1, CIH conoscenza di base del disco rigido di recupero di dati
1, i dati DOS (sistema DOS compatibile duro) del modulo
partizioni primarie ed estese sulla struttura di base è simile al seguente esempio per la partizione primaria.
Master boot record (MBR): conti del settore MBR di uno, in CYL0, SIDE0, Sec1, e la tabella delle partizioni dalla composizione area di origine. Codice area che può essere FDISK / MBR ricostruzione.
settori del sistema: CYL0, SIDE0, Sec1-CYL0, SIDE0, SEC63, per un totale di 62 settori.
Di avvio (boot): CYL0, side1, Sec1 Questo è il nostro passato, ha detto che il settore di avvio DOS. Anche rappresentato un settore.
Nascosto settore: CYL0, SIDE0, Sec1, FAT16 così se un settore rappresentato, se è FAT32 allora questo conti per 32 settori.
File Allocation Table: tabelle FAT hanno generalmente due, FAT12, FAT16 tabelle FAT in genere il primo nel 0-1-2, la tabella FAT FAT32 prima 0-1-33. tabella FAT è il settore della connessione file di registro di occupati in cui, se si rompono le due tabelle FAT, le conseguenze sarebbero disastrose. Come la lunghezza della tavola con la partizione FAT di dimensioni della attuale indirizzo è necessaria per FAT2 calcolato.
zona radicale: (ROOT) registrati qui la directory principale voce di directory di file, ecc, con la zona delle radici FAT2 dietro.
area dati: area ROOT nella parte posteriore con, questo è il contenuto dei dati.
2, breve descrizione del master boot record
record del disco rigido di avvio principale è il punto di partenza per l'orientamento, non molto ha detto la zona di codice, la tabella delle partizioni, la più importante è che i due segni in 1BE offset, Dipartimento ha detto 80 del sistema di tag può essere avviato, e solo la tabella delle partizioni un 80 tag. Un altro è la fine del marcatore 55AA. Utilizzato per rappresentare il master boot record è un record valido.
In effetti, indipendentemente dal settore o MBR o implicita area di avvio, non è importante, sono relativamente facili da ricostruire. Il recupero dei dati per il successo del file di dati recuperati è importante. Inoltre, poiché i record delle tabelle FAT il file sul disco rigido settori occupati dalla lista, se le due tabelle FAT sono completamente danneggiati. Poi il ripristino dei file, specialmente i file occupano diversi settori non contigui è molto difficile.
L'idea di base è il seguente:
1, non FAT2 danneggiato, coperto di FAT2 FAT1.
2, FAT2 anche subito danni, di solito basta dare uno sguardo in avanti per recuperare alcuni file critici. Stiamo interessando a questi documenti è continuo. In caso contrario, continua, non è impossibile, hanno spesso bisogno di conoscere alcuni dettagli di documenti, tra cui alcuni documenti hanno la loro comprensione della struttura di collegamento. Se non FAT2 completamente distrutto, c'è qualche uso, e l'altro, in generale, disco rigido come FAT16 * tabella FAT prima della distruzione di più grave, di solito due tabelle FAT sono cattivi, piccolo disco rigido è anche molto difficile da ripristinare.
In secondo luogo, CIH è un semplice hard drive di recupero di dati del disco rigido danneggiato recupero dati è un esempio CIH
Un amico ha chiesto di riprendere le tecniche manuali per ripristinare un numero di pezzi recenti CIH disco rigido danneggiato, perché scegliere questa volta, perché, nonostante la ripresa del successo, ma alcuni errori, è degno di nota.
Commissionato per ripristinare l'utente: un sistema bancario
Custodia rigida: attacco CIH con il personale dell'unità aveva usato KV300F10 riparazione computer, ma senza successo, ma anche per ripristinare il MBR salvato.
Pronto a floppy 3:
DISK1: Win98 disco di avvio (con DEBUG)
DISK2: Diskedit e altri strumenti (questo sito non protetto da scrittura)
DOS Disk3: uno strumento per uccidere il prossimo CIH
Il mio disco rigido off, appendere ad essere ripristinato il disco rigido, l'avvio in SETUP, test drive, il record di parametri.
CLY620HEAD128PRECOMP0LANDZ4959SECTOR63MODELBA.
Inizia con un disco floppy preparato:
A: C:
Mostra Invaliddrivespecification
FDISK / MBR ricostruzione master boot record (questa è una abitudine), re-boot da dischetto (potrebbe non essere necessario): A questo punto sono stati in grado di vedere che: C unità. Diskedit Start, avviare il processo mostrato InvalidmediatypereadingDRIVERC, Oh, andiamo, andiamo prima che la tabella delle partizioni vuota con DEBUG, e segni home 80 e 55aa. Riavvia, poi Diskedit correre, display impostato a READONLY, non importa, la configurazione dell'opzione di sola lettura per rimuovere, Salva, OK, è possibile modificare il file.
Da allora il disco rigido è stato più blocchi, Ero un pezzo come la partizione C solo (che è in attesa di riparazione di altra unità rigido), quindi non look a things altri, ci auguriamo di poter FAT2 nessun danneggiamento di coprire con FAT2 FAT1, DEBUG Diskedit in questo momento molto più facile che in FINDOBJECT scegliere FAT, controllare il settore di inizio, una buona, in CYL0SIDE68SEC14, 0000H, F8FFFF0F (FAT32), il buono, non FAT2 male. Infatti, se il non Diskedit indagine DEBUG, offset 0000 del F8FFFF.
Dal momento che tale partizione C solo, in modo venire a trovare per trovare spazi IOSYS (IO e SYS nel bisogno) per trovare zona delle radici. Dopo l'osservazione di trovare se esiste C: secondo il documento comune. Sì, zona delle radici non essere distrutti. Una nota del settore: CYL0, SIDE68, SEC14, di ricambio.
FAT1 generalmente sono stati distrutti in precedenza, ma deve ancora essere dietro, che può servire come verifica. Perché a 32 bit, generalmente FAT1 CYL0SIDE1SEC33. A causa della zona delle radici devono essere calcolate e poi la lunghezza della tabella FAT, perché i settori FAT2 finora prima alla radice, in modo molto semplice.
È quindi possibile utilizzare coprire FAT2 FAT1, qui o Diskedit DEBUG può essere usato, se DEBUG viene generalmente utilizzato con INT25 leggere il settore assoluto, quindi INT26 scrivere, ma in generale più volte. :-) Sì mi ricordo di mantenere i punti di interruzione contenuti possono MARKFAT2 con Diskedit copia il WRITE per FAT1.
Si può quindi ripristinare il master boot record, settore nascosto e area di avvio, è possibile NDD use to repair tavolo prima partizione, quindi prendere in considerazione uno standard method covering, se si desidera il prossimo step by la NORTONUtilities, to take in questi non può fare. Ho preso da un altro FAT32 alla parte corrispondente della scrittura dentro. Si trova che se ho un D unità. Uno sguardo a parlare. Beh, al largo stringa sul mio hard disk, con NORTONUtilities scansione dell'unità C, i documenti recuperati, su antivirus guidare la C, perché, non ha trovato il virus, per i due tipi di software anti-virus o no il virus, peggio ancora, mostra l'unità C è 948, ha una unità D, ma il 95 non possono navigare, DOS sotto la spazzatura.
Quindi chiamare per verificare la situazione in quel momento si rivelò essere di 26, quel giorno, mettere un luce di unità CD è un po ', anello pazzo sul disco fisso, schermo blu della morte è stato. Presumo che dovrebbe essere confermato come procedure AUTORUN un CD-ROM CIH virus. Quindi non vi è alcuna capacità di difesa reale del software è privo di senso. Inoltre, hanno fatto due aree duro e documenti importanti nella zona D. (Mad at me!)
l'unità D e quindi risolvere il problema, tornare a DOS, utilizzare il simbolo DEBUG per il 55AA per trovare la fine del settore, dalla struttura per determinare se la partizione estesa. Può essere calcolato in questo momento per restituire la dimensione della tabella di partizione primaria. Naturalmente, molti degli strumenti possono anche essere buone per completare questo lavoro. Se non siete sicuri, si utilizzano per completare meglio.
L'esperienza CIH di recupero dati del disco rigido
1, non ascoltano o dalla memoria di un disco rigido che è genere di come dobbiamo vedere di persona, ho appena fatto questo errore.
2, KV300F10 infatti, come alcuni utenti dire, che ci sono alcuni pericoli nascosti, se il personale del computer bank's nel trattare con KV300F10 not backup prima, è possibile trovare qualche trouble darmi.
3, di recupero di dati devono essere basati su alcuni principi:
a, primo backup, poi ho scritto questo è il motivo per HD-specchio;
b, prima salvare i dati più critici;
c, nel caso del primo suono delle uova i più stabili (dovrebbe essere fissato prima partizione estesa, e quindi fissare C), la parte migliore della parte posteriore della riparazione;
d, in primo luogo non è pronto, impegnato nel torto, perché non avevo installato la macchina Norton, primo estratto, utilizzato per battere un D: TEMP, Solo a pensarci bene quasi soluzione di file non è completamente riparato nel drive C.
In realtà sembra che se non vi è alcun danno a FAT2 sotto l'unità C di recupero di dati è molto semplice e può essere programmato. Se FAT2 danneggiato, probabilmente per ripristinare il corso è solo occupare un settore del file e file contigui.
CIH è proprio sopra l'hard disk metodi di recupero di dati ed esempi di semplice descrizione.