当前位置: 主页 > 电脑配置 > 新瓶旧酒 CIH硬盘数据复原办法与范例

新瓶旧酒 CIH硬盘数据复原办法与范例

发布时间:02-03 22:38点击:

  一、根底学问

  1、DOS(DOS兼容零碎硬盘数据)的形成

  主分区和扩大分区构造根本类似,以次以主分区为例。

  主指导记载(MBR):MBR占一度扇区,正在CYL 0、SIDE 0 、SEC 1,由代码区和分区表形成。内中代码区能够由FDISK/MBR重建。

  零碎扇区:CYL 0、SIDE 0 、SEC 1-CYL 0、SIDE 0 、SEC 63,共62个扇区。

  指导区(BOOT):CYL 0、SIDE 1 、SEC 1 这是咱们过来称的DOS指导区。也占一度扇区。

  躲藏扇区:CYL 0、SIDE 0 、SEC 1,假如是FAT16那样占一度扇区,假如是FAT32则由此占32个扇区。

  资料调配表:正常有两个FAT表,FAT12、FAT16的第一FAT表正常均正在0-1-2,FAT32的第一FAT表正在0-1-33。FAT表是记载资料占用扇区联接的中央,假如两个FAT表都坏了,前因没有堪设计。因为FAT表的长短与以后分区的大小相关因为FAT2 的地点是需求打算的。

  根节目区:(ROOT)那里记载了根节目里的节目资料项等,ROOT区跟正在FAT2前面。

  数据区:跟正在ROOT区前面,这才是数据形式。

  2、主指导记载容易注明

  主指导记载是硬盘指导的终点,对于于代码区没有多说了,其分区表,比拟主要的是2个标记,正在偏偏移1BE,处的80 的标志示意零碎可指导,且整个分区表只能有一度80标志。 另一度就是开头的55 AA标志。用于示意主指导记载是一度无效的记载。

  实在,没有管MBR还是隐含扇区还是BOOT区,都没有主要,该署重定都比拟简单。对于数据复原来说,是否顺利的找回数据资料是主要的。此外,因为FAT表记载了资料正在硬盘上占用扇区的链表,假如2个FAT表都彻底保护了。那样复原资料,尤其是占用多个没有陆续扇区资料就相等艰难了。

  根本思是:

  1、FAT2没坏的状况,用FAT2遮盖FAT1。

  2、FAT2也曾经保护的状况,我正常是只等待找回内中某些要害的资料了。咱们最等待的是该署资料是陆续的。假如没有陆续的话,也并非没有能够,但这常常还要晓得资料的一些底细,囊括对于一些资料自身的联接构造有理解。假如FAT2没有彻底,是有定然用途的,此外,正常来说,FAT16的硬盘由于FAT表前的比拟重大,正常两个FAT表都坏了,小硬盘也很难复原了。

  二、一度根本复原被CIH硬盘数据的事例

  没有断有冤家问细工复原的技巧,过去复原了多块被CIH的硬盘,之因为选取这一次,是由于虽然复原顺利,但内中犯了一些谬误,不值留意。

  拜托复原用户:某银行零碎

  硬盘状况:CIH发生有该部门计算机人员曾用KV300 F10停止修补,但没有顺利,又复原了销毁的MBR。

  预备好软盘3张:

  DISK1 :WIN98发动盘(带DEBUG)

  DISK2:DISKEDIT等机器(此盘没有要写)

  DISK3:DOS下杀CIH的机器

  把我的硬盘摘下,挂上待复原的的硬盘,开机,进入SETUP,检测硬盘,把参数记下。

  CLY 620 HEAD 128 PRECOMP 0 LANDZ 4959 SECTOR 63 MODE LBA。

  用预备好的软盘发动:

  A:C:

  显现Invalid drive specification

  FDISK/MBR重建主指导记载(这是个习气),从新软盘指导(能够没有多余):这时曾经看的见C:硬盘。发动DISKEDIT,发动进程中显现Invalid media type reading DRIVER C,哎哟,算了,还是先用DEBUG 清空分区表, 并置80和55aa标记。从新发动,再运转DISKEDIT,显现设定为READ ONLY, 没联系,把CONFIGURATION中的只读选项去掉,存盘,好了,能够编者了。

  因为后来接的硬盘有多块,我把这块当成了是一块只要C分区(这是期待修补的另一块硬盘),因为没看别的货色,咱们等待FAT2没坏,以用FAT2遮盖FAT1,正在某个时分DISKEDIT要比DEBUG简单的多,正在FIND OBJECT中取舍 FAT,查一下起始扇区,好的,正在CYL 0 SIDE68 SEC 14,0000H,F8 FF FF 0F (FAT32的),好的,FAT2没坏。实在假如没有必DISKEDIT的能够用DEBUG查,偏偏移0000的F8 FF FF。

  因为认为只要C分区,因为,下去就正在FIND中查找IOSYS(IO 和SYS中要有空格)以查找ROOT区。找出后视察,能否有C:\ 下罕见资料。好的,ROOT区没被。记下了该扇区:CYL 0 、SIDE 68 、SEC 14,备用。

  FAT1正常后面曾经被了,但前面该当还正在,这能够作为审查。由于是32位的,FAT1 正常正在CYL 0 SIDE1 SEC 33。 由于有了ROOT 区而后该当打算FAT表的长短了,由于FAT2到ROOT前一扇区为止,因为无比容易。而后能够用FAT2遮盖FAT1,那里用DEBUG还是DISKEDIT都能够,假如用DEBUG正常是用INT 25读相对于扇区,再用INT 26写入,没有过正常要分多少次。忘记保存断点呀:-)用DISKEDIT能够MARK FAT2的形式COPY上去,正在WRITE到FAT1。

  而后能够复原主指导记载、隐含扇区和BOOT区,能够先用NDD修补分区表,而后能够思忖用规范遮盖法,假如你指望下一步由NORTON Utilities ,来接手该署都能够没有做。我从另一台FAT32上取来了,呼应的全体,写了出来。我这是发觉好象有一度D盘。先看一下正在说吧。好了,关灯串上我的硬盘,用NORTON Utilities扫描C盘,资料根本复原,对于C盘杀毒,WHY,没有发觉野病毒,换了2种杀毒硬件还是没有野病毒,更蹩脚的是,显现C盘是948M,有一度D盘,然而95下无奈阅读,DOS 下乱码。此外挂电话核实后来的状况,本来是26日那天,放进一张光盘,光驱灯亮了一会,就硬盘狂响,蓝屏死机了。该当我的推断一样,是光盘的AUTORUN顺序有CIH野病毒。因为说没有实时进攻威力的硬件是没成心义的。此外,他们的硬盘的确分两个区,并且主要资料正在D区。(气死我了!)

  而后正在修补D盘吧,再回到DOS,用DEBUG查找终了标记为55AA 的扇区,由构造断定能否为扩大分区。这时可算出大小来返主分区表。千万,许多机器也能够很好的实现这一任务。假如你没有掌握,就用他们实现好了。

  经历小结

  1、你没有要或者许凭回忆想一块硬盘该是怎样样的,定然要本人去看,我就是犯了某个谬误。

  2、KV300 F10的确如一些网友所讲,有定然心腹之患,假如银行的计算机人员正在用KV300 F10解决事先没有备份,能够要给我找些费事。

  3、复原数据要本着多少项准则:

  a、先备份,这也是然后我写HD-MIRROR的缘由;

  b、优先挽救最要害的数据;

  c、正在稳当的状况下先把最稳固的果儿捞进去(理当先修补扩大分区,再修补C),最好修补一全体备份一全体;

  d、要先作好预备,没有要忙中出错,因为我的工具没有装过NORTON,先解压,习气的敲了一度D:\TEMP,这才想兴起资料险乎解正在没有彻底的C盘上。

  实在看来,假如FAT2没坏的状况下,复原C盘数据常简单的,能够编程完成。假如FAT2保护了,最简单复原的千万是只占用一度扇区的资料和陆续的资料。

顶一下
(0)
0%
踩一下
(0)
0%
------分隔线----------------------------
电脑维修