二、一个基本恢复被CIH破坏硬盘数据的例子
一直有朋友问手工恢复的技巧，近来恢复了多块被CIH破坏的硬盘，之所以选取这一次，是因为尽管恢复成功，但其中犯了一些错误，值得注意。
委托恢复用户：某银行系统
硬盘情况：CIH发作有该单位电脑人员曾用KV300 F10进行修复，但没有成功，又恢复了保存的MBR。
准备好软盘3张：
DISK1 ：WIN98启动盘（带DEBUG）
DISK2：DISKEDIT等工具（此盘不要写保护）
DISK3：DOS下杀CIH的工具
把我的硬盘摘下，挂上待恢复的的硬盘，开机，进入SETUP，检测硬盘，把参数记下。
CLY 620 HEAD 128 PRECOMP 0 LANDZ 4959 SECTOR 63 MODE LBA。
用准备好的软盘启动：
A：>C：
显示Invalid drive specification
FDISK/MBR重建主引导记录（这是个习惯），重新软盘引导（可能没有必要）：此时已经看的见C：硬盘。启动DISKEDIT，启动过程中显示Invalid media type reading DRIVER C,哎呀，算了，还是先用DEBUG 清空分区表, 并置80和55aa标志。重新启动，再运行DISKEDIT，显示设定为READ ONLY， 没关系，把CONFIGURATION中的只读选项去掉，存盘，好了，可以编辑了。
由于当时接的硬盘有多块，我把这块当成了是一块只有C分区（这是等待修复的另一块硬盘），所以没看别的东西，我们期待FAT2没有损坏，以用FAT2覆盖FAT1，在这个时候DISKEDIT要比DEBUG容易的多，在FIND OBJECT中选择 FAT，查一下起始扇区，好的，在CYL 0 SIDE68 SEC 14，0000H，F8 FF FF 0F （FAT32的），好的，FAT2没坏。其实如果不用DISKEDIT的可以用DEBUG查，偏移0000的F8 FF FF。
由于以为只有C分区，所以，上来就在FIND中查找IOSYS（IO 和SYS中要有空格）以查找ROOT区。找到后观察，是否有C：\ 下常见文件。好的，ROOT区没被破坏。记下了该扇区：CYL 0 、SIDE 68 、SEC 14，备用。
FAT1一般前面已经被破坏了，但后面应该还在，这可以作为检查。因为是32位的，FAT1 一般在CYL 0 SIDE1 SEC 33。 因为有了ROOT 区然后应该计算FAT表的长度了，因为FAT2到ROOT前一扇区为止，所以数据恢复非常简单。然后可以用FAT2覆盖FAT1，这里用DEBUG还是DISKEDIT都可以，如果用DEBUG一般是用INT 25读绝对扇区，再用INT 26写入，不过一般要分几次。记得保留断点呀：-）用DISKEDIT可以MARK FAT2的内容COPY下来，在WRITE到FAT1。
然后可以恢复主引导记录、隐含扇区和BOOT区，可以先用NDD修复分区表，然后可以考虑用标准覆盖法，如果你希望下一步由NORTON Utilities ，来接手这些都可以不做。我从另一台FAT32上取来了，相应的部分，写了进去。我这是发现好象有一个D盘。先看一下在说吧。好了，关机串上我的硬盘，用NORTON Utilities扫描C盘，文件基本恢复，对C盘杀毒，WHY，没有发现病毒，换了2种杀毒软件还是没有病毒，更糟糕的是，显示C盘是948M，有一个D盘，但是95下无法浏览，DOS 下乱码。于是打电话核实当时的情况，原来是26日那天，放进一张光盘，光驱灯亮了一会，就硬盘狂响，蓝屏死机了。应该证实我的推断一样，是光盘的AUTORUN程序有CIH病毒。所以说没有实时防御能力的软件是没有意义的。另外，他们的硬盘确实分两个区，而且重要文件在D区。（气死我了！）
然后在修复D盘吧，再回到DOS，用DEBUG查找结束标志为55AA 的扇区，由结构判定是否为扩展分区。此时可算出大小来返主分区表。当然，许多工具也可以很好的完成这一工作。如果你没有把握，就用他们完成好了。
数据恢复资讯
CIH硬盘数据恢复方法与实例(一)
CIH硬盘数据恢复方法与实例(二)
CIH硬盘数据恢复方法与实例(三) |
