DOS数据恢复Word文档格式.docx

1、 虽然操作系统能跟踪任何文件的存放地址，但在一个索引中对上千个文件进行索引查找并不是一件容易的事。把具有类似内容的文件逻辑划分到一系列子目录中，对有效管理硬盘系统是必要的。软盘的信息组织和文件管理结构比硬盘要简单一些，但原理是一样的。下面介绍一下硬盘的信息组织和文件管理性能。 硬盘经物理格式化、FDISK分区及FORMAT高级格式化后就可作为DOS盘正常使用了。硬盘物理格式化称低级格式化，它重新对硬盘划分磁道和扇区，在每扇区的地址区上标上地址信息，并剔出坏道。FDISK对硬盘空间进行分区，为不同的操作系统划分出各自的区域，既可以把整个硬盘全部划分给DOS操作系统使用，亦可划分出一部分硬盘空间给

2、DOS操作系统，而把其余部分留给其它操作系统使用。在硬盘上建立了四个分区信息表的同时，把主引导记录写到主引导扇区（0头0柱面1扇区），并激活一个分区。FORMAT C：/S命令在DOS分区空间（DOS引导扇区）的前部准备好DOS引导记录、文件分配表（FAT）和文件目录表（FDT）以及将两个系统隐含文件（对MS-DOS来说是IO.SYS和MSDOS.SYS）和命令处理程序（COMMAND.COM）拷贝到硬盘。在硬盘上对一个操作系统有两个引导程序，一个共用的（主引导程序）另一个是该操作系统自己专用的（称为DOS引导程序或BOOT RECORD）。二、主引导记录的修复 1. 什么是主引导记录 硬盘有

3、两个引导记录（假定硬盘只划一个主DOS分区），一个是主引导记录，一个是分区引导记录，前者驻留在硬盘的0道0面1扇区，后者驻留在硬盘逻辑0扇区。硬盘的主引导记录是FDISK.EXE在对硬盘进行分区时产生的，同时将分区信息登记在主引导记录上，它并不改变主引导记录的执行代码；FORMAT.COM只能格式化某一分区；主引导记录不属于任何分区，因而FORMAT.COM不能清除主引导记录的任何信息。如果在读主引导记录时出错或主引导记录的结束标志不是“55AA”，系统将转入ROM BASIC（无ROM BASIC则提示出错并死机）。 当主引导记录在查找到活动分区的引导标志为“80H”时（若为多个分区，其他分

4、区的引导标志为“00H”），就将分区引导记录读到内存7C00H处。若分区引导标志出错，系统将提示“Invalid Partition table.”（错的分区表）。若引导标志正确，读引导记录时出错，系统将提示“Error loading operation system”（操作系统装入出错）。 若BOOT区受损或遭到病毒侵袭，系统则提示“Disk boot failure,Insert system disk”（硬盘引导记录损坏，插入系统盘）。 DOS使用引导/保留区是用来确定该磁盘的面数、磁道数和扇区数。由FDISK程序写到硬盘第一物理扇区（0头0柱面1扇区，即主引导扇区）的主引导记录由三部

5、分组成： （1） 主引导程序 （2） 分区表 （3） 结束标志字 主引导程序可在FDISK程序中找到，占用446个字节，它用于硬盘启动时将系统控制转给用户指定的并在分区表中登记了的某个操作系统区。分区表内容由磁盘介质及用户在使用FDISK定义分区时决定。每个分区表的项目是16个字节长，其内容含义如下表所示。存储位置 内容及含义第1个字节 引导标志。值为80H表示活动分区，值为00H表示非活动分区第2、3、4个字节 本分区的起始磁头号、扇区号，柱面号第5个字节 操作系统提示符。值为00为不识别，值为EF、FF等为DOS不能识别的类型 ，值为06H表示DOS活动分区，0FH表示DOS扩展分区第6、

6、7、8个字节 本分区结束的磁头号、扇区号、柱面号第9、10、11、12个字节（双字） 本分区之前已用了的扇区数第13、14、15、16个字节（双字） 本分区的总扇区数 （1）扇区号的高二位占用柱面号所在字节的最高二位，即柱面号为10位，扇区号为6位。 （2）双字参数是低位在前，高位在后存储的。 结束标志字占二个字节，其值为AA55，存储时低位在前，高位在后。它用于标识一个有效主引导记录。因此，主引导记录共占用512个字节，正好为一个扇区，第一个分区表位于偏移地址01BEH处。 2. 主引导程序的修复 硬盘的主引导扇区是硬盘中最为敏感的一个部件，其中的主引导程序是它的一部分，此程序主要用于检测硬

7、盘分区的正确性，并确定活动分区，负责把引导权移交给活动分区的DOS或其他操作系统。此段程序损坏将无法从硬盘引导，但从软驱或光驱之后可对硬盘进行读写。修复此故障的方法较为简单，使用高版本DOS的FDISK命令即可。因为硬盘的主引导就是FDISK. EXE程序在分区硬盘时建立的，FDISK.EXE中包含有完整的硬盘主引导程序。由于对硬盘重新分区会造成硬盘数据丢失，所以在实际应用中我们往往通过带参数MBR来直接重写硬盘主引导程序，即输入DOS命令： FDISK/MBR 来重写硬盘主引导，而不会破坏硬盘上的原有数据。 虽然DOS版本不断更新，从DOS3.x到Windows 3.2，从Windows 9

8、x到Windows 2000，但硬盘的主引导程序一直没有变化，所以只要找到一种DOS引导盘启动系统并运行“FDISK/MBR”即可恢复硬盘主引导。 3. 硬盘分区表的修复 分区表错误是硬盘的严重错误，错误的不同程序会造成不同的损失。可用Norton 8.0的DISKEDIT.EXE程序来查看和排除错误，也可用KV3000的硬盘救护箱来修改磁盘。下面以KV3000工具为例来修复硬盘分区表故障。 （1）活动分区标志（80H）错误 没有活动分区标志，计算机将无法启动。出现该故障可用KV3000的硬盘救护箱来方便地修复。 将KV3000软件盘插进驱动器，打开电源启动机器，启动后运行KV3000程序，待

9、出现主界面后按“F6”出现图1所示界面，正常情况下倒数第四行的第15个字节应为“80”（如图1中A），如果不是可按“F5”键进入编辑状态，然后将光标移到该位置后直接输入数字“80”；按“Ctrl+F10”保存，屏幕出现提示信息“Warning!Exit（Y/N）”键入“N”，屏幕显示“Write?（Y/N）”要求进一步确认，按“Y”后机器将修改后的信息存盘，按“Esc”键退出KV3000后重新启动机器即可。 当然，也可用FDISK程序重置活动分区。 （2）DOS分区类型错误 某一分区类型错误，可造成某一分区的丢失。分区表的第五个字节为分区类型值，基本DOS分区值为06，而扩展的DOS分区值是0

10、F。如果把基本DOS分区类型改为0F则系统无法启动，并且不能读写其中的数据。如果把06改为DOS不能识别的类型如00H，则DOS认为该分区不是DOS分区，当然无法读写。修改此类故障和以上修改活动分区的方法类似，不同的是改动的是分区表的第五个字节（如图1中B、C），而不是第一个字节。 正因为DOS分区类型改动能致使硬盘分区不能被识别，所以我们可以利用此类型值来实现单个分区的加密，恢复原来的正确类型值即可使该分区恢复正常。分区表中还有其他数据用于纪录分区的起始或终止地址。这些数据的损坏将造成该分区的混乱或丢失，一般手工恢复较困难，可用备份的分区表数据重新写回，或者从其他相同类型并且分区状况相同的硬

11、盘上获取分区表数据。 在这里提醒大家，平时要做好分区表的备份工作，因为一旦分区表被破坏将导致硬盘数据的全部丢失，会给用户带来严重的损失。 4. 分区有效标志（AA55）的恢复 在硬盘主引导扇区中还存在一个重要的部分，那就是其最后的两个字节：55AAH，此字为扇区的有效标志。当从硬盘、软盘或光驱启动时，将检测这两个字节，如果存在则认为有硬盘正常，否则将不承认硬盘。系统从硬盘启动如果检查不到此标志则转入ROM BAISC或提示放入软盘；系统如果是从软盘启动的，则启动后无法转入硬盘。此类故障同样可用KV3000的硬盘救护箱功能来解决，具体方法同上，惟一不同的是修改引导记录的最后两个字节（如图1中D）

12、。 在启动过程中，如果检测不到0道0面1扇区最后的两个字节“55AA”，机器将不承认硬盘，因此我们可以利用此标志来加密整个硬盘。 另外，DOS引导扇区也有这样的标志。当DOS引导扇区无此标志时，系统启动将显示以下信息：missing operating system。其修复方法可参照以下DOS引导记录的修复方法。 5. 用KV3000找回关键代码 从上面我们知道，硬盘主引导区（0道0面1扇区）内有三种关键代码：第一种代码是主引导程序，可用FDISK/mbr或KV3000/K生成；第二种关键代码是80；第三种关键代码是55AA。如果没有第二、三关键代码，有时仅凭上述方法直接改回是没用的，因为这可

13、能是病毒所为，它将第二、三关键代码连同有关数据搬移到了其它扇区。我们可以运行KV3000程序，按下“F6”键（硬盘救护箱），然后用“PageUp”或“PageDown”键来进行查找，如在其它扇区发现分区表，会在表中出现闪动的红色“80”和“55AA”，并响一声来提示你，这时下方会出现一行提示：F9=Save to Side 0 Cylinder 0 Sector!。这时，按下“F9”键，就可将找到的原硬盘主引导信息搬回到硬盘0道0面1扇区中。重新启动机器，硬盘即可恢复正常。一般情况下，硬盘的隐含扇区只有0道0面1扇区有用，用来做主引导扇区。0道0面2扇区以后的隐含扇区是空闲区，部分病毒主体有时

14、隐藏在这些空闲区内，但是，只要0道0面1扇区中的病毒头被杀毒软件杀掉，2扇区以后的这些病毒主体就成为无头的病毒僵尸，再也没有病毒头来调用，当然也就没用了。 6. 硬盘主引导记录的备份与恢复 利用KV3000的主引导备份功能可以方便地备份硬盘的主引导记录，在硬盘主引导出现故障时可以很快恢复，既方便又安全。 使用KV3000/B的格式时，可以在软盘上备份一个硬盘的主引导区和系统引导区档案，并且在备份前会自动先检测主引导记录是否患有病毒或有不正常现象，如有，将警告用户要备份的档案有病毒或不正常，是否继续进行。当然，可强行备份。如果没有不正常现象，程序会提示在A驱中插入一张已格式化的软盘以便存储引导信

15、息档案。该档案名为：HDPT.DAT和HDBOOT.DAT，其中HDPT.DAT为主引导区备份文件，HDBOOT.DAT为系统引导区备份文件。当做完这项工作后，应将软盘贴好写保护，并在标签上写明主机型号、硬盘容量、分区大小，然后妥善保管。当日后硬盘因主引导信息损坏或被病毒破坏而不被认可时，我们可以用KV3000/HDPT.DAT 的格式将保存在软盘上的HDPT.DAT档案内容再恢复到硬盘引导区中，即可恢复硬盘的存取功能；也可以用KV3000/HDBOOT.DAT的格式将保存在软盘上的HDBOOT.DAT文件内容恢复到硬盘的系统引导区，这一步骤，对电脑用户来说，是非常有用的，建议用户一定要将重要

16、硬盘的主引导信息做一备份，并妥善保管。 如果你平时没有做主引导记录的备份工作，在主引导记录出问题时你还可使用移花接木的方法来恢复硬盘主引导。具体做法就是找一块大小和分区情况都相同的硬盘，将它的主引导备份下来，再拿到自己的硬盘上来恢复，这在主引导记录中的分区表破坏严重而无法修复时不失为一个很好的办法。这样恢复后就能再现硬盘上所有数据，避免了重新分区后数据丢失的情况。三、DOS引导记录（BOOT）修复 1. 什么是DOS引导记录 由FORMAT高级格式化指令写到逻辑0扇区（DOS引导扇区，又称BOOT区）的DOS引导记录由五个部分组成： 一条跳转指令 厂商标识代码 BPB参数信息 DOS引导程序

17、结束标志字 DOS引导记录的主要功能是完成DOS系统的自举。第一部分占3个字节，如果该磁盘是DOS系统盘，引导它使PC将引导区中的数据装入内存并执行此跳转指令，它跳过厂商标志和BIOS参数块区，直接到引导代码处执行程序。第二部分占8个字节，包含厂商标志。此域DOS并不需要使用，但可利用一些工具软件看到这部分信息。第三部分BPB参数信息是一组很重要的参数，占有9字节，其中长度为13个字节的BIOS参数块。（BIOS Parameter Block简称BPB）记录了磁道的重要信息，如每扇区字节数，磁盘介质说明符等。紧接着BPB的3个字（占6个字节）说明每道扇区数、磁头数、隐含扇区数，提供给磁盘驱动

18、程序，对磁盘起补充说明作用，通常把它们与BPB参数块合在一起，称为磁盘的BPB参数信息。BPB每张盘上都有，其中地址7C037C10的11个子项为BPB参数块。 第四部分DOS引导程序即BOOT代码占480字节，负责自动完成三个系统文件IO.SYS、MSDOS.SYS及COMMAND.COM的装入。第五部分结束标志字占2个字节，其值为AA55，存储时也是低位在前高位在后。这样五个部分共占用512个字节，也正是一个扇区，因此称它为DOS引导扇区或BOOT区。不管该磁盘是否含有DOS系统文件，在保留引导区中总是存在有自举代码，但只有此盘作为系统盘时它才能启动计算机。 2. DOS引导记录（BOOT

19、）的修复 DOS引导记录出错可通过高级格式化命令FORMAT来修复，FORMAT命令可带“/S”参数，也可不带，都不影响DOS引导记录的重写。即： FORMAT C： 或FORMAT C：/S 如果带参数“/S”则在向该分区写入DOS引导记录的同时，将三个系统文件IO.SYS、MSDOS.SYS及COMMAND.COM也一同写入磁盘，这样该盘就能作为系统盘来启动机器了。 但是用FORMAT命令来修复DOS引导记录有个致命的弱点就是该分区所有的数据信息将不保，虽然可以使用以下介绍的方法来恢复被高级格式化的分区数据，但毕竟很麻烦。我们可以用更方便的办法来恢复DOS引导记录，即系统传输命令“SYS”

20、。用户只可先用相同版本的系统软盘引导机器，然后用“SYS C:”传递系统即可，该命令在向DOS引导区重写信息的同时，将三个系统文件IO.SYS、MSDOS.SYS及COMMAND.COM同时写入活动分区，重新开机后，硬盘恢复启动功能。四、文件分配表（FAT）的修复 1. 什么是文件分配表（FAT） 文件分配表用于表示存储磁盘文件空间信息的用法。此表包含所有未分配的、已分配的或标记为坏的盘簇的信息。盘簇是DOS进行磁盘空间分配的最小单位，一个簇可以是两个扇区，也可以是4个扇区或更多，视DOS版本及硬盘分区的大小而不同。虽然FAT记录你的文件所用的磁盘空间的信息，但引导区、两个FAT表、文件目录区

21、等本身并不由FAT中的盘簇表示。 FAT中每个磁盘上的可用盘簇就只有一个登记项。这些登记项表示该盘簇是否在使用或空闲或损坏。坏的盘簇是在格式化过程中通过FORMAT命令发现的。每个盘簇中只要有一个扇区有问题就整个不能使用，这样会浪费掉一些扇区。 文件分配表FAT是文件管理系统用来给每个文件分配盘区空间的表格，该表格在磁盘上有两个相同的文本。文件分配表的表头占3个表项，其中第一个字节是磁盘介质说明符，在第2、3字节总是FFFFH，这是系统设定的，其内容含义如表1所示： 磁盘介质说明符 含义 FF 双面 每道8扇区的软盘 FE 单面 每道8扇区的软盘 FD 双面 每道9扇区的软盘 FC 单面 每道

22、9扇区的软盘 F8 硬盘 DOS是以簇为单位给文件分配磁盘空间的，每个簇在FAT表中占一个表项，簇编号即为表项号。FAT在磁盘上每一簇由一个12位（1.5字节）、16位（2字节）项或由一个32位项（4字节）组成。对于FAT12，每个分区最多能够管理4096个簇，每个簇的容量恒定为4096字节，因此FAT12系统所能管理的分区上限为16M；FAT16系统最多能够管理2G的硬盘分区（3276865536）；多于2G的硬盘分区只能采用FAT32分区表。采用FAT32分区表的突出优点是每簇包含的扇区数相对较少，这样能有效节省硬盘空间（因为文件是以簇为单位分配的，即使只有几个字节的文件，系统也会分配一个

23、完整的簇），避免资源浪费。 在FAT表中，0号表项和1号表项是表头。从2号表项开始，每一个表项作为一个簇的标志信息，占两个字节。其内容含义如表2所示： 表项内容 含义 0000H 对应簇号为自由簇，可以使用 FFF7H 对应簇为坏簇，不可以使用 FFFFH 文件的簇链结束 FFF0FFFFH 保留 其它内容 文件的后续簇号 系统隐含文件IO.SYS所在的首簇号总是0002。FAT对每个文件来说其数据结构是一个单向链表，文件在文件目录表FDT中占一个文件目录项，每个文件的首簇号存放在该文件的目录项中，一个文件目录项占32个字节，其中第26、27字节就是存放该文件的首簇号，系统依据FDT中的首簇号

24、乘以2（对于16位的FAT表）得到该文件在FAT表头的偏移地址，并得到第2簇的簇号，由该文件的单链表即可找到该文件的全部内容。 文件分配表总是放在DOS引导记录之后，若FAT大于一个扇区，则占用紧挨着的扇区，两个FAT拷贝连在一起存放，一个挨一个，连成整体。需要使用FAT时，将其读到DOS的一个缓冲区中。系统的文件分配表存放在逻辑1扇区开始的若干个扇区内，一个文件分配表占多少个扇区依硬盘分区情况的不同而不同。 2. 文件分配表（FAT）的修复 1）恢复法 FAT表记录着硬盘数据的存储地址，每一个文件都有一组FAT链指定其存放的簇地址。FAT表的损坏意味着文件内容的丢失。庆幸的是DOS系统本身提

25、供了两个FAT表，如果目前使用的FAT表损坏，可用第二个进行覆盖修复。但由于不同规格的磁盘其FAT表的长度及第二个FAT表的地址也是不固定的，所以修复时必须正确查找其正确位置。可用DEBUG的m命令来将第二个FAT表移到第一个FAT表处，但这对于不熟悉DEBUG命令和FAT表存放位置的一般用户来说确实很困难，我们可以通过NORTON8.0中的NDD.EXE来很方便地恢复损坏的FAT表。 将NDD.EXE拷贝到一张系统软盘上，然后用此软盘启动机器，执行NDD.EXE程序。选择第一项“Diagnose Disk”，再选相应的分区，程序开始扫描，当扫描到第四项“Analyzing File Allo

26、cation Tables”时出现分区表出错信息，提示“Do you wish to correct this problem?”（是否需要纠正错误），回答“Yes”，程序将自动扫描第二个FAT表，用第二个FAT表来替换第一个FAT表。按“ESC”退出后，重启机器，故障恢复。 2）修复法 有时我们会遇到这样的情况，就是第二个FAT表也损坏了，无法通过第一种办法来恢复FAT表，但是文件数据仍然存放在硬盘数据区中，这时我们还可以用修复法来挽救数据。 通过“Scandisk.exe”程序可以找回丢失FAT链的扇区数据。启动机器后，在DOS状态运行Scandisk.exe程序，选择相应分区，按“开始”

27、钮对磁盘进行扫描，如遇错误会出现“磁盘扫描程序在某分区找到错误”的提示信息。选择“将丢失的文件碎片转换成文件”选项（如图1），按“确定”后程序开始修复错误，最后出现“磁盘扫描结果”信息，按“关闭”退出。这时用“Dir”命令检查该分区目录，会发现有若干的扩展名为“.chk”的文件，这便是丢失FAT链的文件。如果是文本文件则可从中提取并可合并完整的文件，只要将文件名改过来就行了；如果是二进制的数据文件，则很难恢复出完整的文件。五、文件目录表（FDT）的修复 1. 什么是文件目录表 FORMAT命令一开始就为整个磁盘建立根目录，每个DOS盘卷只有一个根目录，如果给盘卷起了卷标名的话，可把卷标看成是根

28、目录名。因为每个DOS盘卷都与一个驱动器符相连接，故DOS简单地用“驱动器符号：”表示在根目录下，根目录的作用是分配文件空间（逻辑扇区号），并且通过设备驱动程序接口确定有效的最大目录项。 根目录区的文件目录表FDT中包括IO.SYS、DOS.SYS等文件的目录项，每个目录项占32个字节。由于除根目录外的所有目录实际上是文件，所以其包含的项数是没有限制的。磁盘上每个文件都有一个32字节长的目录项，它登记了文件的名字、属性、建立或最后修改的日期、时间以及文件在磁盘上存放的起始位置。除了卷标名可能占据该区的一个32字节外，该区的每个32字节都可以是根目录下的一个目录项。注意区分目录项和目录这两个名词

29、，目录项是一个32字节长的数据块，它登记着一个文件或子目录，目录是由若干目录项组成的一个表，根目录区是盘卷的一个固定区域，子目录项表是一个表文件，FDT的目录项内容及含义如表3所示：字节位置 内容及含义第07字节 表示文件名第810字节 表示文件名的扩展名第11字节 表示文件属性，其中值为00H（读写），01H（只读），02H（隐含），04H（系统），08H（卷标），10H（归档）第1221字节 保留未用第2223字节 文件建立或修改时间第2425字节 文件建立或修改日期第2627字节 表示文件的起始簇号（首簇号）第2831字节 表示文件的字节数（长度） 当现行目录为子目录时，使用DOS命令DIR列文件目录，通常可以看到前两项特殊文件，单个英文句号“.”表示子目录；而“.”则表示上一级目录。子目录项中的文件长度总为零，尽管它的文件长度实际