淺談數(shù)據(jù)恢復(fù)技術(shù)

陳鋼

摘要：數(shù)據(jù)恢復(fù)技術(shù)是計算機安全與維護領(lǐng)域發(fā)展最迅猛、最有活力的技術(shù)，具有廣闊的市場和發(fā)展前景。本文首先分析了數(shù)據(jù)恢復(fù)的定義和原理，然后有針對性的提出了相應(yīng)的數(shù)據(jù)恢復(fù)方法。

關(guān)鍵詞：數(shù)據(jù)恢復(fù) 定義 原理 方法

當今社會是一個網(wǎng)絡(luò)信息時代，信息技術(shù)的作用不言而喻，而信息技術(shù)的核心是信息的處理和存儲。未來全球信息化是發(fā)展趨勢，今后對于企業(yè)來說，數(shù)據(jù)將會是最重要的一項資產(chǎn)，數(shù)據(jù)存儲的安全問題已不再是一個單純的技術(shù)問題，更是企業(yè)生存力和競爭力的重要體現(xiàn)。那么什么是數(shù)據(jù)呢？

首先，“數(shù)據(jù)”是一個廣泛的概念，不僅包括計算機文件系統(tǒng)或數(shù)據(jù)庫系統(tǒng)中的存儲的各種數(shù)據(jù)、正文、圖形、圖像、聲音等形式的多媒體數(shù)據(jù)文件、軟件或各種文檔資料，也包括存放或管理這些信息的硬件信息。什么是數(shù)據(jù)恢復(fù)呢？簡單地說，數(shù)據(jù)恢復(fù)就是把遭受破壞、人為誤操作等原因?qū)е聛G失的數(shù)據(jù)還原成正常數(shù)據(jù)。它不僅對已失去的文件進行恢復(fù)，還可以恢復(fù)物理損傷的磁盤數(shù)據(jù)，也可以恢復(fù)不同操作系統(tǒng)的數(shù)據(jù)。

造成數(shù)據(jù)丟失的原因非常多，常見的主要有以下9種：

①惡意的程序，如病毒等。

②其他惡意的破壞，如系統(tǒng)正常的刪除、移動、格式化等操作。

③誤操作，如誤刪除、誤格式化等。

④操作系統(tǒng)或應(yīng)用軟件的錯誤。

⑤硬件實效，如磁盤失效，電源不穩(wěn)造成自動重啟等。

⑥加密和權(quán)限。

⑦掉電。

⑧內(nèi)存溢出。

⑨升級。

1 數(shù)據(jù)恢復(fù)的定義

長期以來，計算機領(lǐng)域?qū)?shù)據(jù)恢復(fù)沒有一個得到廣泛認可的定義。現(xiàn)階段的當務(wù)之急是給計算機數(shù)據(jù)一個廣義的定義。有人認為數(shù)據(jù)是指類似文本文件、數(shù)據(jù)庫中的記錄等那樣的東西，但其實，所有儲存在計算機上的信息都應(yīng)該算成是hi數(shù)據(jù)。只要不是主觀意愿使這些信息發(fā)生的變化都可被視為破壞，相應(yīng)的數(shù)據(jù)恢復(fù)就是把這些發(fā)生變化的信息還原成正常數(shù)據(jù)的過程。這些數(shù)據(jù)包括系統(tǒng)數(shù)據(jù)和用戶數(shù)據(jù)兩大類，系統(tǒng)數(shù)據(jù)由于變化不大，具有通用性，較容易恢復(fù)（一些非常重要的配置信息，應(yīng)該劃歸為用戶數(shù)據(jù)，即所有沒有通用性、變化的數(shù)據(jù)都應(yīng)劃歸為用戶數(shù)據(jù)），才讓人們覺得狹義的數(shù)據(jù)恢復(fù)不包括對它們的恢復(fù)。然而系統(tǒng)一旦真的出現(xiàn)問題，也是一件非常麻煩的事情，需要消耗很多的時間和精力。對于大多數(shù)用戶而言，數(shù)據(jù)的重要性可以用一句話來概括：硬盤有價，數(shù)據(jù)無價！

2 數(shù)據(jù)恢復(fù)的原理

雖然導(dǎo)致數(shù)據(jù)丟失的原因有很多，但由于每種原因所導(dǎo)致的癥狀不同，這些癥狀或單獨出現(xiàn)，或同時出現(xiàn)，因此通常情況下只要數(shù)據(jù)區(qū)沒有被覆蓋，都是可以恢復(fù)的?；謴?fù)數(shù)據(jù)也從硬盤的5個區(qū)域入手，首先恢復(fù)MBR，然后恢復(fù)分區(qū)，DBR，F(xiàn)AT，F(xiàn)DT，最后恢復(fù)數(shù)據(jù)文件。

2.1 主引導(dǎo)記錄的恢復(fù)

如果硬件無誤，數(shù)據(jù)恢復(fù)的第一步一般是主引導(dǎo)記錄的恢復(fù)。主引導(dǎo)記錄的恢復(fù)比較簡單，因為它是系統(tǒng)數(shù)據(jù)。雖然可能會由不同的軟件來建立，代碼也會略有差別，但功能都一樣，即使是多系統(tǒng)引導(dǎo)，也沒有多大難度，可在一種系統(tǒng)引導(dǎo)正常之后，備份要恢復(fù)的數(shù)據(jù)，然后再恢復(fù)其多系統(tǒng)引導(dǎo)。

2.2 分區(qū)的恢復(fù)

分區(qū)恢復(fù)一般是數(shù)據(jù)恢復(fù)的第二步。因為除了部分工具直接對硬盤進行讀寫外，大部分的工具軟件都需要運行于操作系統(tǒng)之下，通過操作系統(tǒng)的調(diào)用來進行工作，而操作系統(tǒng)對磁盤的訪問是建立在MBR和DBR之上的，沒有MBR和DBR，操作系統(tǒng)就無法訪問文件系統(tǒng)。所以，如果分區(qū)表受損，就需重建分區(qū)表。重建分區(qū)表的工作一般由手工來完成，個別情況下也可以使用工作軟件自動完成。

2.3 0磁道損壞的恢復(fù)

雖然系統(tǒng)在管理硬盤時，采用不使用0磁道的所有扇區(qū)，只使用1扇區(qū)（也可能占用一兩個扇區(qū)對MBR進行備份）的方式來對0磁道進行保護，但有時受到一些客觀因素的影響，硬盤的0磁道還是會出現(xiàn)損壞。由于0磁道損壞對整個硬盤的打擊是毀滅性的，必須采取有效的措施避免該現(xiàn)象的出現(xiàn)，比如利用一些工具軟件，將0磁道往后稍稍移動一點（邏輯移動，不是物理移動），讓1磁道替代0磁道使用。但需注意，采用該方法后就不能再使用Fdisk之類的分區(qū)軟件進行分區(qū)。

2.4 硬盤邏輯鎖的處理

所謂硬盤“邏輯鎖”，就是讓分區(qū)鏈形成一個環(huán)。如此一來，只要系統(tǒng)啟動時對硬盤的分區(qū)表進行檢測，就會進入無限循環(huán)，具體表現(xiàn)是系統(tǒng)無法引導(dǎo)，即使是用軟盤啟動，也不能進入硬盤。明白了這個道理，解決這個問題就很簡單了。其原理就是避開系統(tǒng)對分區(qū)表的檢測，直接讀取硬盤扇區(qū)。

3 數(shù)據(jù)恢復(fù)的方法

EasyRecovery是一款操作安全、價格便宜、用戶自主操作的數(shù)據(jù)恢復(fù)方案，它支持從各種各樣的存儲介質(zhì)恢復(fù)刪除或者丟失的文件，其支持的媒體介質(zhì)包括：硬盤驅(qū)動器、光驅(qū)、閃存、硬盤、光盤、U盤/移動硬盤、數(shù)碼相機、手機以及其它多媒體移動設(shè)備。

3.1 硬盤數(shù)據(jù)恢復(fù)

各種硬盤數(shù)據(jù)恢復(fù)，能夠掃描本地計算機中的所有卷，建立丟失和被刪除文件的目錄樹，實現(xiàn)硬盤格式化，重新分區(qū)，誤刪數(shù)據(jù)，重建RAID等硬盤數(shù)據(jù)恢復(fù)。

3.2 移動硬盤數(shù)據(jù)恢復(fù)

在移動硬盤的使用中無法避免數(shù)據(jù)丟失，EasyRecovery支持：移動硬盤刪除恢復(fù)、誤刪除恢復(fù)、格式化恢復(fù)，操作與硬盤數(shù)據(jù)恢復(fù)一樣簡單。

3.3 U盤數(shù)據(jù)恢復(fù)

U盤，優(yōu)盤，XD卡，SD卡，CF卡，MEMORY STICK，SM卡，MMC卡，MP3，MP4，記憶棒，數(shù)碼相機，DV，微硬盤，光盤，軟盤等各類存儲設(shè)備。硬盤，移動盤，閃盤，SD卡、CF卡等數(shù)據(jù)介質(zhì)損壞或出現(xiàn)電路板故障、磁頭偏移、盤片劃傷等情況下，采用開體更換，加載，定位等方法進行數(shù)據(jù)修復(fù)。

數(shù)碼相機內(nèi)存卡，如，SD卡，CF卡，記憶棒等，U盤，甚至最新的SSD固態(tài)硬盤。因為沒有盤體和盤片，存儲的數(shù)據(jù)是FLASH芯片。一旦出現(xiàn)硬件故障，只有極少數(shù)數(shù)據(jù)恢復(fù)公司可以恢復(fù)此類介質(zhì)，這是由于一般的數(shù)據(jù)恢復(fù)公司做此類介質(zhì)時，需要匹配對應(yīng)的主控芯片，但是主控芯片在買來備件后只有把其拆了才能判斷該主控芯片是否匹配，而備件一旦被拆，就不能再被使用了，很多情況下主控芯片都不能實現(xiàn)配對，無法恢復(fù)數(shù)據(jù)。偶爾會出現(xiàn)配對成功的現(xiàn)象，即使如此也不代表就一定可以讀出數(shù)據(jù)，所以要想恢復(fù)此類介質(zhì)數(shù)據(jù)難度很大。大多數(shù)數(shù)據(jù)恢復(fù)公司如果碰到此類介質(zhì)，由于恢復(fù)的成本和代價很高，幾乎都會選擇放棄，該恢復(fù)技術(shù)和原理是大多數(shù)數(shù)據(jù)恢復(fù)的做法。然而，目前針對這種FLASH類的介質(zhì)，市場上已經(jīng)出現(xiàn)了一種新的數(shù)據(jù)恢復(fù)技術(shù)，該技術(shù)不需要進行主控芯片配對，只需要利用一種特殊的硬件設(shè)備，就可以直接把FLASH芯片里的代碼讀出來，之后再結(jié)合特殊的算法和軟件，通過人工組合，直接重組出FLASH數(shù)據(jù)。該恢復(fù)方法和原理基本上每一次都會成功，但是該恢復(fù)技術(shù)需要高昂的配套設(shè)備，并且由于對相關(guān)技術(shù)要求很高，對工程師的綜合實力非?？粗?，所以雖然采用該恢復(fù)技術(shù)基本上可以恢復(fù)數(shù)據(jù)，但是只有極少數(shù)的相關(guān)公司可以做到，甚至有的公司花高價采購了相關(guān)設(shè)備后，由于沒有相應(yīng)的工程師可供使用，也無法恢復(fù)數(shù)據(jù)。對于客戶而言，盡管采取該恢復(fù)技術(shù)可以恢復(fù)數(shù)據(jù)，但是成本很高，比硬盤的硬件故障恢復(fù)價格要高。2G左右的恢復(fù)費接近千元，32G，64G容量的恢復(fù)費用基本上在3000-5000。

3.4 Unix數(shù)據(jù)恢復(fù)

基于Solaris SPARC 平臺的數(shù)據(jù)恢復(fù)，基于INTEL 平臺的Solaris 數(shù)據(jù)恢復(fù)，可恢復(fù)SCO OPERNSERVER數(shù)據(jù)，HP-UNIX的數(shù)據(jù)恢復(fù)，IBM-AIX的數(shù)據(jù)恢復(fù)。

Linux數(shù)據(jù)恢復(fù)Linux操作系統(tǒng)中的數(shù)據(jù)備份工作是Linux系統(tǒng)管理員的重要工作和職責(zé)。傳統(tǒng)的Linux服務(wù)器數(shù)據(jù)備份的方法很多，備份的手段也多種多樣。常見的Linux數(shù)據(jù)恢復(fù)備份方式僅僅是把數(shù)據(jù)通過TAR命令壓縮拷貝到磁盤的其它區(qū)域中去。還有比較保險的做法是雙機自動備份，不把所有數(shù)據(jù)存放在一臺計算機上，否則一旦這臺計算機的硬盤物理性損壞，那么一切數(shù)據(jù)將不復(fù)存在了。所以雙機備份是商業(yè)服務(wù)器數(shù)據(jù)安全的基本要求。

參考文獻：

[1]劉樹聃，李碩.基于工作過程的數(shù)據(jù)恢復(fù)技術(shù)課程教學(xué)的設(shè)計[J].高等函授學(xué)報（自然科學(xué)版），2012（02）.

[2]文光斌.數(shù)據(jù)恢復(fù)技術(shù)的發(fā)展前景、技術(shù)層次及常用方法[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2005（05）.

[3]劉濤，郭吉平，張曉勇，支援，秦彥，馬傳志，王曉娟.一種數(shù)據(jù)恢復(fù)技術(shù)中扇區(qū)讀寫方案的設(shè)計與實現(xiàn)[J].科技致富向?qū)В?012（17）.

[4]王丹.基于WINDOWS系統(tǒng)平臺的數(shù)據(jù)恢復(fù)機制的研究與實現(xiàn)[D].電子科技大學(xué)，2012.

[5]杜江，王石東.計算機取證中的數(shù)據(jù)恢復(fù)技術(shù)研究[J].重慶郵電大學(xué)學(xué)報（自然科學(xué)版），2010（05）.