硬盘分区被GHOST覆盖后的文件恢复技术
误Ghost分区丢失后数据恢复
今天接到一个朋友的电话，说是用GHOST重做系统的时候可能误操作了，以前的分区丢失了，1T的盘莫名其妙的变成了一个大分区，可是以前的D盘和E盘里还有不少重要的数据呢，如果想要做数据恢复，该怎么办呢？
一、误Ghost分区丢失数据恢复故障分析
这类问题到底是什么原因造成的呢？实际上，用户在使用GHOST恢复软件的时候并没有真正理解到底怎么使用。
在进行系统备份的时候，会有几种选择，如下表：
根据上表我们可以得知，用Ghost进行系统或者数据备份、恢复一定要正确操作，否则就可能造成不堪设想的后果。
回到朋友的这块硬盘，当时的操作请看图一，我们还原一下当时的状况。
在做系统恢复的时候，本意是把以前的C区的操作系统用备份系统覆盖掉，可
图一：Ghost备份和恢复功能强大，却也带来潜在危险
是，实际上应该选择分区Partition from image，朋友当时却错误的选择了disk from image。
由于镜像文件只有一个分区，所以写回到disk后，就变成了一个大分区了。
二恢复思路
先用WINHEX打开磁盘查看分区表状况，发现只剩一个分区表项了。
WINHEX查看分区表
看来是由于分区表问题引起分区丢失的，手工查找之前的分区，把找到的分区信息写回去，更新显示发现分区正常了。
由于GHOST时覆盖了第一个分区的数据（系统盘），所以恢复出来显示不正常，客户的资料正好在另外两个分区，经客户检查D,E盘的数据100%恢复
D,E盘成功恢复。
硬盘分区被GHOST覆盖后的文件恢复技术
硬盘分区被GHOST覆盖后的文件恢复技术作者：富春岩葛茂松孙维连来源：《科技创新与应用》2013年第01期摘要：分析了硬盘被克隆软件覆盖后可能出现的几种状态、相关结构以及数据恢复的可能性。
深入剖析了待恢复文件的结构、长度与恢复成功率的关系。
给出了恢复被覆盖WORD 文档的技术。
关键词：克隆；覆盖；文件恢复1 什么是GhostGhost（幽灵）是美国赛门铁克公司推出的一款用于硬盘备份还原的工具软件。
利用此软件可对FAT16、FAT32、NTFS、OS2等多种分区格式的硬盘进行分区，还可以完成硬盘的备份还原工作。
日常工作中常被称作"克隆软件"。
利用Ghost进行的备份还原是以硬盘的扇区为单位进行的，是将硬盘上的数据，一个扇区一个扇区地进行物理复制，连磁盘碎片都会一起复制到目标位置。
Ghost可将分区或硬盘直接备份到一个扩展名为.gho的文件里（即镜像文件），也可直接备份到另一个分区或硬盘里。
2 误操作的情况分析一般硬盘被克隆软件覆盖有以下几种常见情况，根据不同的情况，我们可以采用不同的方式进行恢复。
在此我们先对几种误操作的情况进行分析。
2.1 将C：盘的镜像文件写到D：盘或E：盘等非目标盘中出现这种情况时，要根据C：盘镜像文件的映射结构来判断其中数据被覆盖的程度，如果镜像文件的盘较小，其后面的内容可恢复；如果镜像文件结构稀疏，则该盘中也会有部分文件没有被覆盖，没有被完全覆盖的文件也有条件去恢复。
2.2 将C：盘的镜像文件写到C：盘C：盘的镜像文件建立后，经过一段时间，C：盘中的桌面上又存放了一些重要的资料，此时由于某种原因C盘不能正常启动，若此时将C盘的镜像文件还原，重新启动后，会发现桌面上新存放的重要的资料会不见了。
但是，只要这些资料的文件实体没有被覆盖，就能恢复回来。
2.3 将非本盘C：盘的镜像文件写到C：盘如果镜像文件是另一物理硬盘的单分区镜像文件，不慎将其还原到当前物理硬盘中，使该盘就剩一个C：盘，其后D：、E：、F：等盘的数据全部丢失.此时文件的恢复主要取决于这个镜像文件的大小，若这个镜像文件的实体小于丢失C：盘的实体，则后面的D：、E：、F：均能恢复，若镜像文件实体小于C：、D：盘的实体，则E：、F：盘中的文件可以完全恢复，余之类推。
ghost如何对整个硬盘进行恢复
ghost如何对整个硬盘进行恢复使用Ghost将整个硬盘备份成一个映像文件以后，即可在需要的时候利用这个映像文件对整个硬盘进行恢复。
使用映像文件恢复整个硬盘的步骤如下所述。
第1步，使用Ghost启动软盘启动电脑，然后输入Ghost命令并按回车键，打开Ghost程序主界面。
用鼠标依次指向“local（本机）”→“Disk（磁盘）”菜单命令，然后单击“From Image（从映像文件恢复）”选项。
第2步，在打开的“File name to load image from（要装载的映像文件来自）”对话框中，单击Look in编辑框右侧的下拉三角按钮，在路径列表中选中事先保存有映像文件的分区。
这时会在被选中分区的列表框中列出事先备份的映像文件，单击硬盘驱动器映像文件。
第3步，打开“Select local destination drive by clicking on the drive number（选择本机目标驱动器并单击相应的驱动器序号）”对话框，单击选中目标驱动器并单击OK按钮。
第4步，在打开的“Destination Drive Details（目标驱动器细节信息）”对话框中列出了目标驱动器比较详细的分区信息。
在这个对话框中不需要做任何设置，直接单击OK按钮。
第5步，接着会打开提示框，警告用户该操作将使目标驱动器的数据全部被覆盖（也就是目标驱动器的数据将丢失）。
确认恢复操作不会带来数据损失，然后单击Yes按钮开始恢复。
第6步，恢复结束后，映像文件中记录的所有内容（包括分区信息）将被原封不动地恢复到目标硬盘中。
最后在Clone Complete对话框中单击Reset Computer按钮重新启动电脑。
注意事项小提示：在使用Norton Ghost备份映像文件或进行恢复操作时，建议遵循以下原则：（1）将Norton Ghost放到启动盘上；（2）正确设置硬盘的工作模式，如果使硬盘在Ultra ATA/66或Ultra ATA/100的模式下工作，则备份映像文件的速度将大大加快；（3）在备份映像文件以前，应保持源硬盘系统的工作正常；（4）利用映像文件进行恢复操作同时，目标硬盘上的数据将被全部被覆盖，因此在进行恢复操作以前必须做好数据备份工作。
两次全盘ghost怎么数据恢复
两次全盘ghost怎么数据恢复
推荐文章
怎么使用u启动u盘备份ghost win10系统热度：ghost系统windows10怎么安装微软正版windows10 热度：2022国庆节的天气怎么样热还是冷热度： 2022年国庆加班工资怎么计算热度：怎么算今年中秋加班费热度：
先全盘ghost后，发现只有一个分区，所以又全盘ghost了一回，怎么能将原来的数据恢复。
两次全盘ghost怎么数据恢复?下面是店铺跟大家分享的是两次全盘ghost怎么数据恢复，欢迎大家来阅读学习。
两次全盘ghost怎么数据恢复
方法/步骤
首先打开百度搜索D-recovery
下载安装
软件运行后出现的是这个界面
用鼠标右键点击你数据丢失的盘符，就是那个分区里的。
点一下扫描选项
这个是在扫描的标志
扫描结束
双击这个最新的以前没有的分区之后，会出现展开分区文件
等着。
点击需要管理的盘就能自动识别采用LVM管理方式的硬盘分区。
GHOST系统误操作,PTDD分区快速恢复图文教程
G H O S T系统误操作快速恢复图文教程
相信不少朋友有过使用GHOST系统误操作的经历，下面向大家介绍一种简单的方法可以挽救自己数据。
恢复系统的时候不慎选择了LOCAL-DISK-FROM-IMAGE
直接选择恢复！再进系统一看怎么只有一个分区了。
大家手上都有系统盘吧。
随便哪张都有带PE的，电脑公司的，番茄，雨林，深度等等吧。
选择从PE启动系统。
然后选择PE系统里面的-磁盘工具-PTDD磁盘恢复工具
选择操作里面的重建分区表，然后提示，选择交互模式。
等几分钟，搜索完毕会出现丢失的分区。
我是用虚拟机操作的分了两个区，找到了丢失的分区。
选择保存。
从新启动。
分区已经恢复。
最后总结：
大家做备份恢复的时候，需要小心一些，仔细看清楚后再恢复。
避免造成不必要的损失。
不过提供这种方法，只要在分区表没有被覆盖的情况下，找回丢失分区的可能性还是很大的。
也给大家提供了一个吃后悔药的机会。
此外还有通过DISK GENUIS来恢复的，原理是一样的。
不过DG要在DOS操作，这个PTDD可以直接在PE下操作很方便。
欢迎大家来讨论。
ghost系统备份后的恢复方法
ghost系统备份后的恢复方法一使用GHOST之前必定要注意到的事1.在备份系统时如果您是选择的FAT32的分区格式单个的备份文件最好不要超过2GBGHOST建议您选用选用最新的版本号需要最少GHOST8.0版本或以上的版本2.在备份系统前最好将一些无用的文件删除以减少Ghost文件的体积通常无用的文件有：Windows的临时文件夹如果您不是太了解只建议您删除C:\WINDOWS\TEMP 下面的文件镜像文件应尽量保持“干净” “基本”。
应用软件安装得越多，系统被修改得越严重安装新软件也就越容易出错所以在制作镜像文件前千万不要安装过多的应用软件建议您分层次一步一步打包系统刚刚做完安装完驱动打一个如是001 再安装一些必要的软件再打一个如是002 以后再安装了新软件再打如是003 如果安装新软件或硬件使用一时间后发现容易出错或死机的话回复到前一个版本的包后再安装新软件或硬件一定要到没有任意问题才算好的否则不可以删除前一个安全良好的包（有些朋友们硬盘空间比较小有时会为了空间删除镜像文件）通常建议您将镜像文件复制一下放在安全的地方比如说放在另外的盘里面或设置为只读或隐藏防止误删除3.在备份系统前进行磁盘碎片整理整理源盘和镜像盘，以加快备份速度。
4.在备份系统前及恢复系统前源盘和镜像盘进行磁盘检查错误如有修复磁盘错误系统备份之前必定要升级杀毒软件后仔细完全查杀一次毒如有可能下载好各种系统安全补丁确定系统运行得十分正常且安全再备份5.在恢复系统时最好先检查一下要恢复的目标盘是否有重要的文件还未转移目标盘上的原有数据将全部被覆盖使用任何反删除法都无法恢复我们要养成一个良好的习惯不要在系统盘C盘放任意需要保存的资料下载软件的下载默认一定要设置到D盘或其它盘里面6.在选择压缩率时建议不要选择最高压缩率因为最高压缩率非常耗时而压缩率又没有明显的提高建议选取适度压缩就是中间的一个7 通常建议电脑上保存二个或以上的镜像文件在新安装了软件和硬件后最好重新制作映像文件二软件下载安装1 您可以去著名的软件下载基地去找，都有的。
[实用参考]两招轻松恢复误Ghost的硬盘
![[实用参考]两招轻松恢复误Ghost的硬盘](https://img.taocdn.com/s3/m/9e149531ff00bed5b9f31dfe.png)
两招轻松恢复误Ghost的硬盘最近接连帮朋友恢复了几块被误Ghost的硬盘，今天抽点时间写写处理过程，希望能给遇到此类问题的朋友一些参考。
平时遇到的误Ghost情况有两种，一种是误用了带Ghost功能的GP安装盘，这种安装盘会重建分区表，把你的硬盘分为四个区，然后把GP系统Ghost到C盘；第二种是利用Ghost备份还原系统，本应把备份还原到C分区，但一不小心还原到整个硬盘上了。
这两种操作的实质是一样的，都改写了硬盘的分区表，而且向硬盘覆盖了一些数据。
从数据恢复的角度来看，C分区被覆盖了数据，国内由于没有深层恢复技术，基本被覆盖的数据是回不来的，但C分区之后的数据基本是可以完全恢复的。
举个例子加以说明，一块硬盘原来有三个分区，分别是C，D，E，D盘和E盘有重要数据。
原打算用Ghost在C盘装上一个GP系统，但操作时不小心，把Ghost备份还原到了整个硬盘，这下子硬盘上只有一个C分区了。
如下图所示意，这个硬盘共有16G，原先C盘8G，D和E各是4G，现在只有一个C盘，大小是16G。
从上图可以看出，Ghost作了两件事情，一是覆盖了C盘的一部分空间，二是重写了分区表。
除了被Ghost覆盖了一部分数据，其余的数据都毫发无损，我们只要能重建分区表，原来的D盘和E盘的数据就可以重见天日了。
要重建分区表，关键是要知道第一个扩展分区起始的位置，找到了这个位置，所有的问题就都解决了。
平时我解决这个问题，一般用WinheG或Diskgen，现把两种方法都写出来供大家参考。
一WinheGWinheG是个五星级的扇区编辑工具，虽然只有2M大小，但功能及其强大，什么分析分区表，分析DBR，计算偏移，簇链追踪都不在话下，是数据恢复工程师的保留武器。
我们先请它出场，但使用WinheG要求对数据存储原理有一定了解（今天俺就不详细介绍原理了），要不然看了WinheG的界面就崩溃的也不在少数。
我们把要恢复的硬盘挂到另外一台计算机上，如下图所示，磁盘1就是要目标硬盘，现在它只有一个分区，我们要把它的分区恢复原状。
恢复GHOST误操作丢失的分区
恢复GHOST误操作丢失的分区（分区表重建)一、误操作本人有一只80G的硬盘，扩展分区为D、E、F、G，由于受病毒攻击，决定用GHOST 还原系统，在恢复时，将“Local→Partition→From Image”（本地→分区→从映像文件），误操作为“Local→Disk→FromImage”（本地→硬盘→从映像文件）。
二、可怕的结果结果恢复重启后只剩下一个80G的C盘，扩展分区D、E、F、G全都不见了，显然硬盘分区表被破坏了。
由于数年来的数据全部放在扩展分区里，大多数数据丢失。
三、恢复数据的软件（1）用EasyRecovery等软件只能恢复C盘数据，无法修复分区表。
（2）第二种恢复分区表的软件：diskfix和diskgen。
于是决定用diskfix恢复分区表试试，diskfix一共找到5个分区，第一个找到的分区不用恢复，选择忽略，后面的依次找到几个分区，选择恢复。
重新启动后，D、E、F、G全都出现了。
除了C盘，其它盘所有数据完全没有丢失，用时不到2分钟。
也可用diskgen恢复分区表，操作基本相同。
（3）丢失分区就用这个网上搜索并下载、安装一款软件：矮人DOS工具箱。
之后电脑重启，开机时认清楚这几个菜单：1）箭头键选中DOS工具箱；2）英文状态下，可能要两次回车，之后找到矮人DOS工具盘；3）接着，敲空格键选中《中文工具菜单》并回车，出现三大类标题：“一、分区格式化工具；二、硬盘相关工具；三、其他常用工具。
”4）我们在第二大类菜单中，找到“7、diskfix分区修复”这一功能。
下面你接直接键入diskfix，回车后会提示你找到几个盘符，是否确定（点击确定）。
重复刚才的几个确定后，电脑重启，一切都恢复如旧。
如果你成功了，请留言告知。
四、相关技术文章Diskgen 使用说明；Diskgen下载；EasyRecovery Professional下载及图解步骤；Diskfix下载（丢失分区就用这个！）；五、总结（1）经常备份数据及分区表；（2）重要数据最好放在D、E、F盘中，不要放在C盘及桌面上。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
硬盘分区被GHOST覆盖后的文件恢复技术
分析了硬盘被克隆软件覆盖后可能出现的几种状态、相关结构以及数据恢复的可能性。
深入剖析了待恢复文件的结构、长度与恢复成功率的关系。
给出了恢复被覆盖WORD文档的技术。
标签：克隆；覆盖；文件恢复
1 什么是Ghost
Ghost（幽灵）是美国赛门铁克公司推出的一款用于硬盘备份还原的工具软件。
利用此软件可对FAT16、FAT32、NTFS、OS2等多种分区格式的硬盘进行分区，还可以完成硬盘的备份还原工作。
日常工作中常被称作”克隆软件”。
利用Ghost进行的备份还原是以硬盘的扇区为单位进行的，是将硬盘上的数据，一个扇区一个扇区地进行物理复制，连磁盘碎片都会一起复制到目标位置。
Ghost 可将分区或硬盘直接备份到一个扩展名为.gho的文件里（即镜像文件），也可直接备份到另一个分区或硬盘里。
2 误操作的情况分析
一般硬盘被克隆软件覆盖有以下几种常见情况，根据不同的情况，我们可以采用不同的方式进行恢复。
在此我们先对几种误操作的情况进行分析。
2.1 将C：盘的镜像文件写到D：盘或E：盘等非目标盘中
出现这种情况时，要根据C：盘镜像文件的映射结构来判断其中数据被覆盖的程度，如果镜像文件的盘较小，其后面的内容可恢复；如果镜像文件结构稀疏，则该盘中也会有部分文件没有被覆盖，没有被完全覆盖的文件也有条件去恢复。
2.2 将C：盘的镜像文件写到C：盘
C：盘的镜像文件建立后，经过一段时间，C：盘中的桌面上又存放了一些重要的资料，此时由于某种原因C盘不能正常启动，若此时将C盘的镜像文件还原，重新启动后，会发现桌面上新存放的重要的资料会不见了。
但是，只要这些资料的文件实体没有被覆盖，就能恢复回来。
2.3 将非本盘C：盘的镜像文件写到C：盘
如果镜像文件是另一物理硬盘的单分区镜像文件，不慎将其还原到当前物理硬盘中，使该盘就剩一个C：盘，其后D：、E：、F：等盘的数据全部丢失.此时文件的恢复主要取决于这个镜像文件的大小，若这个镜像文件的实体小于丢失C：盘的实体，则后面的D：、E：、F：均能恢复，若镜像文件实体小于C：、D：盘的实体，则E：、F：盘中的文件可以完全恢复，余之类推。
3 实现技术
3.2 原镜像文件覆盖C：盘新增文件的恢复
3.3 逻辑盘的恢复
将该部分与正常主引导扇区的程序段合并后，就组成了重建的主引导扇区，写到绝对线性扇区号0，设置其为从盘，再重新启动计算机，就可以识别出D：、E：、F：盘中的文件了。
4 结束语
通过分析待恢复文件的结构、长度等特点，给出了硬盘被克隆软件覆盖后可能出现的几种状态的恢复方法。
当需要进行文件与逻辑盘的恢复时，可根据实际情况，依照本文所提到得方法，灵活应用，去解决问题，该技术实用性很强，受到了用戶的好评。
参考文献
[1] 孙维连.DEBUG与软件维修技术[M].哈尔滨.哈尔滨工程大学出版社.2005.1
[2] 孙维连等.硬盘维修与数据恢复[M].北京.中国水利水电出版社.2007.6
作者简介：富春岩（1974.2-）黑龙江佳木斯人，佳木斯大学信息电子技术学院，副教授。