幾年前，CIH病毒肆虐，破壞了很多硬盤數據，本文講解了使用KV3000修復硬盤數據的方法，可能對于當今的硬盤來說有些過時，但對于我們來說也有一定的參考作用。

因4月26日CIH發作，使許多用戶的硬盤上的數據丟失，在這里提供一種用KV3000硬盤救護箱功能手動修復硬盤分區表和BOOT表的方法。本文以修復思路為主，雖然以被CIH破壞的硬盤為例，但修復硬盤的思路大同小異，因此其他硬盤的修復仍可采用本文的思路。

本文例子：40G硬盤，分三個區，文件格式FAT32。

現象：4月26日被CIH破壞。用戶使用其它軟件修復過，只能找到C盤，但C盤數據均為亂碼，同時，其他分區不存在。這說明硬盤分區表不正確。

修復方法如下：

一、將出問題的硬盤掛在一臺正常的計算機上。開機進入CMOS設置，檢測硬盤，若能檢測到，可以進行下步操作；若檢測不到，說明硬盤的電路板有問題，這時就需要換一塊與該硬盤同型號的電路板再進行下步操作，否則，該硬盤便無法恢復。

二、用干凈的引導盤（軟盤）啟動計算機，此時會在DOS下，用DOS命令檢查硬盤狀態（關于DOS命令可參考相關書籍）。如果的確出現本文例子中出現的"現象"，則可采用手動方法恢復。

手動恢復工具：KV3000F6功能－硬盤急救箱。

三、進入KV3000的F6急救箱后可看到第0扇區的情況。此扇區就是平常所說的"硬盤分區表"。此表中從"80"到"55AA"之間的參數記錄了硬盤的基本情況；再按下F2可查看BOOT區。

本文例子如下：（表一為硬盤分區表；表二為BOOT區I/0表）

表一：

　　　　　　　　　　　　　　　　　　　 8001　0100BFE　7F7E3F00
　　000080E2　5D000000　00000000　00000000　00000000　00000000
　　00000000　00000000　00000000　00000000　00000000　00000000
　　00000000　000055AA

表二：（標準表的第13字節開始）

        02102000　02000000　00F80000　3F00FF00　3F000000
　　62A9B400　142D0000　00000000　02000000　01000600

　?。ㄗⅲ簲?quot;字節"以表中的兩個數為一個"字節"，表中開始的字節為第"0字節"，以后以此類推，如表一中的"80"為第"0字節"，"5D"為第"14字節"。）

　　由表一可以看出，"80"和"55AA"都存在，從第12到第15字節表示了C盤的扇區數（也稱作C盤大?。?。把這個數換算成十進制以備后用；

　　80E25D00 高低換位→ 005DE280 換算為十進制（用F7）→ 6152832

　　四：用F6（搜索硬盤分區表），再按下F2＝search logical Hard，Disk partition （搜索邏輯硬盤分區表），可檢測到該硬盤的邏輯分區的情況：

　　Hard Disk　Total Sector　Total Bytes　Partition Table Sector
　　D:19.008G　37126152　　　19008589824 　6152895
　　E:19.008G　37126152　　　19008589824 　43279110
　　　　　　　　　　(表三)

　　可以看到，此表中與D相對應的Partition Table Sector:6152895。用這個數減掉63：6152895－63＝6152832，與換算出的C盤扇區數相同（第三步中算出的）。這說明0扇區中表示C盤扇區數正確，而且D盤的分區表位置也正確。將6152895換算成十六進制數以備后用：

　　6152895 換算為十六進制（用F7）→ 005DE2BF 高低換位→ BFE25D00

五、核實邏輯分區表正確性：

　　1、查找邏輯分區：按表三中的Partition Table Sector 找到6152895（D盤分區表所在扇區）和43279110（E盤分區表所在扇區），并記下兩扇區的數據，如下：

　　D：

　　　　0001　417F0BFE　BF853F00　00000880　36020000　81860FFE
　　FF120663　94024780　36020000　00000000　00000000　00000000
　　00000000　00000000　00000000　00000000　000055AA
　　　　　　　?。ū硭模?/p>

　　E：

　　　　0001　81860BFE　FF123F00　00000880　36020000　00000000
　　00000000　00000000　00000000　00000000　00000000　00000000
　　00000000　00000000　00000000　00000000　000055AA
　　　　　　　?。ū砦澹?/p>

　　可以看到，D盤分區表中表示的E盤起始位置（第18－19字節）和結束位置（第21－23字節）："8186"；"FEFF12"與E盤分區表的起始位置（第2－3字節）"8186"和結束位置"FEFF12"（第6－8字節）相同。

　　2、計算：此步中需要計算核對部分數據：

　　表四：

　?、俚?2－15字節：表示了D盤扇區數："08803602" 高低換位→ "02368008" 換算為十進制（用F7）→ 37126152，此數與表三中D：Total Sector37126152相同，說明12－15字節正確。

　?、诘?4－27字節：表示E盤分區表所在扇區："06639402" 高低換位→ "02946306" 換算為十進制（用F7）→ 43279110，此數與表三中E：Partition Table Sector：4327110相同，說明24－27字節正確。

　?、鄣?8－31字節（表示D盤之后所有邏輯分區的總扇區數。本例中D盤之后僅有E盤，因此這里表示的是E盤的扇區總數）：

　　"47803602" 高低換位→ "02368047" 換算為十進制（用F7）37126215。再看表三中E：Table Sector 37126152；該數加63為37126215?？梢钥吹奖硭闹袚Q算出的數與表三中計算出來的數相同。說明表四的28－31字節也正確。

　?。ㄗⅲ?3是DOS在分區時，在每個分區之前保留了63個扇區，這個數較固定）

　　表五：第12－15字節，表示E扇區數："08803602" 高低換位→ "02368008" 換算為十進制（用F7）→ 37126152。此數與表三中E：Total Sector：37126152相同。說明表五中的第12－15字節正確。

　　至此，由計算可得出如下結論：查看到的D、E分區表是正確的。所以之后，可以根據D、E的分區表信息，手動寫到C盤分區表的相應位置，便可恢復邏輯分區的數據。

　　六、手動修改C盤的硬盤分區表：

　　工具：KV3000中硬盤急救箱（F6）里的F5＝Edit（編輯功能）。

　　現在，再回到表一，從第16字節開始到第31字節均為零。這就是為什么只有C盤而找不到D、E的原因。現在只要將正確的參數寫到相應的位置即可恢復D、E。

　　從表四記下必要參數；

　?、俚?－3字節：D盤起始位置，寫到表一中第18－19字節處；

　　②第5－7字節：D盤結束位置，寫到表一中第21－23字節處；

　?、蹖⒌谒牟剿玫腄盤分區表位置：BFE25D00寫入表一第24－27字節；

　　④D＋E總扇區數＝37126152＋371261852＋63×2＝74252430 換算為十六進制（用F7）→ 046D008E 高低換位→ 8E006D04

　?、菰诒硪坏牡?0字節處寫入"0F"，表示邏輯分區的分區格式。"0F"表示FAT32。

　　這樣，填寫后表一第16至第31字節處，結果如下：

　　0000　417F0FFE　BF85BFE2　5D8E006D　04000000

　　這時，重新啟動計算機后，D、E的數據全部恢復。

　　七、恢復C盤數據：

　　1、看表二中第20－23字節"62A9B400"表示了C盤的扇區數，比較與表一中第12－15字節"80E25D00"不符，因表一中的數已證明是正確的，因此，表二中的數據是錯誤的，可按表一中的數據改過來：即把"62A9B400"改為"80E25D00"。

　　2、查找目錄區：用F4＝Search功能，在ASCII Value：欄中輸入"command"，回車后，光標會移到Starting Sector，輸入"1"回車，開始查找。找到后，出現"Found"字樣。按下回車查看該頁是否為目錄區。若是則記下該頁扇區數，若不是則繼續查找。目錄區最明顯的特征是可看到原來C盤中的所有目錄名，漢字為亂碼。本文例子的目錄區在第19625扇區。需做如下計算：（扇區數－63－32）/2＝（19625－63－32）/2＝9765 換算為十六進制（用F7）→ 2625 高低換位→ 2526。將所得到的"2526"與表二中第24－25字節"142D"比較，發現表二中該數錯誤。此時將"142D"改為"2526"。（FAT32如上計算，FAT16有所不同。）

　　3、重寫FAT表：（用正常的FAT2表重寫被破壞的FAT1表），按下F4＝Search，用TAB鍵切換到Hex Codes，鍵入0000F8FFFF0F（FAT表前幾個字節）回車，輸入"1"回車。找到后記下扇區數。查看該頁，在該頁的左上方開始處可看到"F8FFFF0F"幾個字節，否則，要繼續查找。本文例子：FAT2位于第9860處。退出該"查找"界面，用F3功能翻到第9860扇區。再用Ctrl+F10（寫扇區功能）。在To Write Sector 0-[ ]輸入"95"回車；跳至Write Sector Count 輸入"1500"回車，再按兩次"N"，一次"Y"。

　　在完成以上步驟后，重新用軟盤啟動計算機，此時C、D、E盤被認可，數據安全恢復。再用SYS C:傳上系統，硬盤完全恢復。

　　下面，我們總結一下修復步驟：

檢測硬盤→查看硬盤狀態→分析可能原因→檢查各分區分區表及I/O表參數是否正確→檢測邏輯分區→修改出錯的部分→修改I/0表中錯的目錄區指針→用正確的FAT2表覆蓋FAT1表→重啟，數據恢復→傳系統→殺毒→備份數據（注：第一二步中若檢測不到硬盤或無法查看硬盤信息，則說明硬件有問題或硬盤已物理損壞）

　　幾點說明：

　　1、硬盤分區表、I/0表、目錄區、FAT表均記錄了硬盤的許多信息，如果該表中的參數出現錯誤，可能造成各式各樣的情況。因此若對硬盤邏輯和物理結構或表中的數據不熟悉的情況下，千萬不要隨意改動。

　　2、在操作過程中，若沒有確實的把握，請將被改動的地方記錄下來，以備隨時恢復。

　　3、硬盤出現的問題因原因不同，萬不可一概而論，本文中所提到的方法有所限制，切不可隨意模仿。

　　4、本文中提到的數據和參數有很大的不確定性（每塊硬盤不盡相同），所以在得到一個數后，一定要反復確認后方可更改。

　　5、本文雖然以40G硬盤為例，其他大硬盤也可按文中的思路進行恢復。