误ghost操作恢复的思路

gaoshuang78 · 发表于 2010-2-3 15:06:35

1、ghost成一个大分区的情况很多，我在我的blog中也写过一个案例，感兴趣的朋友，可以去看一下。这种ghost成一个大分区的情况之所以多的原因是，ghost先选择目标再选择操作。也就是说先选择分区还是硬盘，然后才选择要ghost的文件。选择硬盘或者分区后的操作都一样。所以很多人选择错误后根本不知道，另外还有一部分人是认为先选择硬盘再选择分区，但是选择硬盘后又没有选择分区的步骤，所以ghost成一个大分区的情况非常多。

2、再说恢复的过程。上来就用winhex或者其他的来扫，我认为应该是后面的操作。前面应该还有其他更快的方法。我说一下我的方法，大家交流。

3、ghost成一个大分区的情况，mbr，c的dbr肯定没有了(vista系统有一样的地方，2048的dbr，有可能63不会破坏)。所以一般人上来的思路是招ebr，这没有错，但是扫的话会比较慢。我一般是先16进制看1-62，看看有没有mbr或者c的dbr的备份，如果有备份那算过去看看是不是ebr，这样应该更快。vista的系统，63也可以看，也许会有用，因为vista下分的盘dbr在2048，而不是63。

4、如果1-62没有有用的信息，也可以先跳到20482875和40965750，这是10g和20g的ebr常在的位置。如果有ebr，也可以看看是否正确。这也比直接扫快很多。

5、如果可能的位置也没有。那就跳到最后一扇，看有没有ntfs的dbr的备份。当然不是都在最后一扇，因为分区不跨柱的规则，就应该去最后1柱的最后1头的最后1扇看。如果有，那算过去，也要比扫描的快。

6、如果都没有，那也先不用winhex扫。可以先用finaldata或者其他程序，扫每柱的1头1扇，但是注意出来的扇区号是dbr，你还要减63或2048看有没有ebr。如果扫不出来，应该去排除mbr中dpt的干扰，再扫。

7、如果还扫不到，那再用winhex的逐扇扫55aa找ebr。

8、不过，有时候winhex也找不到，就要换程序找了。winhex有时候找不到很奇怪，我也不知道为什么，大家注意这种情况就行了。