第一篇：數據恢復實習報告

實驗一

FAT32數據存儲分析

一、實驗內容

1、使用磁盤軟件分析FAT32文件系統的分區引導扇區（DBR）、文件分配表（FAT)、文件目錄表（FDT）。

2、學會使用常見數據恢復軟件。

二、實驗目的

1、進一步掌握和了解FAT32文件格式；

2、掌握常見磁盤軟件的使用；

3、掌握常見數據恢復軟件的使用；

4、提高動手操作能力。

三、實驗要求

1、提前預習實驗，認真閱讀實驗原理。

2、認真高效的完成實驗，實驗過程中服從實驗室管理人 員以及實驗指導老師的管理。

3、認真填寫實驗報告。

四、實驗所需工具

1、Winhex：一款優秀的16進制查看與編輯器。

2、Easyrecovery：一款優秀的硬盤數據恢復工具，能夠幫你恢復丟失的數據。

五、實驗原理

1、硬盤結構 1.1硬盤物理結構 硬盤存儲數據是根據電、磁轉換原理實現的。硬盤由一個或幾個表面鍍有磁性物質的金屬或玻璃等物質盤片以及盤片兩面所安裝的磁頭和相應的控制電路組成(圖 1)，其中盤片和磁頭密封在無塵的金屬殼中。

數據恢復實習報告 圖 1 硬盤工作時，盤片以設計轉速高速旋轉，設置在盤片表面的磁頭則在電路控制下徑向移動到指定位置然后將數據存儲或讀取出來。當系統向硬盤寫入數據時，磁頭中“寫數據”電流產生磁場使盤片表面磁性物質狀態發生改變，并在寫電流磁場消失后仍能保持，這樣數據就存儲下來了；當系統從硬盤中讀數據時，磁頭經過盤片指定區域，盤片表面磁場使磁頭產生感應電流或線圈阻抗產生變化，經相關電路處理后還原成數據。

1.2硬盤邏輯結構

硬盤由很多盤片(platter)組成，每個盤片的每個面都有一個讀寫磁頭。如果有N個盤片。就有2N個面，對應2N個磁頭(Heads)，從0、1、2開始編號。每個盤片被劃分成若干個同心圓磁道(邏輯上的，是不可見的。)每個盤片的劃分規則通常是一樣的。這樣每個盤片的半徑均為固定值R的同心圓再邏輯上形成了一個以電機主軸為軸的柱面(Cylinders)，從外至里編號為0、1、2……每個盤片上的每個磁道又被劃分為幾十個扇區(Sector)，通常的容量是512byte，并按照一定規則編號為1、2、3……形成Cylinders×Heads×Sector個扇區。

1.3、MBR(master boot record)扇區

計算機在按下POWER鍵以后，開始執行主板BIOS程序。進行完一系列檢測和配置以后。開始按BIOS中設定的系統引導順序引導系統。假定現在是硬盤。BIOS執行完自己的程序后如何 把執行權交給硬盤呢。交給硬盤后又執行存儲在哪里的程序呢。其實，稱為MBR的一段代碼起著舉足輕重的作用。MBR(masterboot record),即主引導記錄，有時也稱主引導扇區。位于整個硬盤的0 柱面0磁頭1扇區(可以看作是硬盤的第一個扇區)，BIOS在執行自己固有的程序以后就會jump到MBR中的第一條指令。將系統的控制權交由MBR來執行。在總共512byte的主引導記錄中，MBR的引導程序占了其中的前446 個字節(偏移0H~偏移1BDH)，隨后的64 個字節(偏移1BEH~偏移1FDH)為DPT(DiskPartitionTable，硬盤分區表)，最后的兩個字節“55 AA”(偏移1FEH~偏移1FFH)是分區有效結束標志。

2、FAT32中各個組成的格式

其格式組織如下圖：

2.1引導扇區（DBR）

DBR區(DOS BOOT RECORD)即操作系統引導記錄區的意思，通常占用分區的第0扇區共512 個字節(特殊情況也要占用其它保留扇區，我們先說第0扇)。在這512 個字節中，其實又是由跳轉指令，廠商標志和操作系統版本號，BPB(BIOS Parameter Block)，擴展BPB，os引導程序，結束標志幾部分組成。

2.2 文件分配表（FAT）

FAT 表(File Allocation Table 文件分配表)，是Microsoft 在FAT 文件，系統中用于磁盤數據(文件)索引和定位引進的一種鏈式結構。假如把磁盤比作一本書，FAT 表可以認為相當于書中的目錄，而文件就是各個章節的內容。但FAT 表的表示方法卻與目錄有很大的不同在FAT 文件系統中，文件的存儲依照FAT 表制定的簇鏈式數據結構來進行。同時，FAT 文件系統將組織數據時使用的目錄也抽象為文件，以簡化對數據的管理。

2.3 文件目錄表（FDT）

文件目錄表是一個表示目錄的特殊類型文件（現今通常稱為文件夾）。它里面保存的每個文件或目錄使用表中的32位條目表示。每個條目記錄名字、擴展名、屬性（檔案、目錄、隱藏、只讀、系統和卷）、創建的日期和時間、文件/目錄數據第一個簇的地址，最后是文件/目錄的大小。除了FAT12和FAT16文件系統中的根目錄表占據特殊的根目錄區域位置之外，所有其它的目錄表都存在數據區域。

3、FAT32的文件管理過程

當把一部分磁盤空間格式化為fat文件系統時，fat文件系統就將這個分區當成整塊可分配的區域進行規劃，以便于數據的存儲。一般來講，其劃分形式如圖2所示：

數據恢復實習報告 圖 2

FAT 文件系統的目錄結構其實是一顆有向的從根到葉的樹，這里提到的有向是指對于FAT 分區內的任一文件(包括文件夾)，均需從根目錄尋址來找到。可以這樣認為：目錄存儲結構的入口就是根目錄。FAT 文件系統根據根目錄來尋址其他文件(包括文件夾)，故而根目錄的位置必須在磁盤存取數據之前得以確定。FAT 文件系統就是根據分區的相關DBR參數與DBR 中存放的已經計算好的FAT 表(2 份)的大小來確定的。格式化以后，根目錄的大小和位置其實都已經確定下來了：位置緊隨FAT2之后，大小通常為32個扇區。根目錄之后便是數據區第2 簇。

FAT文件系統支持文件按名存取，當需要訪問文件時，FAT文件系統首先根據文件目錄表（FDT）來獲得此文件的首簇號，然后再根據文件分配表（FAT）中的簇鏈關系來尋址、定位整個文件，最后實現文件的正確存取。

六、實驗過程及結果

本實驗是在win7系統上以及文件系統為FAT32的計算機上進行。以下是實驗過程：

1、利用winhex查看分區引導扇區（DBR）、文件分配表（FAT）、文件目錄表（DFT）.1.1打開winhex軟件以及分區F如下圖：

1.2查看F區詳細技術報告：

1.3 查看F區引導扇區：

引導扇區詳細內容：

1.4查看F區的文件分配表

1.4.1 文件分配表一（FAT1）

1.4.2文件分配表備份（FAT2）

1.5查看文件目錄表（FDT）

1.6查看文件信息：

2、利用easyRecovery來恢復.事先在D盤創建了一個測試用的txt文件，刪除后用easyRecovery進行恢復。

2.1啟動easyrecovy 主界面：

磁盤診斷功能：

數據恢復功能：

文件修復：

郵件修復：

下面只做數據恢復功能實驗。

2.2選擇恢復的分區

選取數據恢復，選擇分區：

2.3顯示分區文件目錄：

2.3設置過濾條件：

2.4選擇：

2.5選擇恢復目地目錄：

2.6恢復報告：

2.7恢復結果：

十分成功的恢復了之前刪除的文本文檔，初步了解了easyrecovy的用法用途。

八、總結與感悟

本次實習主要是探討FAT32文件系統的數據存儲以及學會使用數據恢復軟件進行磁盤的數據恢復，通過本次實習，我提高了自身的動手能力，大大加深了對FAT32文件系統的理解，掌握了FAT32文件的原理；并學會了使用數據恢復軟件，提高了解決問題的能力。最后感謝老師對我們的指導！

第二篇：數據恢復基礎知識

數據恢復基礎知識

計算機上只有數據是最關鍵的，數據的丟失才是最大的損失。下面我來講解一些數據恢復的基本知識。

首先申明一點，對于重要數據，備份數據才是防止數據丟失的根本方法，而數據恢復依賴于很多因素，很難完全恢復數據，一般是僅僅可以恢復部分數據。

數據恢復就是找回丟失的數據，例如徹底刪除某個文件或文件夾，重新格式化磁盤，重新分區磁盤等等都會造成數據的丟失。更嚴重的數據丟失是存儲介質硬件損壞，例如，硬盤不小心摔壞了、硬盤根本就不認了、硬盤有大量壞道等等。最值得注意的一點是，一旦意識到數據丟失了，立刻停止一些不必要的*作，誤刪、誤格后，不要再往磁盤里寫數據了！磁盤摔壞后，不要再加電了！磁盤出現壞道讀不出來，不要反復讀盤了等等。

硬盤故障大致可分為硬故障和軟故障兩大類。硬故障即PCBA板損壞、盤片劃傷、芯片及其它原器件燒壞、斷針斷線、磁頭音圈電機損壞等，是由于硬盤自身的機械零件或電子元器件損壞而引起。劇烈的震動、頻繁開關機、電路短路、供電電壓不穩定等比較容易引發硬盤物理性故障，硬件故障一般表現為CMOS不認硬盤，常有一種“咔嚓咔嚓”的磁組撞擊聲或電機不轉、通電后無任何聲音、磁頭不對造成讀寫錯誤等現象，對上面描述的大部分情況，一般都要送到專門的數據恢復中心檢測和恢復數據。硬盤軟故障即硬盤數據結構由于某種原因，比如說病毒導致硬盤數據結構混亂甚至不可被識別而形成的故障。一般來說，主板BIOS硬盤自動檢測（IDE HDD AUTO DETECTION）功能能夠檢測到硬盤參數，均為軟故障。一般情況下，硬盤在發生故障時系統會在屏幕上顯示一些提示信息，所以我們可以按照屏幕顯示的提示信息找到故障原因，有針對性地實施解決方案。軟故障包括誤分區、誤格式化、誤刪除、誤克隆、MBR丟失、BOOT扇區丟失、病毒破壞、黑客攻擊、分區信息丟失、RAID0磁盤陣列、RAID1磁盤陣列、RAID5磁盤陣列失效等因素造成的數據丟失。硬盤軟故障相對于物理故障來說，更容易修復些，而它對數據的損壞程序也比硬盤物理故障來得輕些。

下面主要說明一下硬盤發生軟故障后數據恢復的大概方法，部分原理可以用于優盤，光盤等的數據恢復。

基礎知識-硬盤, 分區和文件系統的介紹

硬盤內部結構

關于硬盤結構的文章已經非常多了，不過真正要說清楚的話，就算專門出一本書也說不完，因此這里就不再從頭細細講述了。

硬盤最基本的組成部分是由堅硬金屬材料制成的涂以磁性介質的盤片，不同容量硬盤的盤片數不等。每個盤片有兩面，都可記錄信息。盤片被分成許多扇形的區域，每個區域叫一個扇區，每個扇區可存儲128×2的N次方（N＝0.1.2.3）字節信息。在DOS中每扇區是128×2的2次方＝512字節，盤片表面上以盤片中心為圓心，不同半徑的同心圓稱為磁道。硬盤中，不同盤片相同半徑的磁道所組成的圓柱稱為柱面。磁道與柱面都是表示不同半徑的圓，在許多場合，磁道和柱面可以互換使用，我們知道，每個磁盤有兩個面，每個面都有一個磁頭，習慣用磁頭號來區分。扇區，磁道（或柱面）和磁頭數構成了硬盤結構的基本參數。在老式硬盤中，采用的都是這種比較古老的CHS（Cylinder/Head/Sector）結構體系。因為很久以前，在硬盤的容量還非常小的時候，人們采用與軟盤類似的結構生產硬盤。也就是硬盤盤片的每一條磁道都具有相同的扇區數，由此產生了所謂的3D參數（Disk Geometry），即是磁頭數（Heads）、柱面數（Cylinders）、扇區數（Sectors）以及相應的3D尋址方式。對于現在的新硬盤來說，都已經全部不采用這樣的結構，而是采用了更加科學的結構方式，目前的硬盤都是線性尋址也就是直接使用扇區號來訪問硬盤，137G以下的硬盤使用32位整數作為扇區號，而137G以上的硬盤使用48位整數作為扇區號。CHS結構體系

其中：磁頭數表示硬盤總共有幾個磁頭，也就是有幾面盤片，最大為255（用8個二進制位存儲）；柱面數表示硬盤每一面盤片上有幾條磁道，最大為1023（用10個二進制位存儲）；扇區數表示每一條磁道上有幾個扇區，最大為63（用6個二進制位存儲）；每個扇區一般是512個字節，理論上講你可以取任何一個你喜歡的數值，但好像至今還沒有發現取別的值的。所以磁盤最大容量為：

255×1023×63×512/1048576＝8024MB（1M＝1048576Bytes）或硬盤廠商常用的單位：

255×1023×63×512/1000000＝8414MB（1M＝1000000Bytes）

由于在老式硬盤的CHS結構體系中，每個磁道的扇區數相等，所以外道的記錄密度要遠低于內道，因此會浪費很多磁盤空間（軟盤也是一樣）。為了進一步提高硬盤容量，現在硬盤廠商都改用等密度結構生產硬盤。這也就是說，每個扇區的磁道長度相等，外圈磁道的扇區比內圈磁道多。采用這種結構后，硬盤不再具有實際的3D參數，尋址方式也改為線性尋址，即以扇區為單位進行尋址。而為了與使用3D尋址的老軟件兼容（如使用BIOSInt13H接口的軟件），廠商通常在硬盤控制器內部安裝了一個地址翻譯器，由它負責將老式3D參數翻譯成新的線性參數。這也是為什么現在硬盤的3D參數可以有多種選擇的原因（不同的工作模式可以對應不同的3D參數，如LBA、LARGE、NORMAL）。而隨著磁盤密度的增加、機構的進一步復雜、功能和速度上的提高，如今的硬盤都會在磁盤里面劃分出一個容量比較大的，稱為“系統保留區”的區域，用于儲存硬盤的各種信息、參數和控制程序，有的甚至把硬盤的Fireware也做到了系統保留區里面（原來這些信息都是儲存在硬盤控制電路板的芯片上的）。這樣雖然可以進一步簡化生產的流程，加快生產速度和降低生產成本，但是從另一方面，卻又大大增加了硬盤出現致命性損壞的幾率和縮短了硬盤的使用壽命。

恢復數據的原理和方法

發覺硬盤故障，需要恢復數據的時候，第一步所要做的就是檢測，判斷磁盤的故障原因和數據損壞程度

只有明確磁盤的損壞程度和故障原因，才能采取正確的步驟恢復數據：

硬盤內部故障，表現形式一般是CMOS不能識別硬盤，硬盤異響，那么可能的故障原因物理磁道損壞、內電路芯片擊穿、磁頭損壞等等，可以采用的修復手段有：內電路檢修、在超凈間內打開盤腔修復，這種情況只能送到專業的數據恢復公司。

硬盤外電路故障，如果CMOS不能識別硬盤，硬盤無異響，那么可能的故障原因是外電路板損壞、芯片擊穿、電壓不穩燒毀等等，可以采取的手段是外電路檢修，或者更換相同型號的硬盤的電路板，一般需要送到專業的數據恢復公司。

軟故障，如果CMOS能識別硬盤，一般是硬盤軟故障，破壞原因一般是系統錯誤造成數據丟失，誤分區、誤刪除、誤克隆、軟件沖突、病毒破壞等等，可以采用的方法有專用數據恢復軟件或者人工方式。

下面具體講解軟故障的數據恢復方法 1.確認數據丟失的故障原因

1.硬盤數據丟失，故障原因包括：

病毒破壞,誤克隆,硬盤誤格式化，分區表失丟，誤刪除文件，移動硬盤盤符認不出來(無法讀取其中數據，硬盤零磁道損壞),硬盤誤分區，盤片邏輯壞區，硬盤存在物理壞區。

2.文檔數據損壞,如Office 系列數據文件損壞，Zip、MPEG、asf、RM 等文件數據損壞。

2.根據故障原因，采用相應的手段和步驟

1.備份數據，根據數據的重要程度，決定是否需要備份數據，備份數據的一般步驟是

1.卸下損壞硬盤，接到另外一臺完好的機器，注意新機器上有足夠的硬盤空間備份

2.使用ghost的原始模式（raw），一個扇區一個扇區的把損壞磁盤備份到一個鏡像文件中。如果硬盤上有物理壞道，最好是采用ghost的方式制作一個磁盤鏡像，然后所有的*作都在磁盤鏡像上進行，這樣可以最大限度的保護原始磁盤不被進一步損壞，可以最大限度的恢復數據。——我猜想作者是說把磁盤內容克龍到另一塊磁盤上做恢復的做作，以避免在原磁盤的寫*作。

3.修復硬盤數據。修復硬盤數據有2種類型，一種直接在原始硬盤修改，一種是把讀出數據存儲到其他的硬盤上。基本思路就是就是根據磁盤現有的信息最大限度的推斷出丟失的分區和文件系統系統的信息，把受損的文件和系統還原，所以如果信息損失太多，那么是不可能恢復數據的。比如錯誤刪除一個文件后，隨即又拷貝了較大的文件過來，那么多半是被刪除的文件被新拷貝過來的文件所覆蓋，幾乎是無法恢復了。

一個常識就是，如果想要恢復數據，那么不要在出問題的磁盤上運行scandisk或者Norton Disk Doctor等直接修復文件系統錯誤的軟件，切記。

零磁道，MBR和分區表DPT：

零磁道處于硬盤上一個非常重要的位置，硬盤的主引導記錄區（MBR）就在這個位置上。零磁道一旦受損，將使硬盤的主引導程序和分區表信息遭到嚴重破壞，從而導致硬盤無法自舉。MBR：

當通過Fdisk或其他分區工具對硬盤進行分區時，分區軟件會在硬盤0柱面0磁頭1扇區建立MBR（Main Boot Record）,即為主引導記錄區，位于整個硬盤的第一個扇區,在總共512字節的主引導扇區中，主引導程序只占用了其中的446個字節，64個字節交給了DPT(Disk Partition Table硬盤分區表),最后兩個字節（55 AA）屬于分區結束標志。主引導程序的作用就是檢查分區表是否正確以及確定哪個分區為引導分區，并在程序結束時把該分區的啟動程序調入內存加以執行。DPT：

分區表DPT（Disk Partition Table），把硬盤空間劃分為幾個獨立的連續的存儲空間，也就是分區。分區表DPT則以80H或00H為開始標志，以55AAH為結束標志。分區表決定了硬盤中的分區數量，每個分區的起始及終止扇區、大小以及是否為活動分區等。

通過破壞DPT，即可輕易地損毀硬盤分區信息。分區表分為主分區表和擴展分區表。

主分區表位于硬盤MBR的后部。從1BEH字節開始，共占用64個字節，包含四個分區表項，這也就是為什么一個磁盤的主分區和擴展分區之和總共只能有四個的原因。每個分區表項的長度為16個字節，它包含一個分區的引導標志、系統標志、起始和結尾的柱面號、扇區號、磁頭號以及本分區前面的扇區數和本分區所占用的扇區數。其中”引導標志”表明此分區是否可引導，即是否活動分區。當引導標志為”80″時，此分區為活動分區；”系統標志”決定了該分區的類型，如”06″為DOS FAT16分區，”0b”為DOS FAT32分，”63″為UNIX分區等；起始和結尾的柱面號、扇區號、磁頭號指明了該分區的起始和終止位置。分區表項的16個字節分配如下： 第1字節: 引導標志

第2字節: 起始磁頭

第3字節: 低6位為起始扇區, 高2位與第4字節為起始柱面 第4字節: 起始柱面的低8位 第5字節: 系統標志 第6字節: 終止磁頭

第7字節: 低6位為終止扇區, 高2位與第8字節為終止柱面 第8字節: 終止柱面的低8位

第9-12字節: 該分區前的扇區數目 第13-16字節: 該分區占用的扇區數目

擴展分區作為一個主分區占用了主分區表的一個表項。在擴展分區起始位置所指示的扇區(即該分區的第一個扇區)中，包含有第一個邏輯分區表，同樣從1BEH字節開始，每個分區表項占用16個字節。邏輯分區表一般包含兩個分區表項，一個指向當前的邏輯分區，另一個則指向下一個擴展分區。下一個擴展分區的首扇區又包含了一個邏輯分區表，這樣以此類推，擴展分區中就可以包含多個邏輯分區。為方便說明，我們把這一系列擴展分區和邏輯分區分別編號，主擴展分區為 1號擴展分區，第一個邏輯分區表所包含的兩個分區分別標為 1號邏輯分區和 2號擴展分區，依次類推。

主分區表中的分區是主分區，而擴展分區表中的是邏輯分區，并且只能存在一個擴展分區。FS即文件系統，位于分區之內，用于管理分區中文件的存儲以及各種信息，包括文件名字，大小，時間，實際占用的磁盤空間等。windows 目前常用的文件系統包括FAT12，FAT16，FAT32和NTFS系統。

DBR（Dos Boot Record）是*作系統引導記錄區。它位于硬盤的每個分區的第一個扇區，是*作系統可以直接訪問的第一個扇區，它一般包括一個位于該分區的*作系統的引導程序和相關的分區參數記錄表。

簇，是文件系統中最小的數據存儲單元，由若干個連續的扇區組成，硬盤的扇區的大小是512字節（幾乎是用于所有的硬盤），也就是既是一個字節的文件也要分配給它1個簇的空間，剩余的空間都被浪費了，簇越小，那么對小文件的存儲的效率越高，簇越大，文件訪問的效率高，但是浪費空間比較嚴重。FAT(file allocation table)即文件分配表，記錄了分區中簇的的使用情況，FAT表的大小與硬盤的分區的大小有關，為了數據安全起見，FAT一般做兩個，二FAT為第一FAT的備份，用于FAT12，FAT16，和FAT32文件系統。

DIR是DIRECTORY即根目錄區的簡寫，根目錄區存儲了文件系統的根目錄中的文件或者目錄的信息（包括文件的名字，大小，所在的磁盤空間等等），FAT12，FAT16的DIR緊接在第二FAT表之后，而FAT32的根目錄區可以在分區的任何一個簇。MFT（Master File Table）是NTFS中存儲有關文件的各種信息的數據結構，包括文件的大小，時間，所占據的數據空間等等。

以FAT32為例，FAT32分區的的0－2扇區為FAT32文件系統的DBR即引導扇區，3－5扇區為0－2扇區的備份。6－31扇區為空，32扇區開始為第一個FAT表，FAT表的大小與硬盤的分區的大小有關。隨后是第2個FAT表，剩余的空間都是實際的文件所占用的，包括目錄和文件。FAT32文件系統的根目錄并不一定是數據區的第一個簇，它可以位于數據區的任何一個簇，這也是FAT32的根目錄大小不在受255個文件限制的原因，這也是FAT32的文件名可以支持長文件名的原因之一。

分區表丟失，表現為硬盤原先所有分區或者部分分區沒了，在磁盤管理器(winxp win2000 win2003)看到未分區的硬盤或者未分區的空間。有多種可能：

病毒，當年的cih病毒會用無效的數據填充分區表和第一個分區的數據，這種情況下，從前面介紹的分區的性質來看，c盤的數據很難恢復，而隨后d盤和e盤等分區的實際數據并沒有被破壞，而僅僅是分區表丟失而已，所以只要找到D盤和E盤等分區的正確的起始和結束位置，很容易恢復。

重新分區，使用fdisk對磁盤重新劃分空間分布，那么原來的分區表被新的分區表取代，這個時候，同樣是原來分區的數據沒有損壞，僅僅是分區表指向了不正確的位置。

誤刪除文件的恢復

誤刪除文件的恢復的原理是什么呢？為什么刪除文件后，又可以恢復回來？是不是所有的刪除的文件都可以恢復？

當我們存儲一個文件的時候，*作系統首先在一個記錄所有空間使用情況的表格中，找到足夠容納我們的新文件的空間，然后把文件內容寫到相對應的硬盤扇區上，最后在表格中標出該空間被占用了。

當我們刪除一個文件的時候，一般并不對實際文件所占用的扇區進行*作，而是僅僅在該表格中指明那些空間是空白的了，可以分配給別的文件使用。在這個時候，被刪除的文件的實際內容并沒有受到破壞，可以恢復回來。如果我們刪除一個文件后，又重新創建了一個文件，那么被刪除文件所占用的扇區就有可能被新創建的文件所使用，這時候就無法恢復原來被刪除的文件了。所以一旦錯誤的刪除了文件，必須注意的就是不要對該文件所在的分區進行寫*作了，否則有可能覆蓋原來刪除的文件，從而導致數據無法恢復。

對于誤刪除的文件，我們有很多選擇，如finaldata,recover4all,easyrecovery，這些軟件使用很簡單，直接按照向導的指示就可以了。

下面介紹一種手工恢復被刪除數據的方法，特別是使用這種自動化的方法恢復無效的時候，這種方法適合恢復有明顯特征的結構簡單的文件，如文本文件，如果格式復雜，就需要寫一個類似的程序來恢復了。原理就是直接在分區中尋找被刪除的文件的內容。

一個實例就是微軟公司的vc6，vc6的ide有一個bug，一直沒有修復，就是存儲寫好的程序代碼的時候，偶然會彈出一個對話框說無法存儲文件，這個時候必須再存一次才可以，如果你直接關閉vc6，就會發現剛才那個文件被刪除了（這個bug是微軟確認的，一直到vc6的sp5補丁也沒有修復）。

我的一個朋友使用vc6的時候遇到了這個bug，而且他以為vc6出了問題，直接關閉了vc6，結果很費勁才調試好的很長的一的文件就失蹤了。我首先試用了finaldata和easyrecovery，結果找出很多以前刪除的文件，就是沒有需要的。沒有辦法的情況下，只好使用強行搜索的方法了

1.運行winhex，選擇tools菜單中的opendisk,選擇誤刪除的文件所在的邏輯盤c盤，2.選擇search菜單，使用find text命令，在打開的c盤上直接搜索程序代碼中的特征串“增加了處理Reg_Expand_SZ”，3.經過一段時間后,把找到的代碼所在扇區的前后幾個扇區全部復制下來，拷貝到一個新的文件中，這樣就找回了原來的代碼。

對于恢復結構性很強的文檔，如果自動化的方式不起作用，可以寫一個小程序來搜索的同時加以判斷，或者直接利用winhex提供的接口寫一個腳本，如果數據很重要，這樣的手段也是很需要的。如果文件分散在分區的多個位置，還需要根據文檔的內部結構來重新組織文檔，才能徹底恢復數據。

誤格式化的原理也是非常類似，僅僅是快速格式化的時候，并沒有覆蓋原來的數據，所以可以恢復

第三篇：數據恢復保密協議

數據恢復保密協議

甲方：

乙方：中國人網絡數據恢復中心

一、服務內容：

甲方委托乙方采用乙方掌握的相應技術恢復甲方所需有用的數據，盡量降低因數據丟失給甲方造成的損失。乙方所做的全部工作將依據如下條款。這里所講的數據不包括操作系統和軟件環境。乙方對甲方提供的硬盤僅作鏡像操作，但仍需滿足甲方要求的數據恢復。

二、付款

甲方同意乙方在本協議條款的約束下進行數據修復工作。甲方確認恢復出的數據是自己需要的數據，并且只有對該數據進行拷貝時，才支付服務費，其它的一切情況不收取服務費。

三、承諾條款

乙方不以任何形式和方式，向甲方提供任何百分之百的修復承諾。

四、保密條款：

甲方允許乙方使用該硬盤（或設備）中的任何信息用于數據恢復，乙方保證該信息的保密性，數據恢復之后，不論甲方是否拷貝數據，乙方都不能留下數據任何形式的備份。若因乙方原因造成甲方數據、信息泄漏，甲方有權追究乙方的法律責任。乙方不能以任何形式將甲方的相關信息加以披露。

五、免責條款：

甲方委托乙方修復的數據可能發生丟失，乙方不承擔甲方數據損壞的責任及由于甲方數據損壞所導致或引發的任何連帶責任，包括數據丟失，免除保修義務、商業損失、民事侵權或其他永久性損失及由此協議引起的偶發性、后續性、間接性損失。

六、不可預計的情況：

甲方和乙方承認，本協議因以下情況而終止，雙方互不承擔違約責任：

a：不可抗性的災害；如地震，火災等、戰爭、騷亂。

b：硬件或軟件不可獲得或失效。

C：戰爭、騷亂乙方在恢復數據的過程中，如果因為硬盤進一步的自然損壞（比如最開始為壞道，后來讀數據造成硬盤故障進一步的老化和損壞，最終磁頭損壞或不認盤），或則由于其他外界原因(如突然停電)等造成硬盤的進一步損壞而引起數據無法恢復。

七、恢復介質保管條款：

在乙方通知甲方數據恢復成功完成后5天之內或超過雙方最初約定領取存儲介質、設備、數據的約定期限，乙方負責再次敦促提醒甲方領取數據和介質。如果數據未恢復成功，乙方負責知會甲方并告訴實際情況。如果在乙方通知后超過一個月，甲方仍未前來領取，乙方將視甲方放棄介質和介質的數據恢復，可以對介質做任何處理，并可刪除已恢復出來的任何數據。

八、本協議一經雙方簽定即已生效：本協議自簽字蓋章之日起生效。

九、本協議一式二份，甲乙雙方各執一份，均具同等法律效力。

甲方簽字：乙方簽字：

聯系電話：聯系電話：

日 期：日 期：

第四篇：數據應急恢復工作制度

數據應急恢復工作制度

1、當確認計算機網絡中心服務器出現故障時，由系統管理員按“數據備份恢復方案”進行系統恢復。

2、由信息科主任指定專人負責數據恢復，當人員變動時應有交接手續。

3、當網絡線路不通時，網絡維護人員應立即到場進行維護，當光纖損壞時立即使用備用光纖進行恢復，交換機出現故障時，應使用備用交換機。數據備份恢復后，應通知臨床科室進行近期數據核對。

4、對每次的恢復細節應做好詳細記錄。

5、定期對全系統備份數據進行模擬恢復，以檢查數據的可用性。

第五篇：簡單的數據恢復協議

數據恢復協議書

甲方:

乙方:

甲方于20年月日把受損的硬盤交由乙方進行數據恢復，由于硬盤里的數據對于甲方來極其重要,并且有可能威脅到甲方的安全，故甲乙雙方立如下保密協議：

1、不管硬盤里的數據能否恢復都必須保密原有數據的完整性和安全性。

2、硬盤里所有的數據（包括恢復之前與恢復之后）乙方不得私自備份到光盤、優（U）盤、其它可存儲數據的介質，不得把數據以口頭或書等行式披露、拷貝給任何第三方，不得以圖像、書面、口頭等方式透露硬盤中的任何數據。

3、在甲方把數據拷回去之后必須把乙方電腦里存儲的有關甲方的數據全部消毀，以防無意中被散露出去。

4、由于甲方硬盤中的數據屬于帶有商業信息的機密文件，所以乙方若沒有遵守本合同條款，乙方將應承擔一定的法律責任。

5、本合同嚴格遵守：

《國家保密局在計算機網絡信息安全管理工作中的職責》、《中華人民共和國保守國家秘密法》、《中華人民共和國保守國家秘密實施辦法》、《計算機信息系統保密管理暫行規定》、《計算機信息系統國際聯網保密管理規定》、《涉及國家秘密的通信、辦公自動化和計算機信息系統審批暫行辦法》、《涉及國家秘密的計算機信息系系統集成資質管理辦法（試行）》、《全國人民代表大會常務委員會關于維護互聯網安全的決定》、《中華人民共和國計算機信息系統安全保護條例》、《中華人民共和國計算機信息網絡國際聯網管理暫行規定》、《中華人民共和國電信條例》、《計算機信息網絡國際聯網安全保護管理辦法》、《中華人民共和國公共安全行業標準》、《計算機病毒防治的管理辦法》等要求規范。

甲方(責任人簽字)：乙方(客戶簽字或蓋章)：

日期：2013年4月20日