手工数据恢复全攻略

maomao0511

手工数据恢复全攻略

" q- [. D6 j' J0 a1 [1 C1 s       
最近经常见有很多硬盘分区表及硬盘数据被破坏而导致机器不能引导或使用的帖子，本着扶困的人道主义精神，和近十年的电脑龄以及之前成功修复N（N约等于10）块硬盘的经验特发一帖，系统讲述硬盘软故障恢复的方法，望大家不吝伺教！
  E& O$ W& z- q$ `5 T# G! C4 z       
: e% j% Y9 x% `8 F4 r
       
4 `9 E. G: w  \8 W) M注：所有前提是硬盘没有物理损坏，以DISKEDIT（诺顿2.0 for windows中获取），DISKMAN（华军软件园），NORTON（D版），UNFOMAT（其它兼容的反格式化软件也可）等软件为基础，如果多少精通一下下汇编就再理想不过啦！呵呵~~~~
$ W) x/ J2 c, D) i       
好，万事就绪！先说一下当系统分区表被误操作或病毒破坏时会出现的现象。1：启动显示NO ROM BASIC。2：启动显示INVALID PARTITION TABLE。3：无显示（如遭CIH毒手）。4：提示硬盘逻辑分区错误无法正常识别（如提示逻辑盘符超过Z，并切FDISK等程序无法识别）5：对于AWARD BIOS可能还会提示硬盘无法初始化（没用过AMI的，不知道会有什么显象……）
       
' e  j* r" a% C, ?. \5 Y 知道了表象现在来研究一下本质，我尽可能简单的解释一下硬盘的物理结构和各种参数。众所周知，硬盘的主引导区位于硬盘的0柱0面1区包含有若干分区表项，共有64字节。其中每个分区项有16字节包括以下一些信息：
       
, Y% S: s3 S* q$ X* Y# D2 ` 第一字节，是引导标志，其中80为活动分区00为非活动分区。
2 @! W3 u, B6 w6 c6 e       
7 ~) h9 w6 t2 }& `2 M  j 第二字节，起始磁头，表明分区的起始位置。
6 Y6 N, I( j/ e. C2 h       
! C( T/ _0 d0 t6 e2 _ 第二字节，表示起始扇区，其中低六位（简单说就是*右面的六位）为起始扇区，高二位为起始柱面（有时也会加上第四字节）。
       
6 E6 Z/ t; Y! K0 h9 c: ]# c0 R# Y" }9 C 第三字节，表示硬盘柱面信息。
       
第四字节，确定起始柱面的的低八位。
       
! D" n/ C& B! w6 x5 s  V 第五字节，决定分区的类型，06代表FAT16，0b代表FAT32，63代表UNIX分区。
       
- J9 y3 x( W2 ?3 w* _ 第6字节: 终止磁头
8 g5 M- b8 n- M. D& N       
第7字节: 低6位为终止扇区, 高2位与第8字节为终止柱面
6 l$ f- `, A. }2 h% X8 g" A       
' p! R  X' X8 f- j+ Y; c/ `# w8 A0 s 第8字节: 终止柱面的低8位
       
. W& {7 b8 W" {; ?* v9 Y 第9-12字节: 该分区前的扇区数目
       
第13-16字节: 该分区占用的扇区数目
, @7 P, N  k: ^. {$ n       
9 O$ W2 D) D' _; l% f扩展分区的信息位于上面所示的硬盘分区表中，逻辑分区的信息则位于扩展分区的起始扇区，可通过查找上面的表得到起始地址“X面/X扇区/X柱”所对应的扇区。分区信息的16个字节表示的是逻辑驱动器（D：E：……）的起始和结束地址。了解这些后当分区表破坏后我们就能利用各种软件来进行手工恢复，如果没有就手的软件的话那么FDISK/MBR手工填写参数也马马虎虎啦！呵呵~~~
2 y$ T2 J) q$ e7 z  f       
手工恢复分区时推荐使用全中文界面且支持虚拟操作的DISKMAN！至于大名鼎鼎的DISKEDIT因为操作过于复杂非老鸟甚用！不然一时失手可能连哭都来不及……。


: ]4 }2 H" r4 ~" C: i
1 I" @, Y1 |  |1 P       
具体步骤是

+ H1 r0 y& U8 U! m2 l0 M; W6 @

5 c0 q, H9 P( Z- c  Z" {       
1：检查C盘活动分区有效标志80是否存在。

9 U& t' y1 ]* v
2 P1 i4 C0 S6 ~2 Y" s2 e* N5 t
       
2：编辑0柱1磁头1扇区，查看末尾是否有55AA的有效标志。
8 V6 v; p1 S6 \+ b( T! E  k


       
# G- [5 k$ n( c1 Q7 @, B0 V3：根据自己分区的情况依次检查分区的类型标志，引导标志和系统标志是否与自己的硬盘相同如不同就改为正确的。致此分区引导记录应该被恢复的七七八八了。
4 V) S1 O  K$ U$ e* _
2 @3 B- D& i8 H

       
4：选择DISKMAN菜单中重建分区表一项，从0柱0磁头2扇区以自动或者交互两种方式开始扫描硬盘，建议对硬盘参数有较深了解的人选择交互方式，由于自己对自己的硬盘比较了解所以成功的可*性大些。不了解的人还是选择自动好些……至此，运气好的话应该可以恢复硬盘的使用了，如果只是分区有问题加之上天保佑的话至此能进入98也是有可能的！备份好必要的数据后最好重新分区并且FOIMAT /U。如果不能使用但可以用启动盘引导后可以得到硬盘的控制权就是说可以进入分区，这时可以使用一些杀毒软件（KV3000）的重建分区功能。毕竟人家正规军的办法比起咱这土办法应该还是牢*些的。如果还不成的话那我也只好拿出最后的法宝了！用DEBUG搞定它！
# v. k* i3 N$ x8 v! `; _

0 G+ B) k5 s% @7 x( f+ X4 Y3 O% t* K
, T$ s. V! h, y* A: X* l       
事先声明，下面这段DEBUG我只用过一次，虽然幸运的成功了但不保证适用于所有硬盘，而且说实话我的DEBUG水平也就是马马虎虎应付场面的，实在不够牢*，只提供一下思路，大家用的时候最好搞清楚再来。如果实在没着了照搬也成，反正已经不能用了也不会有更烂的后果……不过至于到底会出现什么后果没我责任哦！呵呵~~~~~
       
! y& ^7 D/ p3 H* a9 T$ W# K; _debug
$ h9 p" ~3 L' u/ N. g8 y       
a 100
       
mov ax,201 */以下三行是对寄存器的操作
1 e3 g8 `  R2 `$ i' v       
mov bx,200
       
moc cx,1
4 V3 `6 r! X5 d. [       
9 B1 Q, b! H5 M4 cint 13 */调用中断13对硬盘写操作
       
int 3
3 W. @: X6 {3 W- i       
g=200
       
d 3b0 3ff
* v5 m& a, d+ @6 I- R# Q       
e 3be 80 */针对引导区添入引导区有效标志80
$ @; Y# Y+ T2 H' X* e7 K8 ?       
" [( s4 A1 {, K" c( I) qe 102 3
       
! t3 g2 a" [4 o5 L' V& yg-100
+ E7 T9 W- K8 v0 L' @9 D. E       
到这如果还搞不定那我也没办法了……只好送修或者找人用专用设备读出残存的数据，不过花费银子不菲，不如买了新的省心！呵呵~~~~
. z% W" u, I$ O  Y
" q4 M8 p3 g! }( _% z
3 a4 I0 _" T& q& f
       
5 W- x( f- W& q! y$ m 恢复分区说完了现在聊一下如何恢复数据。由于恢复数据和硬盘大小参数密切相关所以不能具体到没一块硬盘这里也只是给一下大致的操作方法，具体到每人的硬盘还要根据自己的具体情况来搞定。
       
9 G" Y2 _8 S: p7 d 1：假设C全毁（一般我们见势不妙都会立刻关机所以除C外其它硬盘不会受到太大的损失）需要恢复D上的文件（我们大多数重要文件不会存在C盘吧？）。按上面的方法先恢复分区，如果有一个大小及逻辑分区都相同或者至少不是差得很夸张的完好硬盘就最理想不过！只需备份下它的分区表恢复即可！（对于仅有分区表被毁的现象此种恢复方法应列为第一优先的考虑！）
       
8 U% U" |( y6 Z9 J/ c. R 2：这里就要用到DISKEDIT了。恢复分区重新启动后运行DISKEDIT D：/M按F6以分区表方式查找，一般可以找到X道1头1扇区（X值难以确定）。由于从1磁头开始那么其为第一逻辑分区即D的可能很大，如此则其原始连接应在X道0头1扇区，通过INFO-> DRIVER INFO查看该扇区得到原主分区的结束位置。因为主分区一般开始于0道0头1扇，现在可以大致确定下主分区的信息了。
       
8 B% O2 L" G  b& d" I% \ 3：执行TOOLS->RECALCUATE PARTITION添入刚刚得到的参数重新计算分区，然后写入到硬盘并重新启动。
: C9 ?. D. u% y) R       
4：FORMAT C：/S重新填充C的引导信息
       
; u7 Q$ C/ ^! _. E% h- a 5：再重启，执行（UN）FORMAT /Z：8 D：恢复D的原始簇值（因为如此恢复分区簇的数量和原先的数量不同的可能性较大）
/ @& ]* ?8 @$ e) y4 L       
6：如为FAT32分区则以DISKEDIT /M维护模式编辑磁盘将主分区表中1C2H中的0600改为0B00将FAT清零为重新格式化FAT32做准备
' X& N. A: \% F& N, H       
) X- _% u. A5 K0 F( z 7：重新启动后先运行FORMAT /Z：8 D：完成后在进行反格式化UNFORMAT此时文件应该大部恢复。当然可能部分文件名字会有出入但不会变化太大。
" j* a" Y& E# X. {       

       
注：此种恢复操作是针对FAT16如果分区为FAT32那可以省不少的事，但个别时候操作上可能更繁琐些。



0 F" O( \+ j8 h' T; _, w8 L       
/ d9 V1 _  Y. h* ]

maomao0511

感谢大家能耐心看完，我这些土办法还是经过一定的实践考验的，可能比不上专业的工具或技术人员但在实在没有办法的时候也还能讲就一下的。全部文章都只是个思路，尤其恢复文件是根据格式化后可以反格式化完成的，此间不能有写硬盘的操作，所以还是有点不便。其实如果能用现成的软件完成任务的话就不要用我的方法了。一家之言谨做参考，如果谁还有其它办法欢迎一起切磋！谢谢
) r% h# d0 T, T/ i9 p% }! C, O1 x


       
7 e, e/ d4 }. k* S 知是作者忘了还是在转的过程中丢了一些东东，不会是作者不会DEBUG抄来的，不过我也只会一点点。文中DEBUG没有操作对象，也是不知道让DEBUG对什么东东操作，应该加上“MOV DX，80”。如果是第二硬盘就用81。

wlh666

非常感谢，很有用！！！

wangmj805657

还不错，谢谢！

林杰

来几句吧