数据恢复 · 脑子里的碎片
客户拿来一块硬盘，说“我就格式化了一下”。啊，格式化？格式化又怎样，分区表还在，文件系统结构被重建了而已。但你懂吗，很多人觉得格式化就是“清零”…… 其实NTFS格式化，MFT还在原地，只是标记了未使用。前提是——没做快速格式化？不对，快速格式化就是重写引导扇区和元文件，数据还在。但如果用了低级格式化……算了，一般用户碰不到。 www.fixhdd.cn
坏道 · 真实案例
有一次一个摄影师，2TB西数绿盘，开机咯咯响。我第一反应——磁头挂了？但扫描发现是大量坏道，集中在0-10%区域。其实很多时候，坏道是磁头偏移导致，盘片本身没坏。客户说“里面有结婚照片”。先不拆盘，尝试PC-3000镜像，慢速读取跳过。结果？读到坏道区域咔咔响，我直接断电了——经验告诉我，再读下去磁头会彻底报废。换了磁头，用通刷固件降级读取，终于把照片抢回来了。——等等，我后来发现那块盘实际上是固件门系列，西数EARS，高级格式化4K扇区，Windows XP不兼容导致大量假坏道。真坑。坏道要分真假，逻辑坏道可以用软件修，物理坏道只能隔离或者换头。 技王数据恢复
固件损坏
希捷F3系列，经常出现“LED不停闪，电脑认不到盘”。其实是固件区模块损坏。很多人直接开卡——但数据没了。我的做法：用指令线进终端，看有没有就绪。如果不就绪，尝试加载LDR关闭自动校准，然后重建译码表。有一次折腾了两天，发现是磁头切换超时导致固件锁死，换了一个兼容头就全好了。有时候真的懒得弄，直接跟客户说“硬盘报废，数据全无”——但那是气话，实际上大部分固件问题都能用工具处理，就是得花时间。但时间也是成本啊，客户又不理解。 技王数据恢复
诶，说到时间……有一次误删除恢复，那个哥们删了重要Excel，又覆盖写入了一个新的文件夹。还好他装在C盘，系统盘天天写日志，MFT碎片不少。用R-STUDIO扫描，发现文件记录还在，但MFT碎片很长，需要手动拼接。最终拼出来一个80%完整的文件。但有的文件头损坏了，你猜我怎么做的？硬改文件头签名！比如PDF要改`%PDF`，JPG要改`FFD8FF`。，这个技巧不保证能用，因为文件内部的结构如果也碎乱了，那就只能祈祷。，发现误删后立即断电，不要有任何操作。啊，我刚刚是不是说了覆盖？对，覆盖了就更难。 www.fixhdd.cn
分区丢失怎么办？
很多人分区丢失就找各种软件。其实GPT分区表有备份，在磁盘末尾。如果只是主分区表被破坏，直接读取备份表写入即可。有些软件傻乎乎直接新建分区，导致数据惨。我最烦的是“一键恢复分区”那种工具，它会把整个盘的分区表重写，可能覆盖了原有的EBR或GPT。实际上，用WinHex手工解析分区表更靠谱。有一次一个32G U盘，变成RAW，分区表丢失。我用计算器算出来起始偏移，然后手动填回EBR，数据就回来了。——等等，那U盘是主控坏了，不是分区表问题？哦对，那是另一个案例。诊断要准确，别一上来就干分区表。
www.fixhdd.cn
还有，有人用DG快速分区，全盘清零……那神仙难救。如果只格式化了一个分区，其他分区表还在，重建一下就行。啊，我是不是说过这个？算了，重复就重复，反正脑子就是这样。
www.fixhdd.cn
关于RAID
RAID恢复就是考验数学和耐心。有一次一个RAID5阵列，三块盘，掉了一块。用户强行重建，结果第二块盘出坏道，导致阵列崩溃。我拿到手，先镜像每块盘，然后用ReclaiMe计算校验。但RAID5的条带大小、起始扇区、卷的顺序……需要猜。有的阵列卡有自己的元数据，比如Adaptec、LSI，元数据里存着参数。但用户把卡换了，元数据没了。只好根据文件系统特征盲算。那次运气好，用X-Ways Forensics手工找到MFT的起始点，然后整列拼接成虚拟RAID。过程非常痛苦，因为坏道区域导致校验不一致，需要跳过坏道用相邻条带计算。做这行，没点耐心真不行。 www.fixhdd.cn
闪存恢复 · 另类吐槽
U盘、SD卡，烧了主控或者坏块太多。要拆闪存颗粒，用编程器读出来，然后纠错、重组。现在的闪存都带内部磨损均衡，物理地址到逻辑地址的映射表在主控里。如果主控烧了，表就没了。那就得靠暴力搜索扫描，重建文件系统。有的颗粒还有乱序，需要分析固件里的xor或者偏移。有一次我搞一个手机eMMC，读出来全部乱码，结果发现是芯片加密了——需要先解密，但密钥在CPU里，而CPU已经烧了。直接放弃。，有时技术上可行，但成本不值得。 技王数据恢复
话说回来，有些客户觉得数据恢复就是“点一下鼠标就行”。我真的很想吐槽：你知不知道为了那一个文件，我要跑镜像一整天？有时候坏道镜像速度降到1KB/s，一块2TB盘跑一个月。你还催？但没办法，理解万岁吧。哦对了，刚才说固件，突然想起一个案例：某人硬盘摔了下，通电异响。我判断是磁头卡住，但打开盘后发现盘片有划伤。那种情况，即使换了磁头，数据也可能读不全。用热交换，把好盘的磁头装到坏盘上——不对，热交换是在电路板层面，不是物理换头。实际上物理换头有风险，盘片划伤区域的数据永远丢失。，物理损伤要提前告知客户预期。
几个关键词
- PC-3000：专业工具，死贵，但修固件必备。
- MFT：NTFS主文件表，大多数恢复的基础。
- 坏道重映射：硬盘自带的G-List/P-List，但别指望它。
- 文件签名：文件头的魔数，碎片恢复利器。
- 交叉链接：FAT32老问题，导致文件关联错误。
，经验就是：永远先做完整镜像，再在镜像上操作。任何直接对原盘写的行为都是犯罪。还有，有时候你的工具显示“恢复成功”，但实际文件打开报错。这就是没做校验。我一般会用MD5对比，但有些碎片拼接的没法对比。每次我都会说“先恢复，再验证，付款”。遇到挑剔的客户，就给他一个免费预览，但只给部分文件。这样他也放心。好了，今天就吐到这儿。等下一个客户送盘来再说。
后续修正
哦对，刚才提到坏道部分，我突然想起来，有些硬盘在SMART里有“重新分配扇区计数”，如果数值一直在增长，就得立即备份。但很多人不看SMART。还有，NTFS压缩文件、EFS加密文件，恢复起来更麻烦，需要对应软件或密钥。有个客户加密了文件夹，然后重装系统，密钥丢了。技术上可以尝试暴力破解，但通常不现实。加密前请三思。
，固态硬盘TRIM问题：如果这个分区在SSD上被格式化，TRIM可能瞬间擦除数据块，那就彻底没了。赶紧断电是对的。但有些主板支持NVMe的异步TRIM，更难防。，恢复失败才是常态，成功只是侥幸。
「数据恢复不是魔法，是跟硬件和文件系统博弈。」——一个头秃的工程师
