数据恢复常识漫谈(原创)

　　当一块硬盘拿到手后，是不可用的，它需要经过分区，格式化后方能使用．分区程序FDISK的作用是在硬盘的0柱面0磁头1扇区写入主引导记录MBR和分区表记录DPT，同时建立一个分区表链，向所有的逻辑驱动器写入链表记录．格式化程序FORMAT的作用是在硬盘上建立相应的文件存储系统，就以ＷINDOWS为例，它是在分区内建立分区引导记录DBR,文件分配表FAT，文件目录表FDT和数据存储区DATA.DOIT博客v|"h%C-JX|u2Q
      硬盘上的数据在遭受外界破坏后，只要是数据存储区DATA未受到覆盖破坏，理论上都是可以恢复的，当然，即使数据真的被覆盖了，也有所谓的＂深层信号还原技术＂，但这不在本文的讨论范围之内．
6W!y0K#J b.V M,y0　　数据恢复的前提前面已说过了，数据恢复的原理就是依靠数据在磁盘上残余的特征码来经过查找所获得数据的．这其中包括ＭＢＲ，ＤＰＴ，分区表链，ＤＢＲ，ＦＡＴ，ＦＤＴ以及ＤＡＴＡ区文件的特征描述等等．DOIT博客 U6g N5d2Y/Ec7M
　　下面举一例以ＤＡＴＡ区文件的特征描述来查找文件的例子：DOIT博客&kM'fOHwUP
　　首先准备好磁盘编辑工具ＷＩＮＨＥＸ，（它是目前最好用的一款磁盘编辑器，我还没见到哪一款胜过它,目前最新版本是1４．０,可以去URLhttp://cttnb.onlinedown.net/down/WinHex_14.0_SR-1_SC.zip下载），打开WINHEX,选择"工具"--------->"打开磁盘",如下图所示:DOIT博客"AZ!_mi2m\
    DOIT博客FwR$M't^
然后,打开逻辑驱动器G盘,如下图所示:DOIT博客5V$gNf_U+[4^U&@
DOIT博客9k2Nv;Gg

R/Yd4D'Nw g0DOIT博客5m4W@Pl4^"I
再打开菜单"搜索",选择"查找十六进制数值",如下图所示:
V{DLo{%dZE\$[0
`f)_j"k$w@6|R0DOIT博客$xd })d L'dtU
DOIT博客 fNwwFI
DOIT博客4MAj4]/{#R1r4H
这里我们要查找的是MIDI文件,它的特征码是4D 54 68 64,现在我们在搜索框输入"4D 54 68 64",并选择上"条件偏移512=0",开始查找,如下图所示:DOIT博客kE,PN-XLM!k
DOIT博客,a6^x_eZ

+cm
gzp DV4v1WF5U0DOIT博客H H2Y(j$W*} uL
DOIT博客!? \.cV-QF!U
DOIT博客9vY#[9d \;l,B
WINHEX查找大约十几分钟后,就可以找到我们所需要的数据,图示如下:
O%NDw(f[$~C0  
(S2B9w OZ&p7Z0
%W4p7f)Oa$Z ]0
8|8MBj Df0DOIT博客a1n#u+TR)vi@
  
z O N ~_o(l0}0我们从"位置管理器"中选择一个MIDI文件,  并在选中的文件开始部分单击鼠标右键,选择"选块开始",这里我们假设文件中磁盘存储区域上是连续的,这样,我们再在"位置管理器"中选择另一个MIDI文件,并在其特征码的前一行上单击鼠标右键,选择"选块结尾",这样一个MIDI文件的存储区域就被选中了,然后,再在选中的区块上单击鼠标右键选择
]*H(]]Yb\3Lp0"编辑"-------->"复制选块"----->"置入新文件",如下图所示:
A4iGi8i*w1Hoi0 
z+C]dPHu.a I%Y0DOIT博客\%E|(Z],avyh.Q
DOIT博客:IX#r,WKB-H.Wo w

oL;N7s(]EPY0这时,我们只要把文件保存成以MIDI为后缀名的文件就可以了,这样,一个MIDI文件就恢复了,打开WINAMP就可以听了.DOIT博客gOF3SvP
 DOIT博客l}.p
IfH,qL,Mb |
      注:由于本人才疏学浅,文中不对之处,还请各位大虾指正,并欢迎各位转载本文,但请保留来源信息及作者姓名.DOIT博客j sZ(nu"v5N,c
DOIT博客2v3X)O{"O0B*c)`6v2F:e+W