数据恢复技术的案例
发布网友
发布时间：2022-04-26 23:57
共1个回答
热心网友
时间：2022-06-20 16:54
一、恢复重装XP后的Ubuntu引导分区
windows xp崩溃了，于是重装xp，把原来的Ubuntu引导分区表mbr给冲掉了，不过没关系，修复一下mbr就可以了。 首先说一下mbr的作用：当我们启动计算机时。计算机首先运行Power On Self Test(POST)，即加电自检。POST检测系统的总内存以及其他硬件设备的现状。如果计算机系统的BIOS（基础输入/输出系统）是即插即用的，那么计算机硬件设备将经过检验以及完成配置。计算机的基础输入/输出系统（BIOS）定位计算机的引导设备，然后MBR(Master Boot Record－硬盘主导记录)被加载并运行。如果用户仅安装Windows98，则被自动引导到桌面。如果是WindowsXP/2000/2003，那么则会将控制权交给NTLDR－系统加载器，调用Boot.ini，显示多重选单文件。抹MBR就是抹硬盘引导记录。
当我们重装了windows以后，由于硬盘mbr被重写，即把原来mbr中grub的信息清除了，那么grub自然就不能启动了，也就不能引导linux了，此时很多人可能就只能重装linux了，但其实只需简单的对mbr修复一下就可以了。
下面就说一下修复mbr的方法：
首先，把Ubuntu的安装光盘放进去,然后启动.正常进入安装界面，打开终端：
1、输入：sudo grub,于是变成
grub>
2、先找到你的ubuntu的启动分区在哪(就是你的/boot目录所在的分区)
输入：find /boot/grub/stage1
我机器上回车之后显示：(hd0,2) 这里hd0是指第一个硬盘,2代表第3个分区，即Ubuntu根目录所在分区(0代表第一个分区)。
3、输入：grub>root (hd0,2)
4、输入：grub>setup (hd0)
如果出现successed，就表示成功了。
5、输入：grub>quit，然后重启。
对于有多个硬盘的朋友，请但是注意一点，如果你的windows装在第一块磁盘，而linux装在第二块磁盘，而你的bios设置为从第一块磁盘启动，那么在进行以上第3步的时候，一定要把参数设为你的第一块磁盘。即要把grub装入引导硬盘的mbr里，当然，比较傻瓜的，你可以将grub装入每块硬盘的mbr，不信你试试看，肯定可以启动，这只是一个先后次序问题
二、NTFS格式大硬盘数据恢复特殊案例
一块80G迈拓金九硬盘，某天突然进不了分区，提示为“无法访问X： 参数错误”。硬盘上为该公司为本市摄制和编辑的运动会视频和音频文件，摄录磁带中已清除，运动会也不可能再开一次。先前到某电脑公司去试过，结果没能解决问题。广告公司经理和我的一个朋友是朋友，知道此事后就转来我处。
修复过程：该硬盘为只有一个NTFS分区的数据盘，先在DOS下用扇区编辑软件查看LBA0--63扇区，结果发现分区表和63扇区都有错误，1—62扇区间有大量扇区被写上不明代码，87-102扇区不正常，先手工修复分区表，恢复63引导扇区，删除1—62扇区间的代码。87-102扇区之间暂不处理，到WINDOWS下检查，结果还是出现同样的提示，试用恢复软件1，可以看到目录结构，再试FINALDATE，这个软件此时太不尽人意；用恢复软件1选择某目录进行试恢复，结果28个试恢复文件只恢复2个，其余的全部为0字节，恢复工作陷入困境。再次对79-102扇区进行分析，79扇区面目全非，被严重篡改破坏，80-86扇区被清空，87-102扇区的内容也不正常。经过一番苦思冥想，对某些扇区进行备份后做清除，备份被放到1-62扇区之间，以备不测时改回原样。
再次在WINDOWS下用恢复软件1进行恢复，让其读该盘约10秒钟，停止扫描，看到的内容和前面提到的相同，试恢复一个文件夹，从恢复过程能看到这时恢复动作正常了，随后对其余的文件和文件夹进行恢复，近3个多小时后，63.9G资料全部恢复，文件中几乎就AVI、WAV、PSD和其它格式的图形文件，逐个打开完全正常。恢复工作顺利结束，大功告成。
后来一个朋友说这个分区应该是2000格式化出来的，mft在分区的前面，很容易被破坏，象此案里里面87-102扇区里大约有6个左右的用户文件/文件夹是恢复不出来的，但102~~以后的文件应该能完全恢复的。在ntfs里面，一般90扇区以后的mft才是用户的文件信息，前面的是系统的一些元文件，对数据恢复影响不大的。
个人觉得ntfs还是比较先进的，文件碎片都放在一个mft里面，只要这个扇区没有被破坏，就可以恢复。
NTFS的结构确实比较复杂，正常情况下所有的操作MFT中有记录。但是，那些扇区被使用，那些没被使用，这些概念还是很有用的。
实验盘被删除79-102扇区内容后，开机后不需要第三方软件，文件和目录直接可以读出拷贝到其它地方。查看被删除扇区内容，95扇区后的内容都自动修复了，80-94嘛......看来MFT中应该还有一个备份，或是具有自动修复功能。
故障盘为何就不能自动修复？且不让访问。故障盘中某些扇区看来是被利用了。它的数据恢复是通过第三方软件得到的，对第三方软件来讲，就算格式化了，绝大部分数据还是能找回来的。
