有关硬盘数据恢复的基本知识

在数据恢复方面，我们不能不提及硬盘的数据结构，文件存储的原理，甚至是操作系统的启动过程. 这些是恢复硬盘数据时必须使用的基本知识. 即使您不需要还原数据，理解此知识（即使您只知道一点点）对于您通常的计算机操作和应用程序也很有帮助.

让我们从硬盘的数据结构开始...

硬盘数据结构

当我们第一次购买硬盘驱动器时，我们无法使用它. 您需要对其进行分区和格式化，然后安装操作系统以使用它. 以迄今为止我们一直使用的in9x / Me系列为例，我们通常将硬盘分为五个部分: 主引导扇区，操作系统引导扇区，FAT，DIR和数据（其中只有主引导扇区是唯一的） ，其他则随着分区数量的增加而增加.

主引导扇区

主引导扇区位于整个硬盘的0磁道0柱面1扇区中，包括硬盘主引导记录MBR（主引导记录）和分区表DPT（磁盘分区表）. 主引导记录的作用是检查分区表是否正确，并确定哪个分区是引导分区，并在程序结束时转移该分区的启动程序（即操作系统引导扇区）进入内存执行. 对于分区表，很都知道以80H或00H为开始标记，以55AAH作为结束标记，总共64个字节位于该扇区的末尾. 值得一提的是，MBR是由分区程序（例如DOS的Fdisk.exe）生成的，并且不同的操作系统可能具有不同的扇区. 如果您有此意图，也可以自己编写，只要它可以完成上述任务，这就是为什么它可以实现多系统启动的原因（题外话: 这是因为该主引导记录易于编写，所以似乎有很多引导扇区病毒.

操作系统引导扇区

OBR（操作系统启动记录）是操作系统的启动扇区，通常位于硬盘的0磁道，1个柱面和1个扇区中（这适用于DOS，以及以多重启动方式启动的系统模式，它位于相应的位置. 主分区/扩展分区的第一个扇区）是操作系统可以直接访问的第一个扇区. 它还包括该分区的引导程序和参数记录表，称为BPB（BIOS参数块）. 实际上，每个逻辑分区都有一个OBR，其参数根据分区的大小和操作系统的类型而变化. 引导程序的主要任务是确定分区的根目录中的前两个文件是否是操作系统的引导文件（例如，来自MSDOS的Win9x / Me的MSDOS或IO.SYS和MSDOS.SYS）. 如果是这样，则将第一个文件读入内存并控制该文件. BPB参数块记录开始扇区，结束扇区，文件存储格式，硬盘介质描述符，根目录大小，FAT编号，分配单位（Allocation Unit，也称为集群）大小等. 重要参数. OBR由高级格式化程序（例如DOS）生成.

文件分配表

FAT（文件分配表）是文件分配表，它是DOS / Win9x系统的文件寻址系统. 为了数据安全，通常使用两个FAT. 第二个FAT是第一个FAT的备份，并且FAT区域在其旁边. 在OBR之后，其大小由分区的大小和文件分配单元的大小确定. 关于FAT的格式，总是有很多选择. 微软的DOS和Windows采用熟悉的FAT12，FAT16和FAT32格式，但是还有其他FAT格式，例如Windows NT，OS / 2，UNIX / Linux，Novell都有自己的文件管理方法.

目录区域

DIR是Directory的缩写，它是根目录区域. DIR在第二个FAT表之后. 只有FAT无法找到文件在磁盘上的位置. FAT还必须与DIR合作以准确定位文件的位置. DIR记录每个文件（目录）（这是最重要的）的起始单元，文件属性等. 在定位文件位置时，操作系统可以根据启动情况知道磁盘上文件的特定位置和大小. DIR中的单位并与FAT表组合. 在DIR区域之后，它是实际的数据存储区域，即DATA区域.

数据区

尽管DATA占据了大部分硬盘空间，但没有前面的部分，但对于我们来说，它仅仅是一些无聊的二进制代码，没有任何意义. 这里要注意的一件事是，我们通常所说的格式化程序（指的是高级格式化，例如DOS下的Format程序），不会清除DATA区域中的数据，而只是重写FAT表. 至于分区对于硬盘，仅修改了MBR和OBR，并且未更改DATA区域中的大多数数据，因此可以修复许多硬盘数据. 但是即使这样，如果MBR / OBR / FAT / DIR之一被破坏，对于那些所谓的DIY退伍军人来说很长一段时间就足够了...我需要提醒大家，如果您经常整理磁盘，那么您的数据区域数据可能是连续的，因此即使MBR / FAT / DIR都坏了，只要您找到文件的初始保存位置，我们也可以使用磁盘编辑软件（例如DOS下的DiskEdit）. ，则该文件可能是恢复文件（当然，这是前提条件，也就是说，您没有覆盖此文件...）.

硬盘分区方法

我们通常谈论的分区概念只不过是三种类型: 主分区，扩展分区和逻辑分区.

主分区是一个相对简单的分区，通常位于硬盘的最前端区域，形成逻辑C盘. 在主分区中，不允许创建其他逻辑磁盘.

扩展分区的概念更为复杂，它也是分区与逻辑磁盘之间混淆的主要原因. 由于硬盘仅为分区表保留64个字节的存储空间，并且每个分区的参数占用16个字节，因此在主引导扇区中总共可以存储4个分区. 操作系统仅允许将数据存储在4个分区中. 如果逻辑磁盘是分区，则系统最多只允许4个逻辑磁盘. 对于特定的应用程序，通常无法满足4个逻辑磁盘的实际需求. 为了构建更多的逻辑磁盘供操作系统使用，系统引入了扩展分区的概念.

所谓的扩展分区，严格来说，它不是实际意义上的分区，它只是指向下一个分区的指针，并且该指针结构将形成一个单链表. 这样，除了主引导扇区中的主分区外，仅需要存储一个称为扩展分区数据的分区，并且可以通过以下方式找到下一个分区（实际上是下一个逻辑磁盘）的起始位置: 该扩展分区的数据，可以类似地从此起始位置找到所有分区. 无论系统中创建了多少个逻辑磁盘，都可以通过主引导扇区中的扩展分区参数一一找到每个逻辑磁盘.

需要特别注意的是，由于主分区之后的分区是通过单链接列表结构链接的，因此，如果单链接列表有问题，则会导致逻辑磁盘丢失.

数据存储原理

由于要执行数据恢复，因此我们当然不能不提及数据存储的原理. 其中，我们还将介绍与数据删除和硬盘格式化有关的问题……

文件读取

操作系统从目录区域读取文件信息（包括文件名，后缀名，文件大小，修改日期和数据区域中保存的第一个集群的集群号）. 在这里，我们假设第一个群集号为0023.

操作系统从0023群集中读取相应的数据，然后找到FAT的0023单元. 如果内容是文件末尾标志（FF），则表示文件末尾，否则内容将保存下一个数据簇的簇号，因此请重复执行直到遇到文件末尾标志.

文件写入

当我们要保存文件时，操作系统首先在DIR区域中找到空白区域，然后写入文件名，大小，创建时间和其他相应信息，然后在Data区域中找到可用空间以保存文件，然后将文件保存在数据区域中. 将群集写入DIR区域，其余操作与上面的读取操作相似.

删除文件

阅读完先前的文件进行读写之后，您可能没有信心继续往下看，但是请放心，Win9x文件的删除工作非常简单，只需在目录区域中进行一些更改即可. 目录区域中文件的字符到E5以删除更改的文件.

有关Fdisk和Format的一些解释

类似于文件删除，使用Fdisk删除然后创建分区并使用Format格式化逻辑磁盘（假设格式化时未使用无条件格式化参数/ U）不会直接从DATA区域删除数据. 前者仅更改分区表，而后者仅更改FAT表. 因此，完全可以恢复意外删除的分区和意外格式化的硬盘...

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/dianqi/article-297802-1.html