第4章 數(shù)據(jù)恢復(fù)
    4.1硬盤數(shù)據(jù)丟失的原因及數(shù)據(jù)恢復(fù)原則
    4.1.1造成硬盤數(shù)據(jù)丟失的原因
    數(shù)據(jù)丟失的可能原因如下：
    （1）惡意程序的破壞；
    （2）誤操作；
    （3）操作系統(tǒng)或應(yīng)用軟件的錯(cuò)誤；
    （4）硬件失效；
    （5）加密和權(quán)限；
    （6）斷電。
    數(shù)據(jù)丟失的主要表現(xiàn)如下：
    （1）不能進(jìn)入系統(tǒng)；
    （2）出現(xiàn)壞道；
    （3）分區(qū)丟失；
    （4）文件丟失；
    （5）密碼丟失；
    （6）文檔打不開或出現(xiàn)亂碼。
    現(xiàn)有的數(shù)據(jù)恢復(fù)實(shí)踐和經(jīng)驗(yàn)表明：大多數(shù)情況下，用戶找不到的數(shù)據(jù)往往并沒有真正丟失和被破壞，80％的數(shù)據(jù)都是可以恢復(fù)的。下面介紹常見的幾種數(shù)據(jù)丟失的原因及恢復(fù)。
    1．病毒破壞
    破壞硬盤數(shù)據(jù)信息是計(jì)算機(jī)病毒主要的設(shè)計(jì)目的與破壞手段。有些病毒可以篡改、刪除用戶文件數(shù)據(jù)，導(dǎo)致文件無法打開，或文件丟失；有些更具破壞力的病毒則修改系統(tǒng)數(shù)據(jù)，導(dǎo)致計(jì)算機(jī)無法正常啟動(dòng)和運(yùn)行。針對病毒導(dǎo)致的硬盤數(shù)據(jù)丟失，國內(nèi)各大殺毒軟件廠商都有了相當(dāng)成熟的恢復(fù)經(jīng)驗(yàn)，例如，江民科技的KV系列殺毒軟件就曾將恢復(fù)這類數(shù)據(jù)的過程在軟件中設(shè)計(jì)成了一個(gè)模塊，即使是初級的用戶也只需經(jīng)過簡單的幾個(gè)步驟就可恢復(fù)85％～100％的數(shù)據(jù)。

    2．軟件破壞
    軟件破壞通常包括誤刪除、誤格式化、誤分區(qū)、誤克隆等。目前的硬盤數(shù)據(jù)恢復(fù)技術(shù)對于軟件破壞而導(dǎo)致的數(shù)據(jù)丟失恢復(fù)成功率相當(dāng)高。此類數(shù)據(jù)恢復(fù)技術(shù)已經(jīng)可以對FAT12、FAT16、FAT32、NTFS4. 0、NTFS5. 0等分區(qū)格式，DOS、Windows NT/2000/XP、UNIX、Linux等操作系統(tǒng)完全兼容。
    3．硬件破壞
    如果是介質(zhì)設(shè)備硬件損壞，電路板有明顯的燒毀痕跡或設(shè)備（如硬盤）有異響或BIOS不識別硬盤參數(shù)。對于這類故障，通常要首先排除硬件故障，使介質(zhì)在特殊的工作平臺上能正確地工作；其次是要確認(rèn)所發(fā)生的硬件故障沒有破壞存儲數(shù)據(jù)的介質(zhì)本身，這種情況下數(shù)據(jù)恢復(fù)的概率就相對要低多了。

    4.1.2恢復(fù)數(shù)據(jù)的原則
    數(shù)據(jù)修復(fù)就是把遭受破壞或誤操作導(dǎo)致丟失的數(shù)據(jù)找回來的方法，包括硬盤、軟盤、可移動(dòng)磁盤的數(shù)據(jù)恢復(fù)等。數(shù)據(jù)恢復(fù)可以針對不同操作系統(tǒng)（DOS、Windows NT/2000、UNIX、NOVELL等）的數(shù)據(jù)進(jìn)行恢復(fù)。對于一些比較特殊的數(shù)據(jù)丟失，如數(shù)據(jù)被覆蓋、低級格式化、磁盤盤片嚴(yán)重?fù)p傷等，數(shù)據(jù)恢復(fù)可能會出現(xiàn)完全不能恢復(fù)或只能恢復(fù)部分?jǐn)?shù)據(jù)。
    如果希望在數(shù)據(jù)恢復(fù)時(shí)保持最大程度的恢復(fù)率，應(yīng)遵循以下幾項(xiàng)原則。
    （1）發(fā)現(xiàn)問題時(shí)，如果可能，應(yīng)立即停止所有的寫操作，并進(jìn)行必要的數(shù)據(jù)備份，出現(xiàn)明顯的硬件故障時(shí)，不要嘗試修復(fù)。
    （2）恢復(fù)數(shù)據(jù)時(shí)。如果可能，則應(yīng)立即進(jìn)行必要的數(shù)據(jù)備份，并優(yōu)先搶救最關(guān)鍵的數(shù)據(jù)，在恢復(fù)分區(qū)時(shí)則應(yīng)優(yōu)先修復(fù)擴(kuò)展分區(qū)，再修復(fù)C區(qū)（主分區(qū)）。

    4.2數(shù)據(jù)恢復(fù)類型及數(shù)據(jù)恢復(fù)軟件
    4. 2. 1數(shù)據(jù)恢復(fù)類型及數(shù)據(jù)可恢復(fù)的前提
    1．軟件恢復(fù)和硬件恢復(fù)
    （1）軟件恢復(fù)：又稱為邏輯恢復(fù)，軟件造成的數(shù)據(jù)丟失現(xiàn)象一般表現(xiàn)為無操作系統(tǒng)、讀盤錯(cuò)誤、找不到文件、打不開文件、亂碼、報(bào)告無分區(qū)、無格式化等。
    造成數(shù)據(jù)丟失的軟件原因分為病毒破壞、誤格式化、誤分區(qū)、誤克隆、誤操作、網(wǎng)絡(luò)刪除幾。磁道損壞、硬盤邏輯鎖、操作時(shí)斷電。其中，病毒感染（分區(qū)表被損壞）、誤格式化、誤刪除、誤分區(qū)是發(fā)生最多的四種情況，造成的影響也是很嚴(yán)重的，往往是整個(gè)硬盤的數(shù)據(jù)全部丟失。碰到這樣的情況，千萬不要再用該存儲器進(jìn)行操作，也不要在該硬盤上寫任何數(shù)據(jù)，因?yàn)檫@會直接影響到數(shù)據(jù)的恢復(fù)率。尤其是Windows操作系統(tǒng)，因?yàn)槊看蜗到y(tǒng)啟動(dòng)都會產(chǎn)生大量的臨時(shí)文件，這些臨時(shí)文件很可能把其他寶貴的數(shù)據(jù)徹底沖掉。
    （2）硬件恢復(fù)：又被稱為物理恢復(fù)，硬件故障往往有盤面劃傷、磁組撞毀、芯片及其他原器件燒壞等。
    硬件故障一般表現(xiàn)為系統(tǒng)不認(rèn)硬盤，或者有“咔嚓咔嚓”的磁組撞擊聲或電機(jī)不轉(zhuǎn)，通電后無任何聲音，讀寫出錯(cuò)。因硬件原因的丟失數(shù)據(jù)更要注意數(shù)據(jù)丟失后的保護(hù)工作，不應(yīng)繼續(xù)對該存儲器反復(fù)測試，否則，將造成永久的損壞。
    2．?dāng)?shù)據(jù)可恢復(fù)的前提
    數(shù)據(jù)恢復(fù)作為一個(gè)數(shù)據(jù)再現(xiàn)的過程，一定要解決兩個(gè)問題，第一是從哪里恢復(fù)的問題，第二是怎么恢復(fù)的問題。實(shí)際應(yīng)用恢復(fù)實(shí)際有效性的判定是關(guān)鍵，硬盤無法自舉、文件找不到、文件打不開等現(xiàn)象，其實(shí)并不一定是數(shù)據(jù)丟失。因?yàn)榇藭r(shí)的數(shù)據(jù)丟失從操作系統(tǒng)的角度看只是一種邏輯丟失，而從物理扇區(qū)意義上講，它仍然存在或部分存在。最明顯的就是文件刪除的例子，事實(shí)上，這只是把文件首字節(jié)改為0E而已。而此時(shí)文件體依然存在。
    1）數(shù)據(jù)丟失可恢復(fù)性分析
    （1）數(shù)據(jù)損壞過程的可逆性分析：對數(shù)據(jù)的改變無非兩種：取代和變換，前者是不可逆的，而后者則是可逆的。以殺毒為例，對于大多文件性病毒來說，那些以附加而非代換方式感染的文件型病毒，理想的殺毒過程就是感染的逆過程。
    （2）數(shù)據(jù)本身是否是標(biāo)準(zhǔn)信息：有些信息實(shí)際是通用或局部通用的，無須考慮如何從本機(jī)搶救。只要相同或相近的系統(tǒng)版本就可以了，如BOOT區(qū)、隱含扇區(qū)、Windows的DLL文件等。例如，分區(qū)表的代碼區(qū)，這是一段標(biāo)準(zhǔn)代碼，事實(shí)
上，它就放在Fdisk程序里面，可以用Debug程序把它提取出來。
    （3）數(shù)據(jù)本身是否可以由其他信息統(tǒng)計(jì)再生：有些信息盡管丟失了，也沒有備份，但它實(shí)際可以從其他數(shù)據(jù)中間接求得。最典型的就是主分區(qū)表中的分區(qū)信息，即使把它清零也沒關(guān)系，因?yàn)榭梢詮膸讉€(gè)分區(qū)中計(jì)算再生。事實(shí)上，F(xiàn)disk、格式化都不會徹底破壞數(shù)據(jù)，一般只有低級格式化和扇區(qū)覆蓋操作才會徹底破壞數(shù)據(jù)。但有時(shí)破壞過程或者誤操作過程會因人工終止、死機(jī)等原因不能完成。最明顯的就是CIH病毒的例子，由于CIH是以1024B為單位覆蓋扇區(qū)，這當(dāng)然是不可逆過程，于是最初都認(rèn)為，破壞是很難恢復(fù)的，除非人工終止。事實(shí)上，當(dāng)病毒覆蓋某些扇區(qū)時(shí)會與Windows XP系統(tǒng)發(fā)生沖突，從而造成死機(jī)，使數(shù)據(jù)得到了保護(hù)。
    數(shù)據(jù)恢復(fù)的本質(zhì)是數(shù)據(jù)的冗余，在眾多的冗余手段中，日志也許是最常使用的技術(shù)（盡管還有許多其他的選擇，如影子頁面等）。在對數(shù)據(jù)庫進(jìn)行修改之前，系統(tǒng)會將數(shù)據(jù)修改前的影像（前項(xiàng)）和要修改的數(shù)據(jù)影像（后項(xiàng)）保存在日志當(dāng)中。在這個(gè)過程中，有兩點(diǎn)需要保證：一是日志必須先于它對應(yīng)的修改被寫入數(shù)據(jù)庫，這稱為先寫日志（WAL）協(xié)議。這很容易理解，想象一下，如果修改被先寫入數(shù)據(jù)庫，而系統(tǒng)在日志被寫入之前崩潰了，那么它將無法把該事務(wù)數(shù)據(jù)恢復(fù)到開始的狀態(tài)。二是在事務(wù)提交之前，必須將它的日志寫入靈敏據(jù)庫，否則，系統(tǒng)無法保證后續(xù)的故障不會丟失該事務(wù)的修改。
    2）數(shù)據(jù)丟失的幾種原因及處理方法
    （1）應(yīng)用故障：例如，用戶不小心錯(cuò)刪了一張表，或者應(yīng)用破壞了完整性約束。這種故障的數(shù)據(jù)恢復(fù)非常簡單，對于前者，可以顯示滾回事務(wù)（常用日志前項(xiàng)）。如果不小心提交了事務(wù)，數(shù)據(jù)就不好再恢復(fù)了，系統(tǒng)也許只能把它當(dāng)作介質(zhì)故障（利用備份）來恢復(fù)數(shù)據(jù)了。對于后者，系統(tǒng)會強(qiáng)迫把該事務(wù)滾回。只要數(shù)據(jù)庫還在運(yùn)行，在系統(tǒng)看來，事務(wù)的滾回與其他正常操作并沒有什么區(qū)別。
    （2）進(jìn)程故障：假如在系統(tǒng)運(yùn)行時(shí)，一個(gè)相關(guān)終端崩潰或者網(wǎng)絡(luò)斷了（通常服務(wù)器無法區(qū)別這兩種狀態(tài)），或者服務(wù)器端的某個(gè)進(jìn)程死了。這時(shí)應(yīng)為系統(tǒng)配置一個(gè)監(jiān)視進(jìn)程，由它來定期地檢查系統(tǒng)狀態(tài)、數(shù)據(jù)恢復(fù)或清除失敗的進(jìn)程（連接），同時(shí)把對應(yīng)的事務(wù)滾回。
    （3）系統(tǒng)故障：假如系統(tǒng)因?yàn)閮?nèi)部錯(cuò)誤，（例如，數(shù)據(jù)庫或操作系統(tǒng)含有漏洞），或者發(fā)生斷電。這時(shí)緩沖區(qū)里的數(shù)據(jù)全部丟失，但磁盤上的數(shù)據(jù)還在，因此系統(tǒng)在重新啟動(dòng)后，首先重做所有事務(wù)的修改（利用日志的后項(xiàng)），以便讓數(shù)據(jù)庫回到了發(fā)生故障時(shí)的狀態(tài)，這時(shí)再將所有在這一點(diǎn)上未提交的事務(wù)滾回就可以了：注意：此過程是自動(dòng)完成的。
    （4）介質(zhì)故障：假如磁盤出現(xiàn)了壞磁道，或者整個(gè)磁盤損壞，這時(shí)上面的數(shù)據(jù)肯定已經(jīng)丟失了。由于介質(zhì)故障只能在試圖再次存取磁盤時(shí)被發(fā)現(xiàn)，而這時(shí)故障可能早已發(fā)生，因此對介質(zhì)故障的數(shù)據(jù)恢復(fù)需要定期地備份數(shù)據(jù)庫。這樣，當(dāng)介質(zhì)故障發(fā)生時(shí)，可以先用備份重新覆蓋整個(gè)數(shù)據(jù)庫（RESTORE過程），然后利用日志重做從備份那點(diǎn)到當(dāng)前的數(shù)據(jù)庫的更新（ROLL - FOGWARD過程）。
    （5）災(zāi)難故障：若遇到火災(zāi)、被黑客攻擊的，這時(shí)整個(gè)系統(tǒng)可能被完全破壞，此時(shí)可以對數(shù)據(jù)庫進(jìn)行備份，但備份以后數(shù)據(jù)庫所做的修改可能就永久丟失了。一個(gè)更為穩(wěn)妥的辦法是在遠(yuǎn)程建立一個(gè)備份系統(tǒng)，所有在本地產(chǎn)生的日志同時(shí)也送往這個(gè)遠(yuǎn)程系統(tǒng)。為了防止網(wǎng)絡(luò)發(fā)生故障，本地與遠(yuǎn)程系統(tǒng)之間應(yīng)該同時(shí)建立幾條相互獨(dú)立的網(wǎng)絡(luò)連接。
    應(yīng)該說明的是，數(shù)據(jù)恢復(fù)畢竟是一種非常耗時(shí)間的工作，特別是進(jìn)行后三種故障的恢復(fù)時(shí)，數(shù)據(jù)庫對用戶不可用。而這對像銀行這樣的部門來說，損失實(shí)在太大了。因此在很多情況下，只把數(shù)據(jù)恢復(fù)看作是最后的道防線，因此就出來了各種各樣的容錯(cuò)設(shè)備，像RAID、雙機(jī)系統(tǒng)，它們會把故障發(fā)生的概率降到最低。

    4.2.2數(shù)據(jù)恢復(fù)軟件
    很多數(shù)據(jù)恢復(fù)軟件都各有特點(diǎn)，數(shù)據(jù)恢復(fù)率也有所差異。這里就介紹一些典型的數(shù)據(jù)恢復(fù)軟件，供讀者參考。
      1. WinHex
    WinHex是使用最多的一款在Windows下運(yùn)行的十六進(jìn)制編輯軟件，此軟件功能非常強(qiáng)大，有完善的分區(qū)管理功能和文件管理功能，能自動(dòng)分析分區(qū)鏈和文件簇鏈，能對硬盤進(jìn)行不同方式不同程度的備份，甚至克隆整個(gè)硬盤；它能夠編輯任何一種文件類型的二進(jìn)制內(nèi)容（用十六進(jìn)制顯示），其磁盤編輯器可以編輯物理磁盤或邏輯磁盤的任意扇區(qū)，是手工恢復(fù)數(shù)據(jù)的首選工具軟件。下面通過一個(gè)實(shí)例介紹WinHex的使用方法。
    （1）雙擊桌面上的圖標(biāo)打開“WinHex”窗口，如圖4-1所示。

    （2）單擊“打開磁盤”按鈕，彈出“編輯磁盤”對話框，選擇丟失文件所在的盤符，如圖4-2所示。

 （3）單擊“確定”按鈕，彈出“WinHex-盤符”窗口，此時(shí)在選項(xiàng)卡中可以查看找到的所有文件，如圖4-3所示。

    （4）找到了丟失的文件后就可以對其進(jìn)行恢復(fù)了。首先選擇想要恢復(fù)的文件夾選項(xiàng)，然后單擊右鍵，從彈出的快捷菜單中選擇如圖4-4所示的“恢復(fù)／復(fù)制”菜單項(xiàng)。

    （5）隨即彈出“選擇目標(biāo)文件夾”對話框，然后在下方的列表框中選擇恢復(fù)文件的存放路徑，如圖4-5所示。

 （6）單擊“確定”按鈕，彈出“正在復(fù)制”對話框，此時(shí)系統(tǒng)開始恢復(fù)丟失的文件至指定的路徑，如圖4-6所示。

    （7）恢復(fù)完成會彈出提示對話框，提示用戶已經(jīng)恢復(fù)的文件和目錄數(shù)以及恢復(fù)文件的總?cè)萘康刃畔?。如圖4-7所示。

（8）單擊“確定”按鈕即可完成文件的恢復(fù)操作，如圖4-8所示。

    （9）按照恢復(fù)文件的存放路徑打開窗口，可以發(fā)現(xiàn)所有丟失的照片文件已被全部恢復(fù)，如圖4-9所示。

    2．幾種數(shù)據(jù)恢復(fù)軟件界面圖
    1）EasyRecovery
    EasyRecovery是一款非常強(qiáng)大的硬盤數(shù)據(jù)恢復(fù)工具，該軟件可以恢復(fù)容量大于8. 4GB的硬盤，支持長文件名。EasyRecovery V6. 00. 09版本還使用了全新的數(shù)據(jù)恢復(fù)引擎，能夠?qū)IP文件以及微軟的Office系列文檔進(jìn)行修復(fù)。EasyRecovery不會向原始驅(qū)動(dòng)器寫入任何數(shù)據(jù)，它主要是在內(nèi)存中重建文件分區(qū)表，使數(shù)據(jù)能夠安全地傳輸?shù)狡渌?qū)動(dòng)器中。其軟件界面如圖4-10所示。

    2）FinalData
    當(dāng)文件被誤刪除（并從回收站中清除）、FAT表或者磁盤根區(qū)被病毒侵蝕造成文件信息全部丟失、物理故障造成FAT表或者磁盤根目錄區(qū)不可讀、磁盤格式化等原因造成的全部文件信息丟失之后，F(xiàn)inalData都能夠通過直接掃描目標(biāo)磁盤抽取并恢復(fù)出文件信息（包括文件名、文件類型、原始位置、創(chuàng)建日期、刪除日期、文件長度等）。用戶可以根據(jù)這些信息方便地查找和恢復(fù)自己需要的文件，甚至在數(shù)據(jù)文件已經(jīng)被部分覆蓋以后，專業(yè)版FinalData也可以將剩余部分文件恢復(fù)出來。FinalData軟件主界面如圖4-11所示。

    3）File Scavenger 2. 1
    File Scavenge：是一款能夠恢復(fù)在NTFS格式下數(shù)據(jù)被意外刪除的工具，其軟件主界面如圖4-12所示。全面支持Windows 2000/XP/NT系統(tǒng)（但前提條件是所刪除的硬盤尚未被改寫新的文件上去），提供了找尋文件類型功能，如＊. doc及＊. txt。能夠恢復(fù)的文件不只單一文件，還包括整個(gè)目錄及壓縮文件，也支持恢復(fù)的文件選擇在原來所在位置或儲存到其他的硬盤。