数据恢复的灾难处理：

会员16282

说起格式化，一般的计算机技术人员和电脑爱好着可能不指一次的做过，但在误格数据的过程中却是灾难和恶梦般的感觉。格式化简单点说，分4种：快速，普通（慢）格式华，分区转换格式化，低级格式化。快速格式其实只是清除和从建了文件目录结构，形成了新的目录，来记录再次（拷备）加入的数据，其实数据区的数据并未破坏。慢速格式化也是清除和从建了文件目录结构，但多了存储表面逻辑效验功能，数据区的数据并未破坏。如果在没有重要数据的情况下，您可使用普通（慢）格式化来检验某个分区是否有坏道。分区转化格式化其实只是清除和从建了文件目录结构，但不同的是转化的格式与以前的分区格式略有不同，由于不同的分区结构不同，存储的起点（LBA）有时会发生一定的改变，这种数据恢复的难度相对要高点，有部分工作需要手工完成。但技术过硬的数据恢复师，恢复的结果还是很高的。

最后是低格，低级格式化在微软的操作系统里是基本见不到，它的主要原理不象高格那样是组建文件系统的存储格式，而是全盘的擦除（写0）和效验，一般用于出现坏道的硬盘，当遇到坏道时，低格软件对坏道位置写0并效验，如果坏道是一些存储过程中产生的逻辑问题，通过写0便可消失，效验通过便可继续存储使用。如果坏道是物理上的存储缺陷，在写0后，效验发现还是通不过，那低格软件将向硬盘的增长型缺陷列表加入，从而达到屏蔽坏道的目的（以后将不使用坏道部分）由于低格软件是写0的，所以用低格软件做个全盘擦除的数据将不能恢复。值的注意的是：低格软件有DM，MHDD和一些老式的主板BIOS都集成了低格功能。但DM也有分区和普通的格式化功能，它的低格（ZORE）功能往往隐藏的很深。有的用户错误的把DM分区和普通的格式化功能叫做低格。他认为做DM就是低格过了，那是错误的，真实的操作是给分了区或格式化了。下面说下分区FDISK，分区实际是对硬盘分区的从新划分，从新划分过的硬盘由于确立了新的分区的关系，原有的分区和文件系统被删除不再使用，同时目录结构也丢失了。即使按照原来的分区大小从新分配，分区标记的起始点也往往发生偏移。在手工查找过程建议在1000左右搜寻。如果您做过格式化和分区这两种操作的一种，而丢失了数据。第一种格式化后的盘是处于一个全盘（分区）都被WINDOWS识别为一个很大空白空间，同上次讲到的删除和缓存的概念一样，没有把握切勿在这块硬盘安装恢复软件等软件，也不要去扫描，因为扫描这么大的空间需要很大的缓存空间。而刚刚格掉的分区就是最大的空白空间，又于您使用WINDOWS做平台，您只能听从WINDOWS的分配而没有办法。有人说：我在别的机器上装可以吗，回答是不可以。因为WINDOWS是直接管理硬件地址IDE0（1FO）和IDE1（170）和USB等数据传输端口的读写通道，通过这种方式您是跳不过读写损坏。好多人用EasyRecovery和FINADATA处理数据，发现恢复的损坏很大就是这个原因，出现了很多的后缀为：TMP文件（FAT或FAT32文件系统）或后缀为：AXXXX.ini 文件（NTFS文件系统）。这些都是缓冲造成的结果，您的数据被破坏了不少。这就是一般的个人和公司没法100%恢复数据的原因，其实数据公司如果在恢复过程中注意屏蔽缓冲，对数据恢复的恢复率有很大的作用，而一般的用户，如果您的数据很重要，善意的说一句，不要自己处理，机会往往就一次，千万别认为软件的数据是很好做的，因为软件的数据一旦被破坏，那是花多少钱都挽回不了的损失，不象硬盘硬件损坏那样，一般用户对硬盘内容没法改写。一般您格式化或分区后只要没做于斌老师说过的那些操作和写入其他操作，一般于斌老师的恢复率都在90%以上。对上次讲的删除，为什么要直接关机哪，因为删除的通常很小，很容易被缓冲掉（如一个EXCEL表格），而格式化是大量的数据，即使是一个很菜的数据公司也能恢复出数据来，但不同的是恢复率而已。

会员16282

软件篇：

软件数据灾难指的是存储产品（如硬盘）没有故障，由于人为的误操作，病毒等原因造成的数据丢失。当您遇到了这样的灾难问题，请您不用着急，也不要急于操作。下面由青岛数据恢复之王，于斌老师给您讲一下处理的方式和注意的问题：

1.删除：当您刚刚错误的删除了文件或目录，这时应快速关闭计算机。为什么哪，下面于斌老师讲以下，先从删除的的文件说起，如果您删的是一种不连续存放的文件（如WORD.EXCEL.CDR.MDF.LDF）这些文件的结构和编制都是不连续存放，原因就是：如WORD文件，一般不是一次形成的，当您录入时一般是当日多次，多日多次存盘。所以小小的一个文件有时是存放的硬盘的上的不同扇区和不同位置。再说说删除的原理，在微软的操作系统里，删除操作，只是在文件系统的目录里删掉了文件名称部分，实际数据存放位置并没有改变。这样，大家都会说：恢复数据那不很简单了吗。错了。如一个EXCEL文件被删，而这个文件经过个几十次的修改，添加。在硬盘的存放是最少是存放了十几个位置。文件的头部尾部代码是可找到的，但其他的片段信息全部丢失，导致文件无法打开。简单说有数据恢复公司，用从网上下载的数据软件。所给客户恢复出的EXCEL，有名字，但打不开的原因就是，他们所恢复的只是文件的头部部分，而数据片段存放的位置却没有处理好，或造到了破坏。再就是说说为什么要关机和不要做任何操作。因为WINDOWS操作具有很强的管理性和控制权。在很多情况下，不使用物理内存（内存条）的空间，而是使用硬盘的空白空间（也包括您刚删除的哪个空间，而且是优先使用）优先使用的原理和原因是提高WINDOWS的存储，查找的时间和效率。这在软件编制方面有点象算法，或叫优化。举个例子说：您的硬盘没空间了，您删掉少量文件，而WINDOWS一但需要空间来做虚拟的内存或缓存，马上使用您刚删除的位置进行临时存放动作。而您想的数据，却早已破坏。

哪什么软件可以产生缓冲那？如：看电影，PHOTOSHOP，WINDOWS屏保和一些等等等占用资源较大的软件。什么叫缓冲：简单说，在宽带上网看电影，网上的电影数据在您观看的时候是被临时下载到您的硬盘上的一般几十兆到上百兆之多。当您关掉播放器时，这些临时存放的缓冲，随即被播放器删掉。有人问，我用C盘启动，我的数据是在D盘删的，那样可以放心用吗，回答是不行，WINDOWS是自动分配的缓冲的，从WINDOWS代码研究发现，即使关掉自动分配也是不行的。所以建议您，如果刚刚删除了数据，而且数据重要，最好的办法就是先关机。管于恢复的办法：如果您的数据不允许丢失

会员16282

软件篇：(第3课：GHOST和分区转换)

现在很多电脑公司和个人都使用塞门铁克的GHOST产品，GHOST主要的原理是：按存储位置克隆分区文件目录表后，克隆文件目录表中所指向数据的数据区。此软件提供硬盘对硬盘的克隆，硬盘对文件（镜像）双向克隆。主要用于系统备份，还原（安装）。由于速度快，使用方便，很多的电脑公司和计算机爱好者都使用这个软件。但任何东西都是把双刃剑，GHOST在使用的同时也很容易因误操作破坏数据。经常有客户用GHOST镜像恢复到了别的分区和磁盘里破坏了自己宝贵的数据。单说用GHOST覆盖了单个的分区，那就是很大的灾难。但数据还是有可能恢复的，在这种问题上，数据恢复一般是不能达到100%，举个例子：一个硬盘的C盘分区大小10G，原来的占用（使用）容量是6G，由于误操作GHOST的镜像文件，覆盖了原来的系统和文件，此时的C盘的分区容量没有变化，但新的文件系统占用2G，从直观上看可恢复的文件容量就是4G的数据。但恢复的绝对不是用什么软件去扫描，一是文件系统已经换成新的文件系统，和您原有的文件系统存储格式，位置，目录标记位置，分区标记位置，数据实际存放位置都发生了改变，用专业点的术语叫数据偏移。所以不能用那种自动化的傻瓜软件恢复。傻瓜软件都是按您新的分区确定您原来的数据的位置，您扫描的结果一般有两种：1什么也没有找到。2找到的文件全部或大部分损坏。而傻瓜软件产生的缓冲又再次破坏了您的数据。现在很多人所的得到的数据恢复软件都是从网上下载的免费软件，有好多只是软件厂商提供的展示版本，这些版本都是以展示为目的，没有实际拷虑到磁盘缓冲的后果。本人也不是不赞成您用这些下载软件，但如果扫描也不要全扫，您只扫描5%左右就可以，如果出来的文件是很多坏的那就要小心了，就要停下来找专业的公司去解决。值得提醒的您的数据本来花钱便可解决的，别因为自己的盲目操作后悔不及。

再提恢复软件，正版的恢复软件多是提供完善的算法，手工分析，硬件写操作阻断卡才推出的，多是国外的一些大公司和数据实验室推出的。价格一般在人民币5000-6万元之间，有的随产品配硬件写操作阻断卡，有的使用ACE的阻断技术使用。 很多数据公司也在用些网上下载的低端展示产品，实为不耻。在恢复软件方面，本人不能多说，只提一个极为专业的数据恢复分析软件：WINHEX 它基本算个手工化极高恢复率很好的软件。以这个软件来将下GHOST的恢复，拿到被客户用GHOST覆盖的硬盘，首先用工具里的磁盘编辑，打开被GHOST覆盖的分区，您不必在新建的目录花很多时间，因为新的目录是没用的，您可参考新的系统的起始位置多是（C盘多在63）和结束位置，新的文件系统存放的结束位置之后，可以确定就是您原来数据了。您可使用两种方法：1是用新文件系统起和始的否定来确认原来的文件系统，如修改，添零等。2，也可用WINHEX的查找功能，但只限于单个的文件查找，如有个WORD叫工资，可以用的名称，文件头，文件偏移来查找。

由于篇幅问题最后说下分区转换，分区转换在某种程度上类似GHOST的破坏，难度也相当，恢复的方法也大同小异。今天就讲到这里。

下节讲是软件的最后一课：文件自身的覆盖和保存，和一些软件问题的补充。

大家可提些问题看法，但请数据恢复同行不要提过于敏感的技术问题

会员21166

为什么直接从一课变到三课了啊？

会员665

我在一个论坛上看到过
LZ还是应该注明转载
网络的规矩还是要遵守的好