|
Ghost各个版本之间的差异
下面引用由鸿鹄在 2002/07/14 05:04pm 发表的内容:
问:假设ghost覆盖错误,如何恢复,真的无药可救了? 好像是没得救了!这涉及到了硬盘的工作原理:
硬盘包含了主引导扇区、操作系统引导扇区、FAT文件分配表、DIR根目录区、DATA数据区。
主引导扇区记录了MBR主引导记录和DPT分区表,这是由分区软件生成的,它记录了关于硬盘的分区信息。
操作系统引导扇区记录了引导程序,不要误认为是 IO.SYS、MSDOS.SYS,它只是判断本分区根目录前两个文件是否为操作系统的引导文件的程序)和BPB本分区参数记录表(记录着本分区的起始扇区、结束扇区、文件存储格式、硬盘介质描述符、根目录大小、FAT个数、分配单元的大小等重要参数)也是由分区软件生成的
FAT文件分配表是操作系统的寻址系统,FAT记录连接簇一起组成了一个文件,文件的目录记录包含量第一簇的索引位置。那一簇的FAT记录包含着下一簇的索引地址,并依此类推。文件的最后一簇的FAT记录持有一个特殊的文件结尾码。未使用的簇和有缺陷的簇都有它们自己的特殊编码作标记。FAT32文件系统几乎完全一样,但是簇更加小。
DIR 根目录区记录每个文件(目录)的起始单元等信息(通俗的说实际上就是记录了XXX 文件存放在数据区XXX位置的信息)
DATA数据区是最大的,所有文件数据都杂乱无序的存放在这里,我们要查找一个文件,硬盘实际上就是查找它的地址,通过 FAT 文件分配表和 DIR根目录区就可以对文件精确定位。
删除一个文件,并不是真正意义上把这个文件的数据从DATA数据区删除,硬盘只是在DIR根目录区中删除这个文件的信息(就是上面说的XXX 文件存放在数据区XXX位置的信息)。那么这个文件的数据还是在数据区里保存着的,但是硬盘只能通过DIR根目录区中的文件信息才能找到在DATA数据区里相对应的文件数据,一但文件信息在DIR根目录区中被删除后,硬盘就没有办法找到这个文件在数据区里面的文件数据,所以我们就再也找不到这个文件了。
同样的道理高级格式化硬盘也并没有清除DATA数据区的所有数据,它只是修改了FAT文件分配表和DIR根目录区,分区软件修改的是主引导扇区和操作系统引导扇区。
这就是那些恢复软件和X杀毒软件公司出的硬盘修复工具做的大部分事情,即试着恢复以上的各种信息。如果失败它还会试着找到一个文件第一个簇的位置,然后根据信息在找其他簇,再把这些簇链在一起。
如果你刚刚整理过硬盘碎片(也就是一个文件里所包含的数据放在了连续的簇里),那我可以恭喜你了,即使被病毒破坏了硬盘(假设这个病毒只格式化你的盘,而不向盘上写垃圾数据),你的数据仍然可以恢复。即使没有整理过碎片,那仅仅是增加了恢复难度(因为数据存放簇的不连续性)。
反之,此病毒在格式化你硬盘的同时向硬盘写垃圾数据。想想看,本该是1的地方变成了0,那即使有幸使没个文件恢复出来(假使索引文件被保留)也已经面目全非了。大概会出现色情女星的肩膀上长着布什脑袋的情况:)
那些所谓的文件粉碎机就是利用这个原理,在原文件的地方全部写1或0,绝对没有希望起死回生了。
我想现在你应该清楚了吧,GHOST不但重新写了你的分区表,而且还写了数据到你的硬盘。(我的一块硬盘出现了坏道,大概是逻辑性的。我用GHOST覆盖后发现坏道找不到了,这也算GHOST的一个功能吧)。看,你硬盘中该是1的地方变成了0,恢复以前的数据是没有任何希望了。
|
|