联系我们

地址:昆明市园通北路127号佰腾数码广场B座9楼916室

联系电话:0871-65139139

联系人:杜鹏斌

手机:159 871 178 34

qq在线资讯

业务介绍

  • 开盘数据恢复 开盘数据恢复 前面说道,硬盘故障分为软件故障和硬件故障... 点击查看详情
  • u盘数据恢复 u盘数据恢复 U盘数据恢复 SD卡数据恢复 CF卡数据恢复... 点击查看详情
  • 移动硬盘数据恢复 移动硬盘数据恢复 移动硬盘顾名思义可以移动的硬盘了,移动硬... 点击查看详情
  • 服务器数据恢复 服务器数据恢复 昆明数据恢复中心为您提供最专业的服务器数... 点击查看详情
  • 硬盘数据恢复 硬盘数据恢复 昆明硬盘数据恢复,硬盘不认盘数据恢复,硬... 点击查看详情

问题申报

申报名称:
问题描述:
姓  名:
联系电话:

您现在的位置是:主页 > 恢复文档 > 正文

被覆盖过的数据可以恢复吗

“被覆盖过的数据可以恢复吗”在本人多年的数据恢复从业过程中经常会遇到客户问我这个问题,事实上这个问题并不能简单的回答是“能”或是“不能”,得具体案例具体分析。一般来说被彻底覆盖的数据是肯定无法恢复的,怎样才算彻底覆盖呢,那个比方如果你一块80G的硬盘格式化后又存入了80G的电影,这个就算彻底覆盖了,以前的数据就无法恢复了,但如果你只存了不到80G的东西进去,那么理论上原来的数据还是有部份没有被覆盖的,是能恢复出一些来的,但具体能恢复到什么程度这个取决于几个因素:分区大小有没有发生改变;分区格式有没有发生变化(因为不同的分区格式他们存取数据的方式是不一样的);还有最重要的就是看原来的数据量跟后来覆盖进去的数据量的大小关系了。

下面我们以一个真实的案例来分析这个C盘已经被重装系统覆盖的数据是怎么被完美的恢复出来的:

首先我们来看一下故障情况,客户电脑的系统突然不能启动了,找了个电脑公司的人来就直接把系统重装了,结果装好系统后才发现桌面上的重要的工作文件找不到了,这才急了,赶紧找到我们数据恢复中心来恢复原桌面上的数据。

我们看一下现在的状况,是19.5G的分区已经使用了3.54G现在的分区格式是FAT32,我们发现后面三个区都是NFTS格式的,这时我们的工程师就敏锐的感觉到原来的C盘有可能是NTFS格式,马上用WINHEX打开这个磁盘,跳到D盘的分区表位置,再往上翻一个扇区(因为NFTS分区会在一个分区的最后一个扇区有一个DBR信息的备份),发现果然是一个NTFS的DBR信息:

接下来我们就假设原来的C盘就是NTFS格式,跟据这个DBR备份信息我们分析出来的DRB所在扇区为63,MFT表开始扇区在6291519扇区,我们跳转到MFT表开始扇区查看:

看吧,运气相当好,MFT表记录还没有被覆盖到(其实这个不是运气好,而是因为NTFS分区跟FAT32分区数据存取方式不一样造成的,NTFS分区最关键的MFT表记录通常不是位于一个分区的开头位置,而是在786432簇,每簇大小为8个扇区,那么MFT的起始扇区为786432*8=6291456扇区,大概就是位于3G多的一个位置),经过检测MFT记录还是完好的,接下来我们就将DBR备份扇区写回63扇区,并将分区表记录中分区ID由0C(代表FAT32分区)改为07(代表NTFS分区):

重新打开分区,并获取新的磁盘快照,直接就能看到桌面上的文件了,提取出来进行验证90%以上的文件都能正常打开,文件目录结构完整,而且更巧的是,桌面上还有一个“桌面.rar"的压缩文件客户是在数据丢失前两天才做的压缩备份,能够正常解压,没有任何损坏,至此客户需要的数据是100%恢复功功了:

分享到: