GHOST误操作后&&硬盘文件恢复 的解决之道

    那些被ghost错误恢复分区正在郁闷的人, 都振作起吧! 问题总有解决办法, 只要你肯尝试!

    07年年未,由于被病毒毒害,手动杀毒无效后,我已头昏脑胀.一生气重装系统, 想想自买本本时重装过系统外,这次还是第一次重装系统,找来系统ghost盘进行ghost 恢复. 大约20分钟后, 出现的状况更让我崩溃, 怎么硬盘上4个盘就剩一个c盘了呢?眼前闪过的是我的资料,代码?全没了!!! 仔细回想着ghost操作,是在选择恢复方式出错了,后来回到北京,花了我三百大洋.二十分钟后, 我的资料就找回来了.心里高兴之余,也在感叹这就是技术啊,就这么简单,但没有技术就要花钱.

    想想俺也是做技术的,好想自已DIY一次啊!!!(我倒不希望谁也做了毁灭性的误操作, 当然如果是不小心做了,还有解决方式,是不是觉得生活更美好一些啊,呵呵), 终于我也有这样的一个机会, 昨天公司一个兄弟的机器做了同样的误操作, 当我xf跟我说了症状后,心里有一种尝试DIY的激动,呵呵.经过一个多小时努力研究和尝试,终于看到恢复成功的三个盘中的数据,内心的高兴是说不出来了,我xf也为我高兴,多么幸福啊!好了进入正题,以下是解决方法.

 

如果想直接看解决方法,请从此行后看起:
   
本文分为二个部分:1.恢复分区,2.恢复原理.

一.恢复分区
恢复的前提条件:

1. 使用的工具: DiskGen 一款可以对磁盘分区, 重建分区表等的工具.
2. 此工具是DOS下运行的,所以要找一张可以进入dos的光盘(或其它方式只要达到目的即可)
3. 找一台可用的机器,用来挂载要恢复处理的硬盘.
4. 在blos 中设置好硬盘的主从关系,并记住要处理磁盘是第几个.
5. 要知道硬盘在做误操作前每个分区的大小,比如 d盘->40G, E盘->30G, F盘->50G

以上条件都满足了请跟我一起做吧!

1.开机进入DOS环境,运行 DiskGen程序.
2.点击"硬盘" 菜单,选择要恢复的硬盘(注意这里不要选错盘).
3.弹出对话框一路选择 "否"
4.点击 "工具"菜单 选择重建分区表.选择交互方式
5.所找到一个分区选择 保留, 后面的分区跟始你要恢复的硬盘分区大小来确定是否保留,比如,弹出个 39.2G应该就是D盘了.(因为容量的计算方式不一样,所以可能会有些差距).
6. 全部分区找到后保存退出,大约20多分钟,这个时间跟据硬盘容量来定的.

如果不出什么意外,那么你就可以后看到恢复后的文件了.

二.恢复原理.
下面我说一下个人总结出来的硬盘恢复原理:

当我们硬盘写文件时是的操作过程是
1.文件系统,也就是说我们写的文件分两个部分,一是文件系统中的信息,比如,文件名,扩展名,创建时间等...
另外就是文件的真正数据.
打个比方: 写入 coolmouse.txt 内容为 I am coolmouse !
文件列表中就会记录:
文件名  : coolmo~1
扩展名  : txt
文件属性 : 0x20
删除标志 : 0x43  (其它值时为有效,E5时表示文件被删除)
保留  : 0      reserved
创建日期 : 07-20-2008 18:06:44    (Creation date & time)
访问日期 : 07-20-2008 07:07:40           Access date (no time!)
更新日期 : 07-20-2008 18:06:36   Update date & time
簇高字  : 0     (FAT 32) High word of cluster #
16位簇  : 4     16-bit cluster #
32位簇  : 4     32-bit cluster #
文件大小 : 16     File size (zero for a directory)

而数据则在另外的地方保存:

I am coolmouse !

以下是通过工具在磁盘中找出来的文件信息.很简单,如果想深入了解,请与我联系吧!
(1.文件列表信息
43 4F 4F 4C 4D 4F 7E 31 54 58 54 20 00 6B D6 90
F4 38 F4 38 00 00 D2 90 F4 38 04 00 10 00 00 00

2.文件内容.
49 20 61 6D 20 63 6F 6F 6C 6D 6F 75 73 65 20 21
)

(注: 我使用的文件系统为FAT32 所以我的文件名只支持8个字符,每个分区格式都不同)

文件删除原理:

当我们在系统中删除一个文件时,不知道大家有没有发现在,删除的文件时速度很快,为什么,其实原因很简单,操作系统并没有把数据从硬上清除,甚至文件列表信息都没有被清除,只是在删除标志处改为 E5,这时在操作系统中就无法操作此文件了,也看不到了,这么说来文件列表实际是我们操作文件的一个入口,没了文件列表,数据虽然在但是我们无法操作.

格式化原理:
下面我们在说格式化的原理,windows中的格式化实际上所做的操作是将文件列表清除将数据改为0, 但实际上并没有将实际的数据清除,所以通过一些特殊的方法可以将其恢复.

误分区后,应该是原有的分区表还在,所以通过DsikGen可以分区表,文件列表,恢复.(没有经过确切的证实,只是猜测).

通过以上分析,我想你也多少也明白一些了吧,如有问题欢迎与本人讨论,以下是我的联系方式:

QQ: 64245977
E-mail: qinhao901 & 163.com (请将& 改为@)
原创:  coolmouse
日期: 2008-7-20日晚.
允许随意转载,复制,转载请注明出处,谢谢.