导读：我们在使用计算机进行工作的时候，经常会出现一些异常状况，很多时候我们会发现一些存放的数据会无缘无故消失，或者是一些可以找到的数据无法打开，这时我们该怎么办呢?下面我们就一起来看看计算机硬盘分区数据的恢复方法吧。

一、计算机硬盘分区数据的恢复步骤：

第一步：在计算机当中下载和安装迅龙数据恢复软件。第二步：成功下载和安装好迅龙数据恢复软件以后，将下载好的软件打开，在迅龙数据恢复软件的主页面上，我们找到硬盘分区数据丢失或者损坏字样，然后使用鼠标点击进行选择。第三步：成功进入硬盘分区数据丢失页面以后，再使用鼠标点击选择需要恢复数据的磁盘，成功点击需要恢复数据的磁盘以后，再根据相应的提示进行下一步操作，需要使用鼠标点击进行选择。

第四步：进入下一步操作以后，迅龙数据恢复软件就会自动进行查找相应的分区，在这个分区查找的阶段，我们不需要再进行其他的操作，需要耐心等待一段时间。第五步：等待几分钟以后，迅龙数据恢复软件即可成功完成分区的扫描，完成扫描以后，就会出现相应的扫描结果，然后我们再使用鼠标选择页面左边的查找菜单栏，我们需要进行条件查找，可以通过条件来查找需要恢复的一些数据和文件，或者我们也可以在页面的右边选择相应的文件和数据，然后点击下一步，进行数据和文件的恢复。

二、计算机硬盘分区数据丢失的原因：第一：在计算机的使用过程当中，ghost操作失败，很可能将硬盘分区合并成同一个盘可以造成硬盘分区的数据丢失。第二：使用一些分区调整软件的过程当中，出现错误，导致分区的调整失败，从而造成硬盘分区数据的丢失。第三：硬盘的数据线发生接触不良现象，也可能造成硬盘分区数据丢失。

上面就是硬盘分区数据的恢复方法，你学会了吗?为了避免我们计算机当中的数据出现丢失状况，我们可以在进行文件和数据的存储时，再对存储的文件进行备份，这样我们就可以更加方便快速的找到数据，如果没有将数据进行备份，那就赶快来学习一下分区数据的恢复方法吧。此文摘自电脑黑客。

数据文件丢失一直是困扰着我们的难题，往往在我们很无奈的情况下就会莫名的出现数据文件丢失的问题。面对这种问题的出现我们很莫名其妙，并且找不到数据丢失的任何原因。究竟是什么原因导致我们数据文件丢失，我们又该利用什么办法避免和恢复文件呢？

一、造成数据丢失和毁坏的原因主要如下几个方面。

1、数据处理和访问软件平台故障。

2、操作系统的设计漏洞或设计者出于不可告人的目的而人为预置的“黑洞”。》》》推荐阅读：企业数据急需数据备份软件增强安全

3、系统的硬件故障。

4、人为的操作失误。

5、网络内非法访问者的恶意破坏。

6、网络供电系统故障等。

二、数据备份的方式

1、定期磁带

远程磁带库、光盘库备份。即将数据传送到远程备份中心制作完整的备份磁带或光盘。

远程关键数据+磁带备份。采用磁带备份数据，生产机实时向备份机发送关键数据。

2、数据库

就是在与主数据库所在生产机相分离的备份机上建立主数据库的一个拷贝。

3、网络数据

对生产系统的数据库数据和所需跟踪的重要目标文件的更新进行监控与跟踪，并将更新日志实时通过网络传送到备份系统，备份系统则根据日志对磁盘进行更新。

现在每一个企业都离不开数据备份，数据备份越来越重要了，很多人不了解造成数据丢失的原因有哪些，以及数据备份有哪些方式。然而在本文中我为大家带来了这两方面的相关解答，大家可以了解一下。

三、数据恢复的方法

1、人工恢复

关于人工恢复是有一定的技术要求的，是需要对于恢复技术有一定的基础，并且恢复技术一定娴熟的。不然可能会导致文件的二次损伤，所以人工恢复是有一定的分风险的。

2、数据恢复软件恢复

现在网络上有很多关于数据恢复的软件，我们选择一款比较简单使用而且又安全的软件使用。推荐大家使用互盾数据恢复软件来进行恢复操作，因为如果使用软件没有完全恢复的话，也不会对我们的文件造成二次伤害的。

很多小伙伴都被文件的丢失所困扰，数据文件的丢失会给我们制造可小的麻烦，这要根据文件的重要程度而定啦！但如果有方法，有谁不想把意外丢失的文件找回来呢？

请点击此处输入图片描述

　　如何恢复删除的文件？这是我们经常会发出的疑问，因为情况太多，状况各有不同，文件恢复方法也是众说纷纭。文件丢失可以有很多中不同的状态，比如U盘删除文件、电脑删除文件、手机删除文件或是移动硬盘删除的文件。小编最近听说有删除文件恢复软件，好不好用，自然是试一试，本篇给大家说的就是删除文件恢复软件如何恢复电脑删除的文件的。根据检测，小编认为还是很好用滴~希望也能帮你恢复删除文件！

　　1．首先，请下载安装互盾数据恢复软件，请勿将软件安装到删除文件所在分区，安装完成后，请点击选择?误删除文件?恢复模式；

请点击此处输入图片描

　　2．接着，在软件界面的磁盘分区中选择要恢复文件所在分区，点击选中后，进入下一步扫描相应磁盘分区，找到删除文件

请点击此处输入图片描述

　　3．互盾数据恢复软件扫描期间请勿随意点击中断扫描功能键，想要完整的扫描恢复数据，就需要耐心等待扫描结束；

请点击此处输入图片描述

　　4．当软件结束扫描后，请找到并勾选要恢复的文件，软件提供搜索及预览功能，用户可以借助该功能快速找到要恢复的文件，然后点击“下一步”按钮；

请点击此处输入图片描述

　　5．接下来，点击“浏览”，在弹出的对话框中设置恢复文件储存路径，请勿储存在删除文件所在分区，，可以单独新建一个文件夹来储存恢复文件。然后点击“下一步”恢复文件即可。

请点击此处输入图片描述

　　以上就是丢失数据文件怎么恢复的操作方法，如果现在的你正在面临这样的问题那么就可以试一下这个方法哦！不过在我们平时使用文件的时候一定要注重对文件的备份哦，不然数据文件的丢失真的是很容易给我们造成困扰的哦

苹果手机在中国拥有强大的市场，有很多用户在使用了苹果手机后转为果粉了，之后就是一直关注苹果手机的消息了。苹果公司每年都会给用户带来新的福利，每一款手机都在不断的创新，往更好的方向发展。我们都知道，在使用手机时会遇到数据丢失的情况。想知道果粉们都是怎么恢复的吗？那就一起看看下文吧！

准备工具：

1)常用电脑

2)需要恢复通讯录的苹果手机、苹果数据线

3)强力苹果恢复精灵

开始恢复：

1.打开电脑，在电脑上下载安装最新版的iTunes，将要恢复数据的iPhone手机连接到电脑上，用iTunes备份手机的数据。

2.上网搜索下载强力苹果恢复精灵，打开安装好的软件，选择“从iTunes备份文件中恢复”的恢复方式。

第三步：接下来软件会按照左侧三大类型十四种具体分类对手机进行扫描，扫描完一条数据都会在后面显示对应的数字，因为数据有些的多，所以需要耐心等待扫描完成。

第四步：等待扫描完成了之后，点击左侧的“联系人”数据类，随后旁边就有出现详细的联系人列表，可以在其中找到之前丢失的联系人并勾选，之后点击“导出选中记录”按钮。最后等待恢复完成就可以查看恢复结果了。

苹果手机用户在发现数据丢失后可以试试上面的方法哦，使用过的朋友都觉得十分简单那，效果好。

转载自百家号作者：极速数据恢复

很多人都会有这样的疑问，手机中总是有一些数据是我们现在不需要的，不删除的话放在手机中占空间，删除的话又怕以后要用到就尴尬了。一般人都会选择删除，但是删除这些手机数据后，若以后有需要，这些手机数据如何恢复呢？今天就来跟大家分享两个方法，轻松解决手机数据如何恢复的问题。

一、备份数据

1.账户同步

备份数据是最简单却也是很多人都很少想到的方法。很多手机现在都带有同步和备份的功能，我们只需要将我们想备份的数据同步到我们的手机账户中就可以了。

2.软件同步

现在使用百度云盘等等的软件来备份数据的小伙伴越来越多，大家也可以将手机中的一些不常用的但却有可能会用到的数据上传到百度云盘之类的软件中，要恢复数据也是十分简单的。

二、数据恢复

如果真的很不巧，你没有备份手机数据的习惯，那我们也可以使用【极速恢复精灵】，来帮助我们进行手机数据的恢复。

1.下载极速恢复精灵

首先，我们可以先将【极速恢复精灵】下载到我们的手机中。待下载完成后，就可以打开它。

2.数据恢复

在打开【极速恢复精灵】，我们可以看到界面中间有通讯录、通话记录、照片等等的选项。大家可以根据自己的需要点击界面中的任意一项，就能够进入恢复界面，我们所想要的手机数据也会立马回到我们的手机中，操作十分简单哟~

看完这篇文章后，是不是觉得手机数据如何恢复再也不是可以困扰我们的问题了呢？大家如果有需要的话，就可以按照上文所述进行尝试哟~

一、不要使用盗版数据恢复软件。

　　很多盗版数据恢复软件解除不完全，不能升级到最新版本，没有官方技术支持，甚至含有病毒、木马。软件有价数据无价，为了您的数据安全，请务必使用正版软件。

二、为什么丢失的数据可以恢复。

　　文件储存在硬盘的扇区中，其他程序不能改变已经存有文件数据的扇区。删除或格式化操作只改变文件系统关键字节，使操作系统看不到文件，其实这个时候文件数据还是存在的。但是由于操作系统认为文件已经删除，这个文件数据所在的区域也就没有系统的“保护”，任何数据的写入都有可能覆盖文件数据所在区域。

　　在文件数据被覆盖之前，文件可以被恢复重建，文件数据一旦被覆盖掉，将完全无法恢复。如果文件的一部分被覆盖掉，则整个文件被损坏。损坏的文件能恢复成什么样子则与文件格式即损坏程度有关。

　　误删除的数据恢复：删除是对文件的元数据做了改动或叫删除标记，被删除的文件所占用的空间不会发生任何变化。所以误删除的文件只要不被新的数据覆盖就可以完美恢复。

　　误分区后的数据恢复：误分区指删除原有分区并重建新分区。执行分区操作只对分区表进行操作，不会破坏分区内数据。所以如果只是做了分区操作而并没有进行格式化操作，数据可以完整的恢复出来。如果分区后格式化了新的分区，可能对数据造成小部分破坏，大部分数据还是可以恢复出来的。

　　误格式化的数据恢复：误格式化情况比较复杂。还要看格式化前所使用的文件系统是FAT格式还是NTFS格式，并且与格式化操作时的两种格式有关系，对数据恢复来说，虽然比较麻烦，但还是可以恢复的。

　　误克隆的数据恢复：误克隆是使用ghost软件误克隆分区(多个分区误操作后变成一个分区)，或克隆到别的分区使数据丢失等。对于数据恢复也分为两种情况，少数情况有可能无法恢复。大多数情况能够恢复出来全部的数据。

　　病毒感染的数据恢复：不是很厉害的病毒感染所造成的数据丢失，比较简单。可以恢复全部数据。但有些病毒不但更改数据，而且还对数据加密，这样恢复出来的数据，会有部分缺失。

三、文件丢失后，请不要直接操作丢失文件所在分区。

　　文件丢失之后，请立即停止往原分区写入任何数据，可以立即停止对该分区进行任何操作。写入数据时系统会自动擦除已经“删除”的文件，腾出空间来存放新写入的数据，从而导致“已删除文件”被二次破坏，永不可恢复。

四、请不要将数据恢复软件下载或安装到您需要恢复的分区里。

　　下载和安装数据恢复软件时，千万不要下载或安装到您有数据需要恢复的分区里，以免造成数据二次破坏。

五、操作系统所在分区文件丢失后的处理。

　　如果丢失的文件位于操作系统所在的分区（操作系统通常是位于C分区），例如，丢失的文件位于桌面，这时候，立即关闭电脑供电(关机时操作系统会写入大量数据到系统盘，导致丢失的文件数据被破坏，所以需要直接关闭电源)，然后将硬盘接到另外一台电脑上进行文件恢复。如果用户暂时找不到第二台电脑，可以为原来的电脑制作U盘启动盘，启动到PE系统，然后再进行数据恢复操作。

六、文件丢失之后不要进行DskChk磁盘检查。

　　一般情况下，文件系统或者操作系统出现错误之后，操作系统开机进入启动画面时会提示是否进行磁盘检查，默认10秒之内用户没有操作的话就会进行DskChk磁盘检查。DskChk磁盘检查可以修复一些微小损坏的文件目录，但是更多的是会破坏原来的数据，极有可能造成文件永久性丢失。所以，在重启系统提示是否进行DskChk磁盘检查时，一定要在10秒之内按任意键跳过检查，进入操作系统。

七、严禁将扫描到的文件恢复到您有数据需要恢复的分区里。

　　严禁将扫描到的文件恢复到您有数据需要恢复的分区里（比如丢失的是D盘的文件，那么禁止恢复到D盘）。文件只允许恢复到原分区之外的分区，因为恢复文件等于是给磁盘写入新的文件，如果恢复到原来的分区，极有可能造成文件二次破坏。

八、不要格式化需要恢复的分区

　　当遇到提示格式化的时候，一定不要“格式化”，以免造成数据二次破坏。

数据恢复有没有简易方案？

IT工程师一般都知道如何操作和使用文件和目录。但是，对于系统如何构建出、抽象出文件和目录，一般就不熟悉了。至于更下层的概念，可能大家知道最多的就是驱动了。所以，为了规避这点，可行的简易方案之一，就是以黑箱方式使用testdisk等工具，在我们在对底层了解不多甚至一无所知的情况下，进行数据恢复（商业工具，恢复效果估计更好，当然商业工具的价格也更好）。但是，对于工程师而言，多数时候，仅仅以黑箱方式依赖某些工具进行数据恢复是不够的。

数据恢复，经常是突发事故响应中关键而又耗时的一步。多数情况下，工程师往往并非专司数据恢复，操作环境往往是生产环境，趁手工具难以部署，执行操作要遵循种种约束，加之业务中断的压力。这种情形下，工程师很可能还需要推定数据恢复的结果/耗时等信息，提供数据供决策者使用。很明显，如果你准备考验一下自己的细致、耐心、知识和技能，数据恢复将是个不错的课题。当然，有一点是明确的，只是以黑箱方式使用testdisk等工具进行数据恢复，解决以上问题是不可能的。那么，有没有其他简易方案呢？

这里，我们以一个实际的case为例，讨论一下，在只使用UNIX常见工具（dd/grep/strace等）的情况下，如何简单、快捷的恢复数据。

预先准备

工具

我们要用到以下工具

功能

示例

bc

计算器

echo 'ibase=2^3;i=0107000;ibase=2^3+2;i/512' | bc -l

dd

检查或者拷贝磁盘/分区的内容，可以是几个扇区，也可以是几个字节

dd if=/dev/sdb bs=1 count=64 skip=64 2>/dev/null | od -v -tx1

grep

搜索制定字符串

od

把二进制内容以ASCII或者16进制显示出来，搭配dd使用可以代替二进制编辑器

strace

追踪应用的执行路径和对数据处理的流程

strace ps

排查和诊断就是数据处理

如果对数据处理了解不多，请参考OSEMN

obtaining data/获取数据

crubbing data/清洗数据

exploring data/探索数据

modeling data/建模数据

interpreting data/解释数据

测试环境

使用Virtualbox，基于CentOS/Fedora/debian/Ubuntu搭建Linux实验环境。只需要学会strace工具和如下系统调用，就足以追踪系统如何处理诸如LVM物理卷元数据这样过的问题。

name

open

打开一个文件，返回一个文件描述符供后续读写操作使用

dup/dup2

复制文件描述符

lseek

将读写指针移动到指定位置，后续操作从此指定位置读写

close

关闭文件描述符

read

读操作

数据恢复的原理和流程

什么是元数据？

我们以大家都熟悉的磁盘作为存储设备的例子。

现代操作系统都会在磁盘上建立多个分层结构来管理和控制磁盘。比如，磁盘分区，分区上建立物理卷，物理卷上建立卷组，卷组上建立逻辑卷，逻辑卷上建立文件系统，就是这样的一个例子。如果你不熟悉LVM，请参考Logical Volume Manager。

这些分层的结构都是很类似的。以磁盘分区为例。所谓分区，以大家最为熟悉的MBR: Master Boot Record结构为例。其实是第一个扇区记录了各个分区的起始扇区，大小和类型。系统需要时，比如启动过程中，系统只要从磁盘的第一个扇区读取这些数据即能拿到各个分区的数据。

具体看看分区的数据结构。以fdisk为例，分区的数据结构定义为

struct dos_partition { unsigned char boot_ind;

我们看看具体分区的例子，验证一下数据结构

分区使得磁盘上的扇区有了差别。第一个扇区（其实其编号是0），因分区数据记录其上而扮演特殊角色。明显，对系统而言，管理和操作分区实际上就是读写第一扇区上的对应记录而已。

类似分区信息这种系统用以管理某层资源的数据就是元数据。

系统在磁盘上建立的各个分层结构，都有类似分区结构的数据结构。以LVM结构为例，我们可以把磁盘记录和LVM工具报告的数据做一对比。LVM数据的从第2个扇区开始，卷组数据在第8个扇区中，可以用dd命令提取相关扇区来验证LVM的数据结构。

下面是一份完整的LVM元数据信息，有兴趣者可以逐一清点各个对象。

[root@pusf ~]# pvdisplay;vgdisplay;lvdisplay

元数据和数据：数据损坏分类

系统把磁盘的扇区分成两种来支持分区：第一扇区和所有其他非第一扇区。并且在第一个扇区上记录分区信息，即元数据。而其他非第一扇区则供分区层使用，从磁盘的视角看，其他非第一扇区则是数据部分。我们逐层考察下磁盘、分区和LVM结构

系统启动时，会逐层读取各层元数据，创建各层数据结构。如果某一层元数据损坏或者丢失，那么系统就没有办法完成创建各层数据结构的任务。这种情况下，从客户角度看，很可能就是数据损坏了。比如，如果你把第一个扇区用\0覆盖一遍，那么系统就识别不到分区内容了。当然这种情况下分区层以上的内容，比如物理卷信息，系统也无法处理了。因此，对于数据恢复任务而言，如果元数据损坏，则修复元数据总是必须的，而且往往是第一步。

当然，如果数据损坏了，即使元数据完好无缺，那么数据也是损坏了。比如，你误删了一个文件，那么，分区结构再完好对于文件被删也于事无补。

基于以上分析，我们可以把数据损坏简单分三类类：元数据损坏、数据损坏或者前面两种损坏类型的混合型损坏。

元数据修复可以简易处理

以基于磁盘的分区、LVM以及文件系统为例。分层结构的数据格式都有严格的格式（比如分区的数据结构就是一个C的struct），出现位置也固定（有关分区的元数据记录在第一个扇区的446～462字节之间），而且这些数据结构往往都带有魔数(比如，分区的类型83)，而且常用的分层结构，也不外乎分区、LVM以及文件系统等几种。因此，对于元数据以及系统如何处理元数据，我们都容易追踪和检查。因此，可以预期，修复元数据，有简易方案。

原理

如果有数据损坏，那么除非有日志、备份，或者数据本身有逻辑可供使用，否则数据是不能恢复了。比如，通常的文件删除操作，系统只是解除了文件名称和文件内容相关间的联系而已。文件本身的内容还是记录再磁盘上。这种情况下，只要重建文件名称和文件内容间的联系即可恢复文件。

相对而言，简单情形的是元数据损坏。如果只是元数据损坏，而且我们知道正确的元数据。因为元数据操作，不会触及数据部分，因此，我们只要重建元数据部分即可恢复数据。如果涉及到多层，则逐层恢复即可。以分区丢失为例。

比如我们有一块数据盘，整盘我们只是用fdisk分了一个区，现在分区丢失了。这种情形下，只要用fdsik，按照默认情形，重新分区就能恢复分区。

就这种情形，我们给出一个可用的分析流程。

症状和初步排查

症状

客户反馈

降配重启后，系统无法启动

排查发现客户一逻辑卷无法挂载导致重启失败。在/etc/fstab中注释掉逻辑卷的挂载配置，系统启动成功。

但是客户的逻辑卷上有重要数据。此逻辑卷在数据盘上，数据盘大小是2TB。此磁盘全部2TB全部分配给一个分区，此分区上创建有LVM结构。

分区数据如下

[root@localhost ~]# fdisk -l -u /dev/vdbDisk /dev/vdb: 2199.0 GB, 2199023255552 bytes

初步排查

首先确定分区上是否有数据，通过查看一些扇区，我们就会有很大的概率确认这一点。当然也可以逐扇区确认。

逐扇区确认，可以用如下命令办理。假设磁盘是/dev/vdb。

max_sector_to_check=nrsectorfor i in $(seq 0 ${max_sector_to_check});do dd if=/dev/vdb bs=512 count=1 skip=${i} 2>/dev/null | sha256sum;done | sort -n | uniq;

当然，也可以通过抽样检查来确认。这种方法通常是检查磁盘分区的前面一部分扇区。比如，下面的例子，通过检查前面几十个扇区，我们可以确认磁盘上确有数据。

[root@localhost ~]# dd if=/dev/vdb1 bs=512 count=60 2>/dev/null | od -tx10000000 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00*0007000 f9 80 00 00 f9 80 01 00 f9 80 02 00 f9 80 03 000007020 f9 80 04 00 f9 80 0c 00 f9 80 0d 00 f9 80 18 000007040 f9 80 28 00 f9 80 3e 00 f9 80 79 00 f9 80 ab 000007060 f9 80 38 01 f9 80 6c 01 f9 80 45 04 f9 80 b0 040007100 f9 80 1a 06 f9 80 d0 0c f9 80 84 1e 00 00 00 000007120 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00*0017000 fa 80 00 00 fa 80 01 00 fa 80 02 00 fa 80 03 000017020 fa 80 04 00 fa 80 0c 00 fa 80 0d 00 fa 80 18 000017040 fa 80 28 00 fa 80 3e 00 fa 80 79 00 fa 80 ab 000017060 fa 80 38 01 fa 80 6c 01 fa 80 45 04 fa 80 b0 040017100 fa 80 1a 06 fa 80 d0 0c fa 80 84 1e 00 00 00 000017120 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00*0027000 fb 80 00 00 fb 80 01 00 fb 80 02 00 fb 80 03 000027020 fb 80 04 00 fb 80 0c 00 fb 80 0d 00 fb 80 18 000027040 fb 80 28 00 fb 80 3e 00 fb 80 79 00 fb 80 ab 000027060 fb 80 38 01 fb 80 6c 01 fb 80 45 04 fb 80 b0 040027100 fb 80 1a 06 fb 80 d0 0c fb 80 84 1e 00 00 00 000027120 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00*0037000 fc 80 00 00 fc 80 01 00 fc 80 02 00 fc 80 03 000037020 fc 80 04 00 fc 80 0c 00 fc 80 0d 00 fc 80 18 000037040 fc 80 28 00 fc 80 3e 00 fc 80 79 00 fc 80 ab 000037060 fc 80 38 01 fc 80 6c 01 fc 80 45 04 fc 80 b0 040037100 fc 80 1a 06 fc 80 d0 0c fc 80 84 1e 00 00 00 000037120 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00*0047000 fd 80 00 00 fd 80 01 00 fd 80 02 00 fd 80 03 000047020 fd 80 04 00 fd 80 0c 00 fd 80 0d 00 fd 80 18 000047040 fd 80 28 00 fd 80 3e 00 fd 80 79 00 fd 80 ab 000047060 fd 80 38 01 fd 80 6c 01 fd 80 45 04 fd 80 b0 040047100 fd 80 1a 06 fd 80 d0 0c fd 80 84 1e 00 00 00 000047120 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00*0057000 fe 80 00 00 fe 80 01 00 fe 80 02 00 fe 80 03 000057020 fe 80 04 00 fe 80 0c 00 fe 80 0d 00 fe 80 18 000057040 fe 80 28 00 fe 80 3e 00 fe 80 79 00 fe 80 ab 000057060 fe 80 38 01 fe 80 6c 01 fe 80 45 04 fe 80 b0 040057100 fe 80 1a 06 fe 80 d0 0c fe 80 84 1e 00 00 00 000057120 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00*0067000 ff 80 00 00 ff 80 01 00 ff 80 02 00 ff 80 03 000067020 ff 80 04 00 ff 80 0c 00 ff 80 0d 00 ff 80 18 000067040 ff 80 28 00 ff 80 3e 00 ff 80 79 00 ff 80 ab 000067060 ff 80 38 01 ff 80 6c 01 ff 80 45 04 ff 80 b0 040067100 ff 80 1a 06 ff 80 d0 0c ff 80 84 1e 00 00 00 000067120 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00*0074000[root@localhost ~]#

接下来使用testdisk工具恢复数据。尝试数次，testdisk工具总是在扫描到2%时停滞，处理过程不能继续。

初次恢复尝试

分区还在，但是LVM结构丢失，经检查，由LVM工具链维护的备份数据/etc/lvm/backup/vg_xxxxxx文件还在。因此，这种情形下，按照我们的恢复流程，只要在分区之上，尝试重建LVM和文件系统，应该就可以解决问题。

[root@localhost ~]# pvdisplay /dev/vdb

根据备份数据恢复LVM结构，可以参考Recovering Physical Volume Metadata。可惜的是，我们第一步就折戟沉沙了。

[root@localhost ~]# pvcreate --uuid "X1cHlO-kdFk-RZIM-1L12-qHit-0QA5-C1fZxm" --restorefile /etc/lvm/backup/vg_xxxxxx /dev/vdb1

看样子，分区的数据有些地方出错了。根据上面命令报错的信息，对比LVM的备份数据和分区数据，很快我们就发现了问题。现有分区记录的其拥有的扇区数目，少于其上LVM卷组记录的扇区数量。

问题出在哪里？

因为种种原因，我们不能确认分区信息和LVM备份数据为何不一致。但是，我们可以进一步从磁盘上提取、分析数据。因为有关分区的元数据在（分区在），所以我们进一步检查磁盘上还有没有有关LVM的元数据？这只要使用下面的命令行

dd if=/dev/vdb1 bs=512 count=128 2>/dev/null | od -tc

结果及其结果分析如下

所以，磁盘上还有有关LVM的元数据，但是为什么系统没有凭借这些数据构建出LVM结构呢？我们创建一个测试环境，用strace追踪下系统处理LVM物理卷元数据的执行路径。如下命令即可

strace -s 512 pvdisplay

当然，更好的办法是把strace记录放置到文件中，以备仔细检查

starce -o path_to_strace_log -s 512 -f -ff pvdisplay

我们组合使用strace和grep命令来确认系统默认的LVM物理卷位置。如果你没有耐心分析下面的数据，请跳过直接看后面的截图

strace -o /tmp/pvdisplay-strace.log -s 512 pvdisplaygrep grep -E '^open|^lseek|^read' /tmp/pvdisplay-strace.log

数据清洗结果如下。如果没有耐心分析，请跳过直接看下面的分析截图

[root@localhost ~]# grep -E '^open|^lseek|^read|^close' /tmp/pvdisplay-strace.log

很明显，系统预期LVM元数据是在分区的第8个扇区，但是在需要做数据恢复的磁盘上，LVM的元数据却是在第71个扇区，而分区的起始扇区是2048，因此，LVM数据根本不在分区内。这就是为什么磁盘上还有LVM元数据，系统却没有识别出来LVM的原因。

既然系统是因为有关LVM的元数据所在扇区不对而导致系统无法识别LVM结构，设想通过重新分区，我们把有关LVM元数据调整到分区的第8个扇区。稍加计算，就会发现，只要把分区的起始扇区从第2048个扇区调整到第63个扇区即可。不仅如此，通过调整分区大小，我们同样也解决了磁盘分区扇区数不足的问题

数据恢复

较新的fdisk工具，不允许起始扇区小于2048，因此，我们用parted工具来调整分区的起始扇区。

调整过程是先删掉扇区，而后再创建之。而结果正如我们所预期的，分区调整完成，客户的数据立刻恢复了。物理卷、卷组、逻辑卷、文件系统以及数据，都完好无损。

结语

从处理这个实际case可以看出，如果知道如何识别各层元数据，比�...

常有不少用户将拍摄的照片和一些重要的资料存储到手机之内，由于操作不小心误将重要的照片等资料删除了。有时由于用户错误地对存储卡内的数据进行清理操作，结果导致误删除了手机存储卡数据。本章将讲解对手机中删除的数据进行恢复的方法。一、从手机存储卡中删除文件 手机中文件的删除工作其实是很简单的，将存储卡目录区文件的第一个字符改成E5就表示该文件被删除了，而文件的数据内容实际上并没有被清除。 存储在存储卡中的每个文件都可分为两部分：文件头和存储数据的数据区。文件头用来记录文件名、文件属性、占用簇号等信息，文件头保存在一个簇并映射在FAT表（文件分配表）中，而真实的数据则是保存在数据区当中的。平常所做的删除，其实是修改文件头的前2个代码，这种修改映射在FAT表中，就为文件做了删除标记，并将文件所占簇号在FAT表中的登记项清零，表示释放空间。这也就是平常删除文件后，存储卡空间增大的原因。而真正的文件内容仍保存在数据区中，并未得以删除。要等到以后的数据写入，把此数据区覆盖掉，这样才算是彻底把原来的数据删除。如果不被后来保存的数据覆盖，原来的数据就不会从磁盘上抹掉。 二、恢复被删除的照片/视频 在日常维修中，通常使用一些数据恢复软件来恢复手机存储卡中的数据，使用这些软件恢复数据成功率较高。常用的恢复软件有：EasyRecovery、FinalData、360文件恢复（360安全卫士中的）等。下面以EasyRecovery恢复软件为例进行讲解。 【注意】 在照片、视频等重 要数据被删除后，首先不要往手机中存储任何文件或安装游戏等软件，否则可能因为新数据的写入导致之前被删除的照片等被覆盖而无法恢复。 1）确定你手机上是否有内存卡。有内存卡的，拔出来用读卡器连接在电脑上。如果没有内存卡，那就需要用数据线将手机与电脑连接，当手机提示USB连接时，选择大容量存储选项。这时在电脑上可以读出手机的可移动磁盘（内存卡或者手机的存储空间）。

2）运行数据恢复软件EasyRecovery（如果没有此软件可以用360安全卫士里的文件恢复），并单击“数据恢复”选项.

3）在数据恢复窗口中，单击“删除恢复”按钮，然后在打开的界面中，选择可移动磁盘的盘符（如可移动磁盘是I盘就选择I盘），再在右方“文件过滤器”下拉菜单中，选择图像文件，因为只需要寻找被删除的照片，这样会寻找得更快一些。然后单击“下一步”按钮。

4）软件自动扫描磁盘里被删除的图像文件，稍等一会儿扫描完成。

5）扫描结束后，会显示扫描出来的文件，这时选中要恢复的照片，单击“下一步”按钮。

6）单击“下一步”按钮后，选择恢复文件保存的目录，一般保存到电脑的磁盘中，单击“浏览”按钮设置保存位置。要注意，不要再选择本身这个可移动磁盘，选择的是D盘。

7）设置好之后，单击“下一步”按钮，软件自动恢复。等待一会儿恢复完成，单击“完成”按钮即可。

最后，打开电脑中保修恢复文件的文件夹，就看到被恢复的照片了。如果想再存放在手机内存卡里，复制粘贴到可移动磁盘就可以了 。

浦东网警

以下情况发生在手滑误删了重要文件时

（已经清空回收站或Shift+del删除文件）

特别是你呕心沥血完成的各类报告、PPT

这种懊恼加悔恨经历过的人终生难忘

专业的数据恢复业务收费昂贵

那么，手滑党真的没救了吗？

别怕，其实有多种简单的数据恢复方法

蜀黍给大家整理了15款免费数据恢复软件

收藏备用，总有一款会拯救你于水火之中

01

Recuva

描述：Recuva位列数据恢复软件第一名，可能不会让大多数人感到惊讶。

现如今有很多免费的文件恢复软件，但是当涉及到硬盘和照片恢复时，它们中很少比得上Recuva。

优点：

高级文件恢复能够从硬盘驱动器、DVD或CD、存储卡和外部驱动器恢复文件返回丢失的目录结构以及在执行数据恢复时重命名两个同名文件高级深度扫描模式工业和军事标准删除技术的安全覆盖从损坏或新格式化的文件中恢复文件简化用户界面在最终恢复之前预览屏幕免费/廉价数据恢复软件在FAT和NTFS系统上都可以工作

支持平台：Windows 10、8、8.1、7、Vista、XP和旧版本的Windows

02

TestDisk

描述：TestDisk的功能和文件恢复系统可以轻松地超越任何其他数据恢复软件的功能，它为新手和专家提供了很多便利。

优点：

允许用户恢复/重建引导扇区是一个开源软件，目的是恢复丢失的分区并修复非引导磁盘除了能够可靠地从FAT、exFAT、NTFS和ext 2文件系统中删除文件之外，还可以修复或恢复已删除的分区表可以在所有主要平台上使用，如MicrosoftWindows、MacOSX等，事实上，它在各种LinuxLiveCD上都很受欢迎

缺点：

这个免费的数据恢复程序试图检测分区和文件条目本身，因此对已删除/损坏的分区进行更深入的扫描需要更多的时间。

支持平台：Windows 10、8、8.1、7、Vista、XP以及Windows、Linux、BSD、MacOS和DOS的旧版本。

03

Stellar Data Recovery

描述：Stellar Data Recovery以其名称为名，在从Windows PC和Mac中恢复数据方面发挥了出色的作用。如果你后悔你决定删除最近的文件，Stellar Data Recovery帮助你以有效的方式恢复。

优点：

无风险程序从不同类型的存储设备中恢复数据，如存储卡、智能手机、USB驱动器、硬盘等使用Stellar Data Recovery很简单。只要下载它，启动扫描，您就能够从过去的数据灾难中恢复过来充满了先进的功能和快速的驱动器文件恢复。适用于初学者和非技术用户在进行最后的恢复尝试之前，在应用程序中预览可用的文件；也称为“购买前尝试”功能

支持平台：Windows 10、8、8.1、7、Vista、XP和MacOS。

04

Undelete 360

描述：Undelete 360使用典型MicrosoftOffice应用程序的外观(由于带状样式工具栏和蓝色主题)，是建立在一个快速而有效的算法之上，它使用户能够取消删除的文件。

优点：

工作在各种设备，如数码相机，存储卡，智能手机，计算机硬盘驱动器，USB等它包括一个数据擦除工具，一个十六进制查看器，以及在恢复之前预览文件的能力可以恢复各种类型的文件，如DOC、HTML、AVI、MP3、JPEG、JPG、PNG、GIF等缺点：

扫描速度需要重大改进，而且该工具在恢复数据方面也落后于其竞争对手。

支持平台：Windows 8，8.1，7，Vista，XP和旧版本的Windows。

05

PhotoRec

描述：PhotoRec绝对是最好的数据恢复软件之一，PhotoRec它以其强大的文件恢复功能而广受好评，涉及从数码相机到硬盘等多种设备。

它是专门从硬盘，光盘恢复数据，如图片，视频，文档等。

优点：

几乎兼容所有的主要平台，如微软Windows，Linux，MacOSX等可以恢复超过440种不同的文件格式支持很多文件系统，包括FAT、NTFS、exFAT、ext 2/ext 3/ext 4和HFS+

支持平台：Windows 10、8、8.1、7、Vista、XP和Windows、Linux、BSD、DOS、MacOS的旧版本。

06

Pandora Recovery

描述：Pandora Recovery是最可靠和最有效的免费数据恢复软件之一。Pandora Recovery恢复工可以提供给它的用户很多功能。

优点：

从ntfs和胖格式化卷中恢复已删除的文件预览某些类型的已删除文件(图像和文本文件)而不执行恢复通过表面扫描(允许您从格式化的驱动器中恢复数据)和恢复存档、隐藏、加密和压缩文件的能力，它带来了相当大的打击界面非常简洁，并提供一个类似浏览器的视图，以及颜色编码和恢复百分比指示器

缺点：

文件检测系统并不那么可靠，需要进一步改进。

支持平台：Windows 8、8.1、7、Vista、XP和Windows的旧版本上。

07

Pandora Recovery

描述：标准的取消删除程序(如Recuva、Pandora等)非常适合恢复一些已删除的文件，但如果丢失了整个分区怎么办？那么您可能需要一个专家应用程序，例如MiniTool Partition Recovery。

优点：

一个简单的基于向导的界面专门处理整个分区上的数据恢复当MiniTool Partition Recovery指向有问题的驱动器，它将扫描丢失的分区生成一个恢复报告，该报告将使您了解该程序在数据恢复方面发现了哪些内容。缺点：

无法在可引导磁盘上使用数据恢复

支持平台：Windows 10、8、8.1、7、Vista、XP和旧版本的Windows。

08

Wise Data Recovery

描述：Wise Data Recovery是最好的数据恢复软件中最快取消删除工具之一。除了速度更快，它还带有一些不错的功能。

优点：

简单直观的界面从本地驱动器、USB驱动器、照相机、存储卡、可移动媒体设备等中恢复已删除的文件通过使用文件类型选择内置文件扩展名组来加快搜索筛选可以在恢复过程中快速执行文件扫描，但是深度扫描模式的可用性会更好有一个便携式数据恢复软件版本

支持平台：Windows 10、8、8.1、7、Vista、XP和旧版本的Windows。

09

Puran file Recovery

描述：Puran file Recovery工作在三个主要恢复模式。这些恢复模式是：

默认的快速扫描(它只是读取FAT或NTFS文件系统中删除的文件从回收站等)深度扫描(包括扫描所有可用的空闲空间)全扫描(检查设备上的所有空间，以获得最佳恢复机会)

优点：

使用“查找丢失文件”选项将Puran文件恢复转换为从丢失或损坏的分区恢复所有文件的工具。编辑自定义扫描列表，它存储文件签名，以便更准确地恢复严重损坏的数据。

支持平台：Windows 10、8、8.1、7、Vista、XP和旧版本的Windows。

10

PC Inspector File recovery

描述：PC Inspector File recovery即使引导扇区已被擦除或损坏，FAT和NTFS驱动器也能很好地工作。

优点：

简单搜索对话框可以帮助定位文件的名称可以将恢复的文件还原到本地硬盘或网络驱动器可以不同格式恢复几种文件的图像和视频，如ARJ、AVI、BMP、DOC、DXF等可以使用群集扫描仪只扫描光盘的特定区域

缺点：

此软件的界面和标签有点混乱。(小心使用这个工具。)

支持平台：Windows 10、8、8.1、7、Vista、XP和旧版本的Windows。

11

Restoration

优点：

非常简单易用没有令人迷惑的工具，也没有任何复杂的文件恢复过程还可以从硬盘、存储卡、USB驱动器和其他外部驱动器中恢复数据和文件不需要安装并且可以从USB驱动器运行数据恢复

支持平台：WindowsVista，XP，2000，NT，ME，98和95，并且成功地测试了Windows 7和Windows 10。有时，Windows 8会遇到问题

12

DMDE

描述：DMDE是最富功能的数据恢复软件之一。但是，各种选项的无休止列表实际上使恢复过程复杂化。

优点：

便携支持深度扫描可以保存日志以避免在后期重新扫描要从其中恢复数据的设备的详细信息不显示原始文件夹名，但显示原始文件名文件搜索选项可用多个过滤器可用复制扇区选项以创建磁盘映像文件构造RAID的工具

13

Glary Undelete

描述：文件恢复软件为新手用户提供了一个干净而方便的界面。Glary Undelete没有多少视觉吸引力，但它可以是一个很好的解决方案，可以恢复您已删除的文件。

优点：

快速文件扫描与文件夹和文件类型视图选项多个筛选器选项包括日期、时间、文件类型、文件大小等预览选项可用多种语言选项支持各种Windows版本，包括Windows 10在扫描结果中显示恢复状态-好、差、覆盖等不显示原始文件夹名尝试从供应商安装配套软件

14

Disk Drill

描述：说真的，如果你在寻找一个看起来也不错的数据恢复软件，那么Disk Drill就是你的选择。但是你必须通过下载一个15 MB的安装文件来支持视觉效果。

优点：

显示机器上的所有存储空间，甚至未分配的空间显示所有文件、图片、视频、文档、档案选项中的扫描数据允许按文件和日期过滤扫描文件包括搜索栏。可以保存恢复会话供以后使用可以磁盘映像(ISO)的形式恢复数据预览选项可用深度扫描模式可用保留原始文件夹名安装后需要重新启动扫描时间超过平均水平

缺点：

在免费版本中只能恢复500 MB的空间

15

SoftPerfect File Recovery

描述：对于那些不想安装软件麻烦的用户来说，这个数据恢复软件是非常理想的。这是一个极小的解决方案，提供了极简的界面。

优点：

设置大小仅为0.5MB容易使用无法恢复损坏或覆盖的文件预览不可用有多种语言不显示要恢复的文件的状况

缺点：

不显示要恢复的文件的状况不允许在同一磁盘上恢复已恢复的文件。最好用闪存盘运行

综合整理：漏洞银行

浦东网警

微博：浦东网警

守护互联网安全

1、 硬件或介质问题的情况

①、 硬盘坏：硬盘自检不到的情况一般是硬件故障，又可分为主板的硬盘控制器（包括IDE口）故障和硬盘本身的故障。如果问题在主板上，那么数据应当没有影响。如果出在硬盘上，也不是一定不能修复。 硬盘可能的故障有可能在控制电路、电机和磁头以及盘片。如果是控 制电路的问题，一般修好它，就可以读出数据。但如果电机、磁头和盘片故障，即使修理也要返回原厂，数据恢复基本没有可操作性。

②、 软盘坏：当软盘数据损坏时，可以有几种处理，一种是用NDD修复，他会强制读出你坏区中的东西，MOVE 到空白扇区中，这就意味着 如果你的磁盘很满操作是没法进行的。你也可以用HDCOPY2.0以上版本READ软盘，他也会进行强读，使读入缓冲区的数据是完好的，你再写入一张好磁盘就可以了。当然这些方式，要看盘坏的程度。如果0磁道坏，数据也并非无法抢救，早先可以通过扇区读的方式，把后面的数据读出，不过一般来说，你依然可以HDCOPY来实验。

2、系统问题的情况

①、 在硬盘崩溃的情况下，我们经常要和一些提示信息打交道。我们要了解他典型提示信息的含义，注意这些原因仅仅分析逻辑损坏而不是 硬盘物理坏道的情况。 示信息

可能原因 参考处理

Invalid Partition Table

分区信息中1BE、1CE、1DE处不符合只有一个80而其他两处为0用工具设定，操作在前面已经讲了。 Error Loading Operating System 主引导程序读BOOT区5次没成功。 重建BOOT区 Missing Operating System DOS

引导区的55AA标记丢失 用工具设定，把前面读写主引导区程序的DX=80改为180即可 Non-System Disk or Disk Error

BOOT区中的系统文件名与根目录中的前两个文件不同 SYS命令重新传递系统， Disk Boot Failure

读系统文件错误 SYS命令重新传递系统，

Invalid Driver Specifcationg

如果试图切换到一个确实存在的逻辑分区出现以下信息，说明主分区表的分区记录被破坏了。

根据各分区情况重建分区表，或者用自动修复工具修复。注意分区丢失是最常见的故障之一，此时不要紧张，一般的说此时数据并没有问题，如果你不了解处理的方法。你可以选择我前面介绍的自动修复分区工具进行处理，他们大多只改写主分区表的数据区，不会影响你的其他数据。特别提醒大家，这些工具有的不支持 8.4G硬盘，有的与BIOS对硬盘的识别有关系。如果你 在一台机器上不行，可以换台BIOS不同的机器实验一下。

Bad or missing command interpreter 这是说找不到COMMAND，或者COMMAND文件坏了。

如果你COPY过去COMMAND文件还是如此，一般来说是 感染了某种病毒。

Invalid media type reading drive X ,Abort,Retry,Fail?

该盘没有高级格式化，或BOOT区中I/O参数表被破坏。

这里情况较多，手工处理比较复杂，特别指出，此时 DISKEDIT可能无法运行，建议用工具修复。

Incorrect DOS Version

可能是文件版本不统一，对9X来说，有95 95osr/2,98,98 oem/2等版本，重新SYS时，不要弄错了。

用正确版本的启动盘重新SYS系统另外说明一下，对于比较老的机器还有1071和not found rom basic、ROM BASIC OK 等提示，在目前机器中以消失。另外，当代码区完全被破坏的情况下，系统关于无系统的提示是来自BIOS的，这条提示与BIOS的种类有关。另外，FDISK/MBR对代码区的 重建是我们经常采用的。再介绍一种比较极端的情况，就是硬盘 自检正常，而用软盘和硬盘都无法正常启动的情况，这可能是， 病毒或恶意程序利用，DOS3以上版本启动中都要检索分区表这一特点，把分区表置为死循环。造成启动中死机。网上曾经流传过 DOS6.22k修改方案，其实是修改西文MS-DOS6.22的IO.SYS，把 C2 03 06 E8 0A 00 07 72 03替换为：C2 03 90 E8 0A 00 72 80 90就可以启动被类似情况锁住的硬盘。

②、 9X无法正常进入或工作：以下仅仅是对可能的软故障分析 ，没有考虑硬件故障.进入图形界面前死机情况比较复杂，可能与加载的某些驱动有关 可以在START MS WINDOWS时，用F8激活菜单，设置为step by step ，看是哪项使系统死机。而后从CONFIG或者SYSTEM。INI中删除进入图形界面后死机一般这与开机加载的程序有关进入安全模式（此时自动运行的程序将不能加载），对注册表中的 HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun* 中的键值和启动组中加载的程序进行分析。必要的予以删除。显示IEXPLORE.EXE错误，不能进行任何操作

可能有某个系统的动态连接库损坏覆盖安装WIN9X，或从其他机器上COPY损坏的连接库。（确定哪个库损坏一般比较困难）

频繁出现出错各种信息

一般是虚拟内存不足造成的看C盘是否剩余空间过少， 或者打开的应用程序和窗口太多。

3、 全盘崩溃和分区丢失

首先重建MBR代码区，再根据情况修正分区表。修正分区表的基本思路是查找以55AA为结束的扇区，再根据扇区结构和后面是否有 FAT等情况判定是否为分区表，最后计算填回， 主分区表，由于需要计算，过程比较烦琐，就不仔细介绍了，希望大家用前面介绍的工具，比如NDD处理。如果文件仍然 无法读取，要考虑用TIRAMINT等工具进行修复。 如果在FAT表彻底崩溃的情况下，恢复某个指定文件，可以用DISKEDIT 或DEBUG查找已知信息。比如文件为文本，文件中包含 “软件狗”，那么我我们就要把他们转换为内码C8 ED BC FE B9 B7 进行查找。

4、 文件丢失、误格式化的情况

一般的来说，文件删除仅仅是把文件的首字节，改为E5H，而并不破坏本身，因此可以恢复。但由于对不连续文件要恢复文件链，由于手工交叉恢复对一般计算机用户来说并不容易，在这篇缩略版中就不讲了，建议用工具处理，如果已经安装了Norton Utilities，可以用他来查找。另外，RECOVERNT 等工具，都是恢复的利器。特别注意的是， 千万不要在发现文件丢失后，在本机安装什么恢复工具，你可能恰恰把文件覆盖掉了。特别是你的文件在C盘的情况下，如果你发现主要文件被你失手清掉了 ，（比如你按SHIFT删除），你应该马上直接关闭电源，用软盘 启动进行恢复或把硬盘串接到其他有恢复工具的机器处理。误格 式化的情况可以用等工具处理。

5、 文件损坏的情况

一般的说，恢复文件损坏需要清楚的了解文件的结构，并不是很容易的事情，而这方面的工具也不多。不过一般的说，文件如果字节正常，不能正常打开往往是文件头损坏。

就文件恢复举几个简单例子。

类型 特征 处理

ZIP、TGZ等压缩包无法解压

ZIP文件损坏的情况下可以用一个名为ZIPFIX的工具处理。不过如果你的文件是从FTP站点上下载的，那么有可能是你没有定义下载模式为BIN。

自解压文件无法解压

可能是可执行文件头损坏，可以用对应压缩工具按一般压缩文件解压。

DBF文件死机后无法打开

典型的文件头中的记录数与实际不匹配了，把文件头中的记录数向下调整，遗憾的是公式我找不到了。

6、 硬盘被加密或变换：

此时千万不要FDISK/MBR，SYS等处理，否则可 能数据再也无法找回，一定要反解加密算法，或找到被移走的重要扇区。 对于那些加密硬盘数据的病毒，清除时一定要选择能恢复加密数据的可靠杀毒软件。

7、 文件加密后密码遗忘：

对于很多字处理软件的文件加密和ZIP等压缩包的加密，你是不能靠加密逆过程来完成的，因为那从理论上是异常困难的。

目前有一些相关的软件，他们的思想一般都是用一个大字典集中的数据循环用相同算法加密后与密码的密文匹配，直到一致时则说明找到了密码。你可以去寻找这些软件，当然，有些软件是有后门的，比如DOS下的WPS，Ctrl+qiubojun就是通用密码。Undiskp的作者冯志宏 是解文件密码的个中高手，大家不妨去他的主页看看。

8、 系统用户密码遗忘的处理：

最简单的方法就是用软盘启动（NT的你也可以把盘挂接在其他NT上），找到支持该文件系统结构的软件（比如针对 NT的NTFSDOS），利用他把密码文件清掉、或者是COPY出密码档案，用破解软件套字典来处理。前者时间短但所有用户信息丢失，后者时间长，但保全了所有用户信息。对UNIX系统，我建议你一定先做一张应急盘