一、基础知识

　　1、dos（dos兼容系统硬盘数据）的构成 
　　 
　　主分区和扩展分区结构基本相似，以下以主分区为例。 
　　 
　　主引导记录（mbr）：mbr占一个扇区，在cyl 0、side 0 、sec 1，由代码区和分区表构成。其中代码区可以由fdisk/mbr重建。 
　　 
　　系统扇区：cyl 0、side 0 、sec 1-cyl 0、side 0 、sec 63，共62个扇区。 
　　 
　　引导区（boot）：cyl 0、side 1 、sec 1 这是我们过去称的dos引导区。也占一个扇区。 
　　 
　　隐藏扇区：cyl 0、side 0 、sec 1，如果是fat16那么占一个扇区，如果是fat32则由此占32个扇区。 
　　 
　　文件分配表：一般有两个fat表，fat12、fat16的第一fat表一般均在0-1-2，fat32的第一fat表在0-1-33。fat表是记录文件占用扇区连接的地方，如果两个fat表都坏了，后果不堪设想。由于fat表的长度与当前分区的大小有关所以fat2 的地址是需要计算的。 
　　 
　　根目录区：（root）这里记录了根目录里的目录文件项等，root区跟在fat2后面。 
　　 
　　数据区：跟在root区后面，这才是数据内容。 
　　 
　　2、主引导记录简单说明
　　 
　　主引导记录是硬盘引导的起点，关于代码区不多说了，其分区表，比较重要的是2个标志，在偏移1be，处的80 的标记表示系统可引导，且整个分区表只能有一个80标记。 另一个就是结尾的55 aa标记。用来表示主引导记录是一个有效的记录。 
　　 
　　其实，无论mbr还是隐含扇区还是boot区，都不重要，这些重建都比较容易。对数据恢复来说，能否成功的找回数据文件是重要的。另外，由于fat表记录了文件在硬盘上占用扇区的链表，如果2个fat表都完全损坏了。那么恢复文件，特别是占用多个不连续扇区文件就相当困难了。 
基本思路是： 
　　 
　　1、fat2没有损坏的情况，用fat2覆盖fat1。 
　　 
　　2、fat2也已经损坏的情况，我一般是只期待找回其中某些关键的文件了。我们最期待的是这些文件是连续的。如果不连续的话，也并非没有可能，但这往往还要知道文件的一些细节，包括对一些文件本身的连接结构有了解。如果fat2没有完全破坏，是有一定用处的，另外，一般来说，fat16的硬盘因为fat表靠前破坏的比较严重，一般两个fat表都坏了，小硬盘也很难恢复了。 
　　 
　　二、一个基本恢复被cih破坏硬盘数据的例子 
　　 
　　一直有朋友问手工恢复的技巧，近来恢复了多块被cih破坏的硬盘，之所以选取这一次，是因为尽管恢复成功，但其中犯了一些错误，值得注意。 
　　 
　　委托恢复用户：某银行系统 
　　 
　　硬盘情况：cih发作有该单位电脑人员曾用kv300 f10进行修复，但没有成功，又恢复了保存的mbr。 
　　 
　　准备好软盘3张： 

　　disk1 ：win98启动盘（带debug） 
　　 
　　disk2：diskedit等工具（此盘不要写保护） 
　　 
　　disk3：dos下杀cih的工具