浅谈磁盘数据丢失的原理以及恢复方法

2012-10-17金克宁

网络安全技术与应用 2012年6期

关键词：格式化磁盘硬盘

金克宁

佛山市三水区技工学校广东 528100

0 前言

近几年随着电子产品普及率的提高，越来越多的资料均采用数字存储，随之而来的就是由于各种原因产生的数据丢失，数据恢复已经发展为一个新兴产业，本文以硬盘为主对磁盘故障进行一般分析以及提出简单恢复方法。

1 硬盘故障造成数据丢失的分析

1.1 人为破坏或者病毒破坏

有时候我们会不小心删除文件和破坏分区表，这都会造成有效数据的丢失，这种数据丢失需要借助数据恢复软件或手工修复来达到数据的恢复。

病毒入侵也是造成数据丢失的一个重要原因，一般病毒是不会造成数据丢失的，但是有些病毒有可能会造成硬盘锁死，分区丢失或是数据丢失，这时候不能单纯的使用杀毒软件来清理病毒，很容易造成数据的严重破坏。

1.2 逻辑故障产生数据丢失

所谓逻辑故障是指与文件系统有关的故障。硬盘数据的写和读，都是通过文件系统来实现的。如果磁盘文件系统损坏，那么计算机就无法找到硬盘上的文件和数据。文件系统的组成部分有：

(1) 分区表(Partition Table)：如果分区表损坏，一般系统都无法识别磁盘分区或卷。

(2) 引导扇区或超级块(Boot Sector/Super Block)：引导扇区和超级块定义了磁盘分区/卷的最重要的参数。

(3) 文件索引和其它元数据(Index and Meta data)：硬盘上的数据和文件按照一定的结构分布在磁盘上，如果这种结构遭到破坏，那么完整的文件或数据也就不存在了。

1.3 物理故障造成的数据损失

物理故障是指硬盘自身发生硬件损坏，导致硬盘无法正常运转、识别或存取数据。硬盘一般有电路板、固件、磁头、盘片、电机等电子/软件/机械三部分组成，而任一组件都可能发生故障。

(1) 电路故障(PCB burned)：硬盘的电路板烧毁，或硬盘电路板上的控制芯片损坏。由于硬盘电路板使用的都是可编程芯片，所以硬盘电路板的修复不仅仅是“电烙铁”和“焊锡”的工作，还需要使用专门的编程设备。

(2) 固件损坏(Firm corrupt)：固件是控制硬盘正常运转的硬件程序，是硬盘的“大脑”。

(3) 磁头和电机故障(Head & motor failed)：磁头和电机是硬盘的机械组件，位于密闭的、无尘的盘体内部。磁头会老化、变形；电机会烧毁、卡住，这两个组件损坏会使得硬盘彻底报废无法修复，只有使用专门的设备才可恢复数据。

(4) 盘片损伤(Platter scratch)：盘片是保存数据的载体。硬盘在使用过程中，会由于老化或划伤产生坏扇区。

2 磁盘丢失数据的恢复方法

2.1 逻辑故障或人为、病毒破坏的修复方法

由于数据的丢失方式不同，所以数据恢复方法也不尽相同，对于非物理性的硬盘损坏，我们可以借用一些数据恢复软件进行恢复，现实中很多人不知道删除、格式化等硬盘操作丢失的数据可以数恢复，以为删除、格式化以后数据就不存在了。遇到数据丢失后，千万不要自己乱分区或者格式化这个盘，保持原样恢复的效果最好，操作不慎很容易二次破坏数据，破坏了就很难恢复的，即使是一些专业的数据恢复公司也无能为力。

很多硬盘数据恢复软件支持 FAT12/FAT16/FAT32/NTFS文件系统，可以导出文件夹，能够恢复被删除/格式化/重新分区/分区表破坏/Ghost误操作/病毒破坏而丢失的文件，本人有一次因为格式化硬盘盘符失误，造成E：盘下一些珍贵资料丢失，借用朋友推荐的“顶尖数据恢复软件”进行恢复，效果不错，现就个人经历与大家分享：

下载安装软件，安装是不要安装在与恢复数据的分区，即如你想恢复的数据原先是在E盘，那么你不能将软件安装在E盘上。

首先选中文件所在的盘符。

接下来单击快速扫描或深度扫描，最后勾选中要恢复的文件单击恢复文件。

这款软件采用最新的多线程引擎，扫描速度极快，能扫描出磁盘底层的数据，经过高级的分析算法，能把丢失的目录和文件在内存中重建出来，数据恢复效果极好。同时，本软件不会向硬盘内写入数据，所有操作均在内存中完成，能有效地避免对数据的二次破坏。与国外的软件相比，这款软件完美支持中文目录、文件恢复。这款软件的界面是向导式的，十分友好，比较适合电脑初学者使用，除此之外，还有很多比较知名软件如SuperRecovery、Recover My Files、老牌的数据恢复工具FinalData2.0企业版等等，效果都不错。

2.2 对于物理损坏的磁盘进行数据恢复的方法

硬件故障有很多种，高温和震动会造成物理的损害，这些都需要我们具备一定的电路基础，深入了解磁盘的工作原理，配合各种硬件维修工具来进行修复。对于有实际盘体的磁盘如硬盘，移动盘，闪盘，SD卡、CF卡等数据介质损坏或出现电路板故障、磁头偏移、盘片划伤等情况下，采用开体更换，加载，定位等方法进行数据修复。

对于SD卡，CF卡，记忆棒等，U盘，甚至最新的SSD固态硬盘。由于没有盘体，没有盘片，存储的数据是FLASH芯片。如果出现硬件故障，目前只具备修复此类故障的数据恢复公司不是很多，这是由于一般的数据恢复公司做此类介质时，需要了解匹配对应的主控芯片，而主控芯片需要拆开后才能知道，备件一拆，立马毁了，如果主控芯片不能配对，数据仍然无法恢复。即使碰巧配上主控型号，也不代表一定可以读出数据，因此恢复的成本和代价非常之高。一般的数据恢复公司碰上此类介质，成功率非常低，基本上放弃，这种恢复技术和原理是目前大多数数据恢复的做法。但是，对于恢复 FLASH类的介质，已经新出一种数据恢复技术，可以不需要配对主控芯片，通过一种特殊的硬件设备，直接读取 FLASH芯片里的代码，然后配上特殊的算法和软件，通过人工组合，直接重组出 FLASH数据。这种恢复方法和原理，成功率几乎接近 100%。但是受制于此类设备的昂贵，同时对数据恢复技术要求很高，工程师不但要精通硬件，还需要软件，更要精通文件系统，因此目前全国只有极个别的数据恢复公司可以做到成功率接近 100%，有些公司花了很高代价采购此设备后，由于工程师技术所限，不会使用，同样无法恢复。虽然从技术上解决了 FLASH恢复的难题，但是对客户而言，此类恢复的成本非常之高，比硬盘的硬件故障恢复价格要高，10G以上的要几千元。

3 数据恢复

恢复数据的过程中，由于方法不当造成数据的二次破坏。使得恢复的难度倍增甚至没法恢复。

(1) 不能把数据直接恢复到源盘上。很多用户删除文件后，用一般的软件恢复出来的文件直接还原到原来的目录下，这样破坏原来数据的可能性非常大，所以严格禁止直接还原到源盘。

(2) 电脑非正常关机后再开机机进入启动画面时电脑会提示是否需要做磁盘检查，默认10秒后开始进行DskChk磁盘检查操作，这个操作是可以修复一些小损坏的目录文件，但是很多时候反而会破坏了数据。因为复杂的目录结构它是无法修复的。修复失败后，系统在根目录下会形成FOUND.000这样的文件夹，里面有很多以.CHK为扩展名的文件。有些文件改个名字就可以恢复，有些则彻底破坏了，特别是比较大的数据库文件等。

(3) 很多人数据发生丢失后重新格式化分区，这也是造成数据二次破坏的重要原因。特别是格式化分区后分区类型改变会造成数据丢失，比如FAT32分区被格成NTFS分区，或者原来是NTFS的分区被格成FAT32分区。数据一旦丢失后，用一般的软件是不能扫描出原来的目录格式，再次分区会格式化成原来的类型。第二次格式化成原来的分区类型就是严重的错误操作，很可能把本来可以恢复的一些大的文件给破坏了，造成永久无法恢复。如果不慎二次格式化了硬盘，千万不要重新建立分区。很容易破坏掉原先分区的文件分配表(FAT)或者文件记录表(MFT)等重要区域，造成恢复难度大大增加。一些普通维修人员在恢复的实践过程中碰到过多次客户在分区表破坏后，先自行尝试过几种分区工具都无法恢复数据后才想到找专业人员帮忙，结果破坏了一些重要的目录文件，造成文件目录恢复不完整，有些大的文件无法恢复。而按客户描述的最初分区丢失的情况，这些文件一般都可以完全恢复了。专业的数据恢复人员在重建分区表之前都会先定位分区的具体位置(逻辑扇区号)，然后用扇区查看工具先检查分区的几个重要参数比如DBR/FAT/FDT/MFT等，确认后才修改分区表的，而且修改完分区表后在启动系统过程中会禁止系统做dskchk破坏分区目录，保证数据不会被破坏到。

(4) 服务器阵列丢失后请不要重做阵列。很多普通网管在服务器崩溃后强行让阵列上线，即使掉线了的硬盘也强制上线，或者直接做rebuilding。这些操作都是非常危险的，任何写入盘的操作都有可能破坏数据。

(5) 一旦数据丢失后，我们就不要往需要恢复的分区里面存新文件。最好是关闭所有程序，然后直接将电脑断电，把硬盘挂到别的电脑来进行恢复，因为在关机或者开机状态下，操作系统会往系统盘里面写数据，可能会破坏数据。