还原出厂系统后分区丢失的数据恢复方法

笔记本电脑一键还原后数据恢复的原理分析与方法
广州蓝锐数据恢复研究中心-吴鸿-原创;转载请注明原作者
www.bluesharpdata.cn  QQ:12617135
现在的大部分笔记本电脑都提供了一键还原出厂系统功能,当您的系统出现故障不能启动后,可以非常方便、快速的恢复到厂家初始安装的原始状态,让您的笔记本电脑在故障后马上又可以进入正常工作状态。但是在方便快捷的同时,也有些弊端和不足的地方,就是还原系统后,整个硬盘将会变成一个大分区,只有一个分区了,原来的多个D、E、F、G等等分区全部丢失,当出现这种分区丢失后,该如何保护原数据与进行一键还原后的数据恢复呢?
首先,我们来探讨下一键还原系统时,它做了哪些操作,对哪些地方做了改动,下面以320GB硬盘为例进行分析。图1为还原前的分区状态,图2为一键还原后的分区状态。

图1:还原前的分区状态
原来的硬盘分区有5个,分别是30GB、60GB、60GB、60GB、70GB、12GB,各个分区已存有的数据用彩色表示,MBR分区表的分区指向分别有三个指向,第一指向C盘系统分区,第二指向D盘分区前的扩展分区记录表,由这个扩展分区表继续指向后面的分区;第三指向最后的工厂预装系统用的隐含区。

由上图可明显的看到,一键还原后,原来的所有分区全部不见了,只剩一个280GB的大分区和工厂隐含的分区。原D、E、F、G盘全部丢失,MBR主引导扇区内也只剩两个指向,一个指向新的大C盘系统分区,一个指向工厂的隐含分区。原来的扩展分区指向已经被删除。
当您发现遇到此种情况造成的分区丢失,首先要保护现场,不要再进行其他操作,不要再进行分区,更不要再往此硬盘拷入任何数据,否则将会造成数据更多的被覆盖性破坏,并不可恢复。


将新旧分区重叠对比分析明显可见,一键还原系统只是破坏了C盘前几G的空间,后面的数据完整的存在于硬盘内。 如果您一键还原后,能很好的保护现场,不再分区与拷入数据,原D、E、F、G盘数据是可以无损的恢复,且数据很快可以得到重现。其最为安全的恢复原理与恢复的方法是:第一:只需要重新把C盘的分区大小修改回原来的30GB大小,并且把新C盘的DBR backup扇区复制到修改后的分区大小对应的分区结束位置,以及修改DBR内分区大小的描述;第二:于MBR的分区表内重新手工建立一条扩展分区的指向,把原第一个扩展分区记录表EBR位置关联到MBR分区表中。这样,后面的所有分区即可自动关联起来,从而完整恢复全部除原C盘外的数据。
在日常的工作中,多次遇到有个别客户使用自动修复的软件进行重建分区表与扩展分区表的操作,个别自动修复的软件计算不准确,把分区表指向与EBR重建到一个错误的位置,而且该位置刚好又是原分区比较重要的引导所在位置或目录表,造成了极大的破坏,使得后面的数据恢复更加困难及部分数据的丢失。所以建议采用安全的手工精确分析定位分区位置和重建分区指向。



联系本文作者: 在线远程数据恢复;QQ:12617135



-转载请标明转载自广州蓝锐-吴鸿原创-






上一篇: 这是最早的一篇日志
下一篇: 广东茂名**支队HP惠普存储柜数据恢复成功案例
文章来自: 本站原创
引用通告: 查看所有引用 | 我要引用此文章
Tags: 后分区丢失 数据恢复方法
相关日志:
评论: 0 | 引用: 0 | 查看次数: -
发表评论
昵 称:
密 码: 游客发言不需要密码.
邮 箱: 邮件地址支持Gravatar头像,邮箱地址不会公开.
网 址: 输入网址便于回访.
内 容:
验证码:
选 项:
虽然发表评论不用注册,但是为了保护您的发言权,建议您注册帐号.
字数限制 1000 字 | UBB代码 开启 | [img]标签 关闭