数据恢复

您身边专业的恢复数据专家
服务热线:

18613950905

当前位置:

首页 > DE提取

案例详情

详情介绍

数据丢失的原因可能非常不同:驱动器电源和微码故障、驱动器重新分配失败的实验、病毒等。在本文中,我们将尝试了解为什么看不到数据以及如何通过 DataExtractor 功能恢复数据。

一点点理论

让我们考虑一下典型的 数据在磁盘上的组织 明白 为什么 操作系统 不能访问数据:

文件系统结构拷贝

获取 操作系统需要文件

1)读取 所述第一 扇区(MBR,LBA#0) 从其中 它 知道 第一分区 开始 2048 扇区  它需要 N个扇区;
2)读取分区的第一个扇区找到 NTFS Boot的结构 了解我们正在处理的是NTFS文件系统并获取一些关于它的元数据的信息3) 使用来自NTFS Boot的信息查找文件系统的其他元数据, 
  什么将允许您显示 文件结构。

所以我们可以将元数据分为 3 种类型:

1)关于磁盘空间分布的元数据在这个例子中它是MBR,但也可以是 GPT、Apple Partition Scheme、LDM、LVM 等。
2)文件系统中的入口点它获取有关文件系统类型的信息,通常它包含一些重要的设置。例如,它是Boot NTFS,但也可以是 Boot for FAT 和 ExFATEXT、XFS、UFS、ReiserFS 的超级块
3)文件系统的其余元数据——所有存储有关目录和文件的位置、名称和属性信息的结构。它是NTFSMFTFAT12/16/32 的 FAT 表和目录; EXT等的inode 表

操作系统 可能无法显示分区 如果 之一 这些类型的元数据,或 数个,已损坏。

实际案例

1)MBR干扰

服务器管理器

类似的模式 (unalocated) 可以看出 在非标准Windows的“磁盘管理”工具 ,如果你删除 MBR它 坐落  该驱动器的扇区0您将无法通过操作系统的标准工具查看分区,但有多种方法可以在 Data Extractor 中从丢失的分区中获取数据:

首先,您可以通过典型签名手动找到分区的第一个扇区,通过插件检查其正确性(例如查看为-> Boot NTFS)并将其挂载为虚拟分区。

一步一步的复制

或者,您可以运行“快速磁盘分析”——搜索丢失文件系统的自动方法—— 它会自动完成。

QDA

2) 格式化驱动器(以及可能损坏所有文件结构)

可能性 和数据恢复的方法  快速格式化 是 话题 的 另一篇文章然而,我ñ 某些情况下, 一切都非常简单让我们考虑 以下实验:在驱动器  安装了 Ubuntu它创建了一个 EXT 分区), 然后将  插入到  装有 Windows 的计算机 格式化  NTFS之后什么都不做与 驱动器 ,并 把它带到 数据 回收公司。

为了 澄清这种情况, 让我们 运行 Raw recovery。 原始 恢复 是一种 专门的 模式 ,用于查找 用户数据照片文档等 文件系统的元数据搜索是基于正则表达式 和内部验证算法 不同结构的,   依赖于逻辑 组织 的磁盘 哪些 文件系统 ,以及如何  整个)。换句话说,它是 File Carving

在 ext3 文件系统中,所有分区空间都被分成大小相等的组(可能除了 最后一个)。所以有很大的机会找到主超级块的副本。此外 该组织 的文件系统 为我们提供了 possibilitiy准确定义开始分区,如果我们successfuly发现 几个 超级块 从SAM ê 分区。在这个机会上添加 虚拟 分区 方法是基于。方法可从 RAW 恢复模式下 extX 超级块的上下文菜单中获得。这些方法也可用于所有文件系统“入口点”(引导 NTFS、超级块等)

从 RAW 副本添加

3) 典型的“您需要在驱动器 X 中格式化磁盘:才能使用它”消息

立即格式化

此消息 用户经常看到 而不是 他们的数据, 这些 数据存储  具有FAT 文件系统的闪存驱动器 外部硬盘 驱动器上 如果我们故意弄乱引导FAT,这就是我们 将得到的 如果 Boot FAT 的副本没有损坏, 那么复合体内部的分区将被打开而无需任何操作如果 Boot 副本损坏 - 您可以使用上述所有方法来恢复文件结构 -原始恢复 、快速磁盘分析和手动搜索以及从十六进制编辑器中查找虚拟分区。

总之,应该说 已经 建立的 文件系统 可能有 它的问题,  “快速分析”可以解决这个问题。 为此,还有 其他方法例如分区分析)。它们 可以 长时间运行在磁盘 造成 沉重的负载 ,因此它不会在“快速分析 自动 运行

一键拨打