您当前的位置:首页>>技术中心>>数据恢复文章>>正文
 
遭遇CIH后数据的恢复
作者: 来源: 日期:2006-3-26 2:54:14  点击次数:

CIH病毒发着后开始对硬盘进行破坏,将其垃圾代码以2048个扇区为单位,覆盖主引导扇区和BOOT引导扇区,并依次改写各硬盘(包括各逻辑盘)中的数据,将硬盘中的所有数据破坏殆尽。至此,计算机就处于完全瘫痪和死循环状态。不过只要能够重建主引导扇区、重新恢复分区表,就有希望恢复硬盘中的数据。由于 CIH病毒是目前导致硬盘数据丢失的一个重要原因,各大反病毒厂商都有自己的恢复方案,大家可以去其主页查阅,在此不赘述。
  当然,你也可以使用一些专门的数据恢复软件,来对数据进行最大限度的恢复,下面就让我们来看看恢复被CIH破坏硬盘的几个实例:

  例一:
  首先从网上找到以下3个文件:MRecover.zip、Recov30.zip、Demont.txt。MRecover.zip是一位孟加拉大学生MonirulIslamSharif写的救partition工具,能支援FAT32partiton的复原(NDD、VbRescue不能用在FAT32的partiton上),作者的主页是:
http://members.xoom.com/monirdomain
  Recov30.zip是RecoverNT3.0版,可以救回FAT16、FAT32和NTFS系统下的档案,你一定要在网上找到它。然后将被CIH破坏的硬盘装到另一台有装win95/98/NT的电脑上,设成Slave(即设为从盘,通过硬盘上的相关跳线设定),这个步骤很重要,因为被CIH破坏的硬盘千万不能再写任何数据进去!接着按以下的步骤操作:
  首先在MS-【DOS】模式下利用MRecover把Partition复原,再做sys a: d:(被破坏硬盘的代号),也就是说要先把partition和bootsector复原,这样RecoverNT才可以正确搜寻损毁硬盘的数据。
  然后把RecoverNT3.0版安装至设定成主盘的C盘上,安装完毕以后执行RecoverNT,它会跟你说这个版本只能救回3个档案……除非你键入序号(SerialNumber),这时请将Demont.txt打开,里面就会有序号了。
  然后再用RecoverNT把被CIH破坏的硬盘打开,RecoverNT会去扫描硬盘里的资料,这时你就可以把它们一一保存出来了,当然千万要注意的是不能保存在被CIH破坏的硬盘上。

  例二:
  首先修复硬盘分区表信息。被CIH病毒破坏的硬盘,其分区表已被彻底改写,用A盘启动也无法找到硬盘。所以,要恢复C分区的数据,首先要恢复硬盘分区表,同时也就恢复了除C以外的其他逻辑分区的数据。修复分区表的方法很多,如使用KV300、NDD、VRVFIX(可以在北信源公司的主页下载:http;//www.vrv.com.cn)等,下面介绍VRVFIX的具体使用方法:
  1.准备一张无病毒的启动盘,注意要根据原有【操作系统】及分区情况制作系统引导盘(FAT16或FAT32)。
  2.把下载的VRVFIX.EXE文件拷入该引导盘,要确保还有足够剩余空间,并打开写保护。
  3.用这张引导盘引导染毒的电脑(当然是在BIOS未被破坏或已修复的前提下),运行VRVFIX.EXE,按回车键开始计算分区信息并自动恢复,当出现提示时,按回车键,直到出现“MakePartitionTableok”。
  4.至此,修复完成,用引导盘重新引导系统,除C盘以外的其他逻辑分区(D、E、F...)的数据已经修复,但仍然无法访问C分区。
  完成了以上的工作后,就可以着手恢复C分区上的数据了。C分区无法被访问,主要是因为其目录结构被CIH病毒破坏了,要恢复C分区的目录结构,需要用到一个叫Tiramisu的工具软件(立即下载)。针对FAT16和FAT32,Tiramisu有ForFAT16版和ForFAT32版,应根据染毒硬盘的分区情况选择相对应的版本。
  (1)制作一张无病毒的引导盘(包含HIMEM.SYS和EMM386.EXE这两个文件),然后在CONFIG.SYS中加入:
DOS=HIGH
DEVICE=HIMEM.SYS
DEVICE=EMM386.EXERAM
  把下载的Tiramisu压缩包里的所有文件解压缩到引导盘上。
  (2)用这张引导盘引导电脑,运行Tiramisu.exe,在“File”菜单中选择“Startrecovery”菜单项,程序开始自动从C分区上寻找目录结构,这个过程所需要的时间由硬盘数据的多少和机器的速度决定。C分区的目录结构搜索结束后,会显示目录搜索结果,看起来有点像WIN95的资源管理器,从这个“资源管理器”中可以看到:搜索到的目录结构与染毒前基本相同,只是被破坏过的目录,其目录名称被改变。
  (3)这一步就是要把C分区上的数据备份出来:在“资源管理器”(目录表)中选择要备份的目录或文件,从“File”菜单中选择“Copyfile(s)”菜单项,把数据拷贝到指定的驱动器上,可以是A驱或其它逻辑分区(D、E、F...),但千万不要直接拷贝到C分区上(对于只有一个C分区的硬盘,建议另挂一个从硬盘来备份数据)!

  例三:
  1、首先挽救硬盘分区表和被破坏的主引导记录
  硬盘主引导扇区一般位于0柱0头1扇区,这个扇区中含有分区表。该扇区很特殊,它不在DOS的管辖范围内。当该扇区损坏时,硬盘就不能启动了;虽然硬盘不能启动,但软盘启动后如果可认C盘的话,这说明主引导记录已被破坏,解决的办法是使用FDISK/MBR命令重建主引导记录,然后再用SYS A:C:命令向C盘传送系统。然后恢复硬盘的分区表,最好的情况是有分区表的备份(如使用Norton Rescue Disk的备份盘),写回就行了。



  2、挽救文件分配表
  FAT表共有两份(FAT表1和FAT表2),它记录了每个磁盘文件占据的磁盘簇链。如果FAT表损坏,就可能丢失所有文件,即便对DOS很精通的人,要修复FAT表损坏的磁盘文件也不是件轻松的事情。
  硬盘的FAT表与根目录随着用户写入和删除文件而不断变化,如果能经常备份FAT表和根目录,当FAT表损坏时用回写FAT表、根目录的方法,可以使硬盘恢复到上一次保存的状态。当硬盘的FAT表或根目录损坏,需要将保存的FAT表、根目录数据回写时,必须保证FAT表和根目录的起始逻辑扇区号和长度(扇区个数)正确。

  3、恢复被病毒破坏的自解压文件
  自解压文件在解压前会检查本身的数据完整性,假如自解压文件在生成后受CIH等病毒感染,在解压时就可能会出现校验错误。但这并不意味着自解压文件就不能用了,挽救的办法很简单:将被破坏的自解压文件的扩展名由EXE改为ZIP,即可用WINZIP打开、解压了。如果安装了新版的压缩/解压软件WINZIP,还有一更简单的方法:在资源管理器里用右键单击被破坏的自解压文件,在随后弹出的菜单中选“OpenWithWinZip”即可将该文件打开了。


CIH相关知识 :
什么是CIH病毒

  CIH病毒现已被认定是首例能够破坏计算机系统硬件的病毒,同时也是最具杀伤力的恶性病毒。目前主要的传播途径是【Internet】和电子邮件。CIH病毒只感染【Windows】 95/98操作系统,从技术角度来看,CIH病毒实现了与Windows 95/98操作系统的完美结合。该病毒使用了Windows 95/98最核心的VxD(虚拟设备【驱动程序】)技术编制,因此它的实时性和隐蔽性都特别强。
  到目前为止,CIH病毒的 “原体”加“变种”共有5种之多,CIH病毒“变种”不但不增长受感染文件,同时还有很强的破坏性,此病毒的3个主要变种为:CIHv1.2,4月26日发作;CIHv1.3,6月26日发作;CIHv1.4,每月26日发作。
CIH发作现象

  1、攻击BIOS
  CIH病毒最异乎寻常之处,是它对计算机BIOS的攻击。在CIH发作时,会试图向BIOS中写入垃圾信息,BIOS中的内容被彻底洗去,造成计算机无法启动。据测试发现CIH能够破坏市面上常见的BIOS多达数十种。因此,它会给众多的计算机用户带来摧毁性的结局。

  2、覆盖硬盘
  向硬盘写入垃圾内容也是CIH的破坏性之一。CIH发作时,调用IOS SendCommand直接对硬盘进行存取,将垃圾代码以2048个扇区为单位,循环写入硬盘,直到所有硬盘(含逻辑盘)的数据均被破坏为止。

[1]

上一篇:硬盘数据恢复实例全解
下一篇:漫谈硬盘彻底损坏后的数据抢救

  北京总部: 4006-505-646
  上 海 部: 021-58358765
  深 圳 部: 0755-83692929
  浙 江 部: 13666673722
  其它地区: 4006-505-646

经典案例
藁城市东街百货-EFS文件解密成
中央电视台新闻评论部-苹果分
promise乔鼎硬盘阵列数据恢复成
麒麟童文化-苹果分区无法打开,
NAS 8100服务器数据恢复成功 
Liteon-重建一组RAID时,不小
濮阳市地方税务局-CHKDSK后数据
北京市海淀区华夏心理培训学校
台湾HD公司-FreeBSD Nas无法启
NCR公司-硬盘数据恢复成功 
解决方案
硬盘出现异响应急处理
raid磁盘阵列OFFLINE后的应急方
磁盘未被格式化,是否格式化数据
误GHOST、误一键恢复灾难应急方
误删除、误格式化数据灾难应急
LINUX FSCK数据出错灾难应急方
北亚数据恢复 - 联系我们 - 关于北亚 - 友情链接 - 网站地图 - RSS聚合 
版权所有 北京北亚数据恢复中心
24小时免费咨询电话:4006-505-646 或 800-810-580
公司地址:北京市海淀区永丰基地丰慧中路7号新材料创业大厦B座205室
r>