一次还没成功的数据恢复经历

gdjxwz · 发表于 2011-9-19 15:38:21

同事的一块250G硬盘用硬盘盒作移动磁盘，插在电脑上无反应，求助于我。因同事不愿意将硬盘拿出去修，无奈之下我接触到了数据恢复这个概念，经历了一系列检测、搜索、记录，读了大量的贴子，认真读了两本书，几个月过去了（平常还要工作），从完全陌生到渐渐有了点概念。到现在也还没有一个好的结果，我的目标当然是希望能重建分区表，不希望完整地恢复文件目录及文件名，有个80%也行啊，最起码也要搞清楚这个硬盘的分区状态、文件系统吧？
现将我的这次还没成功的数据恢复经历记录下来，希望能让比我还菜的新手能有所收获，同时更希望有耐心的师傅能略看一下，给我一些建议或技巧（一窍顶十会啊）。在此谢过！

初始状态：硬盘标签上标示其型号为：st3250820a，将其作从盘挂上电脑，CMOS认出来的型号为：st3250623a。Windows XP能找到盘，但读不出数据。
一、步骤记录：
1、用Easyrecovery进行了恢复，文件名均已被破坏，恢复出来的文件都是以数字重新命名的，而且效果十分不理想，恢复了10几万个文件，只有1000多个文件能正常打开。检测到的总扇区数：488392064。检测用了10几天时间，开始三四天速度还是比较快，扇区数量不停增大，到了4.8亿以后，几分钟才走个100多扇区，只好停下。检测停止后，程序建立文件系统就用了20几个小时。现在想来无法接受，但当时只会这一招，没办法。
2、用金海硕大容量硬盘检测修复程序检测，共488397168个扇区，发现了7个坏扇区，分别为16128，34524，36321516，50380974，50381100，50381226，488392002。
检测后，使用它的自动修复功能，一修复，再检测，0扇区出问题了，退出来再进去，就找不到硬盘了。此时Windows系统已找不到盘，不能使用相关软件进行读取操作了。但CMOS中还是能找到。

到了这里，玩不下去了。无奈买了一本书，花了两个月时间，认真读了两遍。下载了一本书，用三天时间读了一遍。继续。

3、使用MHDD检测发现大量坏道，未继续检测。
4、使用HDDREG修复0-10扇区，修复成功。
5、使用THDD检测：
Model:ST3250623A    Cylihder:16383
Firmware:3.04          head:16
Serial N:3NDOMR40    Size(MB):65535
Sector:63
Smart 5:8
修复11-20扇区，也提示修复成功。（THDD修复将坏扇区加入G表，另外用备用扇区代替。）
此时再启动到Windows系统，已可以找到盘。
6、找朋友借到了两块160G硬盘（找不到大的了）：ST3160815A3，ST3160215A3，使用MHDD对其进行检测，均无坏道，用时：43’08，再使用MHDD进行全部清零操作，用时：44’37。
7、使用winhex进行磁盘拷贝，提示：
数据冗余检查：
无法读取扇区63/ST3250623A，数据错误。
无法读取扇区2050/ST3250623A，数据错误。
……（下面依次为：2112，2176，2176，2112，2112，64，128，128，64，64，1008，63）磁盘拷贝无法进行。
8、使用HDCLONE进行磁盘拷贝，提示发现9758个坏扇区，主要集中在前10000个扇区内。（不明白为什么突然多了这么多坏道？）（HDCLONE镜象过程中如果遇到坏扇区，则跳过一个区块（256个扇区？）继续镜象，镜象至磁盘尾部后再回头逐扇区对跳过的部分进行镜象）。
复制0-312580000扇区至ST3160815A3，其中坏扇区9758。用时：14：20：34。
复制312580000-481908701（默认的最大值）扇区至ST3160215A3。（重叠一个扇区）(镜象至磁盘尾部后再回头逐扇区对跳过的部分进行镜象，此时前面发现的坏扇区数已清空，未记录到坏扇区数)。用时：11：29：48。
9、使用R-STUDIO同时检测两块160G硬盘，用时：1：7：29：
815A：识别1  NTFS 7.9MB（起始）  40GB（大小）
空的空间       0             149.1GB
215A：未找到分区信息
打开文件表，两个盘同时搜索到一些文件，没有文件目录和文件名。
10、使用WNHEX扫描分区信息：
815A：分区1：？       233GB    16128
   分区2：？       233GB    16640
   分区3：？       233GB    17152
   分区4：HFS+HFSX 142GB    14104515
   分区5：HFS+HFSX 128GB    43215555
   未分区空间：       7.9MB    0
215A：分区1：HFS       105GB    91759855
   未分区空间          43.86GB    0

gdjxwz · 发表于 2011-9-19 15:39:08

11、使用WINHEX搜索：55AA，偏移510：
815A：在前100个结果中，发现：16065、16577、17089扇区有分区表信息，三个信息表内容相同，经分析内容为：NTFS分区，本分区之前：63，本分区总：488375937。这与前面的分区扫描能对应。
215A：结果有200多个，但未发现我能认识的FAT、NTFS分区或DBR信息。直接查看有内容的最后一个及邻近的若干扇区，没有NTFS的DBR信息。
12、使用WINHEX搜索MFT标识：FILE（46494C45），偏移0：
815A：在6307584扇区找到，共210个，减去10几个NTFS的系统文件，MFT里的文件信息不到200个。因此，从数量上看，现有的这个MFT表应该是不完整的。
215A：未找到。
13、使用WINHEX搜索NTFS跳转指令：EB5290，偏移0：
815A：13个结果。
215A：3个结果。
但这些结果的后面均没有“NTFS”标识。
14、使用WINHEX搜索“NTFS”标识：4E544653，偏移3：两硬盘均未找到。
15、使用擅长多文件类型的RAW恢复的Recover My Files搜索：
815A：找到的文件：21724
   文件系统记录：2476
   丢失的文件结果：（20236）
   虚拟exFAT分区@9445621760  （957）
   虚拟FAT分区@74173317120 （49）
   虚拟NTFS分区@8257536    (74)
         100  （39）
         新建文件夹  （63）
         （隐去此文件夹名）  （25）
         火车站（4）
         （以上为虚拟NTFS分区下的文件结构及数量，第三个名称隐去，打开文件系统查看，文件名、目录结构完整，预览打开正常，应该是MFT文件里的记录。）
其它找到的文件，文件名被破坏，部分预览正常，想必恢复效果比Easyrecovery要好。但与我的目标比，还有差距。
215A：找到的文件：4842
   文件系统记录：4
   丢失的文件结果：（4840）
16、使用WINHEX直接查看前300个扇区的内容：
内容全部为0的扇区：0-2，256-258，260-264，266-267
全部为FF的：3-11，39-41，46，67，80，86，91，92，141，151，259，265，287，296，297，302
30 FF：12-16，18-34，36-39，268-286，288-290，292-295
30 BF：17
30 7F：35，291
有内容：42-45，47-66，68-79，81-85，87-90，93-140，142-150，152-255，298-301，303-（无规则16进制数，但从ASC码和UNICODE码看不出什么，也没有我能认识的FAT、NTFS分区或DBR信息）

二、应该吸取的教训：
1、硬盘拿来后，不应该着急恢复，而应先备份，起码也要先镜像个几万扇区。最起码也要先把0、63这几个关键扇区的内容拷出来。
2、不要使用软件的自动修复功能，除非是没有办法了，特别是在备份之前。
3、工作开始前，认真读一本书是必要的，拿着软件就敢试，是要代价的。

三、下一步的打算：
1、用MTL再次对250G硬盘的前10000个扇区镜像，也许它与HDCLONE遇到坏扇区时跳过的扇区数不一样，取到的数据也不一样，通过比较，看能得到些什么有用的信息。必要时，将它写入815A硬盘。
2、使用HDDREG修复50-100扇区，看结果如何。

我在宜昌，最近在武汉出差，如果有同城或武汉的师傅愿意指点我一下，我请您喝酒！1249773324@QQ.com。
如果您觉得这篇文章对您还有点用，顶一下，说不定下一次就被一个好心的师傅看到了！感谢您能读到这里！

qqchengrui · 发表于 2011-9-19 15:56:34

哎呀你说了一大堆，都是在修盘呀，请问你还看了N个资料，要数据你修什么盘呀？这个就是郁闷的地方了，很简单的问题自己搞的复杂话，给你总结，没有看完所有资料，不要对盘做任何操作！
综合您所说的：硬盘有坏道，能认盘，不认分区！0扇区破坏而且是HFS+系统格式
分析：硬盘到底是什么分区管理方式？GPT？分析最后一个扇区来确定？ＯＫ？
步骤：１是我的话，先测试坏道，有坏道，先镜像到好盘！
　　　２，镜像玩对好盘分析！先分析分区管理方式，把分区修好，硬盘应该就好了！因为只是有坏道，没有覆盖与修改过数据，没有进行过格式化！
提醒：在修盘就真的吧人家那么简单的问题给搞死了！！！！！！！！！！！！！！！！！！！！！！！