CIH硬盘数据恢复方法与实例

　　二、一个基本恢复被CIH破坏硬盘数据的例子

　　一直有朋友问手工恢复的技巧，近来恢复了多块被CIH破坏的硬盘，之所以选取这一次，是因为尽管恢复成功，但其中犯了一些错误，值得注意。

　　委托恢复用户：某银行系统

　　硬盘情况：CIH发作有该单位电脑人员曾用KV300 F10进行修复，但没有成功，又恢复了保存的MBR。

　　准备好软盘3张：

　　DISK1 ：WIN98启动盘（带DEBUG）

　　DISK2：DISKEDIT等工具（此盘不要写保护）

　　DISK3：DOS下杀CIH的工具

　　把我的硬盘摘下，挂上待恢复的的硬盘，开机，进入SETUP，检测硬盘，把参数记下。

　　CLY 620 HEAD 128 PRECOMP 0 LANDZ 4959 SECTOR 63 MODE LBA。

　　用准备好的软盘启动：

　　A：>C：

　　显示Invalid drive specification

　　FDISK/MBR重建主引导记录（这是个习惯），重新软盘引导（可能没有必要）：此时已经看的见C：硬盘。启动DISKEDIT，启动过程中显示Invalid media type reading DRIVER C,哎呀，算了，还是先用DEBUG 清空分区表, 并置80和55aa标志。重新启动，再运行DISKEDIT，显示设定为READ ONLY， 没关系，把CONFIGURATION中的只读选项去掉，存盘，好了，可以编辑了。

　　由于当时接的硬盘有多块，我把这块当成了是一块只有C分区（这是等待修复的另一块硬盘），所以没看别的东西，我们期待FAT2没有损坏，以用FAT2覆盖FAT1，在这个时候DISKEDIT要比DEBUG容易的多，在FIND OBJECT中选择 FAT，查一下起始扇区，好的，在CYL 0 SIDE68 SEC 14，0000H，F8 FF FF 0F （FAT32的），好的，FAT2没坏。其实如果不用DISKEDIT的可以用DEBUG查，偏移0000的F8 FF FF。

　　由于以为只有C分区，所以，上来就在FIND中查找IOSYS（IO 和SYS中要有空格）以查找ROOT区。找到后观察，是否有C：\ 下常见文件。好的，ROOT区没被破坏。记下了该扇区：CYL 0 、SIDE 68 、SEC 14，备用。