| |
|
KV3000修复硬盘数据之二十
|
|
|
|
|
|
| |
2001年3月31日，有一位姓何的先生拿了一块硬盘，此硬盘为10G分了一个区，分区类型为FAT32位的，装的是WIN98的系统。
上午开机的时候，发现有一张软盘在软驱里没有取出，等把软盘取出，再重新启动时，发现进入不了系统。事后拿杀毒软件查出此软盘感染了Poly Boot病毒，此病毒为引导区病毒，最后拿WIN98启动盘启动之后，发现C盘已经不见了，此硬盘有重要的数据还没取出，所以用户非常着急的来到我公司求助。
用KV3000的A盘启动，运行KV3000,按F6查看"0"扇区（主引导扇区），发现此主引导扇区已被破坏，再按F2查看"63"扇区（引导扇区），发现此引导扇区也同样被破坏了。
被此Poly Boot病毒破坏的硬盘有一特点：病毒自身会把原来主引导扇区和引导扇区移到"61"扇区和"60"扇区。
所以根据这一病毒的特性，翻到"60"扇区，查看此扇区上的内容，此引导扇区上的硬盘进出（I/O）表为：
0210200 02000000 00F80000
3F00FF00 3F000000 4E442D01 A4250000
再翻到"61"扇区，查看此扇区的内容，此主引导扇区上的第二、三关键代码为：
8001 010000FE 3FCC3F00
00004E44 2D010000 00000000 00000000 00000000 00000000
00000000 00000000 00000000 00000000 00000000 00000000
00000000 000055AA
根据以上的数据表明，此主引导扇区上显示的C盘扇区数和引导扇区上所显示的C盘扇区数相符（下划线部分），再经过验证确实为此硬盘的原主引导扇区（"0"扇区）和引导扇区（"63"扇区）。
接着翻到"60"扇区，按Ctrl+F10组合键写功能，将"60"扇区写入到"63"扇区（引导扇区的原位置），然后再把"61"扇区写回到"0"扇区（主引导扇区的原位置）。
重新启动计算机，终于恢复了此硬盘上的所有数据 |
| |
|
|
|
|
|
数据恢复