标题: 劫后余生－－数据恢复记[转帖] [打印本页]
作者: ko20010214 时间: 2003-6-21 00:00 标题: 劫后余生－－数据恢复记[转帖]
劫后余生－－数据恢复记（菜鸟谭）
这是一篇关于数据恢复的东西，是对我一次愚蠢操作及其以后采取补救措施的记述。以感
谢在Linux版和NT版上对此进行指点各位大侠，希望对与我有类似遭遇的同道有所帮助。
初学乍练，请各位指教！
机器配置
CPU TB 1G
HardDisk IBM40G
OS Win2K中文版
硬盘分为三个区，c盘为NTFS格式，装系统；d，e盘均为Fat32，分别装应用程序、资料
灾难发生
本想往机器中装XP，折腾半天，未果。欲放弃，重新在c盘中装Win2k，于是用PQMagic7把
c盘格式化为NTFS，在PQMagic界面上选择NTFS，敲进OK，回车，10秒后完成，退出
PQMagic，重启......，突然，我的冷汗冒出来了，.....格式化的是c盘吗....，机器启
动后发现E盘，我的数据盘不见
了，当即晕倒......
补救过程
冷汗出完，手脚又有了知觉后，开始分析情况，估计损失：由于误操作，把原本是Fat32
格式的资料盘格式化为NTFS格式，该盘中的所有数据丢失！其中的资料资料至关重要，必
须恢复，至少是部分恢复。
于是我在水母的Linux版和NT版求救，同时在网上搜索关于数据恢复的信息。综合各方面
的信息，在这种情况下，数据肯定可以恢复，但恢复多少不定。方法有2:
一是找专门的公司进行数据恢复，经过寻价，恢复40G的硬盘要价从5000RMB到500RMB不等
；
二是自己动手。
因为囊中羞涩，只好自己先试一试。由于对磁盘的数据存储方式所知甚少，Debug和
Diskedit是不会用了，只好找现成的恢复软件，我先后下载过Diskman、Norton
Utilities、RecoveryNT和FinalData，其中后两个可以在不改动目标盘的前提下进行数据
恢复。遂试之。取下硬盘挂到另以机器上，开始恢复。RecoveryNT干了10个小时后，找到
一些文件，但奇怪的是大部分是系统文件和图象文件（不应该那么多），没有任何Doc和
Xsl文件（应该很多），
而且找到的文件无法使用。只好放弃。再试FinalData，开始是直接扫描逻辑盘的数据区
，经过漫长的9个小时，找到文件无数，但没有目录，且恢复的文件多为图象文件，和少
量的office文档，还有就是一些压缩文件。但是仍然有许多重要的office文档没有被恢复
；高兴之余，心有不干，
仔细看FinalData的帮助文档，改成直接扫描物理盘的boot区，以期找到备份的fat表和目
录区，竟成了！所有的目录和文件完全按原样恢复了，而且多了许多以前被删除或移动的
文件和目录！！！
经验教训
1、经常进行数据备份。虽是老生常谈，但绝对必要！要知道，天灾人祸....难免...唉
....
2、系统、程序、数据应在不同分区中存放，以利于日后恢复（幸好我做到了这一点）
3、不同分区应加上不同的、醒目的、英文的卷标，以便在某些不支持中文的分区软件中
也能清楚的看到！（不幸的是，我的盘上有的没卷标，有的是中文的）
4、没事别瞎折腾（练手除外，但必须先备份数据！），特别是分区，格式化，装不同的
、不熟悉的系统等操作必须慎之又慎。
5、灾难发生时马上晕倒....立刻停止操作，关机。目的是保护犯罪现场，避免在损坏的
盘上再进行写操作，以免错上加错。
6、谋定而后动，有把握时在动手。自己动手或找专业公司都可
7、让人安心的是大部分的硬盘数据是可以恢复的，至少里面的部分文件。一般说来各种
操作（删除，分区，格式化，格式转换）只是对引导区，FAT区，dir区进行读写，而对
data区不作改变。这就为以后数据恢复留下了机会，当然，FAT区和Dir区完全损坏，且无
备份，对数据的恢复是极
其困难的，甚至是不可能的。
关于FinalData
很好的数据恢复软件，郑重向各位推荐！！！下面几句英文摘自FinalData的帮助文件：
“FinalData can recover files/folders that have been lost due to virus
infection, drive formatting, and even files whose directory information have
been partially overwritten. As long as file data remains in its data sector
FinalData will recover all
lost files.”
目前有9x、NT、和Linux版，（我在网上只找到9x和NT版），其网站上有Demo版下载。
关于PQMagic
很好的分区软件，相信许多同时装Linux和Windows的人都用过，好像它在格式化和文件系
统转换时，保留了Fat和dir的备份（多好的特点，要不然这次我死定了）
这是一篇关于数据恢复的东西，是对我一次愚蠢操作及其以后采取补救措施的记述。以感
谢在Linux版和NT版上对此进行指点各位大侠，希望对与我有类似遭遇的同道有所帮助。
初学乍练，请各位指教！
机器配置
CPU TB 1G
HardDisk IBM40G
OS Win2K中文版
硬盘分为三个区，c盘为NTFS格式，装系统；d，e盘均为Fat32，分别装应用程序、资料
灾难发生
本想往机器中装XP，折腾半天，未果。欲放弃，重新在c盘中装Win2k，于是用PQMagic7把
c盘格式化为NTFS，在PQMagic界面上选择NTFS，敲进OK，回车，10秒后完成，退出
PQMagic，重启......，突然，我的冷汗冒出来了，.....格式化的是c盘吗....，机器启
动后发现E盘，我的数据盘不见
了，当即晕倒......
补救过程
冷汗出完，手脚又有了知觉后，开始分析情况，估计损失：由于误操作，把原本是Fat32
格式的资料盘格式化为NTFS格式，该盘中的所有数据丢失！其中的资料资料至关重要，必
须恢复，至少是部分恢复。
于是我在水母的Linux版和NT版求救，同时在网上搜索关于数据恢复的信息。综合各方面
的信息，在这种情况下，数据肯定可以恢复，但恢复多少不定。方法有2:
一是找专门的公司进行数据恢复，经过寻价，恢复40G的硬盘要价从5000RMB到500RMB不等
；
二是自己动手。
因为囊中羞涩，只好自己先试一试。由于对磁盘的数据存储方式所知甚少，Debug和
Diskedit是不会用了，只好找现成的恢复软件，我先后下载过Diskman、Norton
Utilities、RecoveryNT和FinalData，其中后两个可以在不改动目标盘的前提下进行数据
恢复。遂试之。取下硬盘挂到另以机器上，开始恢复。RecoveryNT干了10个小时后，找到
一些文件，但奇怪的是大部分是系统文件和图象文件（不应该那么多），没有任何Doc和
Xsl文件（应该很多），
而且找到的文件无法使用。只好放弃。再试FinalData，开始是直接扫描逻辑盘的数据区
，经过漫长的9个小时，找到文件无数，但没有目录，且恢复的文件多为图象文件，和少
量的office文档，还有就是一些压缩文件。但是仍然有许多重要的office文档没有被恢复
；高兴之余，心有不干，
仔细看FinalData的帮助文档，改成直接扫描物理盘的boot区，以期找到备份的fat表和目
录区，竟成了！所有的目录和文件完全按原样恢复了，而且多了许多以前被删除或移动的
文件和目录！！！
经验教训
1、经常进行数据备份。虽是老生常谈，但绝对必要！要知道，天灾人祸....难免...唉
....
2、系统、程序、数据应在不同分区中存放，以利于日后恢复（幸好我做到了这一点）
3、不同分区应加上不同的、醒目的、英文的卷标，以便在某些不支持中文的分区软件中
也能清楚的看到！（不幸的是，我的盘上有的没卷标，有的是中文的）
4、没事别瞎折腾（练手除外，但必须先备份数据！），特别是分区，格式化，装不同的
、不熟悉的系统等操作必须慎之又慎。
5、灾难发生时马上晕倒....立刻停止操作，关机。目的是保护犯罪现场，避免在损坏的
盘上再进行写操作，以免错上加错。
6、谋定而后动，有把握时在动手。自己动手或找专业公司都可
7、让人安心的是大部分的硬盘数据是可以恢复的，至少里面的部分文件。一般说来各种
操作（删除，分区，格式化，格式转换）只是对引导区，FAT区，dir区进行读写，而对
data区不作改变。这就为以后数据恢复留下了机会，当然，FAT区和Dir区完全损坏，且无
备份，对数据的恢复是极
其困难的，甚至是不可能的。
关于FinalData
很好的数据恢复软件，郑重向各位推荐！！！下面几句英文摘自FinalData的帮助文件：
“FinalData can recover files/folders that have been lost due to virus
infection, drive formatting, and even files whose directory information have
been partially overwritten. As long as file data remains in its data sector
FinalData will recover all
lost files.”
目前有9x、NT、和Linux版，（我在网上只找到9x和NT版），其网站上有Demo版下载。
关于PQMagic
很好的分区软件，相信许多同时装Linux和Windows的人都用过，好像它在格式化和文件系
统转换时，保留了Fat和dir的备份（多好的特点，要不然这次我死定了）
作者: ko20010214 时间: 2003-6-21 00:00
Win2k中的加密文件大不开怎么办？？？
恢复数据当雇员离开后需要恢复雇员加密的数据时或者当用户丢失私钥时，数据恢复非
常重要。可通过系统整个安全策略的部分加密文件系统 (EFS) 可使用数据恢复。例如，
如果由于磁盘故障、纵火或任何其它原因永久丢失文件加密证书和相关私匙，指定为故
障恢复代理的人员可以恢复数据。在商务环境中，当雇员离开公司之后，公司可以恢复
雇员加密的数据。
故障恢复策略
EFS 使用故障恢复策略提供内置数据恢复。“故障恢复策略”是一种公钥策略，可提供
用于指定为故障恢复代理的一个或多个用户帐户。
故障恢复策略是为单独的计算机在本地配置的。对于网络中的计算机，可以在域、部门
或单独计算机级别上配置故障恢复策略，并将其应用到策略可应用的所有基于 Windows
XP 的计算机上。证书颁发机构 (CA) 颁发故障恢复证书，您可以使用证书管理单元管
理证书。
在域中，当设置首域控制器时，Windows XP 执行该域默认故障恢复策略。域管理员被颁
发自签名的证书，该证书将域管理员指派为故障恢复代理。要更改域的默认故障恢复策
略，请以管理员身份登录到第一个域控制器。可以将其它故障恢复代理添加到本策略中
，并且可以随时删除原始故障恢复代理。
由于 Windows XP 安全子系统处理故障恢复策略的实施、复制和缓存，因此用户可以在
暂时脱机的系统（如便携机）上执行文件加密。（此进程类似于使用缓存凭据登录到域
帐户）。详细信息，请参阅更改本地计算机的故障恢复策略和更改域的故障恢复策略。
故障恢复代理
故障恢复代理就是获得授权解密由其他用户加密的数据的个人。故障恢复代理无需该角
色的任何其它功能权限。例如，当雇员离开公司而其剩余数据需要解密时故障恢复代理
非常有用。在添加域故障恢复代理之前，必须确保向每一位故障恢复代理颁发 X.509v3
证书。
无论故障恢复策略于何处应用，每一故障恢复代理均有允许恢复数据的专门证书和相关
私钥。如果您是故障恢复代理，请务必在 Microsoft 管理控制台 (MMC) 的证书管理中
使用“导出”命令，将故障恢复证书和相关私钥备份到安全位置。在备份完成后，应该
使用 MMC 中的证书删除故障恢复证书。然后，在需要为用户执行故障恢复操作时，应该
首先使用证书中的“导入”命令还原故障恢复证书和相关私钥。恢复数据之后，应该再
次删除故障恢复证书。不必重复导出过程。
要对域添加故障恢复代理，请将它们的证书添加到现有的故障恢复策略中。有关如何将
故障恢复代理添加到域中的步骤，请参阅添加域的故障恢复代理。
已经添加和删除的故障恢复代理信息不能在现有 EFS 文件上自动更新。这些文件中的信
息在下一次访问文件时更新。新文件始终使用当前的故障恢复代理信息。
恢复数据当雇员离开后需要恢复雇员加密的数据时或者当用户丢失私钥时，数据恢复非
常重要。可通过系统整个安全策略的部分加密文件系统 (EFS) 可使用数据恢复。例如，
如果由于磁盘故障、纵火或任何其它原因永久丢失文件加密证书和相关私匙，指定为故
障恢复代理的人员可以恢复数据。在商务环境中，当雇员离开公司之后，公司可以恢复
雇员加密的数据。
故障恢复策略
EFS 使用故障恢复策略提供内置数据恢复。“故障恢复策略”是一种公钥策略，可提供
用于指定为故障恢复代理的一个或多个用户帐户。
故障恢复策略是为单独的计算机在本地配置的。对于网络中的计算机，可以在域、部门
或单独计算机级别上配置故障恢复策略，并将其应用到策略可应用的所有基于 Windows
XP 的计算机上。证书颁发机构 (CA) 颁发故障恢复证书，您可以使用证书管理单元管
理证书。
在域中，当设置首域控制器时，Windows XP 执行该域默认故障恢复策略。域管理员被颁
发自签名的证书，该证书将域管理员指派为故障恢复代理。要更改域的默认故障恢复策
略，请以管理员身份登录到第一个域控制器。可以将其它故障恢复代理添加到本策略中
，并且可以随时删除原始故障恢复代理。
由于 Windows XP 安全子系统处理故障恢复策略的实施、复制和缓存，因此用户可以在
暂时脱机的系统（如便携机）上执行文件加密。（此进程类似于使用缓存凭据登录到域
帐户）。详细信息，请参阅更改本地计算机的故障恢复策略和更改域的故障恢复策略。
故障恢复代理
故障恢复代理就是获得授权解密由其他用户加密的数据的个人。故障恢复代理无需该角
色的任何其它功能权限。例如，当雇员离开公司而其剩余数据需要解密时故障恢复代理
非常有用。在添加域故障恢复代理之前，必须确保向每一位故障恢复代理颁发 X.509v3
证书。
无论故障恢复策略于何处应用，每一故障恢复代理均有允许恢复数据的专门证书和相关
私钥。如果您是故障恢复代理，请务必在 Microsoft 管理控制台 (MMC) 的证书管理中
使用“导出”命令，将故障恢复证书和相关私钥备份到安全位置。在备份完成后，应该
使用 MMC 中的证书删除故障恢复证书。然后，在需要为用户执行故障恢复操作时，应该
首先使用证书中的“导入”命令还原故障恢复证书和相关私钥。恢复数据之后，应该再
次删除故障恢复证书。不必重复导出过程。
要对域添加故障恢复代理，请将它们的证书添加到现有的故障恢复策略中。有关如何将
故障恢复代理添加到域中的步骤，请参阅添加域的故障恢复代理。
已经添加和删除的故障恢复代理信息不能在现有 EFS 文件上自动更新。这些文件中的信
息在下一次访问文件时更新。新文件始终使用当前的故障恢复代理信息。