效率源DATACOMPASS通过影子盘快速安全的从MBR损坏硬盘中恢复数据

效率源技术部05 · 发表于 2009-2-5 15:33:00

用DC通过影子盘由MBR损坏的硬盘中恢复数据

MBR，即主引导记录，位于硬盘的0磁道0柱面1扇区，其主要作用是引导硬盘启动，查找分区，找到第一个活动分区后读取并执行该活动分区的分区引导记录。如果MBR损坏，则系统无法正常启动，而通过数据恢复软件打开硬盘也无法看到分区。通常这种情况都是通过扫描分区功能来找到丢失的分区，但是如果硬盘本身坏道比较严重，那么扫描可能会耗费大量时间。而通过手动计算方式来寻找分区时，一则需要在故障硬盘上做改动，这点深为数据恢复行业所忌；二则如果MBR是由于坏道损坏而引起的，那么即使手动计算出来也无法改写回去。
针对这类由于零磁道坏道导致MBR和主分区DBR损坏，不能识别分区的故障硬盘，下面通过使用DC的影子功能快速、安全地恢复其中的数据为例，讲解使用DC由MBR损坏的硬盘中恢复数据的方法，其具体操作步骤如下。
Step 01 将故障硬盘和DC正确连接后，打开底层控制程序，硬盘处于就绪状态，如图所示。

图1　打开底层控制程序

Step 02 单击"扇区查看"选项卡，查看MBR扇区，即0扇区。可以看到MBR扇区全部以4040显示，即表示当前扇区为坏道，数据无法读出，如图2所示。

图2　查看MBR扇区

Step 03 在"十进制"文本框中输入"63"查看DBR扇区，该扇区也是同样的情况，即DBR中可能也产生了坏道，数据无法读出而显示为4040，如图3所示。

图3　查看DBR扇区

Step 04 在"十进制"文本框中输入其他数据，查看数据区中的数据，可以看到数据区没有遭到破坏，查看多个扇区时都可以正常显示，如图4所示。

图4　查看数据区

知识提示：通常这种情况下可以通过直接扫描分区功能来查找其余分区，但是如果硬盘有严重坏道，扫描可能会花费大量时间。因此，这里我们采用在影子盘回写MBR扇区，让系统通过加载影子盘上的扇区识别出硬盘分区的措施来解决问题。要回写MBR，需要先找到DBR查询分区信息，但该硬盘DBR却无法读取。我们知道，无论是NTFS还是FAT格式的分区都存在一个备份DBR，在初始DBR损坏的情况下可以通过备份DBR来恢复分区。而在NTFS格式的分区中备份DBR隐藏在总分区扇区数的最后一个扇区，因此，备份DBR发生损坏的几率较小。下面用十六进制编辑软件"WinHex"查找备份DBR来恢复MBR。

图5　查找分区

Step 06 启动WinHex，程序将自动装入硬盘资源，可以看到硬盘的前部分都显示为4040,无法读出数据，如图6所示。

图6　@@@@@@@@@@@@资源

Step 07 通过直接搜索"55AA"标记来查找备份DBR，为缩短搜索时间，可以通过偏移位置来进行搜索，这里偏移到LBA＝50000000开始搜索，稍候在LBA=51199154位置找到该分区的备份DBR，如图7所示。

图7　查找到备份DBR

Step 08 连接影子盘，打开底层控制程序，单击"影子盘设置"选项卡，在"影子盘"下拉列表框中选择影子盘，并将影子盘初始化后开启影子功能，如图8所示。

图8　设置影子盘

图9　填写BPB

图10　填写55AA结束标志

注意提示：前面填写的全部内容实际都是写到影子盘上，并没有写到故障硬盘中，而且故障硬盘由于坏道影响也使我们无法在其中的该位置写入任何内容。在写入影子盘后，DC程序在装入硬盘资源时会自动加载影子盘中的这部分内容，从而使分区可以正常显示出来。
Step 10 填写完DBR后，还需要填写MBR的内容，即在零扇区中填写MBR分区表和结束标志，如图11所示。至此MBR和DBR的回写工作完成。

图11　填写DBR内容

图12　恢复文件

Step 12 数据恢复成功后再使用WinHex程序进行检测，没有发现未读取的数据，至此用DC通过影子盘从MBR损坏的硬盘中恢复数据成功。