硬盤是數據核心倉庫，數據丟失往往因誤操作、病毒、分區表損壞。本文記錄一次真實的 **2.5GB 硬盤 (C: 2GB + D: 500MB, FAT16) D 盤分區丟失並成功恢復「數碼相機」目錄** 的完整取證過程，展示專業數據恢復的核心邏輯與工具鏈。
案例背景
- 故障現象： 重啟後 D 盤消失，客戶嘗試 Fdisk 重建分區失敗，僅格式化 C 盤重裝系統，**未格式化 D 盤** (關鍵保護動作)。
- 恢復目標： D 盤根目錄下「數碼相機」目錄全量文件。
- 工具鏈： Norton Disk Editor (DE.EXE) + Ghost 備份鏡像。
核心概念速覽
- MBR (主引導記錄)： 0磁道0柱面1扇區，含引導代碼 + 分區表 (4 項)。
- DBR (分區引導記錄)： 每個邏輯分區首扇區，含引導代碼 + BPB 參數表。
- FAT (文件分配表)： 文件鏈表索引，通常備份兩份 (FAT1/FAT2)。
- DIR (根目錄區)： 緊接 FAT2 之後，存儲文件/目錄元數據 (名稱、屬性、起始簇號)。
恢復實戰四步走
第一步：全盤物理備份 (安全底線)
DE 逐扇區備份：MBR 所在 0 磁道各扇區、各分區邏輯 0 磁道、FAT 表、根目錄區 → 配合 Ghost 備份數據區。**任何寫入操作前必備份**。
第二步：結構分析與成因判斷
- MBR 邏輯結構完好 (系統能啟動)，但分區表與原表是否一致未知。
- C 盤關鍵結構 (DBR、FAT1/2、DIR) 正常；D 盤除 DBR 外 (重分區重寫) FAT1/2、DIR 全部對不上號。
- MBR 0 磁道其他扇區殘留多系統引導軟件代碼 → **判定為異常操作多系統軟件導致分區表損壞，排除病毒破壞**。
第三步：數字取證 — 尋找原 D 盤元數據
- 利用 DE **十六進制搜索** 「數碼相機」對應編碼，定位原 D 盤根目錄區扇區 (耗時 30 分鐘過濾確認)。
- **順藤摸瓜向前翻找**：
- 向前 ~400-500 扇區 → 找到 FAT2、FAT1 (經驗值)。
- 再向前 63 扇區 (標準磁道大小) → 找到原 D 盤 DBR。
- 再向前 → 找到原 D 盤分區表項 (在 MBR 分區表中)。
- **核心突破：原分區起始/結束扇區、類型、大小參數全部獲取**。
第四步：手工重建 MBR 分區表
基於尋回的原始參數，手工修改 0 磁道 1 扇區 (MBR) 分區表項，恢復原 C/D 盤分區結構。保存後重啟，D 盤重現，「數碼相機」目錄完整可訪問，數據 100% 找回。
關鍵經驗總結
- 未格式化是前提： Fdisk 僅改寫分區表 (首扇區)，不動 FAT/DIR 數據區，恢復率極高。
- 關鍵字搜索定位 DIR： 知道具體目錄/文件名是破局關鍵。
- 結構相對偏移固定： DBR → FAT1 → FAT2 → DIR 相對位置固定，找到一個推導全鏈路。
- 備份贯穿始終： 任何嘗試前先備份，容錯率 100%。
數據無價，定期備份 (3-2-1 原則) 才是終極防線。遇到災難，冷靜、不寫入、找專業工具/服務，數據往往還在。