Восстановление информации
На вопрос, что самое ценное в компьютере, умудренный пользователь ответит — информация. И будет прав. Это то, ради чего используется компьютер. Если информация в вашем компьютере эксклюзивна, то ее необходимо оберегать.
Достигается это в принципе только одним способом — резервнымкопированием. Подавляющее большинство начинающих пользователей этим пренебрегают. А зря!
Операционную систему можно восстановить с дистрибутивного компактдиска. То же можно проделать и с пакетами программ. Но ни на одном компакт-диске вы не найдете свои диссертацию, статьи и результаты экспериментов. Надеюсь, что я вас уже убедил в необходимости делать резервные копии.
Знание файловой структуры не является обязательным для плодотворной работы с компьютером, но это именно тот технический раздел, с которым я хочу ознакомить вас подробнее.
Приведенная ниже информация не является техническим руководством по изучению строения жестких дисков или описанием их логических структур. Это общий обзор методик и способов восстановления информации, ставшей недоступной в результате программного сбоя операционной системы, разрушительного действия вируса или неосторожных действий пользователя.
Если информация на жестком диске "жизненно" необходима, а вы не уверены в своих знаниях и/или не исключаете возможной ошибки в своих действиях, не предпринимайте сами никаких "восстанавливающих" действий. Даже незначительная неточность в ваших действиях может значительно осложнить или даже сделать невозможным дальнейшее восстановление информации. Обратитесь за помощью в технический центр к специалистам, которые возьмутся за решение вашей проблемы.
Нижеприведенную информацию используйте на свой страх и риск.
Несколько общих слов о строении и терминологии жестких дисков.
Жесткий диск (винчестер, HDD — HardDisk Drive) представляет собой блок из нескольких дисков (disks), по поверхностям (sides) которых перемещаются (плавают в воздушном потоке) головки (heads). Позиционируются головки по концентрическим дорожкам/трекам (tracks), каждая из которых разделена на сектора (sectors). Сектор является минимальным адресуемым блоком данных для диска и его размер равен 512 байтам. Дорожки, равноудаленные от центра диска и образующие как бы цилиндрическую поверхность, называют цилиндрами (cylinders).
Логическое строение жесткого диска отличается от его настоящей (физической) геометрии и это необходимо учитывать при восстановлении информации. Как правило, современные диски (в режиме адресации LBA) представляют собой несколько сот цилиндров, имеющих 63—254 поверхностей по 63 сектора данных на каждой. Это, конечно, не соответствует фактической геометрии и следует различать абсолютные и относительные адреса секторов.
В самом начале диска (в секторе 0/0/1, где 0-сектор, 0-дорожка, 1-цилиндр) находится РТ (Partition Table) — таблица разделов и MBR (Master Boot Record) — главная загрузочная запись. Часто всю 0-ю дорожку называют MBR, т. к. зачастую в секторах этого трека записаны коды загрузчиков различных менеджеров загрузки и им подобных программ. Там же могут располагаться и коды загрузочных вирусов при заражении компьютера (рис. 1.44).
Рис. 1.44. Схематичное строение логической структуры HDD
Как правило, на следующей дорожке в первом секторе (начиная с 0/1/1) расположены BA (Boot Area) — загрузочная область операционной системы и BR (Boot Record) — загрузочная запись ОС.
Далее на этой же дорожке расположена 1-я копия FAT (File Allocation Table) — таблица размещения файлов. Сразу за ней — 2-я копия FAT. Размер копии FAT (в секторах) определяется размером раздела диска.
После 2-й копии FAT расположены сектора ROOT (Root directory) — сектора корневого каталога, за которой начинается DA (Data Area) — область данных.
Следует учитывать особенности файловой структура FAT32, которая позволяет часть секторов ROOT располагать не только в одном месте, но и внутри области данных.? РТ — состоит из 4-х строк, описывающих 4 возможных раздела диска. Описание каждого раздела диска содержит информацию о типе файловой системы, признаке того, что раздел является загрузочным, о первых и последних головках, дорожках, секторах раздела, количестве секторов смещения начала раздела от начала диска и об общем количестве секторов в разделе.
? MBR — находится в том же секторе, что и РТ. Данные в MBR представляют собой код процессора, необходимый для дальнейшей загрузки операционной системы. В последних двух байтах сектора MBR находится сигнатура 55AAh, которую можно использовать как маску при поиске РТ и MBR.
? BR — содержит массу данных и служит для описания параметров файловой системы. В отличие от диска минимальным адресуемым блоком данных для операционной системы служит кластер, объединяющий определенное количество секторов. В BR нам интересны такие данные, как размер кластера, размер и количество копий FAT. BR для раздела FAT16 размещается в одном секторе, в случае FAT32 BR состоит из нескольких секторов.
? FAT — состоит из 12-, 16- или 32-битных элементов, описывающих номера кластеров или их признаки (BAD). Количество элементов соответствует количеству кластеров раздела диска. Из этих элементов образуются цепочки номеров кластеров, описывающих расположение файлов на диске.
? ROOT — корневой каталог диска. Содержит записи, описывающие файлы (дескрипторы файлов) в корневом каталоге. Такая запись описывает имя, тип, дату создания, размер, атрибуты файла, и т. и., а также содержит указатель на первый кластер файла.
Каталоги (папки, директории) представляют собой секторы, идентичные по структуре корневому каталогу. Каталог, кроме описаний файлов, в самом начале имеет две записи, первая из которых содержит указатель на первый кластер самого каталога, вторая — на первый кластер родительского каталога.
Для восстановления потерянных (поврежденных) данных постарайтесь вспомнить или получить информацию:
? о вероятном разбиении диска на разделы и количестве логических дисков;
? о размерах и истории создания логических дисков; история создания подразумевает под собой возможные искусственные изменения размеров разделов диска, и эта информация может иметь значение для точного определения места расположения ROOT;
? об особенностях файловой системы FAT16 или FAT32. Остальные типы файловых систем в этом документе не рассматриваются;
? о типе и версии операционной системы (DOS, Winodws 95/98), использовавшейся на диске;
? об уникальных именах каталогов и файлов, находившихся в корневом каталоге диска С:, имени каталога с данными, подлежащими приоритетному восстановлению и уникальных именах файлов и подкаталогов, находившихся в этом каталоге.
Для восстановления данных можно воспользоваться следующими утилитами:
? DiskEditor из комплекта Norton Utilities версии З.Ох и выше (www.symantec.com);
? PTS DiskEdit (www.PhysTechSoft.com) или аналогичных им;
? Tiramisu или Easy Recovery (www.recovery.de), Lost & Found
(www.powerquest.com), или Flard Drive Mechanic
(www.highergroundsoftware.com);
^ Примечание ^
Утилиты Tiramisu и EasyRecovery существуют в нескольких модификациях, соответствующих разным типам файловых систем
(FAT 16/FAT32/NTFS/Novell/ZI Р).
Указанные программы позволяют "вытащить" (скопировать) ваши данные с "больного" диска, но для этого необходимо, чтобы диск определялся BIOS и был физически исправен. Обращаю внимание еще раз (!), что программы Tiramisu, EasyRecovery и Lost & Found не лечат диск, они позволяют скопировать ваши данные на другой носитель.
? М Recover (http://members.xoom.com/monirdomain) — программа восстановления разделов диска для FAT32; очень эффективна при "лечении" последствий вируса "WinCIH", а также правит таблицы разделов, не разрушая информацию;
? UnFormat (из того же комплекта Norton Utilities);
? NDD — Norton DiskDoctor (опять из того же комплекта Norton Utilities).
Возможно применение и других утилит, но, как правило, они ограничиваются частными случаями (как, например, М Recover) или не учитывают всевозможных особенностей логического строения дисков.
При восстановлении информации с дисков объемом более 8 Гбайт применяйте утилиты из комплекта Norton Utilities версии 4.0х (и выше), EasyRecovery и MRecover XL, которые не имеют ограничений при работе с большими объемами.