硬盘数据恢复的原理和方法

硬盘数据恢复的原理和方法。我们可能都遇到过这样的事情。我们只是在早上清空垃圾桶，但在下午突然想起其中有一个特别重要的文件。我们能做些什么？也可能是系统被病毒破坏了，并且硬盘的分区表或文件分配表也被病毒重写了，但是硬盘上需要花费很多年的时间。这时，我们需要还原数据。下面详细介绍数据恢复的原理和一些常用的数据恢复方法。当我们第一次购买硬盘时，我们无法使用它。您需要对其进行分区和格式化，然后安装操作系统以使用它。以迄今为止我们一直使用的Win9x / Me系列为例，我们通常将硬盘分为五个部分：主引导区，操作系统引导区，FAT表，DIR记录区和数据数据区。我们通常所说的主引导扇区MBR在硬盘中是唯一的。 MBR区域的内容仅在硬盘启动时读取，然后驻留在内存中。其他几项随硬盘驱动器上的分区数量而异。 MBR主引导扇区位于整个硬盘的0磁道0柱面1扇区中，包括硬盘主引导记录MBR（主引导记录）和分区表DPT（磁盘分区表）。主引导记录的作用是检查分区表是否正确，并确定哪个分区是可引导分区，并在程序末尾传输该分区的启动程序（即操作系统引导扇区）。进入内存以执行主引导中的DPT。在该区域中，从地址BE到FD末尾的64个字节就是所谓的分区表。

分区表以80H或00H开头，以55AAH结束。每个分区占用16个字节。硬盘最多只能分为四个主分区，扩展分区也是一个主分区。随着硬盘容量的快速扩展，引入的扩展分区可以将硬盘分区的数量扩展为“ Z”，而不受四个主分区的限制。值得一提的是，MBR是由分区程序（例如DOS的Fdisk.exe）生成的。对于此扇区，不同的操作系统可能具有不同的内容代码，但是仅实现了一个功能，因此该功能成为活动分区之一。获取控制区域并正常启动系统。磁盘的正面有一个粉红色的扇区，这是所谓的扩展分区表所在的位置，下面的62个扇区是空闲的，共享一个隐藏的磁道。 ）主分区是一个相对简单的分区，通常位于硬盘的最前端区域，形成一个逻辑磁盘。在主分区中，不允许创建其他逻辑磁盘。您还可以使用分区软件在分区末尾创建一个主分区，或者在磁盘中间创建一个主分区。扩展分区的概念较为复杂，也是导致分区与逻辑磁盘混淆的主要原因。由于硬盘仅为分区表保留64个字节的存储空间，并且每个分区的参数占用16个字节，因此主引导扇区可以存储总共4个数据分区。操作系统仅允许将数据存储在4个分区中。如果逻辑磁盘是分区，则系统最多只允许4个逻辑磁盘。

对于特定的应用程序，四个逻辑磁盘通常无法满足实际需求。为了构建更多的逻辑磁盘供操作系统使用，系统引入了扩展分区的概念。所谓扩展分区，严格来说，它不是实际意义上的分区，它只是指向下一个分区的指针，并且此指针结构将形成一个单链表。这样，除了主引导扇区中的主分区外，仅需要存储一个称为扩展分区数据的分区，并且可以通过以下方式找到下一个分区（实际上是下一个逻辑磁盘）的起始位置：该扩展分区的数据，可以类似地从此起始位置找到所有分区。无论系统中创建了多少个逻辑磁盘，每个逻辑磁盘都可以通过主引导扇区中的扩展分区参数一一找到。重要的是要注意，由于主分区之后的分区是通过单链接列表结构链接的，因此，如果单链接列表存在问题，逻辑磁盘将丢失。这就是为什么当硬盘被CIH病毒损坏时，我们可以使用KV3000的F10功能随后查找丢失的D和逻辑分区。 OBR OBR（操作系统启动记录）是操作系统的启动扇区，通常位于硬盘的0磁道1柱面1扇区中（这是用于DOS的，对于在多启动号，该分区容量的性质和相关的引导启动信息应记录在上面。 FAT表就像仓库的货架号，目录表就像仓库的账簿。如果我们需要查找商品，则需要先查找帐户，然后在某个架子上取货。普通文件读取是相同的原理。首先将某个分区的BPB参数读取到内存中。当需要读取文件时，首先读取文件目录表，找到对应文件的第一个扇区和FAT表。输入后，从FAT表中找到后续扇区的对应链接，将磁臂移至对应的位置来读取文件，并完成对特定文件的读写操作。读取）操作系统从目录区域读取文件信息（包括文件名，后缀名，文件大小，修改日期和数据区域中保存的第一个集群的集群号）。在这里，我们假设第一个群集号为0028。操作系统从0028群集中读取相应的数据，然后找到FAT的0023单元。如果其他内容是文件结尾标记“ FF”，则表示文件结尾，否则从那里读取下一个簇号，然后读取它对应单元的内容，以这种方式重复直到结尾遇到该文件。

（写）当我们要保存文件时，操作系统首先在DIR区域中找到可用区域，然后写入文件名，大小和创建时间以及其他相应信息，然后在DATA中找到可用区域。区域以保存文件，然后将数据区域的第一个簇写入DIR区域并同时完成FAT表的填充。具体操作类似于文件读取操作。 （删除）Win9X操作系统的文件删除非常简单，只需将目录区域中文件的第一个字符更改为“ E5”以表明该文件已被删除，同时覆盖文件的第二个扇区。引导扇区该区域指示分区点使用的空间的相应信息。 Fdisk与文件删除类似。使用Fdisk删除然后创建分区并使用Format格式化逻辑磁盘（假设您在格式化时未使用无条件格式化参数/ U）不会直接从DATA区域删除数据。前者只是更改了分区表，而后者仅修改了FAT。完全可以恢复意外删除的分区和意外格式化的硬盘... Fdisk / MBR可用于重建主引导区，并在使用CD或软盘启动系统后，使用此命令删除还原向导或某些启动扇区病毒。注意：使用此命令之前，必须备份分区表的内容，以防止病毒加密分区表。 Format Format命令可以完成分区的格式化并检测分区是否有坏扇区。格式化就像将新建筑物中的每个房间分配给一个房间，以便您可以存储内容并稍后搜索。 Fotmat的一个重要参数：执行快速格式化，仅重建FAT表和目录区域。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/dianqi/article-341997-1.html