数据恢复软件介绍.ppt
第三章：数据恢复软件介绍,一、EasyRecovery,EasyRecovery是一款功能非常强大的数据恢复软件，可以恢复由于病毒破坏、误删除或误格式化甚至分区损坏等造成的数据丢失，使用EasyRecovery可以修复主引导扇区（MBR）、BIOS参数块（BPB）、分区表、文件分配表（FAT）或目录及文件。当你从计算机中删除文件时，它们并未真正被删除，文件的结构信息仍然保留在硬盘上，除非新的数据将之覆盖了。能用EasyRecovery找回数据、文件的前提就是硬盘中还保留有文件的信息和数据块。但在你删除文件、格式化硬盘等操作后，再在对应分区内写入大量新信息时，这些需要恢复的数据就很有可能被覆盖了！这时，无论如何都是找不回想要的数据了。,第三章：数据恢复软件介绍,EasyRecovery启动后的界面如图所示：,第三章：数据恢复软件介绍,在数据恢复过程中我们使用最多的是其中“数据修复”模块中的AdvancedRecovery和RawRecovery。AdvancedRecovery为高级选项自定义数据恢复，主要对付那些分区或目录结构损坏的不是太严重的情况，比如说格式化、文件被误删除或分区表损坏等，它可以完全依照恢复分区的文件系统，通过文件分配表和文件目录表搜索出相应的目录树结构，即使完整的目录树结构被破坏，它也可以找出其中的子目录。,第三章：数据恢复软件介绍,有些情况下分区信息被破坏的比较严重，AdvancedRecovery已经无法自动识别分区类型，显示为“无相法识别”空间，这时我们可以启动高级选项，从中选择应文件系统，如图：,第三章：数据恢复软件介绍,AdvancedRecovery可以扫描未分配空间中是否存在我们制定的文件系统的记录，重新加载一个文件系统，如图：,第三章：数据恢复软件介绍,在相应的文件系统下继续扫描仍然有可能恢复出完整的目录结构和相应数据。扫描结束后点击“下一步”选择相应的保存路径保存即可。,第三章：数据恢复软件介绍,RawRecovery,RawRecovery是脱离开任何文件系统，按照簇的方式进行扫描，此模式将对整个分区的扇区一个个地进行扫描。该扫描模式可以找回保存在一个簇中的小文件或连续存放的大文件。也就是说通过这种方式恢复数据时文件越大，能成功恢复的概率就越低。,第三章：数据恢复软件介绍,RawRecovery同样可以对未分配空间进行扫描，其操作界面如图（8）所示,第三章：数据恢复软件介绍,从中选择要扫描的硬盘空间，在“文件类型”中构选你所需要的文件类型。注意，这里的文件类型包括常见的大多数数据类型，但不包括一些特殊软件自己的特有数据类型，比如说一些财务软件的数据库等，这种情况下我们还可以通过添加数据类型来解决，但前提是手上需要拥有一定量的相同数据类型的文件样本,第三章：数据恢复软件介绍,在“文件类型”对话框中点击添加，弹出图（9）的对话框，使用Ultraedit读出样本文件的16进制编码，从中找出8字节的特征码（一般为文件头的前8字节）写入“新的文件标识”对话框，然后填入相应的偏移量、扩展名和描述即可。,第三章：数据恢复软件介绍,二、FinalData,FinalData也是一款我们常用的数据恢复软件，其数据恢复功能与EasyRecovery类似，界面如图：,第三章：数据恢复软件介绍,选择界面左上角的“文件”、“打开”，从“选择驱动器”对话框中选择想要恢复的文件所在的驱动器。这里我们选择“驱动器D”然后单击“OK”开始扫描。,第三章：数据恢复软件介绍,首先扫描根目录（又称做“快速扫描”），其次进行簇扫描（又称“完整扫描”），如图,第三章：数据恢复软件介绍,扫描完成后出现下图对话框，从中查找所需文件选择保存路径恢复存即可。,第三章：数据恢复软件介绍,其中左边的项目分别表示：1、“Root Directory”：正常根目录2、“Deleted Directory”：从根目录删除的目录集合(只在“快速扫描”后可用)3、“Deleted Files”：从根目录删除的文件集合(只在“快速扫描”后可用)4、“Lost Directory”：只有在“完整扫描”后找到的目录将会被显示在这里。由于已经被部分覆盖或者破坏，所以“快速扫描”不能发现这些目录。如果根目录由于格式化或者病毒等引起破坏，FinalData就会把发现和恢复的信息放到“丢失的目录”中。(只在“完整扫描”后可用)5、“Lost Files”：被严重破坏的文件，如果数据部分依然完好，可以从“丢失的文件”中恢复。在“快速扫描”过后，FinalData将执行“完整扫描”以查找被破坏的文件并将列表显示在“丢失的文件”中。(只在“完整扫描”后可用),第三章：数据恢复软件介绍,6、“Recently Deleted files”：当FinalData安装后，“文件删除管理器”功能自动将被删除文件的信息加入到“最近删除的文件”中。因为FinalData将这些文件信息保存在一个特殊的硬盘位置，大多数情况下可以完整地恢复出现(安装程序时会指定一定的硬盘空间用来存放这些信息)。7、“Searched Files”：这些就是所有硬盘上面被删除的文件，以后可以按照文件名、簇号和日期对扫描到的文件进行查找。另外FinalData对于查找分区结构和文件系统的功能非常强大，因此在很多时候也会作为恢复分区的辅助工具使用。,第三章：数据恢复软件介绍,三、Advanced EFS data recovery,Advanced EFS data recovery是一个可以从Windows NTFS分区里解密用 EFS 加密的文件的工具。Advanced EFS data recovery启动后的界面如图所示：,第三章：数据恢复软件介绍,若要对NTFS分区里的EFS加密文件进行解密，点击“scanscan for keys”，首先队硬盘中的分区进行密钥扫描，在弹出下图窗口时点击“start scan”开始扫描。,第三章：数据恢复软件介绍,下图显示出的即为扫描到的密钥信息：,第三章：数据恢复软件介绍,对密钥扫描完成后，我们点击“Encrypted files”扫描加密的文件，如图。进入“Encrypted files”选项卡后点击“scan for encrypted files”开始扫描,第三章：数据恢复软件介绍,下图为扫描出来的整个分区中做了EFS加密的文件，我们将其中需要恢复的文件前面构选然后点击“decrypt”保存出相应的文件即可。,第三章：数据恢复软件介绍,保存完毕，恢复工作完成。,第三章：数据恢复软件介绍,
