硬盘数据恢复的经历

wangligang · 发表于 2005-7-27 17:43:57

tong
真是歹势，给女朋友的机器格式化C盘的时候，winxp出错，弄的C盘没格式化掉（仍能从C盘起来），D盘都找不着了，D上面放了女朋友所有的试验数据，基本上没做备份。这个臭大了。
问题很明白，格式化的时候，winxp改写了分区表及相关数据，出错后就再未能恢复过来。所以唯一的方法就是重建分区表，但分区表之前也没有做备份。
在网上先是找了若干个分区恢复工具，如三茗的hdd21，Active Partition Recovery。均不能恢复过来。打电话找了一家数据恢复公司的，过来一看，要价1500，结果拿过去整了一天，第二天将硬盘送过来说，没得救了，说上面的FAT表被我破坏掉了，说可能是我在数据丢失了后又执行了向D盘的写操作。谁都知道，D的分区表被破坏了，D就不能被系统所辨认，系统又如何向D盘上写东西，我后来所做的操作都是针对分区表?　兰州的这些公司真是水平不咋样。
还得自己动手，如果数据恢复不过来，女朋友非宰了我不可。
仔细研究了一下分区表格式，因为系统只有两个盘，C盘大概15G左右，hdd21或pr均提示在15003Mb处发现一个分区，但之后还找到分区达4个之多。所以能确定C分区的CHS位置（Cylinder, head, Sector），用diskedit手工重建了D分区表，从被救盘起动，发现系统找着D盘，但里面数据仍是一个不见。
从网上下载了final data，扫描了一下午，先是看到一个个文件名跟目录名，正是以前的数据，着实高兴了一阵子，但将数据保存到另一个盘上时，发现，所以的数据文件均不能打开，看来问题着实严重，如数据恢复公司所说，可能Fat表关于文件位置出现偏移。用diskedit搜索一个指定的文件名，根据fat表提供的位置，定位到文件位置，发现全被清零。至此，已经为恢复数据整了2天一个下午。我差不多放弃了希望。准备拿把刀让女友把我杀了算了。
从网上看到Ontrack的easyRecovery DataRecovery，down下来后，用standard recovery，结果跟final data一样，所以恢复过来的文件打不开。看到里面有个终极武器，rawRecovery，但介绍说这个东东采用sector by sector方法，只能恢复小文件或连续分配在一块的大文件。在经过2个小时还算正常的工作，运行到28112255处，easyRecovery就不反应了。试着将找着的以fil*命名的xls文件打开，天哪，成功了。但因为easyRecover不能继续扫描，所以只恢复了一部分数据。在 ontrack网站上看到datarecovery有升级包，升完级，继续试着扫描，这次能完成D盘的扫描。
但D盘仍有数据未能恢复过来，好在最关键的数据基本上全回来了。我也只有这个本领了。至此，已经为这个东西整了前后四天整的时间。
得出的结论，计算机很是脆弱！，千万不要太过信赖计算机或操作系统，象我一直以为自己都很小心，这次还是出了问题。重要数据资料千万千万要备份！否则一旦出问题，悔之晚唉。
所以我要做的是马上给自己机器上的重要数据备份（也都是绝版的）。
djz
其实winxp是一个比较稳定安全的操作系统，一般是不需要重新安装的，如果有这个需要，可以使用附件中的系统还原功能，选择一个日期，将系统还原到某个日期的状态下就可以了。既简单又安全。
硬盘作了低级格式化，再做高级格式化后，分区表的信息存放在主引导扇区内，一般操作系统在安装系统时（无论win系列,还是UNIX系列）是不会破坏，改写主引导扇区的内容的，所以分区表的信息也不会丢。斑竹认为系统在安装过程中改写了分区表，其实是错误的。
硬盘出了问题，不能首先将硬盘的分区表重新作掉的，因为一做分区表，就将各个分区的原来的文件分配表抛弃不要了，另立了炉灶，文件分配表是文件存放在硬盘上的逻辑关系的指针链表，没有了这个东西，当然就读不出来了原有的文件内容了。所以斑竹在这个问题上绝对犯了错误。不应该首先重新作分区表。所以数据拯救公司说你的话其实有一半是正确的，即你破坏了文件分配表。如果破坏了文件分配表，即使你不写内容，也不会找到原来的逻辑关系了。所以数据公司说你写了内容到D盘上，只是一种可能的情况。可能是在猜想了。这也是斑竹对数据公司评价不高的原因。
斑竹后来之所以可以将一部分数据恢复过来，是因为你用的那个软件其实是在一个扇区一个扇区地读内容，然后将所读出的所有扇区内容形成一个文件。这个时候这个软件所面对的硬盘已经没有文件的概念了，是最原始低级读写扇区。一般的情况下，我们所谓的删除文件其实只是将文件的分配链表作了一下注释，没有真正地将存放内容的扇区内容作处理。这也是这类软件可以恢复数据的最原始道理。
计算机本身是不会乱的，之所以乱，是人在乱，而不是机器。
其实斑竹如果在装系统出问题后，将硬盘卸下来，挂到另一台机器上，可能发现d盘是存在的，也不会费这么大的力气了。
gisworld
我觉得这也是一种可行的办法。

我吃过很多次这方面的亏，好几次都是自己把数据给格式化掉了，到后来用起来才发现找不到。

后来索性挂了一个双硬盘，一个硬盘做操作系统，一个硬盘做数据。（数据还在好几台机器上同时备份着，结果又产生了新的问题，经常找不到最新的）
tong
djz&亮子：

其实后来的基本所有操作都是在将该硬盘挂到其它机器上做的。

djz说的xp系统还原，不幸的是我最早给女友装机器的时候就已经将系统还原机器给关掉了，不过我现在想，即便保留系统还原功能未见有成效，好象概念中 xp还原功能并不备份mbr分区表等等的信息，其实这样想，打个比方，象cih修改了硬盘mbr结束标志55aa的话，系统自检就不能通过，更谈不上装载操作系统，再由操作系统去还原mbr了，再比如，系统还原将相关备份数据放到同一个盘上（如d盘），这样d盘都没了，还原数据也就找不着了。不过我也没深入去研究系统还原的功能啦，何况机器上也关闭了这个功能。

象djz所言，一般情况下windows是比较安全的，但当执行类似fdisk的操作时候（在2000下是diskpart），涉及分区的重建或删除，系统当然要重写mbr的分区信息部分了(format不会)。问题就出在这里，我正是在运行了xp下磁盘管理里的删除分区（其实这是一个很低级的错误，不过我经常犯，系统在C盘起来，本身是不能对C盘进行删除分区或格式化的，我以前犯过类似的错误，但xp都给出了警告，提示不能进行操作），然而等我点下去之后，发现了这个错误，但只能干等系统象以往一样的提示出来，1分钟或更久以后，系统当真崩出提示，点击确定，看C盘还好，D盘才打不开了。。。后来回忆，操作前磁盘管理将C与D全部显示为主分区（深蓝色），正常的话，D在扩展盘上，应该是比较亮的蓝色才对。当时比较奇怪，但没有细想，现在想想或者系统那时候已经有问题。

然后我重启了一次，C盘正常，但结果D盘还是找不着。现在分析，可能diskpart在运行的时候，在提示错误以前已经修改了分区信息。（是不是xp盗版的关系，我就说不上了。但以前我在其它机器上也犯过类似的错误，但都没啥关系）diskpart或fdisk理论上不会破坏FAT表，分区仅在系统标志上设为未知(99h)，而由format设置最后的系统标志如(ntfs, 07h),快速格式化好象仅设置系统标志及FAT表的相关信息，而不真正将数据清零。基于这样的判断，所以希望能找回分区表或者重设分区信息。

然后硬盘就挪到另外一台机器上去了，倒不是想着到另台机器也许能找回D盘（从根本上讲，双硬盘或多硬盘的分区信息也是从各自硬盘的mbr分区表里读取出来的，所以本机上不能识别D盘，其它机器一般也不成），是想着如果还从本盘起来，windows的一些例行程序可能会影响D逻辑盘上的内容，尽管D已经找不着了，主要还是为了安全起见。

运行activer partition recovery后，提示在问题盘上partition table与boot table里的信息不一致，问是否从boot table里拷贝，答是，因为pr支持操作的回溯，所以不怕被修改，这时pr就只找到一个分区C盘。回溯后，答否，显示两个分区，但点击分区D的时候，一阵子分析后，软件提示说在boot区分区信息有误。我现在基本锁定在分区表的重建上了。

倒不是说FAT表不重要，事实上，由于D盘上有将近9G的资料及数据，如果没有好的方法自动重建FAT表，人工是不可能的，而FAT表重建之前（如果 FAT有错）必须恢复分区表的错误。其实后来的所有操作在理论上讲（或者说在那些软件的操作手册上都讲到），是不会对FAT表造成影响的，它们只修改 mbr上的分区信息（分区16字节的那些）。后来的final data表明，所有的FAT表数据基本上是好的，但最关键的起始簇或大小出现了问题，才导致能恢复文件名及时间等信息，但恢复出来的文件却都不能用（假设文件数据没被破坏的）。所以问题还是，如果将分区表能恢复好，下面的FAT表就可以正常工作，就可以被系统所辨认。。。

因为最早没有分区表的备份，运行了几个分区表恢复软件也都不凑效。所以找了个数据拯救公司的，如我上个帖子所说的。。后来便只有自己动手了，公司可以说做不好，不要钱就成了，他们没有义务，我却只能硬着头皮上阵自己动手。。

事实证明，我后来的分区表还是没有手工恢复好，按理这种情形，如果恢复好，可能可以恢复所有数据。后来联想到我们分区的时候，经常会发生8M左右的不可分配的空间，可能我在找到C区后，并不接着就是D区了，而应该减去某个数。但最早的分区也不是我做的，就是我做的现在也记不起来了。反正事实就是，分区表还是重建错了。所以final data里找到的FAT表里的文件相对地址（相对于分区起始cluster地址）也错了，导致final data找到的文件不能打开。

所以用easyRecvory的RawRecovery是无奈之举，如djz朋友所说，是种最低级的寻找方法。所以只能成功地恢复一部分数据文件。

我告诉数据恢复公司的是，希望他们能从FAT表里分析出正确的分区CHS地址，我还是缺少时间跟耐心，也缺少技术（现在我也不知道能不能从Fat表里分析出分区的起始cluster或chs地址），所以寄希望于他们。

最早贴出来的初衷也是让大家分享一下如此惊心动魄的经历（对我而言啦，责任很大的啦，否则女友非宰我不成，呵呵），得djz兄跟亮子兄的回复，一时兴起，就再废话几句，谨以抛砖引玉。非对djz或亮子兄不敬，权做学术探讨。谬误之处请指正。