主電機損壞、電路板芯片及其他原器件燒壞等，一般表現(xiàn)為不認盤，常有一種“喀嚓喀嚓”的磁組撞擊聲或電機不轉(zhuǎn)，或通電后無任何聲音等。</p><p&g

16、t;　　可見軟恢復(fù)與硬恢復(fù)兩者之間最明顯的特征或區(qū)別就是：存儲介質(zhì)本身是否需要進行修理或更換部件才可以正常地進行訪問。</p><p>　　二、（一）常見的存儲設(shè)備（Windows）</p><p>　　常見的windows存儲設(shè)備有：硬盤（Hard Disk Drive，HDD），軟盤（Floppy Disk，現(xiàn)已淘汰），U盤（Universal Serial BUS，USB），存儲卡（

17、CF/MMC/SD/Mini-SD/TF/XD/MS）。</p><p><b>　　硬盤（HDD）：</b></p><p>　　IDE硬盤（Integrated Drive Electronics），屬于Parallel-ATA（并行）接口，九十年代初開始應(yīng)用于臺式機系統(tǒng)，初始設(shè)計的最大容量被限制在504MB內(nèi)，新一代Enhanced IDE(加強型IDE，簡稱為

18、EIDE)最高傳輸速度高達100MB/秒(Ultra ATA/100) ，速度相對SATA慢，只能內(nèi)置使用。</p><p>　　STAT硬盤（Serial-ATA），是串行接口，現(xiàn)在屬于主流接口。2001年，由Intel、APT、Dell、IBM、希捷、邁拓這幾大廠商組成的Serial ATA委員會正式確立了Serial ATA 1.0規(guī)范。2002年，確立Serial ATA 2.0規(guī)范。2009年正式發(fā)布S

19、erial ATA 3.0規(guī)范，其中1.0版本為150MB/S，2.0為300MB/S，3.0為600MB/S，在此之前的PATA為133MB/S，而且SATA的數(shù)據(jù)傳輸距離有很大的限制，3.0的傳輸距離只有兩米，但遠比IDE硬盤的速度快。 </p><p>　　SCSI硬盤（Small Computer System Interface，小型計算機系統(tǒng)接口），專用于服務(wù)器和高檔工作站的數(shù)據(jù)傳輸，接口速度快，并且

20、由于主要用于服務(wù)器，因此硬盤本身的性能也比較高，硬盤轉(zhuǎn)速快，緩存容量大，CPU占用率低，擴展性遠優(yōu)于IDE硬盤，并且支持熱插拔。</p><p>　　此外，硬盤根據(jù)使用材料和結(jié)構(gòu)的不同分為：固態(tài)硬盤（Solid State Disk） 、機械硬盤。</p><p>　　軟盤（Floppy Disk）：</p><p>　　常見的軟盤有3.5英寸與5.25英寸的軟盤，

21、但是由于軟盤的容量小，安全性能差早就被淘汰，但是因為歷史遺留問題，有些公司還是會留有一些存有資料的軟盤。</p><p>　　U盤(Universal Serial BUS，USB):</p><p>　　現(xiàn)在常見的U盤有USB 1.1、USB 2.0和USB 3.0，理論上USB1.1的傳輸速度可以達到12Mbps/秒，而USB2.0則可以達到速度480Mbps/秒，并且可以向下兼容US

22、B1.1，而USB 3.0則高達640MB/s ，并向下兼容USB 1.1與USB 2.0，U盤是現(xiàn)在最流行的存儲設(shè)備，而且安全性比較高。</p><p><b>　　存儲卡：</b></p><p>　　現(xiàn)流行的小容量便捷式移動存儲卡主要有：CF、MMC、SD、Mini-SD、TF、XD、</p><p>　　MS，由于現(xiàn)在的技術(shù)支持，存儲卡

23、的容量已經(jīng)達到了64GB，一般用于手機、數(shù)碼相機、家庭娛樂設(shè)施以及GPS設(shè)備、DV等，缺點是讀寫數(shù)據(jù)的速度慢。</p><p>　　第二章 相關(guān)存儲設(shè)備的文管系統(tǒng)介紹</p><p><b>　　常見的文管系統(tǒng)</b></p><p>　　通常操作系統(tǒng)要對相關(guān)的存儲設(shè)備里面的文件進行管理操作是通過文件系統(tǒng)（常用FAT及其衍生文管系統(tǒng)、NTFS。

24、）來實現(xiàn)的。其中FAT文管系統(tǒng)是指對特定卷進行格式化時產(chǎn)生了一個FAT（文件分配表），F(xiàn)AT（文件分配表）里面對文件的起始位置等信息做了相關(guān)記錄,以方便用戶的查找;其中FAT32是一種從FAT派生而來的文管系統(tǒng), FAT32能夠支持更小的簇以及更大的容量，從而能夠在FAT32卷上更為高效的分配磁盤空間；NTFS文管系統(tǒng)則是一種能夠提供各種FAT版本所不具備的性能、安全性、可靠性與先進特性的高級文件管理系統(tǒng),綜合性能上遠遠超過了FAT及其

25、衍生系統(tǒng)。</p><p>　　FAT及其衍生系統(tǒng)的介紹</p><p>　　一個FAT文管系統(tǒng)包括四個不同的部分。</p><p>　　保留扇區(qū)位于最開始的位置。第一個保留扇區(qū)是引導(dǎo)區(qū)（分區(qū)啟動記錄）。它包括一個稱為基本輸入輸出參數(shù)塊的區(qū)域（包括一些基本的文件系統(tǒng)信息尤其是它的類型和其它指向其它扇區(qū)的指針），通常包括操作系統(tǒng)的啟動調(diào)用代碼。保留扇區(qū)的總數(shù)記錄在引導(dǎo)

26、扇區(qū)中的一個參數(shù)中。引導(dǎo)扇區(qū)中的重要信息可以被DOS和OS/2中稱為驅(qū)動器參數(shù)塊的操作系統(tǒng)結(jié)構(gòu)訪問。</p><p>　　FAT區(qū)域它包含有兩份文件分配表，這是出于系統(tǒng)冗余考慮，盡管它很少使用，即使是磁盤修復(fù)工具也很少使用它。它是分區(qū)信息的映射表，指示簇是如何存儲的。</p><p>　　根目錄區(qū)域它是在根目錄中存儲文件和目錄信息的目錄表。在FAT32下它可以存在分區(qū)中的任何位置，但是在早

27、期的版本中它永遠緊隨FAT區(qū)域之后（根目錄區(qū)，又稱ROOT區(qū)，緊跟在FAT2的下一個扇區(qū)，長度為32個扇區(qū)）。根目錄區(qū)有許多目錄項(FDT，文件目錄表)，文件目錄表（FDT）記錄著根目錄下的每個文件或子目錄的名稱、起始位置(簇號)、文件大小、文件屬性(子目錄也是一種文件)、創(chuàng)建日期等信息。目錄項并非根目錄才有，在磁盤數(shù)據(jù)區(qū)中一樣有目錄項，而根目錄是許多目錄項的集合，也稱作目錄項的目錄。Windows操作平臺采用的是樹型目錄結(jié)構(gòu)，從某個盤

28、符的根目錄開始。早期的FATl6系統(tǒng)下的文件名最多只能有8個字符(或4個漢字)，擴展名最多3個字符，且不能用一些特殊字符等，因此支持的目錄項有限制。</p><p>　　數(shù)據(jù)區(qū)域是實際的文件和目錄數(shù)據(jù)存儲的區(qū)域，它占據(jù)了分區(qū)的絕大部分。通過簡單地在FAT中添加文件鏈接的個數(shù)可以任意增加文件大小和子目錄個數(shù)（只要有空簇存在）。然而需要注意的是每個簇只能被一個文件占有，這樣的話如果在32KB大小的簇中有一個1KB大小

29、的文件，那么31KB的空間就浪費掉了。</p><p><b>　　NTFS簡介</b></p><p>　　NTFS是Windows NT以及之后的Windows 2000、Windows XP、Windows Server 2003、Windows Server 2008、Windows Vista和Windows 7的標準文件系統(tǒng)。NTFS取代了文件分配表（FA

30、T）文件系統(tǒng)，為Microsoft的Windows系列操作系統(tǒng)提供文件系統(tǒng)。NTFS對FAT和HPFS（高性能文件系統(tǒng)）作了若干改進，例如，支持元數(shù)據(jù)，并且使用了高級數(shù)據(jù)結(jié)構(gòu)，以便于改善性能、可靠性和磁盤空間利用率，并提供了若干附加擴展功能，如訪問控制列表（ACL）和文件系統(tǒng)日志。 </p><p><b>　　NTFS結(jié)構(gòu)模式</b></p><p>　　當用戶將硬

31、盤的一個分區(qū)格式化為NTFS分區(qū)時，就建立了一個NTFS文件系統(tǒng)結(jié)構(gòu)。NTFS與其他的文管系統(tǒng)一樣，也是以簇為基本單位對磁盤空間和文件存儲進行管理。但NTFS是以卷為基礎(chǔ)的，而卷是建立在磁盤分區(qū)上，所以NTFS分區(qū)也被稱為NTFS卷，卷上簇的大小，稱為卷因子，所以簇的大小一定是扇區(qū)大小的整數(shù)倍。</p><p>　　NTFS文件系統(tǒng)使用邏輯簇號(Logical Cluser Number，LCN)和虛擬簇號(xr

32、LraJal Cluster Number，VCN)對卷進行管理。而LCN是對第一個簇到最后一個簇進行編號管理。 </p><p>　　NTFS分區(qū)的引導(dǎo)扇區(qū)在BOOT區(qū)的第一個扇區(qū)，它在操作系統(tǒng)引導(dǎo)時必不可少的部分，它和FAT32分區(qū)的結(jié)構(gòu)類似，也包括跳轉(zhuǎn)指令、OEM版本號、BPB參數(shù)、引導(dǎo)代碼和結(jié)束標志。而BPB參數(shù)則是從偏移0BH開始，到偏移53H結(jié)束，里面記錄著NTFS分區(qū)的許多重要信息。</p&g

33、t;<p>　　總體結(jié)構(gòu)如圖2-1所示：</p><p>　　圖2-1 NTFS文件系統(tǒng)總體結(jié)構(gòu)</p><p>　　主控文件表及元數(shù)據(jù)簡介</p><p>　　NTFS卷結(jié)構(gòu)的核心是主控文件表(MFT)，操作系統(tǒng)是通過MFT來確定文件在磁盤上的位置以及文件的所有屬性等。MFT是一個與文件相對應(yīng)的文件屬性數(shù)據(jù)庫，它記錄了除文件數(shù)據(jù)外的所有屬性，甚至有些

34、小文件的數(shù)據(jù)本身也包含在MFT當中，所以在NTFS分區(qū)中每個文件至少有一個MFT。 主控文件表(MFT)由兩部分構(gòu)成，一部分是主控文件表頭，稱為文件記錄頭；另一部分是屬性列表，MFT頭結(jié)構(gòu)如圖2-2所示：</p><p>　　圖2-2 MFT文件頭結(jié)構(gòu)</p><p>　　MFT是以文件數(shù)組來實現(xiàn)的，每個文件記錄占用兩個扇區(qū)。文件記錄在MFT文件記錄數(shù)組中物理上是連續(xù)的，從0開始編號。為了

35、保證其連續(xù)性，在它周圍保留了一個緩沖區(qū)，這個緩沖區(qū)的大小是可調(diào)的，可以是磁盤空間的12．5％、25％、37．5％或50％。每當其余空間變滿時，緩沖區(qū)大小減半。</p><p>　　MFT區(qū)域的前16個文件屬于系統(tǒng)文件，也稱為元文件，用來存放系統(tǒng)的元數(shù)據(jù)，元數(shù)據(jù)是指存儲在卷上支持文件系統(tǒng)管理的數(shù)據(jù)。只為系統(tǒng)服務(wù)，不能被應(yīng)用程序訪問。不管簇的大小是多少，MFT中的記錄大小一般是固定的，占用1k空間。這些記錄從零開始編

36、號。MFT僅供系統(tǒng)本身進行文件管理使用（MFT本身也是元數(shù)據(jù)）。在MFT的前16條記錄是非常重要的操作系統(tǒng)使用的元數(shù)據(jù)文件，這些元數(shù)據(jù)文件的名字都是以“$”開頭，是系統(tǒng)管理卷不可缺少的。這16個文件是NTFS文件系統(tǒng)中唯一在MFT表中具有固定地址的文件。</p><p>　　元數(shù)據(jù)文件及它們的作用如圖2-3所示：</p><p>　　圖2-3 NTFS元數(shù)據(jù)文件及其功能簡介</p&g

37、t;<p>　　第三章、常見的數(shù)據(jù)的丟失情況及癥狀</p><p>　　數(shù)據(jù)丟失的原因有很多種，其中根據(jù)故障的原因可以分為邏輯原因和物理原因及固件本身的故障等。</p><p>　　邏輯原因：病毒感染、誤格式化或誤分區(qū)、誤克隆、誤刪除或覆蓋、黑客軟件人為破壞、0磁道損壞、硬盤邏輯鎖、操作時斷電、意外電磁干擾造成數(shù)據(jù)丟失或破壞以及系統(tǒng)錯誤或癱瘓造成文件丟失或破壞等。</p

38、><p>　　物理原因：磁盤劃傷、磁頭變形、磁臂斷裂、磁頭放大器損壞、芯片組或其他元器件損壞等。</p><p>　　固件本身故障原因：硬盤的固件由于讀寫次數(shù)過多，常常會出現(xiàn)故障，常見的故障表現(xiàn)包括有尋道聲但不能正常認盤、只認廠家模式等。由固件原因引起的數(shù)據(jù)丟失占到數(shù)據(jù)丟失的40%左右。另外，自然損壞：如風、雷電、洪水、地震以及意外事故也有可能導(dǎo)致數(shù)據(jù)丟失，只是這一因素的可能性要低很多。這時恢

39、復(fù)數(shù)據(jù)就要專門的物理設(shè)備。</p><p>　　在這里，將數(shù)據(jù)丟失分成兩種原因，一種是直接用戶人為的誤操作導(dǎo)致數(shù)據(jù)丟失，另一種是非直接用戶導(dǎo)致的數(shù)據(jù)丟失。</p><p>　　一、常見的數(shù)據(jù)丟失情況（誤操作）</p><p><b>　　刪除文件</b></p><p>　　當執(zhí)行刪除文件的操作,系統(tǒng)只是在該文件的文件目

40、錄表(FDT)上做一個刪除標記,即把該文件的文件目錄項第一個字符改為“E5H”來表示該文件已經(jīng)被刪除;另一個是把該文件的文件分配表(FAT)中所占有的簇標記為“空簇”，而DATA區(qū)域中的簇仍保存原文件內(nèi)容。其原理是系統(tǒng)在文件分配表中相應(yīng)位置檢測到“0”時,就認為該文件簇處于空閑狀態(tài),表示可寫入其他文件。</p><p><b>　　子目錄的刪除</b></p><p>

41、;　　操作系統(tǒng)對子目錄的管理和對文件的管理相同，所以操作系統(tǒng)對子目錄的刪除與文件的刪除的方式也相同。但FAT16或FAT32下子目錄的簡單操作只是對描述子目錄的FDT做一個刪除標記，該子目錄下所有文件和下一級子目錄的所以記錄都沒有變動，相當于將該子目錄“移”到回收站里，里面的數(shù)據(jù)依舊可以恢復(fù)。</p><p><b>　　硬盤的分區(qū)</b></p><p>　　硬盤進

42、行分區(qū)操作時,系統(tǒng)只是修改了MBR(硬盤主引導(dǎo)記錄)和DBR(DOS引導(dǎo)記錄),DATA區(qū)的數(shù)據(jù)并沒有被全部覆蓋或者修改。由于MBR、DBR的改變導(dǎo)致文件的路徑被破壞,系統(tǒng)不能正常讀取文件。</p><p><b>　　硬盤的高級格式化</b></p><p>　　硬盤進行高級格式化時,系統(tǒng)并不將DATA區(qū)的數(shù)據(jù)清除,只是把相應(yīng)的FAT表和FDT表重寫，即徹底刪除之前

43、記錄的所有文件和子目錄的目錄,使其FDT和FAT中都不再有文件或目錄記錄登記項,只留有標識磁盤空閑的記錄,回收站也給清除,從而釋放空間。一般快速格式化后,其子目錄下的文件目錄項還保留著，不會被刪除。當使用“Format”命令時加上“/U”參數(shù),系統(tǒng)在對分區(qū)進行格式化時將強制對每一扇區(qū)寫入“F6”,就完全把數(shù)據(jù)破壞，但執(zhí)行這個命令可能會對磁盤造成一定的損害。</p><p><b>　　硬盤的低級格式化&

44、lt;/b></p><p>　　硬盤的低級格式化指在物理層面直接對硬盤里面的數(shù)據(jù)進行清理，其作用是為整個硬盤劃分出柱面和磁道，再將磁道劃分為若干個扇區(qū)，在每個扇區(qū)的地址場中標志地址信息，測試硬盤介質(zhì)缺陷。低級格式化后的數(shù)據(jù)完全損毀無法恢復(fù)。</p><p>　　二、數(shù)據(jù)出現(xiàn)問題的癥狀</p><p><b>　　不能進入系統(tǒng)</b>&l

45、t;/p><p>　　有時COMS檢測硬盤時顯示正常，但不能進入系統(tǒng)，有時會出現(xiàn)提示死機或者無提示死機情況，也會出現(xiàn)COMS能檢測到硬盤，但顯示的容量不對等，這通?？赡苁且驗镸BR損壞、DBR損壞、電源質(zhì)量不合格、數(shù)據(jù)線斷線、COMS設(shè)置不正確、主從硬盤設(shè)置不正確、硬件沖突、COMS電池電壓不足等其中一個或幾個原因?qū)е隆?lt;/p><p><b>　　磁盤出現(xiàn)壞道</b>&

46、lt;/p><p>　　硬盤的壞道分為邏輯壞道和物理壞道兩種。邏輯壞道通常是由于用戶使用不當造成的，可用軟件進行修復(fù)；后者則是物理故障，表明硬盤磁道產(chǎn)生物理級別的損傷，可以通過更改分區(qū)或是改變扇區(qū)等方法恢復(fù)使用，但里面的數(shù)據(jù)則需要通過相關(guān)的電子設(shè)備進行恢復(fù)，而不能只靠軟件對其進行恢復(fù)。</p><p><b>　　分區(qū)丟失</b></p><p>

47、　　有時候系統(tǒng)顯示找不道分區(qū)，或分區(qū)進不去。這種情況一般是由于病毒刪除分區(qū)表或是更改盤符等相關(guān)數(shù)據(jù)，導(dǎo)致分區(qū)“被”隱藏。</p><p><b>　　文件丟失</b></p><p>　　通常由誤操作引起，前面對誤操作的幾個形式有提及。誤操作產(chǎn)生的問題可以通過專用工具軟件進行恢復(fù)，但如低級格式化這一類情況則需要更專業(yè)的機器來恢復(fù)。</p><p&g

48、t;<b>　　密碼丟失</b></p><p>　　主要指各類應(yīng)用程序的管理口令或文檔保護密碼丟失導(dǎo)致的文件數(shù)據(jù)不能讀取等，一般通過暴力破解解決。</p><p>　　文檔打不開或顯示亂碼</p><p>　　可能格式設(shè)置出現(xiàn)問題，或操作系統(tǒng)里沒有相關(guān)程序用來打開該種文件，或數(shù)據(jù)在傳輸或存儲的時候出現(xiàn)錯誤導(dǎo)致文件傳輸不完整等引起，通常通過糾錯

49、、重新下載、重新計算CRC校驗、改正不正確的格式等方法，解決上述問題。</p><p>　　三、數(shù)據(jù)丟失的原因（非誤操作）</p><p>　　除誤操作導(dǎo)致的數(shù)據(jù)丟失外，出現(xiàn)數(shù)據(jù)出現(xiàn)丟失主要包括三個方面：</p><p><b>　　惡意的程序</b></p><p>　　惡意程序?qū)е聰?shù)據(jù)丟失是最常見的情況，因為病毒導(dǎo)致

50、分區(qū)找不到、數(shù)據(jù)被隱藏、原數(shù)據(jù)被覆蓋、文件丟失、目錄被刪除等，更有病毒通過更改設(shè)置參數(shù)損壞設(shè)備。如CIH/Chernoby，它能刪除無比重要的BIOS數(shù)據(jù)，使感染的主板癱瘓。</p><p><b>　　其他惡意的破壞</b></p><p>　　常見的是利用木馬或者一些惡意蠕蟲、病毒對數(shù)據(jù)進行復(fù)制、盜竊、刪除、覆蓋等。如：冰河、Netspy（網(wǎng)絡(luò)精靈）、廣外女生、震

51、蕩波和網(wǎng)絡(luò)天空等，還有最有名的熊貓燒香會直接更改文件的屬性和文件路線，致使文件無法正常打開。</p><p><b>　　硬件失效</b></p><p>　　這是數(shù)據(jù)丟失最大原因之一。硬件失效、電壓不穩(wěn)造成自動重啟的過程中會使未保存的數(shù)據(jù)丟失。硬件失效往往是最嚴重的問題,包括了物理損壞、失竊等,使數(shù)據(jù)恢復(fù)的可能性降為零。</p><p>　　

52、第四章、數(shù)據(jù)恢復(fù)應(yīng)用及恢復(fù)操作</p><p>　　四、（一）數(shù)據(jù)恢復(fù)的一般原則</p><p>　　數(shù)據(jù)安全實質(zhì)上是動態(tài)的過程，一時的數(shù)據(jù)保護不能稱作數(shù)據(jù)安全。數(shù)據(jù)恢復(fù)技術(shù)只作為數(shù)據(jù)安全一個保護措施，在實施數(shù)據(jù)恢復(fù)的過程中，采用的方法、操作的每個步驟它也是一個過程，其中也有著一些不可預(yù)料的因素影響。因此在進行數(shù)據(jù)恢復(fù)時要考慮周全，認真對待，養(yǎng)成備份和記錄的好習慣。</p>

53、<p>　　實施數(shù)據(jù)恢復(fù)之前，首先要完成以下幾個步驟：</p><p>　　1.備份當前還能工作的設(shè)備上所有數(shù)據(jù)，防止在數(shù)據(jù)恢復(fù)過程中出現(xiàn)誤操作致使數(shù)據(jù)二次損壞。</p><p>　　2.將損壞的硬盤掛接到正常工作、同樣系統(tǒng)環(huán)境下進行修復(fù)，不同系統(tǒng)可能會有標識符識別等問題，甚至破壞原來的數(shù)據(jù)。</p><p>　　3.詢問使用者，弄清楚數(shù)據(jù)丟失的大概原因，

54、及使用者曾經(jīng)進行的嘗試性補救工作，以方便針對性地進行數(shù)據(jù)恢復(fù)，節(jié)省時間。</p><p>　　4.仔細分析原因，估計破壞程度，設(shè)計恢復(fù)步驟。</p><p>　　5.恢復(fù)過程中注意備份好數(shù)據(jù)，恢復(fù)多少備份多少，以防止因停電或其它人力不可控的特殊情況損壞數(shù)據(jù)。</p><p>　　四、（二）數(shù)據(jù)恢復(fù)的相關(guān)軟件及恢復(fù)操作</p><p>　　目前

55、常用的數(shù)據(jù)恢復(fù)軟件有：Disk Recovery、Easy Recovery、File Rescue Plus、File Scavenger、Final Data、Final Recovery、Handy Recovery、Recover My Files、Search and Recover、易我數(shù)據(jù)恢復(fù)向?qū)У?而且各個恢復(fù)數(shù)據(jù)軟件也有些許不同之處。</p><p>　　針對硬盤數(shù)據(jù)出現(xiàn)丟失的不同情況分為以下幾

56、種：</p><p><b>　　分區(qū)表的恢復(fù)</b></p><p>　　分區(qū)表損壞的原因有很多種，其中最常見的是病毒性破壞、誤操作導(dǎo)致分區(qū)表損壞、自然因素損壞分區(qū)表、分區(qū)表丟失與被隱藏等，總之是使分區(qū)表全部丟失或者部分丟失導(dǎo)致的原有的分區(qū)的數(shù)據(jù)在操作平臺中不可見、無法讀取、寫不進數(shù)據(jù)等。但這種情況下的數(shù)據(jù)丟失通常都是整個分區(qū)的數(shù)據(jù)丟失，需要恢復(fù)的也是整個分區(qū)的數(shù)據(jù)

57、。</p><p>　　遇到這種情況，我們一般使用超級硬盤恢復(fù)數(shù)據(jù)軟件。該軟件可以很方便地恢復(fù)出分區(qū)表受損后的數(shù)據(jù)，包括由于MBR破壞、重新分區(qū)、修復(fù)壞道后導(dǎo)致分區(qū)丟失、在DOS系統(tǒng)下面用 fdisk /mbr 命令清空分區(qū)表、在磁盤管理中刪除分區(qū)等等導(dǎo)致分區(qū)不可見、無法讀取、無法寫進等情況。掃描速度快，安全性能比較高。假設(shè)有一個160G的移動硬盤，這個移動硬盤原先有4個分區(qū)，包括NTFS分區(qū)和FAT32分區(qū)，里

58、面存放了影音圖片和工作文件，但因為直接強制拔掉USB接口造成了分區(qū)丟失，現(xiàn)在全部分區(qū)都看不到，硬盤也變成了未指派狀態(tài)。如圖4-1所示：</p><p>　　圖4-1丟失分區(qū)的磁盤</p><p>　　運行超級硬盤數(shù)據(jù)恢復(fù)軟件后，選第3項，恢復(fù)丟失的分區(qū)，點下一步后，如圖4-2所示：</p><p>　　圖4-2 選擇恢復(fù)丟失的分區(qū)</p><p&

59、gt;　　選擇這個移動硬盤“磁盤2”，再點下一步按鈕。如圖4-3所示:</p><p>　　圖4-3選定要恢復(fù)的磁盤</p><p>　　到了下一步后，就開始進行文分區(qū)的掃描，如圖4-4所示：</p><p><b>　　圖4-4掃描分區(qū)</b></p><p>　　等待掃描完畢，超級硬盤數(shù)據(jù)恢復(fù)軟件就可以列出了丟失的這

60、幾個分區(qū)，可以根據(jù)之前你對相關(guān)卷標、大小等信息來確認你要恢復(fù)的分區(qū)，然后選擇要恢復(fù)的分區(qū)點擊下一步，如圖4-5所示：</p><p>　　圖4-5 找到的分區(qū)并選擇要恢復(fù)的分區(qū)</p><p>　　刪除文件及格式化數(shù)據(jù)的恢復(fù)</p><p>　　Windows 操作系統(tǒng)刪除文件時會把文件先放到回收站里，如果確定不用刪除文件還能在回收站內(nèi)找回來，若要刪除就清空回收站再

61、釋放空間。也可以使用Shift + Del不通過回收站直接刪除文件并釋放空間，如刪除的文件過大，操作系統(tǒng)會提示文件不能放入回收站而直接刪除并釋放空間。 </p><p>　　目前常用的恢復(fù)軟件是Easy Recovery。通常Easy Recovery不會向原始驅(qū)動器寫入任何東西，它主要是在內(nèi)存中重建文件分區(qū)表，使數(shù)據(jù)能夠安全地傳輸?shù)狡渌?qū)動器中,可以從被病毒破壞或是已經(jīng)格式化的硬盤中恢復(fù)數(shù)據(jù)。</p>

62、;<p>　　現(xiàn)假設(shè)F盤里的一個文件“林志海.docx”如圖4-6不小心丟失，這時想要找回來，回收站里也沒有了。</p><p>　　圖4-6 F盤的一個文件</p><p>　　首先我們啟動Easy Recovery，點擊“繼續(xù)”如圖4-7所示：</p><p>　　圖4-7 啟動EasyRecovery軟件的界面</p><p&

63、gt;　　先選擇媒體類型，選擇“硬盤驅(qū)動器”，接著點擊“繼續(xù)”。如圖4-8所示：</p><p>　　圖4-8 選擇要恢復(fù)的媒體形式</p><p>　　點擊繼續(xù)后，再選擇要恢復(fù)的磁盤盤符。我們要恢復(fù)的是F：盤，則如圖4-9所示：</p><p>　　圖4-9 選擇要恢復(fù)的磁盤</p><p>　　點擊繼續(xù)后，就顯示以下的畫面，選擇要進行的恢

64、復(fù)方案如圖4-10所示：</p><p>　　圖4-10 選擇恢復(fù)磁盤的方案</p><p>　　掃描完成后，再將文件保存到預(yù)先準備好的磁盤或者是移動設(shè)備中去，盡量不要保存在掃描盤內(nèi)，以免數(shù)據(jù)被覆蓋。</p><p>　　四、（三）預(yù)防和應(yīng)對數(shù)據(jù)丟失</p><p>　　數(shù)據(jù)恢復(fù)只能作為一種事故后的挽救手段,而不是一種萬能的修復(fù)手段,更不應(yīng)作

65、為一種長期的保護手段使用,對數(shù)據(jù)的保護應(yīng)從個人的日常使用存儲設(shè)備習慣入手。更何況數(shù)據(jù)恢復(fù)本身就不是能恢復(fù)所有的數(shù)據(jù)，如：文件不是連續(xù)存儲時，一旦丟失關(guān)聯(lián)文件連續(xù)性的列表，那么磁盤中剩下的文件碎片就難以恢復(fù)。所以，存儲重要數(shù)據(jù)的存儲設(shè)備要常備份。因此要正確使用存儲設(shè)備、嚴于律己（不隨意打開不明郵件、不上不健康的網(wǎng)址、不使用盜版軟件及下載未知的文件）、定時殺毒、及時打好補丁,最重要一點是不能隨便借個人電腦給他人使用，不要隨便將自己的存儲設(shè)備

66、連接在未知安全性能的系統(tǒng)上，防止意外發(fā)生。</p><p>　　出現(xiàn)數(shù)據(jù)丟失的情況時，要注意不往丟失數(shù)據(jù)的磁盤里面寫數(shù)據(jù)，如是病毒導(dǎo)致數(shù)據(jù)丟失要做好備份，再進行數(shù)據(jù)恢復(fù)。若是CIH病毒則要注意以下事項:</p><p>　　一、不要重新啟動計算機，防止從原來的盤引導(dǎo)系統(tǒng)。</p><p>　　二、及時進入CMOS設(shè)置程序，將系統(tǒng)引導(dǎo)盤設(shè)置為其他盤，然后再用其他盤引導(dǎo)

67、系統(tǒng)。</p><p>　　三、用殺毒軟件進行病毒查殺。</p><p>　　這是因為CIH病毒對于硬盤數(shù)據(jù)的破壞是從磁盤的“0”扇區(qū)開始向硬盤中填入垃圾代碼,若重啟后繼續(xù)在原來的盤引導(dǎo)會導(dǎo)致原數(shù)據(jù)被覆蓋,使得數(shù)據(jù)恢復(fù)變得更艱難。同時因為CIH的特性會導(dǎo)致系統(tǒng)不能關(guān)機,若強制關(guān)機,更會導(dǎo)致正在使用的文件出現(xiàn)數(shù)據(jù)丟失的情況。</p><p>　　數(shù)據(jù)安全不是一勞永逸的

68、事情，是一個長期的過程，要時時刻刻打起精神，養(yǎng)成良好的習慣，不要等到數(shù)據(jù)丟失了再想方設(shè)法補救，可能有些重要數(shù)據(jù)的丟失就是完全失去。</p><p><b>　　總結(jié)與體會</b></p><p>　　數(shù)據(jù)恢復(fù)就是把遭受破壞、這種破壞可能是由硬件缺陷導(dǎo)致不可訪問或不可獲得、或由于誤操作等各種原因?qū)е聛G失的數(shù)據(jù)還原成正常數(shù)據(jù)。但數(shù)據(jù)恢復(fù)不同于數(shù)據(jù)備份，不是所有的情況都可以

69、恢復(fù)。而且造成數(shù)據(jù)丟失的原因有很多，包括軟硬件故障、異常斷電、死機、病毒破壞、黑客入侵、誤操作、磁盤陣列損壞、口令丟失、文件結(jié)構(gòu)損壞等，均屬于數(shù)據(jù)修復(fù)的范疇。只有找對了原因才能針對性地做數(shù)據(jù)恢復(fù)，最大限度地保存原來的數(shù)據(jù)。數(shù)據(jù)恢復(fù)并不是簡簡單單地進行數(shù)據(jù)恢復(fù)就可以，還要周全地考慮數(shù)據(jù)的備份、殺毒，甚至是預(yù)先還要準備還放置恢復(fù)的數(shù)據(jù)的存儲設(shè)備等。數(shù)據(jù)恢復(fù)也不是對所有情況都能恢復(fù)，也不是所有的文件都能恢復(fù)，因此要養(yǎng)成良好的使用存儲設(shè)備和電子

70、設(shè)備的習慣。</p><p>　　在設(shè)計論文的時候，我查閱了很多與數(shù)據(jù)恢復(fù)行業(yè)相關(guān)的文章、信息，而且當初我選擇這個課題的時候，也是因為經(jīng)歷過司法取證的數(shù)據(jù)恢復(fù)囧境，當時做數(shù)據(jù)恢復(fù)的時候，因為剛涉及，忙了很久才恢復(fù)出來。我也是那時開始接觸和留意數(shù)據(jù)恢復(fù)行業(yè),同時也思考過整個行業(yè)所面臨的問題，包括人文環(huán)境對知識產(chǎn)權(quán)保護的漠視，使得整個產(chǎn)業(yè)發(fā)展面臨著重大的滯礙，也從從業(yè)人員的本身發(fā)覺了數(shù)據(jù)恢復(fù)行業(yè)本身所存在的一些窘境。

71、</p><p>　　一開始，我以為門檻過低是由于市場缺少了相關(guān)準入準則，但經(jīng)過查根究底后才發(fā)現(xiàn)市場準入準則低本身是歷史所遺留的問題，當初為了促使數(shù)據(jù)恢復(fù)行業(yè)的快速發(fā)展而降低了行業(yè)準入準則，是為了應(yīng)對當初因為病毒泛濫而導(dǎo)致大量的數(shù)據(jù)丟失的困境才不得已而為之。但是，多年過去，過往的模式已經(jīng)不適應(yīng)了現(xiàn)在行業(yè)發(fā)展的需要，而且已經(jīng)開始阻礙，甚至是損害了行業(yè)的基層利益。目前的行業(yè)過于混亂，準入準則過低，收費混亂，從業(yè)人員良

72、莠不齊，導(dǎo)致數(shù)據(jù)恢復(fù)行業(yè)魚龍混雜，不能形成一個完善的產(chǎn)業(yè)鏈，甚至是發(fā)展壯大。這個問題亟須解決，否則數(shù)據(jù)恢復(fù)行業(yè)終究也只是泥潭里面的小魚。</p><p>　　另外，個人覺得數(shù)據(jù)恢復(fù)行業(yè)要突破現(xiàn)狀求發(fā)展，需要的不僅僅只是規(guī)范市場的準入準則，更要做好從業(yè)人員本身的培訓，加強從業(yè)人員自身的行業(yè)素養(yǎng)，提高專業(yè)人員的技術(shù)水平，最重要的一點就是要監(jiān)管并保護好知識產(chǎn)權(quán)。保護知識產(chǎn)權(quán)需要一個高素養(yǎng)的人文環(huán)境，不單單只是說禁止，甚

73、至是立法保護知識產(chǎn)權(quán)，最重要的還是從意識層面增強人民對知識產(chǎn)權(quán)的保護意識。同時也應(yīng)該規(guī)范數(shù)據(jù)恢復(fù)的收費標準，既不應(yīng)該漫天要價導(dǎo)致?lián)p壞數(shù)據(jù)恢復(fù)行業(yè)的形象，也不能定價太低而打擊專業(yè)人員的從業(yè)積極性及研發(fā)積極性。</p><p>　　但是無論數(shù)據(jù)行業(yè)再如何發(fā)達，數(shù)據(jù)恢復(fù)終究也只是一種災(zāi)后重建的手段，無法確定能完全恢復(fù)被刪除的數(shù)據(jù)，真正的數(shù)據(jù)保護應(yīng)該還是個人要養(yǎng)成合理使用存儲設(shè)備及相關(guān)的電子設(shè)施，以減少出現(xiàn)數(shù)據(jù)丟失的情況

74、，這樣才是最好的保護了數(shù)據(jù)，而不要等到數(shù)據(jù)失去了才苦苦地找尋數(shù)據(jù)恢復(fù)的方法。</p><p>　　目前國家正在重視數(shù)據(jù)恢復(fù)行業(yè)的發(fā)展，包括引導(dǎo)行業(yè)健康快速發(fā)展，鼓勵相關(guān)企業(yè)進軍司法取證或者是其他涉密行業(yè)，對表現(xiàn)突出的企業(yè)頒發(fā)高新企業(yè)牌照及資金鼓勵。這對于數(shù)據(jù)恢復(fù)市場來說是一個相當利好的消息，另一方面也是我國電子數(shù)據(jù)恢復(fù)市場的一個轉(zhuǎn)型的契機。更是一個轉(zhuǎn)變?nèi)藗儌鹘y(tǒng)的數(shù)據(jù)保護意識，增強知識產(chǎn)權(quán)保護觀念的一個重要的拐角點

75、。</p><p><b>　　參考文獻</b></p><p>　　[1] 馬林 重生：windows數(shù)據(jù)恢復(fù)技術(shù)極限剖析 清華大學出版社2011.06</p><p>　　[2] 劉偉 數(shù)據(jù)恢復(fù)技術(shù)深度揭秘 電子工業(yè)出版社 第一版（2010.05.01）</p><p>　　[3] 邵喜強、朱宏斌  硬