硬盤重新分區後有一個分區表信息丟失的數據恢復

硬盤重新分區後有一個分區表信息丟失的數據恢復

華山劍客

特別說明：
1、因爲這個案例的數據恢復的全過程是通過QQ的遠程協助完成的，對方（以下稱“網友”）對某些軟件的操作不是很熟練（比如用winhex手工重建分區表），爲了防止數據恢復過程中的意外發生，有些地方我採用了比較另類的方法。
2、網友的要求是主要恢復原來E盤的數據，實際操作時我用了兩種方法恢復的，第一種方法是利用鏡像法直接恢復原來E盤的數據，第二種方法是用重建分區表的方法恢復其它盤（包括E盤）的數據。（其實方法一或方法二中任何一種方法都能達到恢復原來E盤數據的目的）

 

現象：一個40G硬盤（實際是38.2G）原來分了5個區（都是FAT32的文件系統）：5G　10G　10G　10G　5G，在重裝系統時分了4個區（也是FAT32的文件系統），並格式化，但只有第一個分區裝了系統有數據）：10G　10G　10G　10G。

 

網友要求：主要恢復原來E盤的數據。

 

網友提供信息：
1、 磁盤分區表記錄（根據我的提示，網友用WinHex找到分區表的所在的扇區的信息，紅色部分爲最後計算的結果）：
              1FE  55AA　　　　0扇區
   20249B3FE  55AA　　　　16852185扇區
   32CDBF5FE  55AA　　 　26635770扇區
  4850671FE  55AA　　　　37913400扇區
  59DF26BFE  55AA　　　 47118645扇區
  707C32FFE  55AA　　　　58974615扇區　
  80F08E1FE  55AA　　　　67601520扇區
  硬盤參數：總容量：38.2GB   40,982,151,168bytes
  CMOS參數：4982柱面。255磁頭。63扇區。
2、現在4個分區的DBR所在物理扇區的位置（用winhex查看的！）
C盤：63； D盤：16852248；  E盤；37913463； F盤：58974678。
3、原來E盤的分區表的信息（這是在推算出E盤分區表所在物理扇區的基礎上獲得的）：

 

分析：根據提供的信息可以看出有一個分區表的數據被覆蓋了（因爲提供的分區表記錄只有7個，應該是8個）。由於原來的5個分區和現在的4個分區的容量不同，所以原來分區的另外大多數關鍵信息如DBR、FAT表可能沒有覆蓋，這樣數據恢復的可能性比較大。又根據網友提供的現在4個分區的DBR所在物理扇區的位置確定現在4個分區的分區表所在的位置：C：0　D：16852185　E：37913400　F：58974615。在此基礎上根據磁盤分區表記錄可以推測出丟失的是原來的D區的分區表，並確定了原來的5個分區的分區表所在的位置（D盤的分區表的位置是根據原來原來F盤分區表所在物理扇區的位置[47118645]和E盤的分區表的數據[76　16　71　02]推算出來的：47118645－40965750＝6152895）：C：0　D：6152895　E：26635770　F：47118645　G：67601520。這樣原來的G盤數據因沒有覆蓋可以100%的恢復，原來的E、F盤的數據會因爲格式化時而造成部分破壞，原來D盤的數據的DBR和FAT表被覆蓋而恢復的可能性不是很大，原來C盤數據破壞比較嚴重，但都是操作系統數據，可以不要。原來的E盤在現在的D盤和E盤中各有一部分，而且原來的E盤的分區表和現在D盤分區表相差11277630個扇區，這樣原來的E盤的分區表信息、DBR和FAT表可能都沒有破壞，這樣原來E盤的數據恢復的可能性比較大。

 

恢復過程：

方法一：鏡像法
      先找一個硬盤，要求其中有一個分區有10G的大小（因爲原來E盤是10G大小），然後將此硬盤當從盤掛在上面，先格式化這個分區（網友用的這個分區是M盤），然後用DataExplore這個軟件的“鏡像到磁盤”（如下圖所示，注意是“鏡像到磁盤”不是“鏡像到文件”）功能把原來E盤的數據鏡像到準備好的那個M盤上（當然先要推算出原來的E盤的DBR的位置：第26635833扇區，注意是從DBR位置開始做鏡像，而不是從原來的E盤的分區表的位置），當鏡像做好時，直接打開M盤，原來的E盤的數據就恢復了。
 

 

方法二：重建分區表法
    D分區的分區表所在的位置前面已推算出來，在第6152895扇區，現在要計算原來D盤的扇區總數：26635770－6152895＝20482875，這個數同時也是下一個分區開始的扇區數，因爲這是擴展分區的的第一個分區（如果不是擴展分區的第一個分區就不能用這個數）。然後計算原來E盤的扇區總數（47118645－26635770＝20482875），最後用PTEDIT32這個軟件（這個軟件重建分區表時不需要把十進制轉換成十六進制，對一般的人來說比較方便）在第6152895扇區重新建一個D盤的分區表。重建的分區表數據如下：

      D盤分區表重建後還要根據C盤的扇區總數和整個硬盤的扇區數在C盤的分區表的相應的數據要作適當的修改（否則分區表的鏈連接不上！），調整後的數據如下：

分區表重建完畢。

 

預計結果：5個分區中只有D盤不能打開，要求格式化（因爲DBR破壞了），其它4個盤都能打開，但只有G盤的數據能100%的恢復，E盤和F盤會有部分文件不能打開。而且方法一和方法二中所得的E盤的數據是一樣的。
　　
網友描述：和我預計的差不多，所不同的是E、F、G盤的文件都能打開，可能是沒有把所有的文件都打開，也可能是被覆蓋的數據的地方沒有用。同時C盤的容量有點變化，這是因爲C盤的DBR沒有修改的原因，但這沒有影響，下次格式化C盤時容量就還原了。

後記：如果要恢復D盤的數據的話還在看裏面的數據覆蓋在什麼位置，只要沒有破壞到FAT2的話還能恢復的，但如果FAT2的數據已破壞的話只有用數據恢復軟件來掃描了，除非要其中的的少數數據要用手工的方法恢復。但網友說D盤沒有什麼重要的數據，所以沒有往下進行，這次恢復就結束了。

 

　　　　　　　　　　　　　　　　　　2007年1月23日

　　　　　　　　　　　　　　　　　　　　　　華山劍客寫於湖北隨州