迅维网

标题: NTFS格式大硬盘数据恢复一例 [打印本页]

作者: 杨家明 时间: 2007-7-21 17:54
标题: NTFS格式大硬盘数据恢复一例
一广告公司一块80G 迈拓金九硬盘，某天突然进不了分区，提示为“无法访问X：\ 参数错误”。硬盘上为该公司为本市摄制和编辑的运动会视频和音频文件，摄录磁带中已清除，运动会也不可能再开一次。于是到数据恢复中心
修复过程：该硬盘为只有一个NTFS分区的数据盘，先在DOS下用扇区编辑软件查看LBA0--63扇区，结果发现分区表和63扇区都有错误，1—62扇区间有大量扇区被写上不明代码，87-102扇区不正常，先手工修复分区表，恢复63引导扇区，删除1—62扇区间的代码。87-102扇区之间暂不处理，到WIN检查，结果还是出现同样的提示，试用恢复软件1，可以看到目录结构，再试FINALDATE，这个软件此时太不尽人意；用恢复软件1选择某目录进行试恢复，结果28个试恢复文件只恢复2个，其余的全部为0字节，恢复工作陷入困境。再次对79-102扇区进行分析，79扇区面目全非，被严重篡改破坏，80-86扇区被清空，87-102扇区的内容也不正常。经过一番苦思冥想，对某些扇区进行备份后做清除，备份被放到1-62扇区之间，以备不测时改回原样。
再次在WIN下用恢复软件1进行恢复，让其读该盘约10秒钟，停止扫描，看到的内容和前面提到的相同，试恢复一个文件夹，从恢复过程能看到这时恢复动作正常了，随后对其余的文件和文件夹进行恢复，近3个多小时后，63.9G资料全部恢复，文件中几乎就AVI、WAV、PSD和其它格式的图形文件，逐个打开完全正常。恢复工作顺利结束，大功告成。

作者: 从头开始 时间: 2007-7-21 19:14
LZ的恢复方法值得借鉴!!不过有个问题不懂，想请教一下：为什么要看87-102扇区的数据？我谈一下我的想法和我遇到这种情况时恢复的方案：80G的硬盘只有一个分区，那肯定是NTFS分区，那么这个硬盘的0扇区(这里讲的都是以LBA为标准的)是分区表的信息，第63一78扇区这16个扇区应该是这个分区的$BOOT文件内容所在的扇区，其中第63扇区是这个分区的DBR(有的资料上是这么说的，总之它相当于FAT文件系统中的DBR)，第64-69扇区是系统的引导代码，第70-78扇区是保留扇区，一般没有用。总之第0扇区、第63-69扇区这几个扇区的数据是很关键的。恢复方案：1、做镜像 2、看第0扇区的数据，有问题就手工修复分区表 3、查看第63-69扇区数据，如果没有问题进入第6步，如果有问题就找DBR和备份(一般在这个分区的最后一个扇区里)，找到后复制到第63扇区，然后将一般的NTFS分区的引导代码复制到第64-69扇区(因为它们是通用的，而且这个分区是引导分区，不能少这些数据) 4、根据第63扇区的数据找到$MFT的起始簇号的所在扇区，然后到那个扇区看$MFT文件有没有破坏，如果没有破坏的话进入第6步 5、如果$MFT破坏就找$MFT的备份(DBR中有相应的位置)，然后复制到相应的位置 6、打开分区，应该可以看到数据，如果看不到数据进入第7步 7、用数据恢复软件恢复。

[ 本帖最后由从头开始于 2007-7-21 19:18 编辑 ]

作者: lovevoip 时间: 2007-7-21 19:53
高人，就是不一要呀，佩服

作者: 孤帆远影 时间: 2007-7-21 19:53
请问:
在DOS下用扇区编辑软件查看LBA0--63扇区

是什么软件呀

作者: 杨家明 时间: 2007-7-21 20:00
我用的扇区编辑是EditTool32 V2.00 ,网上多得很

欢迎光临迅维网 (https://www.chinafix.com/)