На вопрос, что самое ценное в компьютере, умудренный пользователь ответит – информация. И будет прав. Это то, ради чего используется компьютер. Если информация в вашем компьютере эксклюзивна, то ее необходимо оберегать. Достигается это в принципе только одним способом – резервным копированием. Подавляющее большинство начинающих пользователей этим пренебрегают. А зря!

Операционную систему можно восстановить с дистрибутивного компакт-диска. То же можно проделать и с пакетами программ. Но ни на одном компакт-диске вы не найдете свои диссертацию, статьи и результаты экспериментов. Надеюсь, что я вас уже убедил в необходимости делать резервные копии.

Знание файловой структуры не является обязательным для плодотворной работы с компьютером, но это именно тот технический раздел, с которым я хочу ознакомить вас подробнее.

Приведенная ниже информация не является техническим руководством по изучению строения жестких дисков или описанием их логических структур. Это общий обзор методик и способов восстановления информации, ставшей недоступной в результате программного сбоя операционной системы, разрушительного действия вируса или неосторожных действий пользователя.

Несколько общих слов о строении и терминологии жестких дисков.

Жесткий диск (винчестер, HDD – HardDisk Drive) представляет собой блок из нескольких дисков (disks), по поверхностям (sides) которых перемещаются (плавают в воздушном потоке) головки (heads). Позиционируются головки по концентрическим дорожкам/трекам (tracks), каждая из которых разделена на сектора (sectors). Сектор является минимальным адресуемым блоком данных для диска и его размер равен 512 байтам. Дорожки, равноудаленные от центра диска и образующие как бы цилиндрическую поверхность, называют цилиндрами (cylinders).

Логическое строение жесткого диска отличается от его настоящей (физической) геометрии и это необходимо учитывать при восстановлении информации. Как правило, современные диски (в режиме адресации LBA) представляют собой несколько сот цилиндров, имеющих 63—254 поверхностей по 63 сектора данных на каждой. Это, конечно, не соответствует фактической геометрии и следует различать абсолютные и относительные адреса секторов.

В самом начале диска (в секторе 0/0/1, где 0-сектор, 0-дорожка, 1-цилиндр) находится РТ (Partition Table) – таблица разделов и MBR (Master Boot Record) – главная загрузочная запись. Часто всю 0-ю дорожку называют MBR, т. к. зачастую в секторах этого трека записаны коды загрузчиков различных менеджеров загрузки и им подобных программ. Там же могут располагаться и коды загрузочных вирусов при заражении компьютера (рис. I.44).

Рис. I.44. Схематичное строение логической структуры HDD

Как правило, на следующей дорожке в первом секторе (начиная с 0/1/1) расположены ВА (Boot Area) – загрузочная область операционной системы и BR (Boot Record) – загрузочная запись ОС.

Далее на этой же дорожке расположена 1-я копия FAT(Yi\t Allocation Table) – таблица размещения файлов. Сразу за ней – 2-я копия FAT. Размер копии FAT (в секторах) определяется размером раздела диска.

После 2-й копии FAT расположены сектора ROOT { Root directory) – сектора корневого каталога, за которой начинается DA (Data Area) – область данных. Следует учитывать особенности файловой структура FAT32, которая позволяет часть секторов ROOT располагать не только в одном месте, но и внутри области данных.

• РТ – состоит из 4-х строк, описывающих 4 возможных раздела диска. Описание каждого раздела диска содержит информацию о типе файловой системы, признаке того, что раздел является загрузочным, о первых и последних головках, дорожках, секторах раздела, количестве секторов смещения начала раздела от начала диска и об общем количестве секторов в разделе.

• MBR — находится в том же секторе, что и РТ. Данные в MBR представляют собой код процессора, необходимый для дальнейшей загрузки операционной системы. В последних двух байтах сектора MBR находится сигнатура 55AAh, которую можно использовать как маску при поиске РТ и MBR.

• BR — содержит массу данных и служит для описания параметров файловой системы. В отличие от диска минимальным адресуемым блоком данных для операционной системы служит кластер, объединяющий определенное количество секторов. В BR нам интересны такие данные, как размер кластера, размер и количество копий FAT. BR для раздела FAT16 размещается в одном секторе, в случае FAT32 BR состоит из нескольких секторов.

• FAT — состоит из 12-, 16– или 32-битных элементов, описывающих номера кластеров или их признаки (BAD). Количество элементов соответствует количеству кластеров раздела диска. Из этих элементов образуются цепочки номеров кластеров, описывающих расположение файлов на диске.

• ROOT — корневой каталог диска. Содержит записи, описывающие файлы (дескрипторы файлов) в корневом каталоге. Такая запись описывает имя, тип, дату создания, размер, атрибуты файла, и т. п., а также содержит указатель на первый кластер файла.

Каталоги (папки, директории) представляют собой секторы, идентичные по структуре корневому каталогу. Каталог, кроме описаний файлов, в самом начале имеет две записи, первая из которых содержит указатель на первый кластер самого каталога, вторая – на первый кластер родительского каталога.

Для восстановления потерянных (поврежденных) данных постарайтесь вспомнить или получить информацию:

• о вероятном разбиении диска на разделы и количестве логических дисков;

• о размерах и истории создания логических дисков; история создания подразумевает под собой возможные искусственные изменения размеров разделов диска, и эта информация может иметь значение для точного определения места расположения ROOT;

• об особенностях файловой системы FAT16 или FAT32. Остальные типы файловых систем в этом документе не рассматриваются;

• о типе и версии операционной системы (DOS, Winodws 95/98), использовавшейся на диске;

• об уникальных именах каталогов и файлов, находившихся в корневом каталоге диска С:, имени каталога с данными, подлежащими приоритетному восстановлению и уникальных именах файлов и подкаталогов, находившихся в этом каталоге.

Для восстановления данных можно воспользоваться следующими утилитами:

• DiskEditor из комплекта Norton Utilities версии 3.0x и выше (www.symantec.com);

• PTS DiskEdit (www.PhysTechSoft.com) или аналогичных им;

• Tiramisu или Easy Recovery (www.recovery.de), Lost & Found (www.powerquest.com), или Hard Drive Mechanic (www.highergroundsoftware.com);

• МRecover (http://members.xoom.com/monirdomain) – программа восстановления разделов диска для FAT32; очень эффективна при «лечении» последствий вируса «WinCIH», а также правит таблицы разделов, не разрушая информацию;

• UnFormat (из того же комплекта Norton Utilities);

• NDD – Norton DiskDoctor (опять из того же комплекта Norton Utilities).

Возможно применение и других утилит, но, как правило, они ограничиваются частными случаями (как, например, М Recover) или не учитывают всевозможных особенностей логического строения дисков.

Для диагностики повреждений выполните следующие шаги.

1. Запустите DiskEditor и, переведя его в режим просмотра поврежденного диска на физическом уровне, последовательно проверьте целостность РТ, MDR, FAT, ROOT и DA. На этом этапе постарайтесь выяснить (если это достоверно неизвестно) тип файловой системы первого раздела диска (FAT 16 или FAT32).

В стандартных случаях диски объемом менее 528 Мбайт или разбитые на разделы при помощи системных утилит DOS 7.10 и более ранних – имеют FAT 16.

Операционные системы Windows 95 OSR2 и Windows 98, базирующиеся на DOS 7 на дисках и разделах объемом больше 528 Мбайт, как правило, с FAT32.

2. В случае целостности каких-либо элементов дисковой структуры сохраните их в виде файлов на резервном диске.

Дальнейшее восстановление диска зависит от степени и характера повреждений.

Если у вас осталась неповрежденной (или хотя бы частично) какая-либо копия FAT – восстановление информации возможно почти в полном объеме.

С целью сохранения возможности восстановления файлов, располагавшихся в начале диска, желательно сделать резервную копию начальных секторов диска, подвергающихся изменениям в процессе восстановления.

1. В DiskEditor выделите режим просмотра первых 500—1000 физических секторов диска и сохраните их в виде файла на резервном диске. Более точный размер можно определить как сумму секторов: MBR трека + BR + 2FAT + ROOT + разумный резерв.

2. Возьмите дискету с зарегистрированной программой Tiramisu (EasyRecovery), соответствующую типу файловой структуры восстанавливаемого диска. Руководствуясь инструкцией к этой программе, выполните предварительное восстановление данных на резервный диск.

Следует иметь в виду, что данная программа не затрагивает «больной» диск, т. е. не правит на нем никакие данные. При некоторых особенностях «мусора» в системных областях диска отмечены случаи сбоя программы Tiramisu (EasyRecovery), что исправляется очисткой (обнулением) ошибочных данных (см. ниже).

При восстановлении РТ необходимо учитывать объем диска и особенности файловых систем диска FAT16 или FAT32. Не пытайтесь создавать какой-либо раздел на диске с помощью программы Fdisk, т. к. при сканировании доступного дискового пространства программа прописывает в первый сектор на каждом треке код F6, что приводит к потере информации в этих секторах. Если первый цилиндр (0/0/1) заполнен «мусором» – обнулите его (заполните нулями) для снижения возможных ошибок при восстановлении. Обнуление можно выполнить DiskEditor.

Если вы не знаете точно количество и размеры существовавших разделов диска или заведомо знаете о наличии дополнительного раздела диска, но не знаете размер основного раздела, восстановите их, используя следующие способы:

• Программный способ. В случае восстановления разделов диска файловой структуры FAT32 имеет смысл использовать программу МRecover. Эта программа позволяет быстро найти и восстановить «потерянные» разделы жесткого диска, записывая все необходимые данные в таблицу(ы) разделов. Работа с программой относительно проста, для чего необходимо ознакомиться с описанием программы.

• Ручной способ. Редактором Дисков (DiskEditor) скопируйте MBR и РТ (сектор 0/0/1) с любого исправного диска на восстанавливаемый диск. Затем, очистив все записи кроме первой, отредактируйте ее, внеся заведомо искаженную (!) информацию о конечном размещении раздела (например: 9999-й цилиндр) и общем количестве секторов (например: 99999999).

Запустив DiskDoctor, начните проверку восстанавливаемого диска и на утверждение о найденных ошибках в РТ и запросе на их устранение ответьте согласием. После внесения исправлений в искусственно созданную вами РТ, DiskDoctor предложит поиск возможных дополнительных DOS-разделов. Естественно, дайте на это согласие и если данные на диске в необходимом месте не повреждены, дополнительный раздел будет найден и после вашего подтверждения восстановлен.

Как правило, после перезагрузки компьютера данные дополнительного раздела становятся полностью доступными без дополнительных восстановительных операций. Учтите, что файлы возможно заражены вирусом.

Если вы все проделали правильно, без ошибок и характер дисковых ошибок оказался не фатальным – первая задача выполнена, т. е. РТ восстановлена.

Если вы уверены в существовании дополнительного раздела диска или какого-либо раздела NON-DOS (NTFS, Linux), но NDD не смог его восстановить, остаются еще способы ручного поиска.

Воспользуйтесь Редактором Дисков (DE от PhysTechSoft), позволяющим осуществлять поиск различных разделов NON-DOS. И в случае нахождения подобных разделов на основании полученных номеров физических секторов вручную внесите информацию в РТ.

Можно воспользоваться поиском РТ в файлах резервирования. Различные системные программы типа менеджеров загрузки, утилит резервного сохранения и т. п. (о существовании которых пользователь иногда и не подозревает) выполняют операцию сохранения различной системной информации в файл. Воспользовавшись этим предположением, можно задать DiskEditor в режиме доступа к секторам физического диска маску поиска РТ (55AAh или иную уникальную запись) и если повезет, найти информацию о нем.

1. Восстановление BR, копий FAT и ROOT проще выполнить «автоматическим» способом, но это не исключает возможность «ручного» восстановления с помощью карандаша, бумаги и редактора дисков. Как уже упоминалось выше, если на восстанавливаемом диске есть неповрежденные (или хотя бы частично поврежденные) элементы логической структуры, сохраните их в виде файлов на резервном диске.

2. Выполните стандартное форматирование основного раздела диска, т. е. командой format С:. При этом формируется файловая структура форматируемого раздела диска с воссозданием BR, чистых FAT и ROOT, область данных при этом не затрагивается, т. е. информация в DA не изменяется и ваши данные не исчезают.

3. Проверьте правильность местоположения корневого каталога ROOT. Для этого DiskEditor в режиме просмотра кластеров вновь созданного раздела, задав поиск объекта Подкаталог, проверьте совпадение номеров физического кластера и номера кластера в первой записи найденных подкаталогов. В случае несовпадения номеров, необходимо подкорректировать значение числа секторов FAT в загрузочной записи BR. Корректировка осуществляется увеличением секторов на число, кратное половине числа секторов в кластере. Как правило, такая корректировка необходима в случаях нестандартной разбивки диска или после изменений размеров разделов искусственным путем.

4. Если вам повезло, и у вас имеются зарезервированные в виде файлов уцелевшие образы FAT и/или ROOT, следует, воспользовавшись DiskEditor, восстановить их на диске. Если у вас уцелела вторая копия FAT, а первая нет, следует скопировать вторую копию и на место первой копии.

5. Если у вас уцелела одна из копий FAT и корневой каталог ROOT, после выполнения шагов 1–4 полноценный доступ к информации на диске будет восстановлен.

При восстановлении данных следует иметь в виду, что, не имея достоверной информации в таблице расположения файлов (FAT), автоматическое или полуавтоматическое восстановление файлов размером более одного кластера программами типа UnFormat носит чисто случайный характер.

Упрощенно говоря, алгоритм восстановления данных подобными программами основан на поиске кластеров раздела диска с информацией о подкаталогах, анализе их содержания на предмет определения места расположения каталогов, определения номеров начальных кластеров каждого файла и анализе даты создания или стирания файлов. На базе этой информации строится дерево каталогов на логическом диске и расположение файлов по подкаталогам. Эта информация восстановима с большой степенью точности. В случае разрушения корневого каталога (ROOT) информация о файлах в корневом каталоге не восстанавливается, а имена каталогов заменяются условными именами (типа DIR001).

Содержимое файлов, имеющих размер более одного кластера восстанавливается с большой долей случайности, путем стыковки свободных последовательно расположенных кластеров, и вследствие больших объемов информации и интенсивной работы по созданию/удалению файлов в среде Windows (и не только) чаще всего некорректно.

Для точного восстановления информации необходимо либо восстановить FAT, либо осуществлять восстановление «вручную» поиском и анализом содержимого кластеров на диске с дальнейшей стыковкой кластеров в необходимом порядке. Ручной способ здесь рассматриваться не будет.

Для попытки хотя бы частичного восстановления FAT можно воспользоваться особенностью работы ОС Windows 9х с виртуальной памятью, т. е. наличием на диске swap-файла (файла подкачки). В этом файле могут находиться куски корневого каталога ROOT и отдельные фрагменты, а подчас и полные копии FAT. Поиск этих фрагментов осуществляется в режиме просмотра секторов диска по уникальным маскам.

В качестве начальной маски поиска FAT может быть применен идентификатор F8 FF FF FF. Дальнейший поиск можно осуществлять по произвольным группам, состоящим из пяти последовательных 16– или 32-разрядных (FAT 16 или FAT32) номеров кластеров, которые могут принадлежать какому-либо файлу. Поиск занимает довольно продолжительное время, но, меняя маски поиска, его стоит повторить несколько раз. Следует иметь в виду, что информация в swap-файле чаще всего располагается со смещением от начала секторов, что требует определенной корректировки при просмотре и дальнейшем применении. Основная задача отыскать максимальное число фрагментов, выбрать из них наиболее «свежие» и составить из них подобие полной копии FAT. После проведения подобной операции возможно применение утилит типа UnErase – для более полного (но возможно некорректного) восстановления файлов и DiskDoctor – для коррекции дисковых ошибок.

Глава 4

Операционные системы