下面，我們就開始恢復(fù)分區(qū)表（共64個(gè)字節(jié)，分為4個(gè)分區(qū)表項(xiàng)，每個(gè)分區(qū)表項(xiàng)占用16個(gè)字節(jié)，一般只使用前兩個(gè)分區(qū)表項(xiàng)），我們首先來恢復(fù)第一個(gè)分區(qū)標(biāo)項(xiàng)（也就是用來描述C盤的）。

首先，在第1個(gè)字節(jié)處（0扇區(qū)倒數(shù)第五行，倒數(shù)第二個(gè)字節(jié)）填上分區(qū)引導(dǎo)標(biāo)志，因?yàn)镃盤是活動(dòng)分區(qū)，所以填上80。
接著是第2、3、4字節(jié)（本分區(qū)起始磁頭號(hào)、扇區(qū)號(hào)、柱面號(hào)），填上：01 01 00。
第5字節(jié)是分區(qū)類型符，因?yàn)樵菴盤是Fat32格式，所以填上：0B。那么，如果你不知道C盤是什么格式怎么辦呢？你會(huì)說問問客戶呀，那么如果他也不知道呢？別著急，后面在說恢復(fù)DBR的時(shí)候我會(huì)教你怎么分辨分區(qū)的格式。
第6、7、8字節(jié)是本分區(qū)的結(jié)束磁頭號(hào)、扇區(qū)號(hào)、柱面號(hào)，這怎么知道呢？別著急，現(xiàn)在的磁盤都是按照LBA方式尋址，并不按照C/H/S(及柱面、磁頭、扇區(qū))方式尋址，所以這個(gè)地方你填些什么一般關(guān)系不大，但是我要告訴你有一個(gè)通用的填法，那就是：FE FF FF。
第9、10、11、12字節(jié)，本分區(qū)之前已用了的扇區(qū)數(shù)，也就是MBR所占用的扇區(qū)數(shù)，那不是63嗎？對(duì)，但是要將63轉(zhuǎn)為十六進(jìn)制數(shù)，再反過來倒著填寫上。還記得怎么用計(jì)算器嗎？將63轉(zhuǎn)為十六進(jìn)制數(shù)是3F，不夠四個(gè)字節(jié)前面加零，也就是00 00 00 3F，再將此數(shù)從右向左依次序反過來就是3F 00 00 00。

第13、14、15、16字節(jié)是本分區(qū)的總扇區(qū)數(shù)，也就是C盤的大小，這就要通過稍微一點(diǎn)點(diǎn)計(jì)算來得到了。因?yàn)镃盤是從第63個(gè)扇區(qū)開始，而C盤后面緊接著的是EBR，所以用EBR所在的第一個(gè)扇區(qū)數(shù)減去63就是C盤的大小。那么如何才能找到EBR所在的第一個(gè)扇區(qū)呢？我們前面說過，EBR的結(jié)構(gòu)和MBR是一樣的，所以，EBR的結(jié)束標(biāo)志也一定是55AA，那么，只要我們找到這個(gè)結(jié)束標(biāo)志，再看看這個(gè)扇區(qū)是不是EBR不就行了？

單擊“搜索”——“查找十六進(jìn)制數(shù)值……”，然后出來一個(gè)對(duì)話框

在文本框中輸入“55AA”，搜索框中選“全部”，然后選中“條件”，把偏移量設(shè)置為“512=510”。

再單擊“確定”。畫面如下：

首先找到第一個(gè)“55AA”，我們看到，個(gè)扇區(qū)在第63個(gè)扇區(qū)上，并不是我們要找的EBR，再按F3繼續(xù)查找

又找到好幾個(gè)扇區(qū)，都不是，那么下面這個(gè)扇區(qū)是不是？

前面我們說過，EBR的結(jié)構(gòu)和MBR的結(jié)構(gòu)是一樣的，所以在倒數(shù)第五行倒數(shù)第二個(gè)字節(jié)應(yīng)該是00 01，并且前446個(gè)字節(jié)應(yīng)該是0，顯然這也不是EBR，繼續(xù)按F3查找……終于找到了真正的EBR，在1435392扇區(qū)。

小技巧：現(xiàn)在的硬盤都比較大，要逐個(gè)扇區(qū)的查找55AA確實(shí)太慢了，那么有沒有辦法快點(diǎn)呢？有，那就是先問問客戶C盤大概有多大，大多數(shù)客戶還是知道的，比如他說C盤大概有10個(gè)G，那么你就不要從頭開始找了，因?yàn)槟菍?shí)在太慢了。10個(gè)G大概是2000萬個(gè)扇區(qū)，那么你可以用轉(zhuǎn)到扇區(qū)命令直接到1900萬扇區(qū)，從那個(gè)地方再開始找不就省事多了。

用1435392減去63，得到1435329，再轉(zhuǎn)為16進(jìn)制，就是15E6C1，將他倒轉(zhuǎn)過來就是C1E61500，這就是C盤的大小。這樣，第一個(gè)分區(qū)表項(xiàng)填寫完畢，我們保存一下，再接著填寫第二個(gè)分區(qū)表項(xiàng)。

第二個(gè)分區(qū)表第1個(gè)字節(jié)：因?yàn)槭欠腔顒?dòng)分區(qū)，所以寫00
第2、3、4字節(jié)，填寫01 01 00（通用的）
第5字節(jié)：因?yàn)槭菙U(kuò)展分區(qū)，所以填寫0F
第6、7、8字節(jié)：填寫FE FF FF(通用)
第9、10、11、12字節(jié)是本分區(qū)之前已用了的扇區(qū)數(shù)，應(yīng)該就是C盤大小加63，也就是1435392，前面剛計(jì)算出來的，轉(zhuǎn)為十六進(jìn)制數(shù)再反過來就是00 E7 15 00

第13、14、15、16字節(jié)是本分區(qū)的總扇區(qū)數(shù)，也就是擴(kuò)展分區(qū)的總扇區(qū)數(shù)，也就是用整個(gè)硬盤的大小減去C盤的大小再減去63，即4124736-1435329-63=2689344，轉(zhuǎn)為十六進(jìn)制就是290940，反過來就是40092900。

這樣，第二個(gè)分區(qū)表項(xiàng)就填寫完了。

不要忘了把最后的結(jié)束標(biāo)志55AA填上，這樣，MBR就全恢復(fù)完了，最后，保存，再重新啟動(dòng)……

啟動(dòng)完畢，迫不及待的打開我的電腦，發(fā)現(xiàn)三個(gè)分區(qū)全部又回來了，并且里面的數(shù)據(jù)完好無損。

再右擊“我的電腦”，選“管理”

出現(xiàn)一個(gè)對(duì)話框，選“磁盤管理”，在右邊可以看到磁盤一的三個(gè)分區(qū)(Fat32、Fat16、Ntfs)全部都回來了，至此，手工恢復(fù)分區(qū)表順利完成。

手工恢復(fù)數(shù)據(jù)恢復(fù)成功率比較高，而且比較有趣味和挑戰(zhàn)性，能找回許多傻瓜似的軟件所找不回來的文件，但是要求工程師一定要有耐性，而且一定要保持清醒，清楚自己正在操作什么，操作完了會(huì)有什么后果，能不能退回到上一步狀態(tài)。特別是對(duì)一些破壞性操作，一定要考慮周到，只要條件允許，就一定要在操作之前進(jìn)行備份，否則會(huì)造成“血”的教訓(xùn)，切記?。?！
下面我們會(huì)說到手工恢復(fù)DBR、FAT（此教程被收錄在付費(fèi)教程中），這些比手工恢復(fù)分區(qū)表還要復(fù)雜，更需要大量的計(jì)算。再說完了使用Winhex手工恢復(fù)數(shù)據(jù)之后，我們會(huì)說到一些數(shù)據(jù)恢復(fù)軟件，結(jié)合數(shù)據(jù)恢復(fù)軟件會(huì)使數(shù)據(jù)恢復(fù)成功率大大提高，但有一些軟件在掃描過程中會(huì)對(duì)原盤破壞數(shù)據(jù)，在使用中一定要謹(jǐn)慎?。?！而且同一個(gè)軟件，一個(gè)新手用和一個(gè)老手用數(shù)據(jù)恢復(fù)成功率絕對(duì)是不一樣的，這些軟件我們會(huì)免費(fèi)贈(zèng)送，絕對(duì)不會(huì)讓你學(xué)習(xí)了資料卻找不到軟件的。

FAT文件系統(tǒng)下的手工數(shù)據(jù)恢復(fù)案例

關(guān)鍵詞：數(shù)據(jù)恢復(fù)，數(shù)據(jù)恢復(fù)資料，數(shù)據(jù)恢復(fù)技術(shù)

本文針對(duì)FAT分區(qū)。使用工具：winhex（非數(shù)據(jù)恢復(fù)專用）

磁盤的具體存儲(chǔ)原理，這里我解釋一下：

1、剩余扇區(qū)是什么：剩余扇區(qū)有分區(qū)內(nèi)的剩余扇區(qū)和整個(gè)磁盤的剩余扇區(qū)。

先說分區(qū)內(nèi)的扇區(qū)：描述磁盤容量的單位是扇區(qū)，分區(qū)內(nèi)部又是采用簇來管理的。通常情況下，扇區(qū)的容量是512b,簇的單位容量大于等于扇區(qū)的容量。以具體事例來講，一個(gè) 7gb的fat32分區(qū)，其簇的大小是4k,相當(dāng)于8個(gè)扇區(qū)，而分區(qū)內(nèi)的存儲(chǔ)單位是4k,分區(qū)的扇區(qū)總數(shù)如果不是8的倍數(shù)，那余下來的扇區(qū)便是剩余扇區(qū)了。

整個(gè)磁盤的剩余扇區(qū)與上述原理相似，不同的是，每個(gè)分區(qū)的結(jié)束必須以254頭，63扇為結(jié)束（也應(yīng)該是老的磁盤管理模式留下的弊端吧！雖然分區(qū)內(nèi)是以線性邏輯扇區(qū)為首要參數(shù)的）也就是說，如果磁盤的總?cè)萘空梅植粌粢粋€(gè)柱面的容量(1*254*63*512b=8193024b),那么，剩下的容量便是整個(gè)磁盤的剩余扇區(qū)了，其最大也就是大約7.8m。這也是通常情況下，分區(qū)的最小容量是7.8m，分區(qū)容量是8193024b倍數(shù)的原因。（簡圖并未畫出整個(gè)磁盤的剩余扇區(qū)，大家理解吧!)

2、對(duì)于fat32的保留扇區(qū)的數(shù)目，一般來說是32個(gè)，但也不肯定是，有時(shí)候可能會(huì)是38個(gè)或其他數(shù)目，當(dāng)然也可以在dbr中的bpb（bios parameter block）參數(shù)表中更改，后面要講到在數(shù)據(jù)恢復(fù)中了解他的重要性。（dbr的參數(shù)說明到數(shù)據(jù)恢復(fù)網(wǎng) 找找）

3、在小容量的磁盤分區(qū)中也存在fat16的分區(qū)格式，原理嗎？和軟盤的存儲(chǔ)原理相，見數(shù)據(jù)恢復(fù)網(wǎng) “反黑行動(dòng)之?dāng)?shù)據(jù)恢復(fù)”。

下面我們進(jìn)入實(shí)戰(zhàn)：

第一種情況，分區(qū)被格式化。如果格式化以后，當(dāng)然可以用現(xiàn)成的數(shù)據(jù)恢復(fù)軟件來恢復(fù)，但軟件畢竟是軟件，并不能應(yīng)對(duì)多變的復(fù)雜的情況。而手工不同，如果對(duì)磁盤結(jié)構(gòu)了解，是可以最大程度的恢復(fù)的。我們拋開數(shù)據(jù)恢復(fù)軟件來看和通過手工來恢復(fù)被格式化的磁盤分區(qū)。

對(duì)于fat格式的分區(qū)（包括fat16)，format命令會(huì)重建dbr扇區(qū)，清空兩個(gè)fat表，清空分區(qū)的第一個(gè)簇（存放原根目錄）。不管是快速格式化還是完全格式化（快速格式化和完全格式化的區(qū)別在于他們是否對(duì)所涉及到的磁盤扇區(qū)進(jìn)行檢測掃描，清除上面的數(shù)據(jù)事都要做得)。對(duì)于dbr，分區(qū)只要正確格式化就會(huì)生成正確的dbr,故而重點(diǎn)是fat表和原根目錄（如果原根目錄大于一個(gè)簇，這僅僅是第一個(gè)簇，為了方便，以后就以原根目錄稱）的問題。如果你格式花前備份了此分區(qū)的fat表和根目錄。那么，只要將dbr初始化，恢復(fù)fat表和根目錄即可完全恢復(fù)數(shù)據(jù)。不過，既然是被格式化，那一定沒有fat表和根目錄的備份（廢話?。。。＠^續(xù)：

先說根目錄，跟目錄的第一扇一但清空，別無法找回了。所以，格式化前存儲(chǔ)在根目錄的文件就會(huì)因其在第一扇存儲(chǔ)的文件特征描述表丟失而很難找回了，除非你知道文件中包含的特征字符串，根據(jù)其在整個(gè)分區(qū)內(nèi)查找，又確定文件的大小，而恰好要恢復(fù)的文件又是在磁盤內(nèi)連續(xù)存儲(chǔ)的。

再說fat表，fat表的丟失對(duì)交叉存儲(chǔ)的文件來說是幾乎毀滅的災(zāi)難。原則上如果丟失，就只能恢復(fù)從文件第一簇開始的連續(xù)幾簇了。但一般如要恢復(fù)的文件較小或分區(qū)并未經(jīng)過頻繁的文件刪增的話， 還是有希望的。

手動(dòng)填寫fat表是不現(xiàn)實(shí)的，我們只好先讓原來的目錄結(jié)構(gòu)重現(xiàn)，再想辦法。windows的磁盤文件格式是tree型的，格式化只是將tree的根折，在根折斷以后，其實(shí)就象生成了多顆tree（想想數(shù)據(jù)結(jié)構(gòu)）。如果我們要恢復(fù)的文件全部位于一個(gè)子目錄當(dāng)中。那好了，我們只要將這顆子樹的樹根放入原tree 的根位置上，即可生成一顆新樹。推介使用winhex,下面以winhex為例具體而言，首先，若磁盤未格式化或格式化格式不太正確，先格式化，以生成可參照的dbr和fat表。接著我們?cè)诜謪^(qū)中尋找相關(guān)的字符串來確定此子樹的'根'位置。，如記得原目錄中有sjhfnet.txt的文件（選擇其他目錄沒有或很少有此文件名的文件），可在整個(gè)分區(qū)內(nèi)查找'sjhfnet txt',再根據(jù)相關(guān)特征確定。這時(shí)候注意一下，我們需要目錄中提供的'.'目錄來推測原分區(qū)的一些特性，主要是dbr中的bpb參數(shù)，如保留扇區(qū)的數(shù)目。（一般是不不會(huì)錯(cuò)的，但如果有那怕一個(gè)扇區(qū)的出入，整個(gè)分區(qū)中目錄的映射將不能套用，還是看看吧?。?，是不是要問，'.'目錄是什么？學(xué)過dos的人都知道，目錄'.' 表當(dāng)前所在目錄，'..'表上級(jí)目錄，在32個(gè)子節(jié)的目錄項(xiàng)中，包含有和其他目錄項(xiàng)相同的特征，我們關(guān)心目錄的位置（在原分區(qū)格式的第幾個(gè)簇中），他應(yīng)該是等于他所在的簇號(hào)的！也就是

看一下偏移量為15h 14h 1bh 1ah的數(shù)值是否等于現(xiàn)在簇號(hào)。在winhex中格式化后的磁盤可清楚的列出當(dāng)前簇的簇號(hào)，可比較一下（可能需要16進(jìn)制與10進(jìn)制的轉(zhuǎn)換）。

相同不說了，如果不相同，也應(yīng)該相差不多。計(jì)算一下相差的簇的數(shù)目，然后在本分區(qū)dbr扇區(qū)的0eh~0fh作相應(yīng)增減，是保留扇區(qū)的數(shù)目回到原來的數(shù)目。重起一下計(jì)算機(jī)，是新的dbr生效，清空現(xiàn)fat表（根目錄簇可以不清空，因后邊講到會(huì)覆蓋的）。文件目錄項(xiàng)的映射與實(shí)際地址便正確的結(jié)合了。（不明白嗎？想想原理，努力消化一下）

接著將找到的簇復(fù)制----〉定位到現(xiàn)在的根目錄----〉寫入。

打開“資源管理器“，瀏覽，出來了嗎？

慢！還沒完，現(xiàn)在的目錄結(jié)構(gòu)是出來了，但還不能訪問，因?yàn)閒at表所記錄的簇還是空閑的。怎么辦？手動(dòng)寫，算一下，可能寫完得30年吧！呵呵！哪。。。。，其實(shí)，如果要恢復(fù)的文件大小都在1簇范圍內(nèi)，可在win98下運(yùn)行磁盤掃描程序，在出現(xiàn)修復(fù)的提示時(shí)選相應(yīng)的選象修復(fù)即可（別選“刪除涉及到的文件”選項(xiàng)，另外，win2000下不行，掃描程序會(huì)直接刪除文件的）。這樣，大小在1簇范圍的文件別完全恢復(fù)了（包括文件）。那如何在這種情況下恢復(fù)大于1個(gè)簇的文件呢？一是你可以寫一個(gè)小的程序來實(shí)現(xiàn)涉及到的簇的連續(xù)。如果你不會(huì)，那么也不難，得一個(gè)一個(gè)文件的來。打開winhex,使用它的目錄模板跳轉(zhuǎn)到文件的存儲(chǔ)區(qū)，從當(dāng)前簇復(fù)制大小為文件大小的一塊連續(xù)數(shù)據(jù)，寫入新文件中（記得寫在其他分區(qū)中），即可！當(dāng)然，如果簇?cái)?shù)較少，可直接在fat1中改動(dòng)。

另外，這樣恢復(fù)的文件也不一定正確。要看當(dāng)初文件的存儲(chǔ)是否連續(xù)了？如果恢復(fù)后的文件不能用，那。。。。聽天由命吧?。。。ㄒ茨阍诖疟P中在查找，分析，自己把它連接起來。不過，工作量嗎？。。。）

這樣恢復(fù)的是以前一個(gè)子目錄的數(shù)據(jù)。如果有多個(gè)目錄的數(shù)據(jù)要恢復(fù)，可用同樣的方法替換根目錄（第一個(gè)數(shù)據(jù)簇），也可以采用手動(dòng)建立根目錄的方法，不過，別在資源管理器中進(jìn)行，手動(dòng)在winhex中做吧！還有，要是恢復(fù)的目錄中有多個(gè)簇，再用同樣的方法，查找，作為根目錄。

這是分區(qū)格式為fat32的情況，如fat16則不需考慮保留扇區(qū)的數(shù)目情況，fat16無保留扇區(qū)。

這是有目錄項(xiàng)的情況。

再來說一下在無目錄項(xiàng)參照的情況：

以下默認(rèn)為欲恢復(fù)文件是存儲(chǔ)在FAT32文件格式當(dāng)中的文件。

假如你的磁盤已經(jīng)被xxx破壞的一塌糊涂。或者已經(jīng)經(jīng)過了N位高手二次處理"加工"過了，什么工具軟件都用過了！結(jié)果仍然沒有看到你需要的數(shù)據(jù)的影子。或者你要恢復(fù)的數(shù)據(jù)本來就很少（若干源代碼，或是若干論文，若干小的數(shù)據(jù)庫，或是確認(rèn)在數(shù)據(jù)丟失前正好做了磁盤碎片整理），不值得采用我上面采用的方法。你可以采用在磁盤內(nèi)通過查找的方法，總結(jié)來找回?cái)?shù)據(jù)（不要笑，有技巧的，況且，也許這是唯一的方法?。?/p>

可以通過磁盤文件的存儲(chǔ)特征和文件固有的類型特征來考慮?？催^《反黑行動(dòng)之?dāng)?shù)據(jù)恢復(fù)》（風(fēng)般的男人著）應(yīng)該可以知道，文件在磁盤內(nèi)至少是以扇區(qū)為單位的，也就是說，每個(gè)文件在磁盤內(nèi)實(shí)際存儲(chǔ)的開始，一定是某扇區(qū)的開始。這是其一，其二是每種類型的文件都有其特定的文件標(biāo)志，可根據(jù)文件的特定標(biāo)志（通常還是在文件的開頭）與其在磁盤的位置來圈定。

如果是文本文件，可通過在磁盤內(nèi)查找特征字串的方法來找到。不過，稍有知識(shí)的人是都知道的，不說了。（還是使用winhex吧！硬盤速度可以的話，應(yīng)該查找1G的空間不超過1分鐘)

我們來通過具體的例子看一看已加密或無明顯特征字串的情況（這是最通常的情況）。以一Office文檔的恢復(fù)為例。

Office文檔的實(shí)際構(gòu)成總是以

“00000000 D0 CF 11 E0 A1 B1 1A E1 00 00 00 00 00 00 00 00 邢.唷??.......”

開頭，以下列二進(jìn)制特征為尾：

---------------------------------------------------------------------------------

00148940 FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF

00148950 FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF

00148960 FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF

00148970 FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF

00148980 FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF

00148990 FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF

001489A0 FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF

001489B0 FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF

001489C0 FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF

001489D0 FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF

001489E0 FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF

001489F0 FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF

00148A00 01 00 FE FF 03 0A 00 00 FF FF FF FF 06 09 02 00 ..?....????....

00148A10 00 00 00 00 C0 00 00 00 00 00 00 46 18 00 00 00 ....?.....F....

00148A20 4D 69 63 72 6F 73 6F 66 74 20 57 6F 72 64 20 44 Microsoft Word D

00148A30 6F 63 75 6D 65 6E 74 00 0A 00 00 00 4D 53 57 6F ocument.....MSWo

00148A40 72 64 44 6F 63 00 10 00 00 00 57 6F 72 64 2E 44 rdDoc.....Word.D

00148A50 6F 63 75 6D 65 6E 74 2E 38 00 F4 39 B2 71 00 00 ocument.8.?瞦..

---------------------------------------------------------------------------------

(這是在winhex中顯示的情況，此部分內(nèi)容是最后扇區(qū)的中間部分的內(nèi)容＃

既然文件頭尾標(biāo)志已確定，即可在磁盤中搜索了?？伤阉魉械?ldquo;D0 CF 11 E0 A1 B1 1A E1 ”，保存其位置。在搜索特定的尾標(biāo)志，保存其位置。觀看在winhex“位置管理器”中的所保存位置。刪除位置不是以"000H"，"002H"， "004H"，"006H"，"008H"結(jié)尾的文件頭標(biāo)志（因?yàn)樯葏^(qū)容量512B=200HB)。刪除不合位置特征的尾標(biāo)志（通過對(duì)200H取余的結(jié)果看）。再刪除多出來的頭或尾標(biāo)志。（應(yīng)該成對(duì)出現(xiàn)）

此例以Word 2000文檔為例。通常情況下，word文檔的大小不可能太大。在winhex的位置管理器當(dāng)中，所有的位置是以地址來排序的。所以，看一下成對(duì)的頭尾標(biāo)志其偏移是否合邏輯。如不合，刪了！

那么，剩下來的便是最有可能的了。剩下的，不用說了吧！將每一對(duì)頭尾地址之間的數(shù)據(jù)保存即可。（成不成功看命吧?。?/p>

這是以O(shè)ffice文件為例說明。其實(shí)大多數(shù)文件都有特征標(biāo)志，可參看相關(guān)資料或自己研究。對(duì)于沒有特定尾標(biāo)志的文件，它的結(jié)構(gòu)也有特征，結(jié)合頭標(biāo)志和結(jié)構(gòu)看吧！(不過可能稍難點(diǎn)!) 還有，恢復(fù)的文件當(dāng)中可能有你刪除了的文件，沒有辦法。只好一視同仁了。不過一般情況下，已刪除文件的開頭是最先被系統(tǒng)的其他文件覆蓋的，可能也能降低工作量吧！

最新評(píng)論