数据恢复历险记

数据恢复工作千差万别，今列举一例我在数据恢复工作中遇到的比较特殊分区表损坏案例处理经过，希望对读者有所帮助。

一天朋友打电话来求救，说他的硬盘F、G、H分区都不见了，只能见前三个分区，重装WINXP依然如此，其中H盘存放了他多年来的文件数据，有2.8 G之多，简直望着他都要哭了，送数据公司挽救价格不菲，要1-2K Money，对于一个打工簇来说真是割肉。我立即叫他停止一切对该硬盘的操作，第一时间赶去取来硬盘，开始了这次不平常的数据恢复历险。

拿到硬盘，不敢懈怠，立即动手开始抢救。首先将其作为从盘挂上我的电脑，启动WindowsMe，从盘只能见到一个分区D：，将我的电脑升级到WinXP，启动后从盘能见到朋友所说的前三个分区，且知前两个分区均为NTFS格式。运行PQ8，从盘竟然没有分区，估计是分区表损坏了，拔掉我的电脑主盘，以软驱启动KV3000，按下F6，主分区活动标志8001和结束标志55AA正确，按下F10修复主引导分区，报告主引导区没有错误，不让修复，甚至想用此法备分分区表都不能，看来KV3000是没有办法了，换个法子试试。做一个WindowsMe启动盘，将DAVFix，三茗医生，DiskMan都拷到软盘。启动软盘，运行KAVFix，先备份主导引记录扇区，选0快速修复硬盘，报主引导记录正确返回，选1亦如此，KAVFix也不行。运行三茗医生hdd，选工具箱，先备份主引导扇区和系统引导扇区，选分析硬盘，见到前三个分区，选修理硬盘，修理完毕后再选分析硬盘，啊！前三个分区都不见了，赶快用刚才的备份恢复，退出，三茗医生也不行。启动 DiskMan，也只见到前三个分区，按F9备份分区表，选“重建分区表”，自动方式，完成，但只将后三个分区当成一个分区，选手动方式结果依然如此，不存盘退出。看来用软件自动恢复是不可能了，只能手动操作。手动修复分区表利器当属WinHex，接上自已的好硬盘作为主盘，安装好WinHex For Win汉化版，挂上待修盘，选磁盘2，进入16进制浏览状态，转到逻辑0扇区，找到分区表信息如下：（以下黑体部分为对应10进制标注）

                                          80 01

01 00 07 FE FF CC 3F 00 00 00 4E 83 EE 00

                                    63    15631182

C1 CD OF FE FF FF 8D 83 EE 00 34 0E BA 03

                                 15631245  62524980

可 知主引导分区为NTFS格式，起始扇区63.结束扇区15631244。长度15631182约7.45G .扩展分区起始扇区15631245.长度62524980.结束扇区78156224，转到第一个虚拟MBR扇区15631245,找到第一虚拟MBR信息如下:

                                          00 01

C1 CD 07 FE FF FF 3F 00 00 00 E8 60 77 00

                                    63    7823592

C1 FF 0B FE FF FF 66 61 77 00 E2 48 95 00

                                7823718  9783522

可知第一个扩展分区起始扇区15631308，结束扇区23454899.长度7823592. 约3.73G.

扩展分区描述中隐含扇区有错，正确的数就为7823655，下一个虚拟MBR入口扇区23454900.转到第二虚拟MBR扇区.找到如下信息

                                          00 01

C1 FF 0B FE FF FF  3F 00 00 00  E2 48 95 00

                                    63       9783522

C1 FF 05 EE FF FF  48 AA 0C 01  EC 63 AD 02

                                17607240      44917740

可知本分区为FAT32格式.起始扇区23454963.结束扇区33238484.长度9783522.约4.67G.与前面工具查到信息完全相符,扩展分区长度44917740，约21.4G.转到下一个虚拟MBR入口33238485，找到如下信息:

                                          00 01

C1 FF 06 FE FF FF  3F 00 00 00  AD 63 AD 02

                                    63       44917677

无扩展分区信息,到此结束.将剩余扩展分区总共约21.4G全部划成一个分区.，且格式标记06显示为FAT16格式,此处肯定有错,但下一个虚拟MBR在哪里呢?开始迷茫了,利用查找下一个55 AA 字符,报剩余时间30小时.,此法肯定不行，难道就没有办法了吗？我的目的是抢救H分区的关键数据，通过修复分区表的方法不行，可不可以通过文件分配表FAT，文件目录表FDT直接读取数据区的数据以达抢救数据的目的，何不试试威力强求大的硬盘数据恢复EasyRecovery呢？马上动手。

启动EasyRecovery，选择 “数据修复”，再选择AdvancedRecovery,系统扫描到两个硬盘，并显示分区，第二硬盘第四个分区显示为“无法识别（21.4G）”，选中它，点击右边高级选项，在文件系统扫描页面“文件系统”“选项内容”中选中FAT32，点确定，软件开始扫描文件系统，不一会儿，令人惊喜的结果出来了，软件在第四个标注为“无法识别”的分区中找到了7个分区，且标出了开始结束扇区的逻辑地址，其中三个显示为FAT32格式，另四个仍标志为“无法识别”,分别如下：

无法识别：33238485—33238547 （31K）

FAT32：   33238548—52773524 （9.32G）

无法识别：52773525--52773587 （31K）

FAT32     52773588—64500974 （9.32G）

无法识别：64500975--64501037 （31K）

FAT32     64501038—78156224 （9.32G）

无法识别：78156225--78165359 （4.46M）

可以肯定,上面三个FAT32分区就是丢失的三个分区的F、G、H盘，选中最后一个FAT32分区，点下一步，经过近2小时慢长的扫描、焦急的等待，真的令人兴奋，文件夹、文件全部搜索到，赶紧转存，又经近两个小时的时间，转存完毕，至此，抢救数据的目的已经达到，一个通宵没有白熬了。

关键数据已经备份好，就不怕硬盘分区表再损坏了，可以重新分区、格式化就OK了，但想到朋友是不是还有其它重要数据自己也记不清的，既然已经扫到分区表起止地址，还是设法完全恢复它。经计算上述标注为FAT32的后三个地址均不在柱面的0磁头1扇区位置，肯定它不是真正的分区开始，而三个标注为“无法识别”的三个分区起始地址正好都在柱面的0磁头1扇区，由此可知，后三个分区的起止LBA逻辑地址应为：

33238485—52773524

52773525—64500974

64500975—78156224

结合前三个分区信息重新反推计算出分区表如下：

                                               80 01

01 00 07 FE FF CC 3F 00 00 00 4E 83 EE 00 00 00

                                    63    15631182

C1 CD 0F FE FF FF 8D 83 EE 00 34 0E BA 03 00 00

                                15631245    62524980

MBR1:15631245

                                                00 01

C1 CD 07 FE 7F B4 3F 00 00 00 E8 60 77 00 00 00

                                    63     7823592

41 B5 0F FE FF 04 27 61 77 00 0D AD 42 03 00 00

7823655  54701325

MBR2:23454900

                                               00 01

41 B5 0B FE 3F 16 3F 00 00 00 E2 48 95 00 00 00

                                    63    9783522

01 17 05 FE 3F D7 48 AA 0C 01 C0 14 2A 01 00 00

                                17607240   19535040

MBR3:33238485

                                               00 01

01 17 0B FE 3F D7 3F 00 00 00 81 14 2A 01 00 00

                                    63    19534977

01 D8 05 FE FF 04 08 BF 36 02 5A F2 B2 00 00 00

                               37142280   11727450

MBR4:52773525

                                                00 01

01 D8 0B FE FF B1 3F 00 00 00 1B F2 B2 00 00 00

                                  63       11727387

C1 B2 05 FE FF 04 62 B1 E9 02 D2 5C D0 00 00 00

                                48869730  13655250

MBR5:33238485

                                     00 01

C1 B2 0B FE FF 04 3F 00 00 00 93 5C D0 00 00 00

                                   63     13655187

手工修改分区表、存盘、重启电脑，全部分区显示出来，里面的文件完好无损，至此，该硬盘的数据100%恢复。

上述经历拿出来与大家共享，大虾们不要笑话，也由此可见，大家在电脑使用过程中遇到病毒破坏、误分区、误格式化、误删除等操作，硬盘数据都是可以恢复的，不要轻易放弃，尽管你的数据不重要，但也是非常可惜的，愿与志同道合者共同探讨QQ 258790708。