R-Studio是一款功能比較強(qiáng)大的數(shù)據(jù)恢復(fù)軟件，它的特點(diǎn)有如下幾點(diǎn)：

1）支持FAT系列、NTFS系列、UFS系列、ExtX等文件系統(tǒng)。

2）參數(shù)設(shè)置非常靈活，使恢復(fù)人員可以根據(jù)不同的具體情況進(jìn)行相應(yīng)的設(shè)置，以最大可能地恢復(fù)數(shù)據(jù)。

3）支持遠(yuǎn)程恢復(fù)，可以通過網(wǎng)絡(luò)恢復(fù)遠(yuǎn)程計(jì)算機(jī)中的數(shù)據(jù)。

4）支持分區(qū)丟失、格式化、誤刪除等情況下的數(shù)據(jù)恢復(fù)。

5）不只支持基本磁盤，還支持動(dòng)態(tài)磁盤。

6）支持Raid恢復(fù)，可以恢復(fù)跨區(qū)卷、Raid0、Raid1及Raid5的數(shù)據(jù)。

R-Studio也可以象WinHex一樣不依賴于磁盤主引導(dǎo)扇區(qū)的“55AA”有效簽名標(biāo)志對分區(qū)表進(jìn)行識別并列舉出各個(gè)分區(qū)。前面介紹Mhdd時(shí)曾經(jīng)提到，當(dāng)某個(gè)分區(qū)的引導(dǎo)扇區(qū)恰好處于壞道上，導(dǎo)致系統(tǒng)啟動(dòng)時(shí)因無法讀取壞道上的信息而啟動(dòng)緩慢甚至無法進(jìn)入系統(tǒng)時(shí)，可以使用Mhdd提供的“Switchmbr”命令清除主引導(dǎo)記錄扇區(qū)的“55AA”標(biāo)志，使操作系統(tǒng)將磁盤視為未初始化而不再檢索其分區(qū)表，從而可以順利地進(jìn)入操作系統(tǒng)。然后，就可以利用R-Studio不依賴于“55AA”標(biāo)志的特性恢復(fù)數(shù)據(jù)。

對于R-Studio的特性我們不再做更多的介紹，有興趣的讀者可以登陸www.tysjhf.com/qtzl/qt2/網(wǎng)站查看R-Studio幫助文件的譯文。下面我們來使用它進(jìn)行實(shí)際的恢復(fù)演示，讀者對其有個(gè)基本的了解后，可以自行研究其強(qiáng)大的功能。

1．分區(qū)恢復(fù)

可以通過對整個(gè)磁盤的掃描，利用智能檢索技術(shù)搜索到的數(shù)據(jù)來確定現(xiàn)存的和曾經(jīng)存在過的分區(qū)以及它的文件系統(tǒng)格式。下面，我們以一個(gè)20GB容量的磁盤演示分區(qū)恢復(fù)的過程。

首先在磁盤上建立三個(gè)分區(qū)，并向其中拷入數(shù)據(jù)。運(yùn)行R-Studio后，程序可以自動(dòng)識別到硬盤，讀取其分區(qū)表并列舉出現(xiàn)存的分區(qū)。如圖10.62所示。

我們用做實(shí)驗(yàn)的磁盤型號為IC25N020CSH201D2GACA20，R-Studio可以自動(dòng)識別這個(gè)型號。選中該磁盤后，在右側(cè)的窗口中會(huì)給出該磁盤的型號、在系統(tǒng)中的設(shè)備號以及容量等信息。

可以看到，該磁盤分為三個(gè)分區(qū)，第一個(gè)分區(qū)為FAT32文件系統(tǒng)，起始于31.5KB（63號扇區(qū)）的位置，大小為3.9GB；第二個(gè)分區(qū)為NTFS文件系統(tǒng)，起始于3.9GB的位置，大小為7.8GB；最后一個(gè)分區(qū)為FAT32文件系統(tǒng)，起始于11.7GB的位置，大小為6.9GB。雙擊列舉出的一個(gè)邏輯磁盤，就可以遍歷該文件系統(tǒng)并以目錄樹的形式顯示其中的目錄及文件。如圖10.63所示，R-Studio列出了我們選擇的第一個(gè)分區(qū)的數(shù)據(jù)。

第一個(gè)目錄為元數(shù)據(jù)文件目錄，其中存放的是文件系統(tǒng)的管理數(shù)據(jù)，對于FAT32來講，就是DBR及FAT表。Root為根目錄，單擊Root后，可以在右側(cè)的窗口中顯示出根目錄下所有的目錄及文件。

接下來，我們將硬盤中的分區(qū)刪除后重新建立了兩個(gè)分區(qū)，以制造分區(qū)被破壞的現(xiàn)場。然后開始恢復(fù)。

步驟1 掃描磁盤。要找到原來的分區(qū)，需要對整個(gè)磁盤進(jìn)行掃描。因此，必須選擇界面中的物理磁盤進(jìn)行操作，而不能選擇一個(gè)邏輯分區(qū)。

在磁盤上右擊，然后在彈出的菜單中單擊Scan（掃描），如圖10.64所示。

單擊Scan后會(huì)彈出掃描設(shè)置對話框，如圖10.65所示。

在掃描設(shè)置對話框中，可以設(shè)置掃描的起始位置和大小。程序默認(rèn)從磁盤的起始位置開始對整個(gè)磁盤進(jìn)行掃描。如果要尋找磁盤的所有分區(qū)，不需要改動(dòng)Start和Size欄中的數(shù)值。如果只是想恢復(fù)某個(gè)分區(qū)的數(shù)據(jù)，并且知道該分區(qū)的大致起始位置及大小的話，可以在Start（起始）欄中輸入掃描的起始位置，在Size欄中輸入掃描的范圍大小。輸入數(shù)值時(shí)，如果以扇區(qū)為單位，需要在輸入的數(shù)值后加“S”，以MB為單位則加“MB”，以GB為單位則加“GB”。

“File Systems”欄中為支持的文件系統(tǒng)類型，可以支持的類型有Linux的ExtX、Windows的FAT和NTFS、蘋果機(jī)的HFS以及Unix的UFS文件系統(tǒng)。單擊其后的向下箭頭可以在下拉列表中選擇想要尋找的文件系統(tǒng)類型。程序默認(rèn)勾選所有的類型選項(xiàng)，應(yīng)該根據(jù)實(shí)際情況只保留可能存在的文件系統(tǒng)類型，以降低計(jì)算機(jī)的負(fù)載并提高掃描速度。在我們的演示中，只有FAT及NTFS類型的文件系統(tǒng)，因此我們可以去掉其他的類型選項(xiàng)，只保留對這兩種文件系統(tǒng)類型的勾選。

“Extra Search for Known File Types”選項(xiàng)默認(rèn)被勾選，勾選此項(xiàng)時(shí)，程序在掃描的過程中會(huì)同時(shí)搜索已知文件類型的特征值，并在搜索結(jié)果中將搜索到的同類文件單獨(dú)存放在一個(gè)目錄中。單擊其后的“Known File Types”按鈕可以查看程序所支持的文件類型種類。不過，只有在文件系統(tǒng)破壞非常嚴(yán)重，文件的元數(shù)據(jù)信息全部丟失的情況下才需要使用這種恢復(fù)方式。為了提高搜索速度，不建議勾選此項(xiàng)。如果確實(shí)需要以這種方式恢復(fù)時(shí)，我們建議使用將在下一小節(jié)介紹的RAW恢復(fù)軟件Recver My Files。

設(shè)置完畢并確認(rèn)無誤后，單擊Scan按鈕即開始掃描。如圖10.66所示。

掃描的時(shí)間長短根據(jù)磁盤容量的大小、接口、掃描設(shè)置以及計(jì)算機(jī)的運(yùn)算速度不同而有所差異。

步驟2 查驗(yàn)掃描結(jié)果。掃描結(jié)束后，程序即列出所有可能存在的分區(qū)，并給出每個(gè)分區(qū)的起始位置和大小。單擊某個(gè)分區(qū)后，右側(cè)的窗口中即會(huì)給出該分區(qū)的邏輯參數(shù)，如每FAT項(xiàng)大小、簇大小、根目錄起始簇、FAT1的起始位置及每FAT表的大小等。如圖10.67所示。

從圖中可以看到，程序共搜索到了一個(gè)NTFS類型分區(qū)和四個(gè)FAT32分區(qū)。實(shí)際上，這四個(gè)FAT32分區(qū)只是兩個(gè)。那么，為什么會(huì)出現(xiàn)這種情況呢？

我們先來畫一個(gè)示意圖，如圖10.68所示。

我們對磁盤原來的分區(qū)結(jié)構(gòu)進(jìn)行破壞并新建分區(qū)后，新建的第一個(gè)分區(qū)與原來的第一個(gè)分區(qū)都是起始于磁盤的63號扇區(qū)，但分區(qū)后我們并沒有對其進(jìn)行格式化，這樣，63號扇區(qū)內(nèi)就不會(huì)有任何內(nèi)容。但位于磁盤69號扇區(qū)的原第一分區(qū)的DBR備份依然存在，F(xiàn)AT表也完好無損。程序掃描時(shí)，首先在69號扇區(qū)找到一個(gè)DBR，根據(jù)這個(gè)DBR中的參數(shù)虛擬一個(gè)分區(qū)并解釋其中的數(shù)據(jù)。這個(gè)分區(qū)就是圖10.67中顯示的起始于34.5KB位置的FAT32分區(qū)Recognized8。可想而知，這個(gè)分區(qū)以原來的DBR備份扇區(qū)做為分區(qū)的起始位置，將使用FAT表、根目錄等數(shù)據(jù)結(jié)構(gòu)的位置相對地向后移6個(gè)扇區(qū)，也就不可能正確地解釋其中的數(shù)據(jù)。雙擊該邏輯磁盤后，程序即開始根據(jù)該分區(qū)的參數(shù)遍歷整個(gè)分區(qū)，然后列表顯示找到的目錄及文件。如圖10.69所示。

從圖10.69可以看到，雖然程序列出了該分區(qū)內(nèi)的目錄和文件，目錄名和文件名也正確，但這只是它根據(jù)搜索到的目錄項(xiàng)列出的內(nèi)容，因?yàn)樯葏^(qū)起始位置錯(cuò)誤，根據(jù)目錄項(xiàng)中描述的子目錄或文件的起始簇對其進(jìn)行訪問時(shí)，將無法訪問到子目錄或文件的正確起始位置。所以，子目錄名的前面顯示為問號圖標(biāo)，因?yàn)閷υ撃夸涍M(jìn)行訪問時(shí)并沒有在其中找到正確的內(nèi)容，在左側(cè)窗口中單擊一個(gè)帶問號的子目錄時(shí)，在右側(cè)的窗口中將顯示為空或亂碼。

右側(cè)窗口中的文件也一樣，右擊一個(gè)文件，在彈出的快捷菜單中選擇View/Edit，可以在一個(gè)十六進(jìn)制編輯窗口中打開該文件，如果對該文件類型的特征值比較熟悉的話，能夠判斷出該文件的文件頭是否正確。我們選擇打開了一個(gè)Word文檔，很顯示這不是一個(gè)正確的Word文檔的文件頭（如圖10.70所示），因?yàn)閃ord文檔的文件頭的前8個(gè)字節(jié)在十六進(jìn)制窗口中將顯示為“D0CF11E

注意：R-Studio并不是由0開始對磁盤及分區(qū)中的扇區(qū)進(jìn)行編號，而是由1開始。因此，使用R-Studio與WinHex協(xié)同工作時(shí)應(yīng)該注意，對于同一個(gè)扇區(qū)，在WinHex中的扇區(qū)號要比R-Studio中的扇區(qū)號小1。

程序搜索的過程中，不只搜索DBR，還會(huì)搜索FAT的起始位置。因此，它在99號扇區(qū)搜索到一個(gè)FAT表。但并沒有DBR與該FAT表相對應(yīng)（與之對應(yīng)的63號扇區(qū)的DBR被清空了），因此，程序就再虛擬一個(gè)分區(qū)，因?yàn)橥ㄟ^FAT表的位置并不能得知原DBR的位置，所以程序就將分區(qū)的起始位置顯示為該FAT表的起始位置，這就是圖10.67中顯示的起始于49.5KB的FAT32分區(qū)Recognized7。由于這個(gè)分區(qū)的位置是正確的，所以它可以正確地顯示出其中的數(shù)據(jù)結(jié)構(gòu)。如圖10.71所示。

另外兩個(gè)列出的FAT32分區(qū)是原三個(gè)分區(qū)的最后一個(gè)，與第一個(gè)分區(qū)不同的是，它的DBR扇區(qū)與DBR備份都是完好的，程序掃描到原始DBR后根據(jù)其參數(shù)虛擬一個(gè)分區(qū)，也就是圖10.67中列出的Recognized6號分區(qū)。而這個(gè)分區(qū)的參數(shù)完全正確，能夠正確鏈接到FAT1，所以不會(huì)將此分區(qū)的起始位置顯示為FAT表的起始位置。Recognized9號分區(qū)是程序根據(jù)掃描到Recognized6號分區(qū)的DBR備份后虛擬出的一個(gè)分區(qū)，這個(gè)分區(qū)也無法正確的解釋其中的數(shù)據(jù)。

步驟3 恢復(fù)數(shù)據(jù)。在要恢復(fù)的目錄或文件上右擊，在彈出的快捷菜單中選擇Recover，或?qū)σ謴?fù)的數(shù)據(jù)進(jìn)行勾選后右擊一個(gè)目錄或文件，在彈出的快捷菜單中選擇Recover Marked（如圖10.72所示），即可彈出保存路徑選擇對話框，選擇好存放路徑后單擊OK按鈕即可將數(shù)據(jù)恢復(fù)至指定的位置。

本文來源于《數(shù)據(jù)重現(xiàn)－－文件系統(tǒng)原理精解與數(shù)據(jù)恢復(fù)最佳實(shí)踐》