TestDisk(磁盘修复工具)

　　TestDisk是一款非常实用的磁盘修复工具，可以帮助用户修复电脑系统中的磁盘分区出现错误的问题，还可以修复因为软件缺陷导致的一系列无法启动显现，支持被病毒所造成的磁盘破坏；修复完成后，会将原来磁盘中的数据恢复回来，用户可以正常使用曾经无法访问的数据文件；不仅如此，此工具包还内置了照片恢复工具，可以帮助用户将磁盘中丢失的数据恢复出来，还可以将删除的数据恢复到磁盘中；如果您电脑因为安装某一应用程序而导致磁盘受影响或者数据出现丢失，可以直接通过此工具将其解决；同时还可以为您专门提供一个照片恢复工具，两者皆可独立运行；强大又实用，需要的用户可以下载体验

软件功能

　　TestDisk支持以下功能:

　　修复分区表, 恢复已删除分区

　　用FAT32备份表恢复启动扇区

　　重建FAT12/FAT16/FAT32启动扇区

　　修复FAT表

　　重建NTFS启动扇区

　　用备份表恢复NTFS启动扇区

　　用MFT镜像表(MFT Mirror)修复MFT表

　　查找ext2/ext3/ext4备份的SuperBlock

　　从FAT,NTFS及ext2文件系统恢复删除文件

　　从已删除的FAT,NTFS及ext2/ext3/ext4分区复制文件.

软件特色

　　支持的文件系统

　　Photorec忽略文件系统，因此该方式可以在文件系统遭受严重破坏后正常工作。

　　至少可恢复以下文件系统中的丢失文件

　　FAT

　　NTFS

　　exFAT

　　ext2/ext3/ext4

　　HFS+

　　ReiserFS 包含了某些特殊的优化。  为了提升性能，ReiserFS能将文件存储在b树自身节点中，而不是将数据存储在磁盘上某个地方，并将标志指向该位置。很遗憾的是，PhotoRec还不能处理这种情形，这就是为什么还不支持ReiserFS的原因。

　　支持的介质

　　PhotoRec支持大多数的硬盘，光盘，存储卡(CF卡, 记忆棒, SecureDigital/SD, SmartMedia, Microdrive,  MMC等), 优盘, DD原始数据镜像, EnCase E01镜像等...

　　PhotoRec已在各种各样的媒体播放器上成功测试，如iPod及以下设备数码相机:

　　佳能Canon EOS300D, 10D

　　惠普HP PhotoSmart 620, 850, 935

　　尼康Nikon CoolPix 775, 950, 5700

　　奥林巴斯Olympus C350N, C860L, Mju 400 Digital, Stylus 300

　　索尼Sony Alpha DSLR, DSC-P9

　　Praktica DCZ-3.4

官方教程

　　处理硬盘映像文件

　　TestDisk和PhotoRec也可以使用硬盘映像。磁盘映像必须在工作目录中的image_filename下可用，或者您可以将其路径和文件名添加到TestDisk命令行中。例如：

　　testdisk_win.exe C:\BOCHS\DOS\c.img

　　将c.img在TestDisk初始屏幕上的驱动器列表中包含路径和映像文件。然后像打开任何物理驱动器一样打开映像文件。

　　映像文件的大小受操作系统和文件系统的限制。

　　2 GiB（FAT16），4 GiB（FAT32），16 GiB（ext2 / 3有1 kb块），256 GiB（ext2 / 3有2  kb块），2048 GiB（ext2 / ext3有4 kb块）

　　在Windows下，您可以在“文件资源管理器”中选择图像文件，右键单击，选择“打开方式”，然后选择photorec_win.exe使用PhotoRec从该图像恢复文件。

　　从Encase EWF映像中恢复数据

　　要分析Encase E01文件中的图像，请执行以下操作：

　　测试盘映像

　　如果将Encase图像拆分为多个文件：

　　测试磁盘“ image.E *”

　　坏扇区是硬盘物理损坏的最常见形式。它们是磁盘崩溃的早期迹象，因为磁盘崩溃会随着时间而恶化。坏扇区是指磁盘上的一个扇区，由于物理损坏或磁盘上的奇偶校验位不一致（CRC或循环冗余校验错误），因此无法写入或读取数据（读取错误）。要恢复数据，最好的方法是在尝试恢复驱动器之前，将驱动器的数据复制/克隆到另一个硬盘上。

　　新磁盘必须至少具有完全相同的大小（检查LBA扇区的数量）或更大；当磁盘更大时，这通常不是问题，因为如果两个磁盘都使用LBA模式，则每个柱面的磁头数和每个磁头的扇区数将相同。Windows在处理损坏的硬盘上的坏扇区时可能会遇到一些问题，因此最好的解决方案是使用Linux  OS将数据复制到另一个硬盘上。

　　您还可以使用TestDisk来帮助分析从硬盘驱动器复制的扇区，这些硬盘驱动器有物理问题到良好的驱动器。

　　在启动提示符下，键入knoppix键盘/语言。在GUI控制台上，您将以用户'knoppix'的身份自动登录。

　　启动Konsole /终端

　　（注意：Knoppix有一个单独的“  Konsole作为根用户”选项，但是复制/粘贴功能已被禁用，因此我们始终建议使用下面描述的方法从普通用户Konsole中获得root特权。）

　　Knoppix带有TestDisk，PhotoRec，dd和dd_rescue。要访问硬盘，您需要使用root（管理员）特权运行这些实用程序。

　　要从Knoppix用户帐户成为root用户，请选择Konsole并键入sudo -s，然后按Enter键。

　　现在，您可以使用从此控制台进行完整磁盘访问所需的所有强大的root命令。

　　Knoppix 4.0.2版CD用户的注意事项：

　　要在Knoppix 4.0.2下使用TestDisk，需要首先执行以下操作来解决库问题：

　　在运行testdisk之前。

　　Knoppix 5.1版CD用户的注意事项：

　　要在Knoppix 5.1下使用TestDisk，需要首先执行以下操作来解决库问题：

　　ln -s /usr/lib/libntfs.so.10.0.0 /usr/lib/libntfs.so.9

　　在运行testdisk之前。在任何其他Knoppix版本下，或者从我们的下载区域获得Linux版本下，都不会出现此问题。

　　识别硬盘的设备

　　识别HDD的Linux设备

　　要列出连接的硬盘驱动器和分区，可以使用命令fdisk或lshw：

　　在大约2.6.20之后的Linux内核上，所有PATA / IDE，SATA，SCSI和USB驱动器都将显示为/ dev / sd？在哪  是分配的驱动器号。

　　以前的内核版本会将PATA / IDE显示为/ dev / hd？在哪 取决于PATA总线上的位置。

　　此恢复示例将指导您逐步完成PhotoRec，以从重新格式化的分区或损坏的文件系统中恢复已删除的文件或丢失的数据。对于丢失/删除的分区或从FAT或NTFS文件系统中删除的文件，请首先尝试使用TestDisk-通常速度更快，并且TestDisk可以检索原始文件名。欢迎将此PhotoRec手册翻译成其他语言。

　　运行PhotoRec可执行文件

　　如果尚未安装PhotoRec，则可以从TestDisk下载中下载它。从存档中提取文件，包括子目录。

　　要从硬盘，USB密钥，智能卡，CD-ROM，DVD等恢复文件，您需要足够的权限才能访问物理设备。

　　在DOS下运行 photorec.exe

　　在Windows下，testdisk-6.13/photorec_win.exe从Administrator组中的帐户启动PhotoRec（即）。在Windows  Vista或更高版本下，右键单击photorec_win.exe，然后单击Run as administrator以启动PhotoRec。

　　在Unix / Linux操作系统/ BSD，你需要以root身份运行PhotoRec（即sudo  testdisk-6.13/photorec_static）

　　要从媒体映像恢复文件，请运行

　　photorec image.dd 雕刻原始磁盘映像

　　photorec image.E01 从Encase EWF映像恢复文件

　　photorec 'image.???' 如果将Encase图像拆分为多个文件。

　　photorec '/cygdrive/d/evidence/image.???' 如果Encase映像在目录d：\  evidence中拆分为多个文件

　　应该自动检测大多数设备，包括Linux软件RAID（即/dev/md0）和使用cryptsetup，dm-crypt，LUKS或TrueCrypt（即/dev/mapper/truecrypt0）加密的文件系统。要从其他设备恢复文件，请运行photorec  device。

　　取证用户可以使用参数/log创建名为的日志文件photorec.log。它记录了PhotoRec恢复的文件的位置。

　　磁盘选择

　　列出了可用的介质。使用上/下箭头键选择保存丢失文件的磁盘。按下Enter以继续。

　　如果可用，请使用原始设备，/dev/rdisk*而不是/dev/disk*为了更快地进行数据传输。

　　源分区选择

　　选择

　　Search 选择包含丢失文件的分区以开始恢复后，

　　Options 修改选项，

　　File Opt 修改PhotoRec恢复的文件类型列表。

　　PhotoRec选项

　　Paranoid 默认情况下，将验证恢复的文件，并拒绝无效的文件。

　　bruteforce如果要恢复更多碎片的JPEG文件，请启用此选项，请注意，这是占用大量CPU的操作。

　　Allow partial last cylinder 修改确定磁盘几何形状的方式-仅应影响未分区的介质。

　　该expert  mode选项允许用户强制使用文件系统块大小和偏移量。每个文件系统都有自己的块大小（扇区大小的倍数）和偏移量（对于NTFS，exFAT，ext2 /  3/4为0），这些值在创建/格式化文件系统时是固定的。在整个磁盘（即丢失原始分区）或重新格式化的分区上工作时，如果PhotoRec发现的文件很少，则可能要尝试使用PhotoRec允许您选择的最小块大小（扇区大小）  （偏移量将使用0）。

　　启用Keep corrupted files即使文件无效也可以保留文件，以希望仍可以使用其他工具从无效文件中挽救数据。

　　Low  memory如果您的系统没有足够的内存并且在恢复期间崩溃，则启用该选项。对于高度分散的大型文件系统，可能需要使用它。除非绝对必要，否则不要使用此选项。

　　选择要恢复的文件

　　在中FileOpts，启用或禁用某些文件类型的恢复，例如，

　　PhotoRec恢复的文件格式的整个列表包含300多个文件系列，代表480多个文件扩展名。

　　文件系统类型

　　选择分区并使用验证后Search，PhotoRec需要知道如何分配数据块。除非它是ext2 / ext3 /  ext4文件系统，否则请选择Other。

　　仅雕刻分区或未分配的空间

　　PhotoRec可以从以下位置搜索文件

　　从整个分区（如果文件系统已损坏，则很有用）或

　　仅来自未分配空间（可用于ext2 / ext3 / ext4，FAT12 / FAT16 /  FAT32和NTFS）。使用此选项，仅恢复已删除的文件。

　　选择恢复文件应写入的位置

　　选择恢复文件应写入的目录。

　　要获取驱动器列表（C：，D：，E：等），请使用箭头键选择..，然后Enter按键-重复操作，直到可以选择所需的驱动器为止。Y到达预期目的地时，请使用es进行验证。

　　从外部磁盘文件系统可以在使用/media，/mnt或/run/media子目录。如有必要，安装目标驱动器。

　　来自外部磁盘的分区通常安装在中/Volumes。

　　恢复中

　　恢复的文件数实时更新。

　　在通道0中，PhotoRec搜索前10个文件以确定块大小。

　　在通道1和更高版本中，将恢复文件，包括一些碎片文件。

　　恢复的文件将写入recup_dir.1，recup_dir.2 ...子目录中。即使恢复未完成，也可以访问文件。

　　恢复完成

　　恢复完成后，将显示摘要。请注意，如果中断恢复，则下次重新启动PhotoRec时，系统将要求您恢复恢复。

　　图片中找到的缩略图另存为 t*.jpg

　　如果您选择保留损坏的文件/文件片段，它们的文件名将以字母开头b（破损）。

　　提示：查找特定文件时。按扩展名和/或日期/时间对恢复的文件进行排序。PhotoRec使用时间信息（元数据）（如果在文件头中可用）以设置文件修改时间

　　使用PhotoRec之后：整理恢复的文件或修复损坏的文件的一些想法。

　　您可能在恢复过程中已禁用实时防病毒保护，以加快恢复过程，但建议在打开恢复文件之前先对其进行扫描以查找病毒-PhotoRec可能未删除受感染的文档或特洛伊木马。