Data Extractor说明书 (5)

4．5．4从含有损坏硬盘扇区的硬盘上恢复文件

首先，操作者应该明白，这种模式是给操作者一个从损坏的硬盘中取出数据的机会。

一旦我们在检测硬盘时，这个检测恢复模式因为硬盘损坏或其它原因不能运行，这时我们

可以用热交换法从硬盘中读取数据（比如说硬盘给加上了密码的情况就可以这样）。

如果说你第一次是100%的能恢复硬盘中的数据的时候，第二次你用了不恰当的方法可能数

据全部失去，恢复不了。

有两种主要的方法：就是列一个方法清单去恢复数据，或者是让模仿程序去恢复。

第一种方法并不是很普遍，因为它首先要求对某个硬盘特别了解，况且没有数据丢失恢复

的情况可能性不大。

第二种方法是普遍的，因此被大多数人采用。

然而，这种方法也是有个根本的缺点：就是要求对恢复文件的磁盘格式有一定的认识，比

如说FAT分区和NTFS分区。一提到数据恢复我们就会想到DE。

目前，这种综合结构的数据恢复是通过交互式的方式来实现的。现在正在开发一种对于FAT

分区和NTFS分区的自动恢复数据的综合功能，这种功能要另外付费。然而，凭经验，这种

效果完全可以通过我们目前的这种综合性的工具来实现的。

在介绍这种模式恢复数据的技巧之前，给你以下几点建议：

如果你用热交换法读取了缺陷硬盘中的数据，你要第一时间拷贝出这些数据到另外一个好

盘。

最好是关掉自动屏蔽硬盘坏道的功能。否则会在读取这些坏道时会产生一个反向的影相，

那样的话最主要的环境就会发生改变。

如果你不能达到以上的要求，你最好把所有的数据拷贝到一个好的盘上，就算的自动屏障

坏道的情况发生，你已经有了另外一个稳定分析数据的环境，当然，在这种情况下丢失数

据也是完全可能的。

以上给的忠告是理解DE的实际基础，数据恢复是一个纯粹逻辑分析的过程，也就是要找到

一个防止信息丢失的方法，这就要求数据的结构和位置不能被改变。

按以上要求接一个硬盘，然后使用PC3000或相似的程序。

操作的结果是，WD的硬盘不能达到预期的要求，在这种请况下你应该用PC3000，因为在这

种请况下逻辑恢复是不可能的，需要用PC3000去搜索IDNF扇区然后直接恢复它。

最后，我们来描述一下这个模式。表面上这个模式和硬盘结构逻辑图模式的唯一不同在于

工作区的左边有个变化的列表。（图15略）

在这里不可去详细的描述工作模式的每一个完整的界面，因此根据实际情况举例说明。

一块硬盘有两个FAT分区，然而打开时检测不到主引导记录（MBR）。

用户一定要明确两个关键问题：第一——从移位图可以知道所有的数据都在硬盘上，所有

的数据在检测程序的帮助下是可以取出来的。不用在成百上千的扇区中去搜索这个移位情

况，坚持画一个图是非常有必要的。每次确信加进图中的一条条信息的位置没有错。

   换句话来说，应该按以下的顺序来操作：

找到硬盘不符合要求的位置（首先看第一个扇区）

确定有多少个扇区与要求的结构发生变化

确定每个位置的正确性

下面有一个哪些数据可以利用画图原理。数据是由两个因数来确定，一个是文件系统的特

征，一个是文件确切的开始的位置。

换而言之，用下面的知识可以确定移位的大小：

MBR

BR

分区表副本

文件夹

WORD、EXCEL、ZIP、RAR、EXE、DLL文件等

上面这个表从本质上讲要靠用户的经验来扩展。

下面这一点认识对于我们以后非常重要：在相同数量的扇区中发现了两个完全相同的移

位，这种请况一定要仔细的考虑一下，是不是数据存在两个移位之间。

因此，大都数移位的情况将添加到图中，少数数据区没有特别的位移主要靠我们来观察。

现在还是回到我们的实例上来。

如果没有检测出MBR，意味着零扇区不合位置要求，接着我们用模板搜索模式来确定他的新

位置。

我们假定它在扇区2的位置，也就是说真正的零扇区向前移动了两个扇区的位置，接着我们

打开移位图然后加进从LBA=0开始移位的值是2。之后，我们就开始用对硬盘扫描的方法。

在资源管理器中MBR的位置出现相应的目标。

我们看一下右边类似WINDOWS中的资源管理器，第一个分区是从第63扇区开始的，假

定第二个分区是从LBA4000000开始.

我们用资源管理器打开第一个分区.

如果打不开,我们就可以用搜索模式来帮忙找到第一个引导扇区.如果有两个扇区移位了,我

们把它加进移位表中.

这里值得注意的是,如果在图中有多条LBA数值少于选中的一个时,那么这些移位已经被加进

了移位表中了.也就是就说,第一个扇区移位的最小整数不是2个扇区,而是4个扇区.

一个硬盘开始和结束最小整数的图形对我们非常方便的,我们不希望有相当多的偏移来每一

个都搞一个新的图形,所以相同的甚至更多的LBA的扇区都可以用一个规律性的设置来达到

要求.

当我们正确的加进了分类项目后,再扫描,相应位置的引导扇区的第一个字目录就会显示出

来.

更进一步来说,对文件分配表副本的理解是很有必要的.我们通过查看引导扇区的相应类型

就可以知道它们的数量和位置.我们可以这样计算一下,开始扇区的第一个副本按照偏移量

代替引导扇区,这个副本的大小在引导扇区有一个详细的列表.我们记下这个数值,然后用搜

索模式在预定的范围中查找每一个副本可能的偏移.如果有偏移的,就加进相应的表中,注意

一下后来加进的分类对偏移的影响.

为了对文件夹的位置有个清楚的了解,我们选择通过资源管理器”查看第一扇区”向前或向

后查找合适的对象,来确定它的真正位置.如果它有偏移的话,就加进偏移表中.很遗憾的是,

在文件分配表的根目录文件夹中没有准确的信息,需要去确定每行等于32(构成文件夹的最

小整数)的字节的数量.

在文件分配表中找到至少一个没有偏移的副本是非常有必要的,我们选择这个没有偏移的副

本,有了这个没有偏移的副本,我们恢复文件分配表是没有问题的,否则是很麻烦的啦.

如果我们发现这个硬盘没有数据,那么你可能要查看坏道然后综合分析它的结构,可能发现

坏道也有偏移,例如在第一个文件分配表副本存在的扇区范围中,2个扇区就发现了两个坏

道,很有可能是你需要的扇区.当然这样的情况很少发生.例如,有4个扇区发生偏移了,发现

其中仅仅有两个是坏的扇区.厂家定义的坏道与我们确认的坏道有细微的差别的.在这种情

况下我们就不得不搜索偏移的扇区,用假设法来比较副本之间的差别来鉴定它们(很多情况

下它们是不完整的).

在得到了至少一个文件分配表副本之后,你可以继续进行文件分配表的恢复工作.

下一步是对移位图中的连贯性说明.

连续执行下面各项操作:

打开根目录文件夹.

排列有关联的对象清单加时开始的扇区

在这个有关联的对象清单里查找文件夹中的元素,如果找到合适的对象或者明显和清晰的数

据结构,用查看第一扇区的方法查看,核对一下有没有发生偏移.

如果显示确实发生偏移，移这些扇区到移位图中；

用查看第一个扇区的方法或者重新扫描查看移位后扇区中的对象的正确性。

万一在拷贝后发现某个文件有问题，这就意味着扇区被文件点用的部分的位移不是很特

别，那就需要用观察特定对象图的模式来观察它，必要的时候就在图上纠正它的位移。

如果不经过简单的纠正，恢复过来的数据千奇百怪，这样没有一种合适的工具可以确定它

们的正确性，建议你保存好这个移位图直到分析完数据为止。

分区的恢复原理比上面描述的要简单得多。

我们提供数据恢复的原理和这个工具，成功与否要靠使用者的经验，专业水平和直觉。

如果你留意的话，在硬盘上可以看到相应的分区上的数据结构，这样你就可以得到恰

当的找到数据结构的经验。

4．6以扫描图方式运行

这种辅助图在所有的主要模式中是最容易理解的。

按相应模式中按控制面板上的“MAP”按钮就可以开始以扫描图方式运行啦。

在每一个特定的环境中如果编辑了某一扇区的话，就没有机会从缺陷盘中读取数据了。

这种模式的主要目的是要给用户通过对参数的改变对数据有个综合评估的机会。

例如在第一次扫描发现了许多错误后，我们可以改变参数来纠正。

此外，我们有机会描图模式时能通过鼠标右键来运行模式外的一些程序。

以下是右键菜单和功能的介绍：

通过选定扇区来查看和编辑数据（前后的菜单或双击鼠标）。

把一个区域的数据作为一个文件保存。

建立选定区域和文件的关系。

编辑、拷贝、输出数据都是建立在镜相的数据的基础上的。

在程序的后续版本中这样的功能还要大大加强。

4．6．1地图指南

在鼠标和键盘的帮助下，地图指南可以被调出来。

用“TAB”键可以在扫描图上垂直的移动，用“UP”“DOWN”“HOME”“END”这些键可以

翻页。

用鼠标拖动程序的面板是很容易的。

4.6.2图例

按”图例”按钮时,一个信息框会出现在屏幕上,这个信息框上有各种颜色代表在地图上代

表的信息.

4.6.3查看和编辑读取的数据

这种模式主要是想要查看和编辑某一读取的扇区的镜相.

通过在地图上双击鼠标相应的扇区或通过地图的控制菜单都可以激活这个模式.

在你执行了这个动作时,将会出现如下的编辑模式窗口:(图略)

在这个窗口的顶部,有一些功能键,你可以导出你需要的扇区的数据.

在窗口的左边,所有的数据都用十进六数的方式查看和编辑,在右边是符号的示例.

在编辑时用鼠标和键盘同样有效.可以直接在窗口上编辑.

4.6.3.1数据菜单

数据菜单经常会在大量的导入的数据的窗口中出现.以下是它的子菜单

4.6.3.1.1重新导入

这个菜单允许重新导入镜相的数据到编辑窗口中,例如,你已经改变了数据,但是不想保存,

想恢复到的据的初始状态,这时就可以用这个菜单的功能来实现啦.

4.6.3.1.2保存所作的修改

这个菜单是把你所作的修改保存下来.用这个菜单时你要注意的是,你将改变你唯一的源数

据(除了你的缺陷硬盘之外).

4.6.3.1.3从文件中导入

用这个菜单,你可以导入一个外部的数据文件到这个编辑窗口中.当程序问你是否保存更改

是,要记住,这是你唯一的数据副本啊.

4.6.3.1.4保存在一个文件里

  这个菜单是最安全的操作,作用是让你把当前操作编辑的扇区作为一个512字节的文件保

存下来.