| |
|
KV3000修复硬盘数据之二十五
|
|
|
|
|
|
| |
4月18日，一用户带来一块硬盘，其情况如下：6.5G，分了大小相同的三个区。此盘平时仅做为备份数据来用，只装有DOS系统。因前一天读了一张软盘，再开机时，此硬盘的分区全部丢失。数据重要，所以向我们公司求救。
数据恢复步骤如下：
一、检测硬件：将硬盘接到计算机上，开机后进入CMOS设置，发现可以检测到该硬盘，保存，退出CMOS设置。
二、查看硬盘状态：用一张干净的引导盘启动计算机，依次查看该硬盘的逻辑分区，C:、D：、E：时，系统提示：“Invalid drive specfication ”（无法判断硬盘规格）。出现这种提示，应是硬盘分区表有问题。
三、查看硬盘分区表和引导扇区：
1、查看硬盘分区表：运行KV3000，进入查（杀）病毒界面后，按下F6键进入“硬盘救护箱”。第一页即为
硬盘分区表。此时发现该页中的信息被严重动过。应有的关键代码“80”和“55AA”均不存在。并且在第一和第三字节都加了“55”。
2、查看引导扇区：按下F2键，可查看63扇区，即为引导扇区。此I/O表如下：
02400100 02000200 00F80001 3F00FF00 3F000000 86FA3F00 800029FA
此表没有被改动过，是正确的。
四、查找硬盘分区表：按下F1回到0扇区，向后翻页。翻至第8页时，出现关键代码：“80”、“55AA”，
则此页有可能是正确的硬盘分区表。为了验证其正确性，可做第五步操作。
五、计算验证：
1、按下F6键进入“搜索硬盘分区表功能”。再按F1（测试逻辑硬盘分区表），将测得的数字记录下来：
Hard Disk Total Sectors Total Bytes Partition Table Sector
Disk C:2.146G 4192902 2146765824 in 000000000000
Disk D:2.146G 4192902 2146765824 in 000004192965
Disk E:2.146G 4192902 2146765824 in 000008385930
2、将以上数据中的与C盘相对应的Total Sectors的十进制数4192902换算成十六进制数：3FFA86；将与D盘相对应的Partition Table Sector十进制数：4192965换算成十六进制数：3FFAC5；再将换算出来的这两个数高
低位互换：3FFA86－高低换位－86FA3F；3FFAC5－高低换位－C5FA3F。
3、查看第8扇区的关键代码：
8001 010006FE 7F043F00
000086FA 3F000000 410505FE FF14C5FA 3F00106E 81000000
00000000 00000000 00000000 00000000 00000000 00000000
00000000 000055AA
可以看到“80”、“55AA”都存在；第4字节表示C盘分区格式：“06”（DOS FAT16）－正确；第12－15字节都表示C盘扇区数：“86FA3F”，与换算出来的C盘总数相同－正确；第20字节“05”表示DOS扩展分区，也正确；第28－31字节：“C5FA3F”表示D盘分区表所在的位置，也与换算出来的数值是一致的。至此可以判断，找到的第8个扇区即为被移动的原正确的硬盘分区表。
六、恢复：
翻到第8扇区，在屏幕下方出现一行红色的字条：
“F9－Save To Side O Cylinder O Sector 1 !!!”
此时按下F9后，保存到0磁道，0柱面1扇区。之后，重新启动计算机，引导之后，数据全部恢复。
注：1、第三步到第五步全是在KV3000的“硬盘急救箱”中做操作。
2、十进制与十六进制的换算可用“硬盘急救箱”中的F7功能。
3、第五步中第“3”步中数字节时，以两个数字表示一个字节即：“80”是一个字节，并且自“80”开始是第0个字节，之后的“01”为第一字节，以后的依次类推。
|
| |
|
|
|
|
|
数据恢复