專(zhuān)題5《數(shù)據(jù)恢復(fù)技術(shù)》-V10第一頁(yè)，共48頁(yè)。課程目的熟悉常用數(shù)據(jù)恢復(fù)方法熟悉常用數(shù)據(jù)恢復(fù)軟件的使用了解國(guó)內(nèi)數(shù)據(jù)恢復(fù)發(fā)展現(xiàn)狀第二頁(yè)，共48頁(yè)。

數(shù)據(jù)恢復(fù)基本概念數(shù)據(jù)恢復(fù)分類(lèi)及數(shù)據(jù)恢復(fù)方法國(guó)內(nèi)數(shù)據(jù)恢復(fù)發(fā)展現(xiàn)狀及部分公司概況目錄第三頁(yè)，共48頁(yè)。數(shù)據(jù)恢復(fù)概念為什么需要數(shù)據(jù)恢復(fù)

由于各種病毒的蔓延、系統(tǒng)故障以及人為誤操作等因素，數(shù)據(jù)丟失的幾率已越來(lái)越大。在這個(gè)以數(shù)據(jù)為中心的社會(huì)，數(shù)據(jù)一旦丟失將會(huì)帶來(lái)不可估量的損失。 一旦發(fā)生數(shù)據(jù)丟失，應(yīng)通過(guò)數(shù)據(jù)恢復(fù)方法來(lái)恢復(fù)出原來(lái)的數(shù)據(jù)，將損失盡量降到最低。

第四頁(yè)，共48頁(yè)。數(shù)據(jù)恢復(fù)概念數(shù)據(jù)恢復(fù)：指由于各種原因?qū)е聰?shù)據(jù)丟失時(shí)把保 留在介質(zhì)上的數(shù)據(jù)重新恢復(fù)的過(guò)程。數(shù)據(jù)恢復(fù)不等于數(shù)據(jù)修復(fù)數(shù)據(jù)恢復(fù)是修復(fù)和恢復(fù)數(shù)據(jù)的總稱(chēng)數(shù)據(jù)修復(fù)指在硬件發(fā)生故障，但數(shù)據(jù)沒(méi)有損失的情況下進(jìn)行故障修復(fù)實(shí)現(xiàn)數(shù)據(jù)恢復(fù)的過(guò)程。第五頁(yè)，共48頁(yè)。

數(shù)據(jù)恢復(fù)基本概念

數(shù)據(jù)恢復(fù)分類(lèi)及數(shù)據(jù)恢復(fù)方法國(guó)內(nèi)數(shù)據(jù)恢復(fù)發(fā)展現(xiàn)狀及部分公司概況目錄第六頁(yè)，共48頁(yè)。數(shù)據(jù)恢復(fù)分類(lèi)磁盤(pán)陣列：是指由于磁盤(pán)陣列故障而引起的 數(shù)據(jù)丟失軟件故障：是指由于軟件故障或人為誤操作引起的數(shù)據(jù)丟失硬件故障：是指由于系統(tǒng)硬件故障引起的數(shù)據(jù)丟失第七頁(yè)，共48頁(yè)。磁盤(pán)陣列簡(jiǎn)介RAID是“RedundantArrayofIndependentDisk”的縮寫(xiě)，中文意思是獨(dú)立冗余磁盤(pán)陣列。主要有RAID0、RAID1、RAID10、RAID5等。磁盤(pán)陣列數(shù)據(jù)恢復(fù)是指由于磁盤(pán)陣列故障而引起的數(shù)據(jù)丟失

第八頁(yè)，共48頁(yè)。磁盤(pán)陣列故障類(lèi)型RAID信息丟失由于某塊硬盤(pán)掉線，替換后重建失敗，系統(tǒng)崩潰硬盤(pán)掉線（單塊或多塊）RAID卡損壞，更換后陣列崩潰拔插磁盤(pán)導(dǎo)致磁盤(pán)順序出錯(cuò)重建中途失敗重建成功后，分區(qū)丟失或系統(tǒng)無(wú)法啟動(dòng)第九頁(yè)，共48頁(yè)。信息收集

－－磁盤(pán)陣列數(shù)據(jù)恢復(fù)RAID類(lèi)型（硬、軟）如果為硬RAID，最好能提供RAID卡型號(hào)RAID級(jí)別陣列所建卷分區(qū)文件系統(tǒng)（包括操作系統(tǒng)）故障產(chǎn)生原因磁盤(pán)編號(hào)，指陣列中的各磁盤(pán)所在位置序號(hào)第十頁(yè)，共48頁(yè)。相關(guān)概念

－－磁盤(pán)陣列數(shù)據(jù)恢復(fù)重組：將磁盤(pán)陣列中每塊磁盤(pán)的數(shù)據(jù)重新組合到一塊磁盤(pán)上盤(pán)序：對(duì)磁盤(pán)陣列中物理磁盤(pán)進(jìn)行數(shù)據(jù)讀取的順序條帶大小(StripeSize)：對(duì)磁盤(pán)陣列一次讀取或?qū)懭氲臄?shù)據(jù)塊大小起始扇區(qū)：磁盤(pán)陣列在每塊磁盤(pán)上的開(kāi)始扇區(qū)校驗(yàn)順序(Parity)：校驗(yàn)塊的分布順序第十一頁(yè)，共48頁(yè)。恢復(fù)方法

－－磁盤(pán)陣列數(shù)據(jù)恢復(fù)重建RAID信息，恢復(fù)磁盤(pán)陣列這種方法要求RAID控制器支持設(shè)置重組所需參數(shù)，通過(guò)重組，實(shí)現(xiàn)恢復(fù)對(duì)于磁盤(pán)陣列故障均適用，但容量超大卷，重組過(guò)程時(shí)間會(huì)很長(zhǎng)，盡量不使用此方法第十二頁(yè)，共48頁(yè)。思路一

－－磁盤(pán)陣列數(shù)據(jù)恢復(fù)

對(duì)于無(wú)校驗(yàn)算法的磁盤(pán)陣列類(lèi)型，通過(guò)重組生成完整文件系統(tǒng)，然后按照單塊盤(pán)的數(shù)據(jù)恢復(fù)思路進(jìn)行恢復(fù)。第十三頁(yè)，共48頁(yè)。條帶策略卷恢復(fù)原理圖

第十四頁(yè)，共48頁(yè)。條帶鏡像策略卷恢復(fù)原理圖第十五頁(yè)，共48頁(yè)。思路二

－－磁盤(pán)陣列數(shù)據(jù)恢復(fù)

對(duì)于存在校驗(yàn)的磁盤(pán)陣列可以直接通過(guò)重組，也可以根據(jù)校驗(yàn)算法實(shí)現(xiàn)重組。以存在校驗(yàn)算法的RAID5為例講解（三塊盤(pán)情況）：原理圖（圖中P為校驗(yàn)塊）第十六頁(yè)，共48頁(yè)。RAID5策略卷恢復(fù)RAID5校驗(yàn)算法：異或邏輯運(yùn)算（算法可逆）第十七頁(yè)，共48頁(yè)。RAID5策略卷恢復(fù)

從校驗(yàn)算法上可以得知：構(gòu)成RAID5策略卷其中一塊盤(pán)去掉，同樣可以得到完整數(shù)據(jù)讀任意兩塊磁盤(pán)（圖中標(biāo)識(shí)讀取第一塊和第二塊），通過(guò)重組都能得到一個(gè)完整文件系統(tǒng)，實(shí)現(xiàn)恢復(fù)

第十八頁(yè)，共48頁(yè)。實(shí)現(xiàn)重組的常用軟件

－－磁盤(pán)陣列數(shù)據(jù)恢復(fù)

RaidReconstructor

如果各恢復(fù)參數(shù)已知，可自編一個(gè)讀寫(xiě)程序重組第十九頁(yè)，共48頁(yè)。數(shù)據(jù)恢復(fù)分類(lèi)磁盤(pán)陣列：是指由于磁盤(pán)陣列故障而引起的 數(shù)據(jù)丟失軟件故障：是指由于軟件故障或人為誤操作引起的數(shù)據(jù)丟失硬件故障：是指由于系統(tǒng)硬件故障引起的數(shù)據(jù)丟失第二十頁(yè)，共48頁(yè)。軟件故障種類(lèi)文件誤刪誤格式化誤GHOST（GHOST備份與恢復(fù)軟件）重裝系統(tǒng)覆蓋分區(qū)表丟失誤分區(qū)中病毒黑客攻擊PQ誤操作（PartitionMagic軟件）BOOT區(qū)丟失第二十一頁(yè)，共48頁(yè)。軟件故障數(shù)據(jù)恢復(fù)文件誤刪、誤格式化、分區(qū)表丟失、BOOT區(qū)丟失恢復(fù)方法：可以用常用的數(shù)據(jù)恢復(fù)掃描即可進(jìn)行恢復(fù)誤GHOST、重裝系統(tǒng)覆蓋視覆蓋情況而定，如果只恢復(fù)單個(gè)文檔可以按文件頭恢復(fù)誤分區(qū)、PQ誤操作 恢復(fù)軟件掃描分區(qū)信息，找到原有分區(qū)信息，進(jìn)行恢復(fù)中病毒、黑客攻擊視破壞內(nèi)容而定第二十二頁(yè)，共48頁(yè)。軟件類(lèi)常用軟件軟件類(lèi)常用恢復(fù)軟件：EASYRECOVERY、

R-STUDIO、FINALDATA常用磁盤(pán)扇區(qū)查看工具：RUNTIME、Winhex等第二十三頁(yè)，共48頁(yè)。常用軟件介紹EASYRECOVERY（能對(duì)誤GHOST、重裝系統(tǒng)覆蓋進(jìn)行文件提取）第二十四頁(yè)，共48頁(yè)。常用軟件介紹R-Studio（支持FAT12/16/32、NTFS、NTFS5和Ext2FS文件系統(tǒng)數(shù)據(jù)恢復(fù)；能夠重建損毀的RAID陣列）第二十五頁(yè)，共48頁(yè)。常用軟件介紹RUNTIME工具（強(qiáng)大的扇區(qū)查看編輯及文件系統(tǒng)分析工具）第二十六頁(yè)，共48頁(yè)。常用軟件介紹FINALDATA（文件誤刪、誤格式化、分區(qū)表丟失、BOOT區(qū)丟失）第二十七頁(yè)，共48頁(yè)。FINALDATA數(shù)據(jù)恢復(fù)步驟一首先打開(kāi)要恢復(fù)的磁盤(pán)或者磁盤(pán)分區(qū)第二十八頁(yè)，共48頁(yè)。FINALDATA數(shù)據(jù)恢復(fù)步驟二然后開(kāi)始掃描分區(qū)，到掃描結(jié)束第二十九頁(yè)，共48頁(yè)。FINALDATA數(shù)據(jù)恢復(fù)步驟三選中要恢復(fù)的數(shù)據(jù)，開(kāi)始進(jìn)行恢復(fù)第三十頁(yè)，共48頁(yè)。常用軟件介紹WinHex（強(qiáng)大的扇區(qū)查看編輯及文件系統(tǒng)分析工具）第三十一頁(yè)，共48頁(yè)。數(shù)據(jù)恢復(fù)分類(lèi)磁盤(pán)陣列：是指由于磁盤(pán)陣列故障而引起的 數(shù)據(jù)丟失軟件故障：是指由于軟件故障或人為誤操作引起的數(shù)據(jù)丟失硬件故障：是指由于系統(tǒng)硬件故障引起的數(shù)據(jù)丟失第三十二頁(yè)，共48頁(yè)。硬件故障

不需開(kāi)盤(pán)維修需開(kāi)盤(pán)維修(要求100級(jí)以上潔凈間)第三十三頁(yè)，共48頁(yè)。不需開(kāi)盤(pán)維修外電路故障電路板損壞斷針（IDE接口）固件損壞壞道硬盤(pán)加密主要使用工具：PC3000、MHDD、效率源等第三十四頁(yè)，共48頁(yè)。PC3000

－－修復(fù)硬盤(pán)綜合工具第三十五頁(yè)，共48頁(yè)。MHDD

－－強(qiáng)大的硬盤(pán)檢測(cè)能力第三十六頁(yè)，共48頁(yè)。效率源

－－修復(fù)硬盤(pán)邏輯壞道第三十七頁(yè)，共48頁(yè)。潔凈間概念

在硬盤(pán)生產(chǎn)過(guò)程中，盤(pán)片只能暴露在低于100級(jí)的潔凈間中，俗稱(chēng)“10級(jí)潔凈間”，基本為無(wú)塵環(huán)境，這樣才能保證硬盤(pán)長(zhǎng)期穩(wěn)定運(yùn)行;而數(shù)據(jù)修復(fù)是以備份出數(shù)據(jù)為前提，物理故障的硬盤(pán)是不會(huì)長(zhǎng)期運(yùn)行的，所以其潔凈間標(biāo)準(zhǔn)可適當(dāng)降低，但如果等級(jí)高于1000級(jí)，就會(huì)影響修復(fù)效果。第三十八頁(yè)，共48頁(yè)。需開(kāi)盤(pán)維修(100級(jí)以上)硬盤(pán)異響磁頭老化磁頭移位電機(jī)不轉(zhuǎn)磁阻變形內(nèi)電路芯片擊穿盤(pán)片輕微劃傷注：需提供備件

第三十九頁(yè)，共48頁(yè)。不能進(jìn)行數(shù)據(jù)恢復(fù)的情況

盤(pán)片被嚴(yán)重劃傷盤(pán)體嚴(yán)重變形，破碎被工具進(jìn)行過(guò)不正確處理，數(shù)據(jù)層已經(jīng)消失經(jīng)過(guò)熏烤，盤(pán)片磁性已經(jīng)消退盤(pán)體暴露在強(qiáng)磁場(chǎng)而遭破壞第四十頁(yè)，共48頁(yè)。

數(shù)據(jù)恢復(fù)基本概念數(shù)據(jù)恢復(fù)分類(lèi)及數(shù)據(jù)恢復(fù)方法

國(guó)內(nèi)數(shù)據(jù)恢復(fù)發(fā)展現(xiàn)狀及部分公司概況目錄第四十一頁(yè)，共48頁(yè)。國(guó)內(nèi)數(shù)據(jù)恢復(fù)發(fā)展現(xiàn)狀磁盤(pán)陣列方面 基于根據(jù)RAID算法通過(guò)重組實(shí)現(xiàn)，最后導(dǎo)出數(shù)據(jù)；不能達(dá)到手工修復(fù)RAID信息，恢復(fù)應(yīng)用環(huán)境的地步軟件故障方面大部分基于第三方軟件實(shí)現(xiàn)恢復(fù)，恢復(fù)扇區(qū)中存在的數(shù)據(jù)，對(duì)于壞塊或者壞道上的數(shù)據(jù)無(wú)法恢復(fù)第四十二頁(yè)，共48頁(yè)。國(guó)內(nèi)數(shù)據(jù)恢復(fù)發(fā)展現(xiàn)狀硬件故障方面通過(guò)硬件維修（嚴(yán)重的需開(kāi)盤(pán)換磁頭等部件）、或修復(fù)壞道等達(dá)到能讀出扇區(qū)數(shù)據(jù)，最后對(duì)扇區(qū)數(shù)據(jù)通過(guò)