4.3.4误分区、误格式化及误删除的挽救方法
1．误分区
如果只是重新分区，用DISKGEN重建分区表就可以了。
2．误格式化
1） NTFS状态
在NTFS分区方式下，可恢复的可能是100%。
首先在命令行方式下用“CJKLDSK G : /F”进行恢复，一般都能完全恢复，因为NTFS是一个可自恢复的文件系统，对每一步必要的硬盘操作都有日志记录，如同数据库的ROLLBACK，要么全做，要么全都不做。只有在破坏严重，这种方法不能修复时才使用恢复软件，而恢复软件是不能100％恢复的。
2） FAT状态
高级格式化操作一般有两种，一种是在DOS下使用Format命令；另一种是在Windows环境下针对从盘进行格式化。格式化的数据恢复可以针对系统盘也可以针对从盘，只需要知道高级格式化的操作并没有把硬盘上的文件数据清除，而仅是重写了FAT表就行了，由此完全可以借助一些工具软件来有效恢复已经被高级格式化过的硬盘上的数据。
如果是用DOS下的Format命令将硬盘格式化，那么针对FAT或FAT32格式，可以在启动盘中拷贝著名的UNFormat命令进行恢复磁盘格式化功能。此时系统会将计算机的所有磁盘驱动器全部列表显示出来，从中选择需要恢复的硬盘分区后，单击“OK”按钮，UNFormat即会自动对磁盘进行检测，查找有关恢复格式化信息，最后再根据这些信息对错误格式化的磁盘进行恢复。随后只需在UNFormat恢复完成后重新使用磁盘扫描程序对恢复后的磁盘进行扫描，排除因恢复过程所造成的磁盘软故障之后就可以使用了。
如果对DOS不熟悉，那么建议使用FinalData， FinalData与同类软件相比，在恢复效果上及操作简便性上更胜一筹。它可以恢复数据、主引导记录（MBR），引导扇区、FAT。启动软件后单击”文件”中的”打开”，出现”选择驱动器”窗口，可以在”逻辑驱动器”选项卡中选择被删除文件先前所在的驱动器的盘符，或者在”物理驱动器”选项卡中直接选择计算机中的某一块硬盘，确认无误后软件将会对所选驱动器进行必要的文件扫描。
在结束了初步扫描的过程后，系统会让用户来选择以簇为单位的磁盘分区搜索范围，如果知道所删除文件在磁盘中的大概位置，就可以通过”开始”和”结束”滑杆进行合理地位置调整，这样可以大大缩减程序扫描的时间，而一般的用户对此并不十分了解，所以还是建议使用软件的默认设置，当然相应的要耗费的时间较长。
程序搜索完成后将会自动进行分析工作，在软件的窗口中罗列出了所有搜索到的文件以及文件夹名称，其文件的浏览方式与资源管理器如出一辙，可以看到一些文件和文件夹的名称中第一个字符变成了”＃”符号，说明这就是曾经被删除的项目。
在这里可以很轻松地恢复的需要资料，只要将其选中（也可以全部选择），单击工具栏中的“复原”按钮就可以了，然后需要在弹出来的窗口中确定文件所要保存的路径。值得注意的是保存路径的驱动器一定不要用误删除文件所在的驱动器，否则将会导致任务的失败。
当硬盘的所有分区都被删除的时候，其实恢复工作并不难，方法如下：将需恢复盘设为从盘挂在任一台装有FinalData的计算机上，启动系统后，双击”我的电脑”，会发现根本找不到从盘，此时启动FinalData并单击”文件”中的”打开”，出现”选择驱动器”窗口（前提：此时硬盘应保证分区只被删除而没有格式化）。
注意：必须在”物理驱动器”选项卡中选择从盘，根据硬盘容量选择即可。以下的恢复过程与上文内容所述步骤相同。在恢复过程中以下几点可供大家参考。
（1）假设D分区已经被格化式，但是此时却需要恢复格式化前的文件，那么请保证此时D分区中没有进行过复制、整理磁盘等操作，即该分区的最后一次操作就是格式化。此时该分区的内容将可以得到很好的恢复。
（2）如果恢复的文件是图像文件，FinalData将只能恢复其中很小的一部分，绝大部分将无法恢复。
（3）从实际的操作过程来看，FinalData的操作方式非常简单的，操作过程中用户看到的是目录、文件等自己比较熟悉的内容，而非簇、扇区、二进制标志等底层信息。
FinalData在整个恢复操作过程中对目标磁盘完全是一种只读性操作，没有对其进行任何修改。这样即使在恢复过程中有误操作或者恢复不成功，至少不会对硬盘造成进一步的破坏。当然，正如上述总结的几条经验一样，FinalData软件也会因种种原因造成数据的无法恢复。虽然FinalData的功能很强大，但是其对物理性损坏的磁盘数据恢复无效。所以当遇见物理性损坏的磁盘建议不必再使用FinalData。
3．误删除文件的恢复
误删除文件是每个计算机用户都会犯的错误，尤其是重要数据被误删除时，可能会造成巨大的损失，下面以一个典型的例子来讲解一下最简单有效的恢复措施。
例如，用Word撰写文章的时候，该文章被误删除，那么可以通过”还原回收站文件”来恢复数据，如果是按”Ctrl ＋ Delete”组合键彻底删除文件，则需在系统中设置显示全部文件后，就可以在文章所在目录中找到”～WRl0982. tmp"（类似文件名，一般选数据最大的文件）文件，用Word打开，会发现最后一次修改存盘的文章内容赫然在内。如果一个文件从”回收站”被删除掉，其名称将会发生变化，重命名的规则是：D（删除）＋其所在的驱动器盘符＋被删除文件的序列号＋原文件扩展名，例如，df88 : Jpg是指从F盘中第88个被删除的一个JPG图形文件。
4．系统文件丢失的数据恢复
系统文件丢失将直接导致系统无法进入或无法正常运行，从而使数据读取困难，针对这种情况，可以通过覆盖安装系统或将此硬盘作为另一硬盘的从盘，再通过数据转移的方法来完成数据的恢复。
4.3.5用PQ将FAT32格式化为NTFS的数据恢复
如果误将FAT32分区用PQ格式化成NTFS时，且用了些数据恢复软件也没有恢复成功，此时可按下面方法操作。
能完全恢复的前提是根目录和两个FAT中至少有一个没有被破坏。
计算公式：根目录＝保留扇区数＋第一FAT＋第＝FAT，即G=B=F1 ＋F2文件分配表标志。一般扇区的前三个字节是F8FFFF，这是FAT的第一个扇区，分配表的末尾扇区一般全是0，因为分区里面的数据一般不会写到最后，登记非整个分区都写满。
根目录的标志：根目录在第二FAT的后面，以非0数据开始，而第二FAT的开尾一般是0，因此根目录应该是一连串的0数据扇区后第一个非0数据扇区，这个扇区一般是FAT大小2倍的位置附近，保留扇区B一般在40以内。
（1）确定FAT的损坏情况一分区的32-40扇区，发现已经没有F8FFFF的了，扇区里已经写了FIEE开头，这是NTFS分区的MFT，因此断定第一个FAT已经被破坏。
（2）查找第二FAT的位置。用脚本来搜索前30000扇区内以F8FFFF开头的扇区，发现在10829扇区，由此断定这是第二FAT的位置，即B ＋ F1=10029
（3）确定根目录的位置。根目录大约在2 x 10029，用尝试了几次，就发现在20024扇区前面很多是0数据扇区，而20024扇区里面有数据，而且看到该分区的卷标内容，所以这个扇区就是根目录的位置，即B ＋ F1十F2 =20024。
（4）根据B＋F1＝10029，B＋F1＋F2 =20024，得到F1＝F2 = 9995， B = 34
（5）得到了分区的重要参数后，用虚拟卷加载这个分区，虚拟卷是在内存中强制以某种文件系统加载硬盘某扇区。DataExplore在专业模式下，数据来源一虚拟卷一下一步，在虚拟卷中驱动器填D：开始扇区填0，选FAT32类型，按预读后把带＊的参数修改成：每扇区字节数512，每簇扇区数32，保留扇区数34，备份数2，根目录项数0，每FAT扇区数0，物理驱动器数9995。修改过后按“完成”按钮，几秒钟后，原来的数据即可全部显示出来了。
4.3.6开盘数据恢复
1．引起敲盘的原因
引起敲盘的原因主要有（1）磁头坏；（2）板坏；（3）板和盘体接触不紧密；
（4）固件坏。
首先要准备好合适的工作环境，关键在于清洁。现在的硬盘数据密度非常高，即使一个灰尘微粒也会阻止从某些扇区读取数据，最佳的方法是使用“无尘室”。无尘室应该达到10级的清洁标准----1m 3的空间包含不多于10个微尘粒子。数据恢复的成功率是依赖于环境因素的。在准备好清洁的工作环境后，需要选择一些必要的工具，还要准备一台可以方便调节亮度和方向的台灯和PC电源。最后还需要一些酒精、手套、口罩和帽子。因为人体本身也是污垢的来源，头发中有灰尘，手指上有油脂，因此应避免这些因素影响硬盘。在做好以上准备之后，就可以开始代换磁头了。
2．选择备件的原则
硬盘的型号要一致，主轴电机和VCM控制器芯片和读写信道芯片要一致。有关磁头代换兼容性特征见表4-1。
另外，注意打磨硬盘及配件，“打磨的硬盘”是指通过更改某些参数，关掉损坏的磁头，更改固件版本等来修复损坏的硬盘，以在二手市场上出售。例如，许多打磨的Maxtor N40P硬盘，可能使用的是Maxtor Ares C64K的盘体，他们的固件版本号都是NAR61590，此外，还有WD、EB和BB系列，序列号中包含字母“R”的硬盘。显然，打磨的硬盘如果有一个磁头损坏（磁头0，底部的那个），那么就会使用另外的磁头来作为活动磁头，固件的版本号也会改变（例如，ST7200.7对应的有一些固件版本，如3. 53、 3. 75、 8. 75使用了两个磁头）。厂家在修复硬盘时不会更换磁头，他们会利用现有的资源做一些配置上的改变。另外，校准参数对于特定的磁头、PCB是唯一的。如果存储在固件区中的校准参数不兼容，那么要恢复数据也是不可能的，甚至还会引起敲盘，可以说打磨的硬盘一般是不能用作备件盘的。
3．开盘流程
开盘检修过程参考前面介绍的硬盘拆装过程，下面简要介绍开盘流程。
（1）准备好备件盘；
（2）开一个同类型的盘，了解硬盘内部结构，提高成功率；
（3）准备好开盘工具，并且确保工具洁净；
（4）处理身上静电，穿上防静电服，戴上防静电帽子和手套；
（5）打开无尘工作台，让工作台预先工作10min，清理内部含尘空气；
（6）清理坏盘和备件盘的灰尘和静电；
（7）把坏盘磁头取出，查看盘片是否划伤，并看清磁头排列；
（8）把备件盘磁头取出，安装在坏盘上；
（9）调整好磁头电机松紧程度；
（10）用手轻轻转动盘片，检测磁头是否碰到盘片；
（11）盖上外盖，接上计算机，用MHDD检测是否认盘、坏道多少；
（12）如果坏道少，直接提取数据，如果坏道多，用DE对考；
（13）数据恢复完成以后，把原盘和备件盘都装配好。
整个开盘过程应做到：认真、细心、有耐心、不急躁、精确定位、头脑清醒、操作规范。
4.3.7数据恢复实例
1. LINUX安装错误
（1）硬盘情况：40G硬盘，分三个区，D，E中有很多重要数据。原来装Win-dows XP系统，做主盘。在试图向从盘上装LINUX的时，误将安装盘符选为C，而后发现终止，此时硬盘无法自举。软盘启动无法看到任何有效分区。
（2）工具准备：DISK1一WINXP启动盘（带DEBUG）、DISK2-DISKEDIT等工具。
（3）修复思想：修复分区表中的扩展分区，重置主分区的分区类型。
（4）修复过程：用软盘启动，FDISK/MBR清除LILO，重建代码，用DISKEDIT调入MBR观察，已经没有了扩展逻辑分区的信息。80激活分区的类型已经变成83 （LINUX），用RE恢复分区表，但在机器上显示溢出，找到一台兼容机，在上面再次运行RE，恢复了D、E两个分区，机器工作正常。
2. NTSF}RVER硬盘崩溃
（1）相应情况：这是一台NT服务器，三个NTFS分区，有重要数据在内。硬盘崩溃，不能启动，软盘启动后，用NTFSDOS不能影射任何逻辑分区。
（2）工具准备：DISK1-WINXP启动盘（带DEBUG） 、DISK2-DISKEDIT等工具。
（3）修复过程：
UEDEBUG读取分区表时，发现完全混乱。反汇编后发现为一段有逻辑意义的代码，以为硬盘被加密了。用FDISK/MBR进行恢复，重启后，硬盘竟能启动进入NT，只剩下C一个分区，而后又恢复了另外两个分区（此故障只是MBR不正常而己）。
3. NOVELL服务器掉电问题
一台NOVELL服务器因UPS故障突然掉电重起。当时的交易系统还是DBF数据库，按照规程，应该运行一个全部数据库重建索引例程，但索引中，却有7个库无法重建，检查发现，库无法打开。
DBF文件头在突然死机中可能会损坏，但不知细节如何。初步判定，由于库写入时，先修改文件头中的记录总数，再写入记录。可能是掉电时文件头已经修改，但记录没有成功写入，因此，应该是记录数不符。把这些损坏的数据库和一个完好数据复制到本地，用FOXPRO打开记录数，换算成16进制，然后找这个HEX串，判定找到记录数地址。如果不知道处理DBF的公式，可把损坏数据库的记录数每次减一，然后再在FOXPRO打开试验。其中5个数据库减一后就可以打开，只有一个数据库直到减四后才正常。
