資料恢複知多少：寫在資料恢複之前的話

随着資料恢複被越來越多的人所認知，資料恢複技術已經逐漸揭去了神秘的面紗。但是伴随着神秘面紗的揭開，卻使很多人走入了另一個認識的誤區：資料恢複，會用電腦就會做。現在依然有很多人對資料恢複所需要的專業性持懷疑态度，覺得資料恢複隻不過就是用現成的軟體進行簡單的掃描，根本不存在什麼技術含量。誠然，資料恢複大多時候是要借助軟體的，因為軟體是人類智慧的結晶。但軟體畢竟隻是軟體，它沒有思維和分析能力，軟體所能做的隻是根據程式設計人員事先給定的條件進行判斷和恢複。資料所有者對資料存放的方式是不同的，而資料丢失的原因又是多種多樣的，資料恢複軟體并不能勝任所有的資料丢失情況。很多情況下需要資料恢複人員手工分析資料丢失的原因及破壞的結果，根據不同的情況靈活地制訂恢複方案。利用軟體隻能是利用計算機強大的運算能力和速度，而最主要的還是依靠人類的智能。尤其對于磁盤陣列的恢複，沒有紮實的理論基礎将會使某些陣列類型的分析和恢複變得異常困難。何況即便是軟體的使用也會存在很多的技巧，使用方法不當也會造成不可估量的損失，下面這個真實的案例就充分說明了這一點。

某女士家中的聯想電腦，硬碟容量20GB，隻分為一個分區，作業系統為WIN98。一日，兒子的同學來家中寫作業，想使用電腦時發現為古老的WIN98，于是對電腦進行了“更新”，操作者後來以書面形式送出給我們他的詳細操作過程如下：　　

　　1、使用XP安裝盤先對原無分區（指隻有一個分區）的20GB硬碟分區為C：5GB　D：4.6GB　E：10GB；

　　2、用NTFS格式化C分區并安裝XP；

　　3、(意識到資料丢失後)在XP下通過網絡下載下傳了資料恢複軟體；

　　4、将C分區下掃描出的已删除、格式化檔案大約132MB還原于某U盤，然後再返儲存至C分區；

　　5、試圖對D盤進行掃描時發現無法識别硬碟格式而掃描不出已删除檔案，用預設參數對D分區進行了NTFS格式化；

　　6、掃描D分區檔案并将還原後的非視訊檔案還原于C分區，還原了部分視訊檔案（ASF、WMA、RM格式），儲存至C分區；

　　7、對E分區格式化為NTFS，并掃描已删除檔案，約還原1.4GB，還原于D分區；

　　8、下載下傳安裝Office2003和Photoshop,安裝後對部分資料進行修複。

在這個案例中，雖然後來恢複了部分資料，但畢竟還是有很多資料再也無法找回了，這種損失是無法彌補的。現在讓我們來看看他在這次事件中都做了哪些錯誤操作：

在發覺自己的操作造成資料丢失之前，我們不稱其為錯誤，包括用WINXP安裝盤對硬碟進行分區、格式化C槽并裝入系統。

從第3步開始的操作應該是他已經知道自己前面的操作對資料造成的損害，開始試圖挽救資料。

　　對于資料恢複而言，最基本的常識是盡可能阻止對災難盤的任何寫操作，這樣才能最大限度地挽救資料。但在這種情況下，操作者繼續使用災難盤中的系統并上網下載下傳資料恢複軟體。在這個過程中，每個操作都會對磁盤産生寫入，這是破壞一；将下載下傳的軟體儲存在本地磁盤上，這是破壞二；還要再安裝軟體于磁盤，這是破壞三。第三步簡單的一句“在XP下通過網絡下載下傳了資料恢複軟體”一句話就已隐含了這麼多的破壞性。

　　看第四條“将C下掃描出的已删除、格式化檔案還原于某U盤，并返儲存至C分區”。

顯然，之是以他沒有直接儲存至C槽，是因為恢複軟體不允許他把資料再回寫至原掃描磁盤。但軟體作者的周全考慮卻無法阻止他把U盤中的資料再儲存回C槽。這樣，對C槽又進行了一次破壞操作。

　　第五步“由于無法識别硬碟格式而掃描不出已删除檔案，于是對D分區進行了NTFS格式化”。

看得出來，在裝系統時，他隻是對系統盤C進行了格式化操作并裝入了系統，這時隻是覆寫了磁盤較前部的空間，如果這時停止操作，還是有可能恢複出大多數資料的，遺憾的是操作者選擇了幾乎是毀滅性的操作。

他在這步操作中有幾個誤區：

首先，對作業系統管理檔案的方式一無所知。恢複資料時要根據最初磁盤的分區情況來進行恢複操作，而不是進行分區操作後的各個邏輯盤，否則與刻舟求劍無異；

第二，對恢複軟體的原理和操作以及資料存儲缺乏最基本的知識。一定是沒有找到RAW恢複方式而無法進行恢複操作，是以就進行了格式化操作，隻是為了讓“恢複軟體可以識别分區”，卻不知格式化操作本身就是對資料丢失現場的一種破壞。就象是因為無法開車進入田地裡尋找丢失的戒指，就在田地裡修了一條寬闊的馬路，卻不知道也許丢失的戒指已經被壓在了馬路下面。

　　第六步，将從D盤掃描出的資料恢複至C槽，對C槽再一次進行了破壞。

　　第七步重複第五步的錯誤，對E盤進行格式化操作。

　　第八步又下載下傳并安裝軟體，而且是兩個個頭都不小的軟體。檔案的修複并不是容易做的，何況恢複時的操作就是錯誤的，找到的内容并不是原來的正确内容，想把恢複出來的“牛”修複成“馬”，又怎麼可能呢？

資料發生丢失後，首先要知道保護現場。保護好現場就為後期的資料恢複打下了一個良好的基礎。

提示：着手進行恢複操作時，應該知道自己的每步操作是否會對磁盤産生寫入操作，會有什麼樣的寫入操作。這種寫入是否存在危險，是否是可逆操作。

本文轉自老骥伏枥51CTO部落格，原文連結：http://blog.51cto.com/sjhfml/129468 ，如需轉載請自行聯系原作者