NTFS格式大硬碟資料恢復特殊案例分析(轉)

NTFS格式大硬碟資料恢復特殊案例分析(轉)[@more@]

　　公司一塊80G 邁拓金九硬碟，某天突然進不了分割槽，提示為“無法訪問X： 引數錯誤”。硬碟上為該公司為本市攝製和編輯的運動會影片和音訊檔案，攝錄磁帶中已清除，運動會也不可能再開一次。先前到某電腦公司去試過，結果沒能解決問題。廣告公司經理和我的一個朋友是朋友，知道此事後就轉來我處。

　　

　　修復過程：該硬碟為只有一個NTFS分割槽的資料盤，先在DOS下用扇區編輯軟體檢視LBA0--63扇區，結果發現分割槽表和63扇區都有錯誤，1―62扇區間有大量扇區被寫上不明程式碼，87-102扇區不正常，先手工修復分割槽表，恢復63引導扇區，刪除1―62扇區間的程式碼。87-102扇區之間暫不處理，到WINDOWS下檢查，結果還是出現同樣的提示，試用恢復軟體1，可以看到目錄結構，再試FINALDATE，這個軟體此時太不盡人意；用恢復軟體1選擇某目錄進行試恢復，結果28個試恢復檔案只恢復2個，其餘的全部為0位元組，恢復工作陷入困境。再次對79-102扇區進行分析，79扇區面目全非，被嚴重篡改破壞，80-86扇區被清空，87-102扇區的內容也不正常。經過一番苦思冥想，對某些扇區進行備份後做清除，備份被放到1-62扇區之間，以備不測時改回原樣。

　　

　　再次在WINDOWS下用恢復軟體1進行恢復，讓其讀該盤約10秒鐘，停止掃描，看到的內容和前面提到的相同，試恢復一個資料夾，從恢復過程能看到這時恢復動作正常了，隨後對其餘的檔案和資料夾進行恢復，近3個多小時後，63.9G資料全部恢復，檔案中幾乎就AVI、WAV、PSD和其它格式的圖形檔案，逐個開啟完全正常。恢復工作順利結束，大功告成。

　　

　　後來一個朋友說這個分割槽應該是2000格式化出來的，mft在分割槽的前面，很容易被破壞，象此案裡裡面87-102扇區裡大約有6個左右的使用者檔案/資料夾是恢復不出來的，但102~~以後的檔案應該能完全恢復的。在ntfs裡面，一般90扇區以後的mft才是使用者的檔案資訊，前面的是系統的一些元檔案，對資料恢復影響不大的。

　　

　　個人覺得ntfs還是比較先進的，檔案碎片都放在一個mft裡面，只要這個扇區沒有被破壞，就可以恢復。

　　

　　NTFS的結構確實比較複雜，正常情況下所有的操作MFT中有記錄。但是，那些扇區被使用，那些沒被使用，這些概念還是很有用的。

　　

　　實驗盤被刪除79-102扇區內容後，開機後不需要第三方軟體，檔案和目錄直接可以讀出複製到其它地方。檢視被刪除扇區內容，95扇區後的內容都自動修復了，80-94嘛。。。。看來MFT中應該還有一個備份，或是具有自動修復功能。

　　

　　故障盤為何就不能自動修復？且不讓訪問。故障盤中某些扇區看來是被利用了。它的資料恢復是透過第三方軟體得到的，對第三方軟體來講，就算格式化了，絕大部分資料還是能找回來的。