問題舉例

我們有一個容量 36GB 的硬盤，包含著3個分區(qū)。 但是很不幸地;

• NTFS主分區(qū)的boot扇區(qū)損壞
• 一個邏輯 NTFS 分區(qū)被意外刪除

本 恢復范例 引導你一步一步地用TestDisk通過以下途徑,恢復這些 '丟失的' 分區(qū):

• 重寫毀壞的NTFS boot扇區(qū)
• 恢復意外刪除的邏輯NTFS分區(qū)

我們可以一模一樣地照著下面的步驟完成對FAT32分區(qū)的恢復(不是NTFS)。 這里也有其他的 恢復范例。對于有關(guān) FAT12, FAT16, ext2/ext3, HFS+, ReiserFS 和其他分區(qū)類型的信息，請參閱 運行 TestDisk 程序.

唯一需要的條件:

• TestDisk 需要用管理員權(quán)限來運行。

使用 TestDisk 的重點:

• 用 方向鍵 和 上一頁/下一頁 按鍵在TestDisk 中導航。
• 然后, 按Enter 鍵確認你的選擇.
• 若要返回前一頁或者退出TestDisk, 按 q (Quit) 鍵。
• 若要在 TestDisk 下保存修改,按 y (Yes) 或者 Enter 鍵來確認
• 如果確實要把分區(qū)信息寫入主引導記錄（MBR），應(yīng)該選擇 "Write" 選項并按 Enter 鍵。

癥狀

如果硬盤的主分區(qū)容納著一個操作系統(tǒng)，那么由于毀壞的boot扇區(qū)，這個操作系統(tǒng)很可能不再能啟動。如果這個硬盤是第二（數(shù)據(jù)）驅(qū)動器，你可以把它接到另一臺計算機上（通常接到CD/DVD的接口），然后下面的癥狀就會被觀察到：

1. Windows 資源管理器 或 磁盤管理器 把第一個主分區(qū)顯示為 raw (沒有格式化) 并且 Windows 提示: The drive is not formatted, do you want to format it now?（該驅(qū)動器沒有格式化，現(xiàn)在格式化它嗎？）
   [ 不應(yīng)該 在不知道為什么的情況下格式化它！]
2. 一個邏輯卷不見了。 在 Windows 資源管理器中, 這個邏輯卷不再可用。 Windows 磁盤管理器（Disk Management Console） 僅僅在這個邏輯卷的位置顯示 "未分配的空間" 。

運行 TestDisk 程序

如果 TestDisk 還沒有被安裝, 可以從這里下載 TestDisk Download。然后解壓縮這個歸檔文件，包括子文件夾。

若要從 硬盤，U盤，智能卡等設(shè)備中恢復丟失的分區(qū) 或者 修復文件系統(tǒng)，你需要足夠的權(quán)限來訪問這個物理設(shè)備。

•  在 DOS 下, 執(zhí)行 TestDisk.exe
•  在 Windows 下, 從一個處于管理員組的賬戶打開 TestDisk (ie testdisk-6.13/testdisk_win.exe) . 在 Vista 下, 右擊 testdisk_win.exe 然后 "以管理員身份運行" TestDisk.
•  在 Unix/Linux/BSD 下, 需要用 root 賬戶來運行 TestDisk (ie. sudo testdisk-6.13/testdisk_static)
•  在 MacOSX 下, 不過你不是 root, TestDisk (ie testdisk-6.13/testdisk) 將會在你的確認之后以sudo重新運行。
•  在 OS/2下, TestDisk 不能處理物理設(shè)備,只能處理磁盤鏡像.很抱歉.

若要從一個媒體鏡像中恢復分區(qū)或者修復一個文件系統(tǒng)鏡像，執(zhí)行

• testdisk image.dd 在一個raw磁盤鏡像中進行處理
• testdisk image.E01 從一個 Encase EWF 鏡像中恢復文件
• testdisk 'image.???' 如果 Encase 鏡像被分割成若干文件

  若要修復一個 TestDisk沒有列出來的文件系統(tǒng), 執(zhí)行 testdisk device, 也就是說，

• testdisk /dev/mapper/truecrypt0 或者 testdisk /dev/loop0 從一個 TrueCrypt 加密分區(qū)中 修復 NTFS or FAT32 boot 扇區(qū)文件. 同樣的方法對于使用 cryptsetup/dm-crypt/LUKS 加密的分區(qū)也管用.
• testdisk /dev/md0 to repair a filesystem on top of a Linux RAID device.

新建日志

• 選擇 Create 來讓 Testdisk 新建一個日志文件（ log file） ，里邊包含了一些技術(shù)信息和消息, 除非你要往一個日志里追加信息 log 或者 你從只讀存儲器里執(zhí)行 TestDisk 而且必須在別的地方建立日志 log。
• 選擇 None 如果你不想讓過程中的細節(jié)和消息記錄到日志文件里 log file (比如當 Testdisk 是在只讀位置執(zhí)行的時候，這很有用).
• 按 Enter 鍵以繼續(xù).

選擇磁盤

所有的硬盤都應(yīng)該能被TestDisk檢測到并且輔以正確的大小列出來：

• 用 上/下 鍵 來選擇丟失分區(qū)的硬盤。
• 按 Enter 鍵繼續(xù)。

 If available, use raw device /dev/rdisk* instead of /dev/disk* for faster data transfer.

選擇分區(qū)表類型

TestDisk 會顯示分區(qū)表類型。

• 選擇正確的分區(qū)表類型 - 在 TestDisk 自動檢測分區(qū)表類型之后，一般預設(shè)的那個值是正確的。
• 按 Enter 鍵繼續(xù)。

當前的分區(qū)表狀態(tài)

TestDisk 顯示這個菜單的時候 (參見 TestDisk Menu Items).

• 用預設(shè)的“analyze”（分析）選項來檢查當前的分區(qū)結(jié)構(gòu)并搜索丟失的分區(qū)。
• 分析過程中按 Enter 鍵繼續(xù)。

然后，當前的結(jié)構(gòu)就會被列出來。 接下來就可以在當前的分區(qū)結(jié)構(gòu)中檢查丟失或錯誤的分區(qū)了。

第一個分區(qū)顯示了兩次，它指向了一個毀壞的分區(qū)或一個無效的分區(qū)表入口。
無效的 NTFS boot 指向了一個錯誤的 NTFS boot 扇區(qū), 所以這是一個損壞的文件系統(tǒng)。
在擴展分區(qū)中，只有一個邏輯分區(qū)(分區(qū)標簽為2)可用。 有一個邏輯分區(qū)不見了。

• 選 Quick Search （快速搜索）來繼續(xù)。

快速搜索分區(qū)

TestDisk displays the first results in real time.

(click on thumb to display the image).

在 Quick Search（快速搜索）的過程中, TestDisk 找到了兩個分區(qū)，包括那個不見的邏輯分區(qū)（標簽為Partition 3 ）。

• 高亮這個分區(qū)并按 p 來列出文件 (若要返回前一頁，請按 q ).

這里所有的目錄和文件都正確列出來了。

• 按 Enter 鍵繼續(xù)。

保存分區(qū)表 還是要 尋找更多分區(qū)?

• 當全部分區(qū)都可用的時候 并且數(shù)據(jù)已正確列出,應(yīng)該選 Write 菜單項保存分區(qū)結(jié)構(gòu). 菜單項 Extd Part gives you the opportunity to decide if the extended partition will use all available disk space or only the required (minimal) space.
• 當一個分區(qū),第一個,仍然找不到, 高亮菜單項 深度搜索 (沒有自動進行的時候) ，按 Enter 鍵繼續(xù).

有一個分區(qū)仍然找不到: 深度搜索

Deeper Search 深度搜索也會找尋 FAT32的備份boot扇區(qū) 以及 NTFS backup boot superblock, ext2/ext3 backup superblock 來查找更多的分區(qū),

它將會掃描每一個柱面。

(click on thumb).

深度搜索之后，結(jié)果會像下面這樣顯示出來：
第一個分區(qū) "Partition 1" 被用 backup boot扇區(qū) 找到了。 屏幕上的最后一欄寫著， "NTFS found using backup sector!" 還有分區(qū)尺寸。 分區(qū)2 "partition 2" 被顯示了兩次，而且大小不同。
顯示為 D(eleted) 的分區(qū)將不會被恢復 如果您讓它們這樣顯示出來。 兩個狀態(tài)為 D 的分區(qū)將會被刪除，因為他們互相重疊了。您應(yīng)該進行識別，以決定到底恢復哪一個分區(qū)。

• 高亮第一個 Partition 2 然后按 p 來列出其包含的數(shù)據(jù)。

The file system of the upper logical partition (label Partition 2) is damaged

(click on thumb).

• 按 q 來返回前一頁。
• 讓這個文件系統(tǒng)損壞的分區(qū) Partition 2 標記上 D(deleted).
• 高亮下邊的第二個分區(qū) Partition 2
• 按 p 來顯示內(nèi)容。

它起作用了，您的文件均被列出，您找到了正確的分區(qū)！

• Use the left/right arrow to navigate into your folders and watch your files for more verification

Note: FAT directory listing is limited to 10 clusters - 一些文件可能沒有出現(xiàn) 但這并不影響恢復。

• Press q for Quit to go back to the previous display.

• The available status are Primary, * bootable, Logical and Deleted.

Using the left/right arrow keys, change the status of the selected partition from D(eleted) to L(ogical). This way you will be able to recover this partition.

Hint: read How to recognize primary and logical partitions?
Note: If a partition is listed *(bootable) but if you don't boot from this partition, you can change it to Primary partition.

• 按 Enter 鍵繼續(xù)。

恢復分區(qū)表

現(xiàn)在已經(jīng)可以寫入新的分區(qū)結(jié)構(gòu)了。
注意: 擴展分區(qū)是自動設(shè)置的。 TestDisk 是用不同的分區(qū)結(jié)構(gòu)來辨認它們的。

• 如果 所有分區(qū)都被列出 ，當且僅當在這種情況下, 在 Write 處按 Enter 鍵, y 鍵和 OK.

至此, 這些分區(qū)就注冊在了分區(qū)表里。

NTFS Boot扇區(qū)恢復

第一個分區(qū)的boot扇區(qū)（Partition 1）還是處于損壞狀態(tài)。是時候該修復它了。 NTFS boot扇區(qū)的狀態(tài)很糟糕，然而備份的boot扇區(qū)正常可用。 兩個Boot扇區(qū)并不是完全一樣的。

• 選擇Backup BS來拷貝備份的扇區(qū)覆蓋到目標位置，按Enter確認, use y to confirm and next OK.

更多有關(guān)于在TestDisk菜單下修復Boot扇區(qū)的信息 . 如下的信息會被顯示:

現(xiàn)在boot扇區(qū)和它的備份扇區(qū)都狀態(tài)良好并且保持一致：NTFS boot扇區(qū)已經(jīng)成功地恢復了！

• 按 Enter 退出.

• TestDisk 顯示 You have to restart your Computer to access your data（您需要重新啟動您的計算機以使修改生效），所以按 Enter 最后一次然后重新啟動計算機吧。

恢復刪除的文件

TestDisk 可以恢復

• FAT12, FAT16 和 FAT32 文件系統(tǒng)中的文件和目錄,
• ext2 文件系統(tǒng)中的文件,
• NTFS 分區(qū)中的文件 自從 6.11版本.

如果這不管用，或者對于其他文件系統(tǒng)，請嘗試 PhotoRec,一個基于模式匹配的文件恢復工具。

返回 TestDisk 主頁