论文部分内容阅读
你该怎么办
寻找丢失文件，上演时光逆转
文件数据意外丢失后的解决方案
本文可以学到
1文件丢失时的应急处理方法
2 如何保护好第一数据现场
3 一些找回丢失文件的工具和技巧
本期专家介绍
相利辉，35岁，从事数据存储类研究13年，飞客数据资深首席技术官。北京飞客瑞康科技发展有限公司（以下简称为“飞客”），以数据安全和数据恢复为主营业务，是一家专业级的数据恢复公司。若想更进一步地了解他们，可访问其官方网站：http://www.fix.com.cn。
本文相关小知识
数据恢复不等于硬盘修复
这是许多人容易混淆的两个概念，实际上它们有很多不同。最主要的是目的不同，硬盘修复主要是为了让坏硬盘能重新使用，所以有时可以用低格、重分区等对数据有极强破坏力的手段；而数据恢复的首要目的是找回硬盘上的数据，虽然有时数据恢复的前提是要先把硬盘修好，但绝不可以用破坏数据的方法来修复硬盘。
本文中所说的“数据”，泛指硬盘上的所有文件，包括数据库数据、文档、图形、声音、程序等等。本文中涉及数据概念时，可能同时使用“文件”、“数据”、“信息”等词语。
本文相关火速链接
有关硬盘的结构原理，可参阅本刊今年第17期加油站文章《“专业”硬盘维修其实没那么玄》。
网络大补贴
专业数据恢复过程中，经常要在软件工具自动处理的基础上辅以手工操作，这就要求我们对硬盘的各种文件系统要十分了解。下面是我找出的一些文章链接，供大家参考阅读。
硬盘FAT文件系统原理的详细分析
网址：http://tag.csdn.net/Article/68ca2d25-77ec-4456-9216-9e9ba2a54199.html
深度解析NTFS文件系统
网址：http://www.techupdate.com.cn/techupdate/2006/0802/303169.shtml
解析Linux文件系统
网址： http://www.ccidnet.com/images/tech/linux/zhuanti/wenjian/index.htm
硬盘有价数据无价。现在一块新的大容量硬盘也就几百块钱，但假如保存在硬盘上的重要客户资料、业务通讯簿、海量股票数据、写作多日的书稿文件等丢失了，就可能给企业或个人造成无法弥补的损失。一旦你发现重要的文件不见了，这时千万要镇静，别盲目操作。今天我们请来了北京飞客瑞康科技发展有限公司的专业数据恢复工程师相利辉先生，他会在这方面给我们一些建议。
【实际案例】
恢复软件显威破“阴谋”
扬扬（嘉宾）：
在我的工作生涯中曾经历一次惊心动魄的事件。我原来在一家出版公司工作，有一次我们公司要赶出一本时效性非常强的畅销书，书稿排版完成准备出片送印厂的时候却出了点意外：为了赶进度，公司通过熟人临时从外面请来了两个排版人员，谁知这两人在要求老板增加排版费时没有谈妥，竟然私自将所有排版文件拷贝出去，并将公司机器上的所有相关文件删除了（还没忘清除垃圾箱），以此相要挟。
公司一方面与他们谈判，一方面做好最坏打算，让我试试能不能找回被删的文件。我记得《电脑爱好者》上曾介绍过数据恢复软件Recover My Files，从网上搜索下载了一个，安装后运行软件，主界面如图1所示。
左侧四个功能按钮分别为Fast File Search（快速文件搜索）、Complete File Search（完全文件搜索）、Fast Format Recover（快速格式化恢复）、Complete Format Recover（完全格式化恢复）。
好家伙，格式化后的硬盘数据都能找回来！我先试了一下快速文件搜索，单击Next（下一步），在选择要恢复的分区时，我点击勾选了E分区（原排版文件所在位置），继续点击Next，接下来要求选择文档类型，我在图形（Graphics）中选中了TIFF格式，在文档（Documents）中选中了P65格式（PageMarker排版文件），设置完毕单击Start开始搜索，开始了漫长的扫描过程。
幸运的是被删除的文件都还在，点击勾选被删的全部文件，再单击工具栏上的Save Files（保存文件），从弹出对话框中选择文件保存的位置，单击“确定”就可以了。还好，只有个别图形文件损坏，补好之后重新校一遍，图书最终如期上市了。
柳絮飞（主持人）：
现在网上有关文件恢复的软件有很多，这些软件往往将自己宣传得神乎其神，那么它们是否有效，使用时需要注意哪些问题，以及数据恢复的原理是什么？还请相工程师给我们详细讲讲吧。
【专家分析】
如何判断数据丢失的故障原因
相利辉：
上面案例是典型的恶意删除，这样的事情生活中并不多见，平时我们处理的客户请求中，大部分是操作不当或误删除引起的数据丢失。除此之外还有误格式化、误分区、误克隆、病毒感染、操作断电等引起的数据丢失，故障表现一般为：无法进入操作系统、文件无法读取、文件无法被关联的应用程序打开、文件丢失、分区丢失、乱码显示等。这些一般能通过软件来恢复，所以称之为逻辑恢复。
还有一类是硬件故障引起，具体表现为：存储设备无法被识别、硬盘上电后异响、设备读写操作困难等。比如硬盘，一旦磁头、电机或电路板等出现故障，这时软件就无能为力了，只能打开盘腔后进行深层次数据恢复。
柳絮飞：
一般人很少有条件进行硬件恢复，看来对个人来说只能试试逻辑恢复了。那么一般人在知道文件丢失后应该怎么做呢？
发现文件丢失后怎么办
相利辉：
当发现文件丢失后，最麻烦的是盲目操作造成二次覆盖，所以我们有以下一些建议：
1.当发现数据丢失后，不要轻易尝试任何操作，尤其是对硬盘的写操作，否则很容易覆盖数据。
2.如果丢失的数据在C盘，这时请立即关机，因为操作系统运行时产生的虚拟内存和临时文件也会对后期恢复的成功率产生一定影响。
3.不要轻易尝试Windows的系统还原功能，它并不能为你找回丢失的文件，只会给后期的恢复增加不必要的障碍。
4.请不要反复使用杀毒软件，因为它是不可能帮你找回文件的。
5.自己判断决定：如果丢失的数据非常重要（比如事关个人前程发展什么的），就不要轻举妄动，而是先咨询一下正规的专业数据恢复公司（注意查看资质证明）再行处理；如果丢失的数据不会造成太大的麻烦，倒是可以借助软件自行尝试恢复。这类软件，网上较流行的有Easy Recovery、FinalData还有前面介绍的Recover My Files等。
上面案例中，扬扬就犯了一个很大的错误，他不应该再使用原盘上的系统甚至还新安装了恢复软件，没有出问题是他比较走运。正确的做法，应该关机，摘下硬盘，然后再接到另一台已经安装好恢复软件的机器上尝试恢复。
扬扬：
关于恢复软件我有一些困惑，为什么有些软件直接以文件列表的形式列出所有找到的丢失文件，而有些软件则必须先设置好文件类型（文件扩展名）才进行下一步操作，这两者之间有什么区别么呢？
相利辉：
这两者并没有本质的区别，要求设置文件类型，实际上起到的是个过滤的作用，这样可以快速找到你想要的文件。而以列表方式显示丢失文件的，一般是对所有丢失数据做完整的搜索，所以在速度上会慢一些，但找出的文件会全一些。
【嘉宾提问】
怎么保护好“第一现场”
扬扬：
防止硬盘数据被二次覆盖，最安全的办法莫过于克隆硬盘镜像，然后在镜像文件上操作。我看到网上有人说，可以利用Ghost制作这种镜像，是真的吗？
相利辉：
想法非常正确，但是Ghost是绝对做不到的，因为Ghost是系统级别的镜像，并不是完全的磁盘镜像，被删除的文件极有可能不包含在Ghost镜像中的。专业的数据恢复公司一般会开发有自己独有的磁盘镜像工具，它会将要恢复磁盘的所有扇区上的数据1：1原样镜像。接着把这一镜像还原到其他磁盘中再进行恢复操作，就可以避免原磁盘被二次覆盖的风险了。
扬扬：
这类工具应该是数据恢复公司技术核心，市面上很难找到吧。
相利辉：
你说得不错，这类工具确实很难在市面上找到。不过对个人来说，如果确定了要自己试着恢复，也可以借用WinHex（下载地址：http://www.newhua.com/soft/1509.htm，安装时注意选择，有插件）来克隆磁盘，以达到保护好“第一现场”的目的。
启动WinHex之后，单击“工具→磁盘工具→克隆磁盘”菜单命令，在打开的对话框中，将“来源”磁盘设置为出现数据丢失的硬盘，而不是分区；将目标设置为保存镜像文件的位置，千万别设置为数据丢失的那块硬盘（见图2）。确定后，WinHex就会原封不动地把磁盘存储结构记录到镜像文件中。有了原始镜像文件，一旦恢复失败，还有机会将镜像交给专业数据恢复公司进行处理，这无疑给数据多上了一层保险。
【互动空间】
今天我们先聊到这，非常感谢飞客的相利辉工程师以及各位嘉宾的支持。也希望大家能来信（或在CFan论坛）谈谈你对这期内容的感想及对以后内容的建议。在使用电脑的过程中，如果你遇到了什么无法解决的难题，请与我们联系。如果你的问题具有非常典型的意义，我们将组织向有关专家请教，帮你解忧排困。联系信箱：[email protected]；邮件标题，请注明“CFan你该怎么办”字样。
专家提示
★文件被删除甚至被格式化之后，为什么还能找回来呢？其实原有的文件数据并没有被完全从磁盘中抹去，而仅仅是文件头被打上了“已删除”标志，在文件列表中将看不到它们。不过这些文件所占用的区域不再被系统保护，其他数据可以随时覆盖它们，这就极有可能造成二次覆盖的后果。
★硬件类故障的保护方法
本文主要讲的是针对软件故障的一些保护方法，而对一些硬件级故障，处理起来就得更加小心了。如果开机后听到硬盘有异常响声、BIOS无法识别、开机立即断电、磁头读写异常等情况时，一定要尽量减少带电操作，以防止磁头进一步疲劳损伤，甚至划伤盘片。像文中介绍的磁盘克隆也不要进行，应马上关机、断电，并咨询正规的专业数据恢复公司再采取下一步行动。
★在WinRAR中直接打开压缩包中的文件进行编辑，在再Ctrl+S键保存文件后，WinRAR还会弹出提示窗口，询问文件已改变是否更新压缩包。有人认为已经保存没必要更新，随手就点击了“否”，结果下次再打开压缩包中的文件时，会发现文件原封不动，编辑的内容都丢掉了。这部分内容是无法找回的，因为之前一直是在内存中操作，文件并没有保存到硬盘上。另外，在邮件附件中打开文件直接操作也会遇到这类问题。所以，大家在压缩包中编辑文件时要注意更新或另存文件。
寻找丢失文件，上演时光逆转
文件数据意外丢失后的解决方案
本文可以学到
1文件丢失时的应急处理方法
2 如何保护好第一数据现场
3 一些找回丢失文件的工具和技巧
本期专家介绍
相利辉，35岁，从事数据存储类研究13年，飞客数据资深首席技术官。北京飞客瑞康科技发展有限公司（以下简称为“飞客”），以数据安全和数据恢复为主营业务，是一家专业级的数据恢复公司。若想更进一步地了解他们，可访问其官方网站：http://www.fix.com.cn。
本文相关小知识
数据恢复不等于硬盘修复
这是许多人容易混淆的两个概念，实际上它们有很多不同。最主要的是目的不同，硬盘修复主要是为了让坏硬盘能重新使用，所以有时可以用低格、重分区等对数据有极强破坏力的手段；而数据恢复的首要目的是找回硬盘上的数据，虽然有时数据恢复的前提是要先把硬盘修好，但绝不可以用破坏数据的方法来修复硬盘。
本文中所说的“数据”，泛指硬盘上的所有文件，包括数据库数据、文档、图形、声音、程序等等。本文中涉及数据概念时，可能同时使用“文件”、“数据”、“信息”等词语。
本文相关火速链接
有关硬盘的结构原理，可参阅本刊今年第17期加油站文章《“专业”硬盘维修其实没那么玄》。
网络大补贴
专业数据恢复过程中，经常要在软件工具自动处理的基础上辅以手工操作，这就要求我们对硬盘的各种文件系统要十分了解。下面是我找出的一些文章链接，供大家参考阅读。
硬盘FAT文件系统原理的详细分析
网址：http://tag.csdn.net/Article/68ca2d25-77ec-4456-9216-9e9ba2a54199.html
深度解析NTFS文件系统
网址：http://www.techupdate.com.cn/techupdate/2006/0802/303169.shtml
解析Linux文件系统
网址： http://www.ccidnet.com/images/tech/linux/zhuanti/wenjian/index.htm
硬盘有价数据无价。现在一块新的大容量硬盘也就几百块钱，但假如保存在硬盘上的重要客户资料、业务通讯簿、海量股票数据、写作多日的书稿文件等丢失了，就可能给企业或个人造成无法弥补的损失。一旦你发现重要的文件不见了，这时千万要镇静，别盲目操作。今天我们请来了北京飞客瑞康科技发展有限公司的专业数据恢复工程师相利辉先生，他会在这方面给我们一些建议。
【实际案例】
恢复软件显威破“阴谋”
扬扬（嘉宾）：
在我的工作生涯中曾经历一次惊心动魄的事件。我原来在一家出版公司工作，有一次我们公司要赶出一本时效性非常强的畅销书，书稿排版完成准备出片送印厂的时候却出了点意外：为了赶进度，公司通过熟人临时从外面请来了两个排版人员，谁知这两人在要求老板增加排版费时没有谈妥，竟然私自将所有排版文件拷贝出去，并将公司机器上的所有相关文件删除了（还没忘清除垃圾箱），以此相要挟。
公司一方面与他们谈判，一方面做好最坏打算，让我试试能不能找回被删的文件。我记得《电脑爱好者》上曾介绍过数据恢复软件Recover My Files，从网上搜索下载了一个，安装后运行软件，主界面如图1所示。
左侧四个功能按钮分别为Fast File Search（快速文件搜索）、Complete File Search（完全文件搜索）、Fast Format Recover（快速格式化恢复）、Complete Format Recover（完全格式化恢复）。
好家伙，格式化后的硬盘数据都能找回来！我先试了一下快速文件搜索，单击Next（下一步），在选择要恢复的分区时，我点击勾选了E分区（原排版文件所在位置），继续点击Next，接下来要求选择文档类型，我在图形（Graphics）中选中了TIFF格式，在文档（Documents）中选中了P65格式（PageMarker排版文件），设置完毕单击Start开始搜索，开始了漫长的扫描过程。
幸运的是被删除的文件都还在，点击勾选被删的全部文件，再单击工具栏上的Save Files（保存文件），从弹出对话框中选择文件保存的位置，单击“确定”就可以了。还好，只有个别图形文件损坏，补好之后重新校一遍，图书最终如期上市了。
柳絮飞（主持人）：
现在网上有关文件恢复的软件有很多，这些软件往往将自己宣传得神乎其神，那么它们是否有效，使用时需要注意哪些问题，以及数据恢复的原理是什么？还请相工程师给我们详细讲讲吧。
【专家分析】
如何判断数据丢失的故障原因
相利辉：
上面案例是典型的恶意删除，这样的事情生活中并不多见，平时我们处理的客户请求中，大部分是操作不当或误删除引起的数据丢失。除此之外还有误格式化、误分区、误克隆、病毒感染、操作断电等引起的数据丢失，故障表现一般为：无法进入操作系统、文件无法读取、文件无法被关联的应用程序打开、文件丢失、分区丢失、乱码显示等。这些一般能通过软件来恢复，所以称之为逻辑恢复。
还有一类是硬件故障引起，具体表现为：存储设备无法被识别、硬盘上电后异响、设备读写操作困难等。比如硬盘，一旦磁头、电机或电路板等出现故障，这时软件就无能为力了，只能打开盘腔后进行深层次数据恢复。
柳絮飞：
一般人很少有条件进行硬件恢复，看来对个人来说只能试试逻辑恢复了。那么一般人在知道文件丢失后应该怎么做呢？
发现文件丢失后怎么办
相利辉：
当发现文件丢失后，最麻烦的是盲目操作造成二次覆盖，所以我们有以下一些建议：
1.当发现数据丢失后，不要轻易尝试任何操作，尤其是对硬盘的写操作，否则很容易覆盖数据。
2.如果丢失的数据在C盘，这时请立即关机，因为操作系统运行时产生的虚拟内存和临时文件也会对后期恢复的成功率产生一定影响。
3.不要轻易尝试Windows的系统还原功能，它并不能为你找回丢失的文件，只会给后期的恢复增加不必要的障碍。
4.请不要反复使用杀毒软件，因为它是不可能帮你找回文件的。
5.自己判断决定：如果丢失的数据非常重要（比如事关个人前程发展什么的），就不要轻举妄动，而是先咨询一下正规的专业数据恢复公司（注意查看资质证明）再行处理；如果丢失的数据不会造成太大的麻烦，倒是可以借助软件自行尝试恢复。这类软件，网上较流行的有Easy Recovery、FinalData还有前面介绍的Recover My Files等。
上面案例中，扬扬就犯了一个很大的错误，他不应该再使用原盘上的系统甚至还新安装了恢复软件，没有出问题是他比较走运。正确的做法，应该关机，摘下硬盘，然后再接到另一台已经安装好恢复软件的机器上尝试恢复。
扬扬：
关于恢复软件我有一些困惑，为什么有些软件直接以文件列表的形式列出所有找到的丢失文件，而有些软件则必须先设置好文件类型（文件扩展名）才进行下一步操作，这两者之间有什么区别么呢？
相利辉：
这两者并没有本质的区别，要求设置文件类型，实际上起到的是个过滤的作用，这样可以快速找到你想要的文件。而以列表方式显示丢失文件的，一般是对所有丢失数据做完整的搜索，所以在速度上会慢一些，但找出的文件会全一些。
【嘉宾提问】
怎么保护好“第一现场”
扬扬：
防止硬盘数据被二次覆盖，最安全的办法莫过于克隆硬盘镜像，然后在镜像文件上操作。我看到网上有人说，可以利用Ghost制作这种镜像，是真的吗？
相利辉：
想法非常正确，但是Ghost是绝对做不到的，因为Ghost是系统级别的镜像，并不是完全的磁盘镜像，被删除的文件极有可能不包含在Ghost镜像中的。专业的数据恢复公司一般会开发有自己独有的磁盘镜像工具，它会将要恢复磁盘的所有扇区上的数据1：1原样镜像。接着把这一镜像还原到其他磁盘中再进行恢复操作，就可以避免原磁盘被二次覆盖的风险了。
扬扬：
这类工具应该是数据恢复公司技术核心，市面上很难找到吧。
相利辉：
你说得不错，这类工具确实很难在市面上找到。不过对个人来说，如果确定了要自己试着恢复，也可以借用WinHex（下载地址：http://www.newhua.com/soft/1509.htm，安装时注意选择，有插件）来克隆磁盘，以达到保护好“第一现场”的目的。
启动WinHex之后，单击“工具→磁盘工具→克隆磁盘”菜单命令，在打开的对话框中，将“来源”磁盘设置为出现数据丢失的硬盘，而不是分区；将目标设置为保存镜像文件的位置，千万别设置为数据丢失的那块硬盘（见图2）。确定后，WinHex就会原封不动地把磁盘存储结构记录到镜像文件中。有了原始镜像文件，一旦恢复失败，还有机会将镜像交给专业数据恢复公司进行处理，这无疑给数据多上了一层保险。
【互动空间】
今天我们先聊到这，非常感谢飞客的相利辉工程师以及各位嘉宾的支持。也希望大家能来信（或在CFan论坛）谈谈你对这期内容的感想及对以后内容的建议。在使用电脑的过程中，如果你遇到了什么无法解决的难题，请与我们联系。如果你的问题具有非常典型的意义，我们将组织向有关专家请教，帮你解忧排困。联系信箱：[email protected]；邮件标题，请注明“CFan你该怎么办”字样。
专家提示
★文件被删除甚至被格式化之后，为什么还能找回来呢？其实原有的文件数据并没有被完全从磁盘中抹去，而仅仅是文件头被打上了“已删除”标志，在文件列表中将看不到它们。不过这些文件所占用的区域不再被系统保护，其他数据可以随时覆盖它们，这就极有可能造成二次覆盖的后果。
★硬件类故障的保护方法
本文主要讲的是针对软件故障的一些保护方法，而对一些硬件级故障，处理起来就得更加小心了。如果开机后听到硬盘有异常响声、BIOS无法识别、开机立即断电、磁头读写异常等情况时，一定要尽量减少带电操作，以防止磁头进一步疲劳损伤，甚至划伤盘片。像文中介绍的磁盘克隆也不要进行，应马上关机、断电，并咨询正规的专业数据恢复公司再采取下一步行动。
★在WinRAR中直接打开压缩包中的文件进行编辑，在再Ctrl+S键保存文件后，WinRAR还会弹出提示窗口，询问文件已改变是否更新压缩包。有人认为已经保存没必要更新，随手就点击了“否”，结果下次再打开压缩包中的文件时，会发现文件原封不动，编辑的内容都丢掉了。这部分内容是无法找回的，因为之前一直是在内存中操作，文件并没有保存到硬盘上。另外，在邮件附件中打开文件直接操作也会遇到这类问题。所以，大家在压缩包中编辑文件时要注意更新或另存文件。