高效利用Ghost工具恢复硬盘数据

巧用Ghost恢复硬盘数据

目前，一些用户习惯用Ghost对系统进行备份还原，久而久之，形成了一种思维定式：Ghost只能用来备份还原系统。其实，Ghost的使用范围远远不止这些，稍加改造，Ghost还可恢复分区和硬盘数据。如果你正好有这种需要，不妨跟笔者一起来探个究竟。

Ghost硬盘克隆可以备份或恢复整个硬盘的内容，适合备份整个操作系统（含各个分区数据和引导扇区信息）。正因为Ghost的这个特性，当某个分区数据遭到破坏而系统又能正常启动时，可通过Ghost将该分区数据恢复到另一个分区。Ghost虽然可以恢复数据，但其本身是以硬盘为存储单元来进行备份和恢复的，它将整个分区或硬盘的所有内容“照原样”保存，对于数据遭到破坏（尤其是数据被删除）的恢复效果一般不理想。即使分区遭到破坏（比如，被误格式化或分区表遭破坏），若数据还未被完全覆盖，此时只要对受损分区或硬盘的低级格式化还没有进行，我们就能通过某种方式获得该分区原来所存储数据的绝大部分或全部内容。一般情况下，数据的删除、格式化、分区表的丢失或遭破坏等操作都是在文件系统（FAT12/16/32或NTFS）层面进行的，此时低级格式化（通常指的是重新划分柱面、磁道、扇区等操作）还未进行，这样磁盘上存储数据的绝大多数扇区的内容仍未被改变，若知道被损坏前存储数据的物理位置，便能很容易地恢复数据。我们可将未损坏分区中的数据完整读出，以镜像文件（.gho）的方式存储在其他介质（如另一块硬盘或光盘）中，若某个分区遭到破坏且能读出未受损分区数据，由于已备份了整个硬盘的内容，可以用Ghost还原硬盘数据的方法来恢复该分区数据；若所有分区数据都已被破坏且能读出一部分数据，就可以通过分析分区数据分布、备份内容文件路径、簇大小和扇区等信息，把相关数据“提”出来；若根本读不出数据，说明硬盘损坏的程度已经比较严重，通常这种情况数据很难恢复。由于误操作导致分区被删除（非用PQ等彻底重新分区工具）、分区表被破坏的可能性很大，所以用Ghost进行数据恢复是最便捷的方式。这里我们来详细说明如何通过Ghost实现硬盘数据恢复。

以笔者的一个亲身经历为例。前几天，笔者的一个朋友的计算机出了问题，系统无法启动，显示器无任何显示。把主机抱过来仔细检查后，初步判断是硬件问题。逐一检查下来，结果很让人头疼：主板由于元件虚焊（可能性很大）造成加电无显示；另外，硬盘的数据线和电源线均有断裂现象。为尽量减少朋友损失，笔者用新电源替换了有问题的电源，在别的计算机上将断裂的数据线和电源线重新接好，又借了一块有DOS引导系统（内有Ghost.exe程序）的硬盘挂在朋友那台计算机的IDE2接口上，开始准备数据恢复工作。先运行Ghost.exe，从第二块硬盘上的系统盘（假设为C盘）中恢复出一个完整的系统镜像文件（命名为back.gho，大小1.32GB）到这台计算机的硬盘上（只有一个分区，原C盘数据被格式化过）。由于整个恢复过程仅将原来系统镜像“克隆”到新硬盘上，原来的D、E、F盘的数据都被完全覆盖。经检验，此时的系统引导区（分区表、启动扇区）完全正常，原D、E、F盘在逻辑上也恢复正常（仍作为D、E、F盘）。朋友提到D盘上有很多重要数据，为最大限度地挽回损失，此时就需要笔者刚才从故障机上抢救下来的数据文件。为了取得原D盘上的数据，由于当时整个硬盘被划分为一个区，原来D盘上的数据已被新克隆的系统镜像所覆盖，看起来是没办法恢复的。

此时不妨仔细分析一下情况：刚才的系统克隆只将ghost镜像back.gho文件恢复到C盘，并生成大小为1.32GB的文件，理论上它应该占硬盘的第一个柱面（Cylinder 0）到第X个柱面（含boot.ini、ntldr、ntdetect.com等系统引导文件在内的引导扇区只占第一个柱面的第0磁道），原来的D、E、F盘只是被Ghost更改了逻辑上的柱面号（或者说是被“隐藏”起来了），若将这些逻辑上的柱面号再改回来，则数据理论上还是可以恢复的。若整个硬盘大小为40GB，一般默认的簇大小为4KB，由系统默认的对齐扇区边界可推算出该Ghost镜像实际应占用的柱面数约为1326个（误差来自对扇区对齐和间隙的计算）。进入PQ（Partition Magic）磁盘分区软件，可以发现原来被恢复出的整个系统只占据了前1326个柱面，之后的近30000个柱面全为未分配空间（正是由于有这么多空间未分配，所以才可以恢复原来D、E、F盘的数据）。此时不能贸然地对后面的未分配空间进行重新分区或格式化，因为这样将会导致磁盘上的数据彻底丢失且无法恢复。先在PQ中将这些未分配空间合并为一个区，然后从别的计算机上拷贝一个含有ext2fsd.sys和ext2fs.sys驱动程序的分区魔术师PQ 8.0的DOS引导系统文件（一定要包含有ext2fs文件系统支持的PQ版本，并同时将其系统文件在DOS下运行加载），到这块硬盘的第一个分区上，随后进入PQ，由于ext2fs.sys对Linux下的ext2/ext3文件系统提供了只读支持，所以当我们在PQ中选择了该驱动程序后，原来的D、E、F盘就被以ext2格式的形式显示出来（分区的逻辑柱面号还是延续系统克隆之后的值），可以像读取FAT/NTFS格式的分区一样访问这些数据。需要注意的是，不能对其进行写操作，只能读。此时把朋友要的重要数据导出来就算完成任务了。由于硬盘硬件有问题，最终未能找到维修方法，而克隆到这块硬盘上的系统和文件的数据则可以保存到新硬盘中备用。

实际上，类似的这种硬盘数据恢复完全可以DIY。在没有特殊的数据恢复工具的条件下，如果能备份原硬盘上的Ghost镜像，再利用一些分区管理软件如PQ对磁盘进行分析和处理，就可解决误分区、误格式化（低格除外）后的数据恢复问题。可见，有时学会利用手头的软件多尝试、多分析，也不失为一种DIY的方法。