硬碟修護指南(上)



硬碟壞了,大部份使用者都還是想要搶救裡面的資料。其實,一切都只是成本和價值的考量,你打算花多少代價去救你的資料呢?

Q
:請問,如果硬碟壞了,資料要如何搶救?
A
:這真是個大哉問!
我個人使用電腦的歷史也不算短,當然也碰過(無論是他人還是自己)各種大大小小的磁碟問題。不過,就我印象所及,古早以前,硬碟若是壞掉了,要修好它幾乎是不可能的事,至於想要搶救上面的資料,那就更別提了。

想清楚修理的必要性
事實上,大部分的電腦零組件都有這種「幾乎不必修理」的情形。

就我自己的感覺,電腦/電子產品特別會有「不值得修」的情況,因為:
●
電腦/電子產品的「二元」特質,使得它的進化有著「摩爾定律」的影響,使大多數的電腦/電子產品壞了,修理的成本甚至遠高於新購的成本。因此,修理還不如去買個新的算了。

比方說,你買的80GB硬碟如果用了兩年後,壞了,可那時的160GB硬碟價格已經和當初你買80GB的價格差不多,而修理費用差不多等於你新購硬碟價錢的一半,你幹麼還修理硬碟?

●
目前電腦/電子產品的進化太快,因此產商莫不以「壓低成本」作為製造產品的「金科玉律」。所謂的「用料實在」已經成為笑話,「用料不實在」才是大多數廠商的產品製造原則。

為何會這樣?原因無他,市場供需原理造就的情形而已,因此大多產品耐用度很低,就算故障了也不值得修理,也不容易修理,而產品本身的設計也不用考慮「易於維修」這個原則,因為那會造成成本提高。

不過,硬碟的維修問題就牽涉複雜多了。

因為,電腦的其他零件壞了,買個新的來替換也就罷了,但是硬碟壞了,硬碟本身的維修似乎並沒有必要。但上面的資料呢?你可以就讓它「隨風而逝」?

如今,隨著電腦的使用越來越普及,硬碟資料搶救漸漸成為一門「學問」,只是,資料可否搶救?能搶救多少?是一個一長串的「流程」問題。而且到底結果如何,又和搶救者的專業程度是「極專業」、「半專業」或是「不專業」有關。

因此,我們這期就來探討各種「極專業」、「半專業」和「不專業」的硬碟維修問題吧!

不專業硬碟搶救者的作法
硬碟壞了你會怎麼辦?一般人都會想到:「可以找公司內的MIS?」「找鄰居的電腦高手?」「找強者我同學!」不管找誰,大家都希望這些人能夠如同「激流中的浮木,黑夜中的明燈」一般,幫你把硬碟搞定。

不過,「不專業硬碟搶救者」通常都會把問題「自動窄化」,然後用自己僅知的方法去試驗,試著去救助這臺壞掉的硬碟。

不過,大多數不專業使用者用的方法,就像是瞎貓碰到死耗子一樣,不能說一定不會成功,因為瞎貓碰到死耗子的機率不能說一定是0,而且這樣做至少有「成本很 低」的優勢──只是,也只有這個優勢了!所以,如果你認識「MIS、電腦高手,或是強者我同學」,這樣做也是一個辦法。成本低是低,但是能否救回你硬碟的 資料,成功機率也同樣是低。瞎貓會不會碰到死耗子?我想,如果瞎貓的夜路走得夠多,應該也是有機會和死耗子打聲招呼。

對於一般的企業而言,伺服器、RAID系統的硬碟,要是出現損壞,那問題就更大了。一般的非專業人士來處理這種狀況,肯定是要越弄越糟的。所以,這種事情還是建議交給專家來處理。

除非,你的資料一點價值都沒有。

專業硬碟資料救援公司的作法
好的,既然非專業人士不可靠,那真的碰到「大事」,找「專業硬碟資料救援公司」的狀況又是如何呢?

簡單來說,專業硬碟資料救援公司可以用四個字總括:「花錢消災」。你付給這類公司足夠的酬金,並換取硬碟損壞後「必要的專業級對待」。如果運氣夠好,重要資料可以被悉數救回,可說是皆大歡喜,不幸中的大幸了!

這類公司的作法為何?前幾期提過,硬碟的本身的結構複雜,分為「硬體結構」和「軟體結構」。因此,專業級的硬碟資料救援公司也針對這兩種結構的硬碟損壞,有著對應的專業設備和專業人材:
●
專業公司之所以專業的部份
硬碟機的內部有著磁臂、碟片、電路、馬達等機構,一般人無從判斷是哪個部份受損,也就無從修起。專業級的公司可以判斷硬碟的哪裡壞掉,並找到合宜 的零件設法修復。其中,最重要的重點就是:碟片、磁臂等硬碟內部無塵密封的部份,這類專業公司備有重金打造的「無塵室」可以「開封」並加以處理之。一般的 個人再怎麼厲害,也不可能弄間無塵室來修理硬碟吧!

除此之外,就算你可以把硬碟「硬拆開」──那又怎樣?拆開了你也無法解決這類的硬體問題的!碟片的損毀,磁臂的彎曲,電路的問題,都不是一般人的專業知識所能理解,這都得靠專業工程師來「妙手回春,起死回生」。

此外,硬碟的硬體損壞後,造成的檔案系統、檔案內容的問題,或是RAID系統的操作、維護問題,這些都是「牽一髮,動全身」的連動操作,一般人不是很懂,亂操作只是會造成無法復原的傷害──本來有救的,都搞成沒救了。

有些人可能會想到說,「『硬碟的原廠』會不會願意幫忙維修它賣的硬碟,並且拯救資料啊?」各位請放心──絕對沒可能的,你想都別想,「Don't Even Think About It!」所以,找專業硬碟資料救援公司,可說是最保險(但成本也是最高)的方法了。

●
硬碟的專業救援流程
出問題的硬碟送到專業的硬碟資料救援公司,他們一般會先經過簡單的檢測,並評估是否有把握處理這硬碟的問題。如果評估後,你送修的硬碟是可以檢修的,救援公司會列出他們找回的硬碟檔案列表,給使用者瀏覽。

如果使用者覺得,這份列表裡面的檔案,並沒有自己「非救不可」的資料,那可以宣告放棄,這類專業救援公司也就只收檢測費用(檢測費用通常不高,千元左右)。如果硬碟損壞的狀況連專業救援公司也沒把握,那也是一樣,他們也就只收檢測費用了。

如果硬碟資料救援公司有把握救援該硬碟,而列表中的檔案也有使用者極重要的資料,那該公司通常會提供合約和報價(金額通常就頗高,萬元左右到數萬元以上不等,視維修的複雜程度而定),待使用者簽約後,才會進入維修的標準流程。

此時,救援公司會請使用者提供一臺「空白」的硬碟(當然他們也可以「代購」,反正硬碟的費用這時只能算是「小錢」了吧!),準備用來儲存救援成功 (如果有救起來)的資料。而不是隨意亂整已經出問題的硬碟,以免「讓事態擴大到無法收拾」的局面。拯救起來的資料,也會請客戶親自驗收,確定資料正確無誤 後,才請客戶簽字並取件。雖然價格很高,但走到維修這步,花錢消災實在已經是不得不為之的啊!花錢事小,災禍有消就好。不要弄到你連想花錢,都找不到人維 修那才糟糕。

上述硬碟專業維修的過程,大致參考本人自己曾送往「凌威科技(網址:www.linwei.com.tw)」維修硬碟的經驗而寫,雖不代表所有專 業硬碟資料救援公司的作法都一樣,但是應該有很高的參考價值。就我個人本身的經驗而言,凌威公司的專業程度相當高,如果他們都說「這硬碟沒救了」,那大概 就真的沒救了。我個人只送修過一次別人的硬碟,至少是救起了許多重要的資料,可說是絕對值得。「硬碟,不過千把塊的價錢;但是回憶的價值──無價!」

半專業手法搶救硬碟
底下的「半專業手法搶救硬碟」的介紹,根據的是我本人「家裡敦式」的硬碟維修個人經驗談。我會說我自己是「半專業手法搶救硬碟」,是因為,雖然本 人大致了解硬碟的原理,也自認「會操作適當的工具軟體」,但我也不敢保證能把所有硬碟問題都解決。因為,有太多硬碟的問題是嚴重的硬體損毀問題,這類問題 就只能往專業硬碟救援公司送了。就因為我每樣都只懂一點皮毛,所以我最多最多只能稱之為半專業,而且這半專業是比較接近「不專業」,而離「專業」的那一 邊,還遠得很。

本人會採取的流程大致如下:

如果電腦已經抓不到硬碟了,就是俗稱的「BIOS抓不到硬碟了」,這可能是硬碟的電路板出問題了。如果硬碟發出巨大的異聲,那應該硬碟內部產生了 嚴重的損壞。這幾種問題發生的話,基本上你可以準備扔了你的硬碟。當然,如果你的資料要搶救,那請送專業硬碟救援公司,本人對這種問題絕對沒辦法處理。

若電腦還抓得到硬碟,但Windows作業系統無法從這臺硬碟啟動,那這「有可能」只是硬碟產生了「輕微的磁區損傷」而已。好,那這個是我唯一會使用「適當軟體」,並有成功救援過的硬碟問題。如果是這種狀況,我大多會採取兩段式的救援步驟:「硬體救援」和「軟體救援」。

現代硬碟都具備「自我檢測能力」
輕微的硬碟磁區損傷,可以用某些軟體來試著修理。「怎麼可能用『軟體』來修理『硬體』?」我曾碰過有人用「嗤之以鼻」的態度,向我表示出對這種事 「不可思議」以及「不能認同」,不過,我必須強調:用軟體修理硬碟是確實是可行的──只要硬碟的問題,是在它本身的設計「可以自癒」的範圍以內,就可以。

對,硬碟因為容易出問題,所以它在設計之初,確實設計了很多「自我檢測」和「自我療癒」的機制,所以才可以用軟體去處置、去修復,也因此「用軟體修理硬碟」才有其可能。

硬碟自我檢測的機制稱為「S.M.A.R.T.」,也就是Self-Monitoring, Analysis, and Reporting Technology,或可翻譯成「自我監測、分析及報告技術」,據說可以用來提供「硬碟壞掉前的警告」之用。不過,顯然這技術還不夠好,所以硬碟出問題 的情況還是時有所聞。

不過,如果你的BIOS有支援S.M.A.R.T.的「開關」,建議可以開啟之,當主機板偵測到硬碟報告「我有問題」的時候(開機時,BIOS畫面上會顯示S.M.A.R.T.的警告訊息),趕快把硬碟上的資料備份起來以後,並更換硬碟(同時要感謝天主垂憐你的資料)。

但是,這是利用BIOS內建的S.M.A.R.T.功能而已,對問題的偵測不夠主動。有一些軟體可以安裝在Windows底下,成為一個監控硬碟 「健康狀態」的常駐程式。比方說,其中一套稱為「Hard Drive Inspector Professional」的程式,就可以利用S.M.A.R.T.技術,提醒使用者「硬碟有問題了」。

不過,要我說的話,這類軟體雖有必要,但使用者「完整備份」絕對是更加必要。硬碟是機械裝置,說壞就壞,這類軟體只是輔助,並非「絕對沒問題」的 保證。不過,至少這類軟體可以監測硬碟的溫度,並適時提出警告。這就像買保險,「你不一定用得到,但買了總是多一分保障」。(關於硬碟檢測和維護的內容介 紹,下期待續)

如果你對電腦的興趣已經越過了「使用」的邊界而來到了「想要更加理解」的境界,也許本欄的內容可以提供你一個參考的方向。

硬碟出問題了要怎辦?我的建議是:先排除硬體部份的問題,再排除檔案系統的問題,最後才可以救回你的資料。這期,簡單介紹「硬體部份」的處理流程。

Q
:請問,如果硬碟壞了,Windows無法登入,且裡面的重要資料沒有備份,請問資料要如何搶救?

A
:硬碟壞了,但是裡面有重要資料要搶救,上期已經簡介了「花錢消災法」,你可以把硬碟送到專業的救援公司去搶救,這樣做既省事又安全,至少資料搶救回來 的機率比較高。但是,如果你還沒打算花錢,還想要「自己用半專業/不專業的方法試試看」。好,我也不阻止你,你確定要幹的話,這裡給你一些「流程上的建 議」。

我個人的建議的流程分兩個部份:先排除硬體部份的問題,再排除檔案系統的問題。這一期,我們把焦點集中在硬體部份即可。

硬碟的硬體解修的流程圖
硬碟出問題,不管怎樣,你得要「排除」硬體上各種可能的問題。
但是硬碟並不像人體有著億萬個神經感應器,相反地,硬碟出問題了,你根本是完全不知道問題在哪裡,所以你只能試著先把問題隔離,縮小範圍,再各個擊破(divide & conquer)。也就是說,你得先確定硬碟的硬體部份一點問題都沒有,才能進行檔案的搶救。
只要一個小小的損壞磁區(defeat),都可以造成你的搶救徒勞無功、一事無成或是事倍功半。

請參考《硬碟的硬體檢修流程圖》。



硬碟的硬體救援方法
看過流程圖之後,對裡面的幾個關鍵步驟做一些說明。

首先,即使你真的不想花錢,但是你得先知道,當你碰到一些「無論如何你都無法處理的問題」之時,還是得送到專業的硬碟救援公司搶救資料。像是你聽到硬碟「發出巨大的聲響」或是「硬碟根本抓不到了」,這些問題大多不是半專業/不專業人士可以幫上忙的。

至於輕微的磁區損傷,現代硬碟本來就有所謂的「Auto-Relocation」能力,可以把壞掉的磁區用備用空白磁區代換掉,並把原先錯誤磁區的編號指向正確的、替換用的空白磁區(spare)。

不過,硬碟內建的「替換」手法很陽春,大多就只是,把壞的磁區「不分青紅皂白」給替換掉。問題是,這類壞掉的磁區上頭,可能只是部份損壞,上面還有重要的資料。若遭到這樣替換磁區的狀況,會有意想不到的問題。

更麻煩的是:雖然有這種自癒能力,但硬碟並不一定會自動啟動這功能,因此常見的情況就是,你的Windows就卡死了,或是不斷的出現所謂的 「Blue Screen(藍畫面)」。是的,我得說,其實Windows有時也背了很多黑鍋(因為畫面是藍色的,所以也稱為「藍鍋」好了),因為不一定全是 Windows的錯,硬碟(或是其他硬體)出錯的機會也相當多,但反正都會造成Windows的問題,所以全都怪在Windows頭上好了,可憐的 Windows啊!因為這種硬碟磁區輕微損毀並不一定會自動自癒,而損壞磁區上面的資料又說不定恰好是Windows載入的必要檔案,因此只要這問題你不 排除,每次開機Windows都還是當機。

因此,通常碰到Blue Screen,「有點專業但不太專業」的高手的建議通常就是「重灌!」

問題是,重灌不是萬靈丹,你要是不解決硬碟磁區損傷的問題,重灌你的Windows保證還是當機,因為硬碟的壞磁區不知道又換了哪個檔案存上去,重灌又有何用?問題沒有解決,只是問題的樣子可能不一樣了!你愛重灌是吧!搞死你!

這時,我建議可以找兩套不錯的「硬碟檢修軟體」試試看。

好用的硬碟檢修軟體介紹
輕微磁區的損壞,市面上廣為人知的其中一套軟體稱為「HDD Regenerator」。這套軟體最新版(1.51)售價為59.59美元,你可以到www.dposoft.net去下載試用版。就我使用的經驗而 言,這軟體是有效的,但它也有優點和缺點,而且這兩點其實是同一點:使用它不需要什麼專業知識,只要執行這軟體,然後它就試著幫你修復硬碟的問題。它的介 面也相當單純,你看到的就只是一個「進度棒」,顯示了這軟體執行修復的進度,你幾乎啥也都不用選,就讓它「去做」就對了!

對我而言,我比較喜歡另一套軟體。這套軟體更知名,我在DOS時代就知道它了,只是那時沒有Internet,你想買這軟體也買不到。這軟體稱為 SpinRite,由Gibson Research公司發行(www.grc.com),最新的6.0版售價為89美元,但這套軟體並沒有試用版,所以你除了買一套來使用之外,並沒有其他 的試用方法。

SpinRite
這軟體可以從它所能觸及,最底層的、最核心的部份去控制硬碟,因此它可以操縱硬碟的許多內部的、核心的功能。舉例來說,它會先關 閉硬碟的「Auto-Relocation」,然後地毯式的檢查硬碟的磁區表面;如果發現了損壞的磁區,它會使用獨特的技術,反覆的讀取輕微損傷磁區的內 容,並儘可能的把資料修復、救援之後,把資料寫到備份磁區裡面,並把有問題的磁區標註為「損壞」以避免日後又被誤用。

SpinRite的執行畫面
SpinRite
可以檢修硬碟的表面,並標注硬碟磁區的狀況,遇到磁區的問題,會設法修復上面的資料,並將資料移到安全的地方。



不過,這軟體是個DOS軟體,而且只有英文版,因此操作者還真的得多少懂一點英文,也得大致了解「你在幹麼」。舉例來說,它修復硬碟的層級就有五 種,常用的是Level 2和Level 4,你還得判斷何時用Level 2(快速的磁碟修復)和Level 4(找出潛在的問題磁區並修復)。如果你不太懂英文,那恐怕會用得有點痛苦。

你問我「Level 1、Level 3和Level 5要幹麼用?」呵呵,自己去研究吧!

還可以用來保養硬碟,延長硬碟壽命和穩定性
這軟體的另一個有趣之處,是它以前所宣稱的「硬碟保養」能力。

以Level 4而言,SpinRite宣稱「硬碟的磁性物質仍會『隨時間而遞減效能』」。當然這種遞減不是快速的衰敗,但仍有其危險性。因此,「定期」用 SpinRite將硬碟磁區做所謂的「維護性保養」據說是有必要的。所以,如果你定期用這軟體檢修硬碟,據稱可以讓資料更安全、更穩定。

我個人無法驗證這種說法是否絕對正確,但我個人是會用這軟體保養有點年紀的硬碟(使用Level 4進行硬碟的地毯式資料維護)卻是事實。此外,這種軟體一樣也是無法保證你硬碟的絕對有救,但就我個人的硬碟維修經驗而言,40%的硬碟是屬於我絕對無法 處理的硬體損壞,但另外的60%,就全靠SpinRite來維修了,我個人是「誠摯推薦」這軟體可以採購(如果你有需要的話),因為它真的有效!不過,我 也會再說一遍,硬碟要是壞了,任何維修都只是治標,備份才是治本之道。

獨特的DynaStat技術
遇到硬碟磁區的資料已經出現問題,SpinRite使用一種名為「DynaStat」的資料復原技術,設法將問題減到最低,讓損壞磁區上的資料能夠盡量被救回。



使用SpinRite的一些建議事項
另外一個這軟體的操作注意事項是:SpinRite也會利用硬碟的S.M.A.R.T.功能,因此我會建議,當你要維修硬碟時,硬碟最好接在「晶片組原生的IDE/SATA介面」上。

什麼意思?

比方說,如果你的主機板是Intel晶片組(例如945、965之類的),且要維護IDE硬碟,那這硬碟就建議不要安裝在其他的RAID晶片或是 RAID介面卡上的IDE埠,最好就使用Intel原生的ICH南橋晶片會比較好,S.M.A.R.T.訊息才可以正確被SpinRite辨認。同樣的, 如果你要維護SATA硬碟,也是使用原生的南橋晶片上的SATA埠(而暫時不要使用其他協力廠商晶片的SATA埠),SpinRite才會比較有效的運 作。

不過,這軟體是否有效?有時損壞磁區的狀況不好,可能要修個三、五天都還沒有結束(我用Level 4,最高紀錄修理過七天)。因為,損壞磁區或是不穩定磁區的修復,過程是相當複雜的。如果只是用Level 4進行硬碟的保養,容量大點的硬碟有時也要個十幾個小時也說不一定。不過,SpinRite修理過後,有時檔案就完全復原了(請準備好香檳,謝謝),甚至 連Windows系統都像沒事一樣。但是,有時還得要進行進一步的「檔案系統的軟體維修」。

本期結語:硬體維修實在是「不可為而為之」的最後一步
這期的維修流程應該可以讓你驚訝,「原來『不太專業的維修步驟』就這麼複雜啊!」是啊!天下可沒有白吃的午餐,維修的成本真的是很高的,尤其是時間成本。

但是,如果你資料有備份,即使硬碟的硬體壞掉,事情還是很簡單,你只要選擇「還在保固期內,那拿去換新的」或是「扔掉」即可。但是硬碟上面有資料,工程可就浩大了。

而且,就算你排除了硬碟的硬體部份問題,檔案系統可能也毀了(無論是全毀還是半毀),這時你又要進行更浩大的工程:檔案系統的維修。

下周請繼續收看,謝謝。

IT自救術─硬碟損壞時的資料回復之道(下) 文/嚴立群 (記者) 2008-04-17

硬碟的硬體方面故障排除後,檔案系統的問題才正式浮上檯面。如果你操作得當,大部分「原本已經消失」的檔案,都可能可以被救回來。

Q
:請問,如果硬碟壞了,Windows無法登入,且裡面的重要資料沒有備份,請問要如何搶救?
A
:請各位一定要記住:要搶救資料,要先排除硬體問題,再來解決檔案系統的問題才行,次序不可錯亂,不然你是救不到檔案的。

因此,上期本欄已經先簡述了硬碟的硬體故障排除的方法。如果硬碟的硬體部份確定沒問題之後,就可以把問題的範圍縮小到「檔案系統」的部份。我個人的作法, 在排除了硬碟的硬體問題(尤其是不嚴重的磁區損壞問題)之後,通常會接起來看看硬碟的內容。一般而言,這時硬碟裡面的檔案,依「系統的損壞嚴重程度」會有 三種狀況。

最輕度狀況:硬碟修好後「幾乎像是」沒事一樣
這是最好的情形,在此簡單描述一下事情可能的發生情況。

某年某月某一天,一個月黑風高的夜晚,在我上一份工作的地方,樓上同事把硬碟拔下來找我,說他的Windows進不去了,但是他同單位的同仁都在忙截稿(還真忙啊!),沒人有空幫他看看(真是沒有同事愛啊!),但是他又急著要工作,於是來請我幫他看看。

是,這時我二話不說,找了一臺電腦把硬碟裝起來,用開機光碟執行SpinRite進行Level 2的修復工作。運氣不錯,僅有一個損壞磁區,不僅檢修速度相當快,而且問題不嚴重,一修好之後就拿回原電腦安裝並開機,系統一切如常。

不過,我得強調,不是每個人都這麼幸運。我也不斷的跟硬碟的主人表示:檔案仍然要趕快備份,因為,磁區損壞的原因不明,有的磁區損壞還會「長大」,現在修好了也只是暫時的狀況,硬碟上了年紀之後問題只會越來越多。

中等程度損壞:檔案系統「看起來」沒問題,但是檔案「複製不能」
如果你記得多期以前的本欄內容,那你應該會記得:檔案系統是一個「鍊結串列」的系統,檔案內容和檔案名稱其實是分離的結構,經由一個鍊結串列表而連結起來。

因此,當你用檔案總管「看到」檔案,並不代表這檔案就「存在」、「正常」且「可以讀取」。

你沒看錯。

當你用檔案總管「看到」檔案,並不代表這檔案就「存在」、「正常」且「可以讀取」。事實上,很多人都會覺得「電腦不穩定」,「電腦怪怪的」,會有這種情況,「檔案系統隱藏著看不見的問題」可說是很重要的一個原因。

因為檔案總管看到的只是一份「檔案列表」,使用者看得到檔案列表,就誤以為檔案就該好端端的在硬碟裡面──不是的,完全不是這麼一回事。

在此舉兩個例子給大家參考:當你用Word開啟文件,正存檔時──電腦斷電而當機。請注意,假設你檔案真的只存到一半,下次開機時,這檔案會是什 麼狀況?又或者,硬碟的硬體問題雖然已經排除,但檔案的「內容」確實因為損壞的磁區而受到損傷,那即使你看得到檔案名稱,但是檔案內容也都還是完好無缺?

因此,各位親愛的讀者,看到這裡,一定要記得一個結論:硬碟是一個精巧而脆弱的系統,檔案系統是一個精巧而脆弱的系統,無論如何,都不要以為它的「正常運 作」是理所當然──才怪,硬碟這東西就像是去西天取經的唐三藏,是「步步有難,處處該災」。所以,當檔案列表「看起來正常」的時候,只不過是表面上的假象 罷了。

解決這種問題,很簡單,使用Windows內建的「磁碟檢查」工具即可,請參考下面的介紹。

請愛用「磁碟檢查工具」
執行「磁碟檢查工具」之前,另一個重要的概念是:Windows沒法「完整檢查」它系統「正在運作中」的磁碟。

比方說,如果你的Windows XP/Vista安裝在C:磁碟上,那你就「不能」完整檢查C:磁碟,系統不會允許的。但如果你想要檢查D:、E:磁碟等其他非系統磁碟,則「可能」可以。

所以,如果你打算做完整的磁碟檢查,你有兩個選擇:
●
待檢查的硬碟不得是系統碟
●
可使用Windows的「命令列模式」掃描硬碟

無論你的選擇是什麼,步驟是類似的,請看以下說明:

1.
開啟「檔案總管」或「我的電腦」,在你要檢修的硬碟圖示上按滑鼠右鍵後選「內容」。

2.
點選「工具」標籤後,在「檢查錯誤」區塊中按下「立即檢查」按鈕。



3.
這是關鍵,如果你要「完整檢修」硬碟,請將「自動修正檔案系統錯誤」和「掃描和嘗試恢復損毀的磁區」這兩個選項都勾選,並且按下「開始」。



4.
如果待檢修的是系統磁碟,或者Windows無法卸載這臺硬碟,這時會有一個對話盒跳出來,提示你「下次開機時再執行磁碟檢查工作」。這是唯一的辦法,因此請按下「是」並重新開機。

照步驟完成並重新開機後,Windows將在命令列下執行適當的工具(CHKDSK),然後徹底檢修硬碟的檔案系統。這個步驟可能會耗費非常長的 時間(尤其當你的硬碟容量很大檔案很多的時候),因此這也是你最好是睡覺前做的事情。老實說,你睡醒了,檢修工作可能都還沒有完成,請耐心讓它做,反正你 也不用看著它檢修,你可以去看星光大道、和異性朋友出去玩(當然如果是同性朋友也無妨)或是去玩你另一臺電腦(如果你有不只一臺電腦的話)。我曾碰過電腦 做了非常久的檢修之後,但最終……還是完成了這艱鉅的工作。

檢修好之後,Windows將會重新開機,並停留在Windows的登入畫面,使用者此時就可以再去試著開啟檔案,看看檔案內容是否正常。如果這樣還不能解決檔案系統的問題,那就要求助更複雜的工具了。

嚴重程度損壞:檔案系統完全看不見,或是檔案被誤刪且清除了
如果你的硬碟經過「硬體檢修且排除故障」之後,但接到別的電腦上的情況很慘,裡面的檔案根本看不到,Windows系統或是檔案總管根本無法辨認你的硬碟。最恐怖的甚至是:Windows跳出一個畫面,說你的硬碟還沒有格式化,問你要不要格式化?

又或者,你已經把你的硬碟檔案給刪掉了,甚至是已經格式化了(format),又甚至是你已經使用了所謂的「硬碟分區工具」將硬碟重新分區後,才發現自己做錯事情了……原來硬碟上面還有八百年前你舊情人寫給你的情書,但你卻還念舊情不想殺掉情書──這時你該怎麼辦?

如果你的檔案已經看不見了,再強調一遍,那只是「檔案總管」不能顯示檔名,但「也許」檔案內容還在。

只是「也許」喔!也許。

那怎麼辦?

為了解決這千萬分之一的也許,有很多工具可以用,在介紹用法之前,先介紹檢修的概念。

一定要準備另外一個空間儲存「復原的結果」
上面所講的各種「災害」,包括了「硬體損毀造成的檔案遺失」、「檔案系統的嚴重損害」、「檔案誤刪並清空」、「磁碟被格式化」或是「磁碟被重新分 區」,這些災害發生後,我們雖然可以假設「檔案的內容還在」,但為了不要讓災害擴大,所有的這類工具都不可能讓你把「救回」的檔案寫回原來的硬碟。因為, 該硬碟是否能正常存取都有疑問,而且你若把救回的檔案回存,可能就把你「其他待救」的檔案內容給毀了。

所以,一定要準備一個空間,可以是其他硬碟,也可以是其他硬碟分割區──只要你能確定操作無誤即可。

救回檔案的機率並不是百分之百
如果你的硬碟出了問題,那就該立刻救援,不要用錯誤的方式去處理,不然「能救」都會變成「死機」。比方說,如果上面有重要資料的硬碟,你又用其他 的資料蓋掉了待救的資料內容,那之前的資料要救回來就幾乎不可能了。又比方說,如果資料存放的磁區已經大規模損壞,那檔案被救回的機率也就幾乎等於零,你 想要救回檔案也是強求不來。

轉自IThome



基本電腦鑑識指南


心懷不軌的人利用電腦進行非法活動的方法不勝枚舉,舉凡攻擊電腦、洩漏交易秘密、釋放新病毒、使用網路釣魚郵件來偷竊私人資訊等都是。而新的攻擊方法 和技巧也時有所聞,但是利用電腦來調查這類活動的方法就比較少見了。

雖然有些調查工作必須仰賴經過專業訓練的專家,使用昂貴的工具和複雜的技術,但是基本的調查和分析工作,只要採用簡單好用且價格便宜的方法就可以了。本文將著重介紹方便主流系統管理員 (就是您) 存取的各種電腦鑑識技術。

討論過程則藉由兩個免費下載的解決方案加速器協助完成,下載網址如下:《Windows 基本電腦調查指南》(go.microsoft.com/fwlink/?LinkId=80344) 和惡意程式碼移除工具之入門套件 (go.microsoft.com/fwlink/?LinkId=93103)。本文將告訴您如何結合這兩個解決方案,共同建置開機用的 Windows® PE 環境,讓您有效展開調查,並將發現結果保存起來作為報告及分析之用。請注意,此處所討論的方法,不能用來調查經過加密或屬於 RAID 磁碟區一部分的硬碟。而且萬一硬碟已經損毀,則必須事先執行其他步驟來還原它的狀態。

雖然我們的解決方案可以提出一套方便您從 Windows 電腦收集證據的方法,但它只是基本、臨機操作的方法而已。如果要更有效的執行此處所述的工作,可以採用市面上販售的幾種較複雜的解決方案。

另外還要注意的一點是,此處所討論的技術既不是保證有效的解決方案,也沒有經過國際電腦鑑識人員協會的認證。所以在調查之前,最好先考量一下硬碟上的證據是否可能成為法律訴訟的一部分。如果有這個可能,最好能夠安排專業認證的電腦鑑識人員來進行調查。另外您也必須考量是否要根據任何可能的法律訴訟種類,將調查工作直接移交給執法人員。其他相關資訊,請參閱《Windows 基本電腦調查指南》。


《Windows 基本電腦調查指南》探討的是進行內部電腦調查所用的程序和工具。它概略敘述了電腦調查模型的四個階段:評估、獲取、分析和報告。這是一套實用的模型,可幫助 IT 專家在進行調查的同時,保存重要的發現。

本 指南還將探討在哪些情況下需要執法人員的介入 — 在這種情況下作決定時,應該請法律顧問參與。您可以找到如何管理與電腦有關的犯罪、如何聯絡適當的執法機關,以及能夠協助調查工作的 Windows Sysinternals 工具和其他 Windows 工具等相關資訊。

本 文參考的另一個解決方案快速器 ─ 惡意程式碼移除工具之入門套件,則提供相關的指導方針,告訴我們如何建置和使用開機用的 Windows PE CD-ROM,來移除電腦上的惡意程式碼。本指南提出一份威脅清單及部分防護之道,協助降低它們對公司可能產生的衝擊,同時也強調開發事件因應計劃的重要 性,一旦發現可疑的惡意程式碼時,即可派上用場。惡意程式碼移除工具之入門套件還包括一套 4 階段的方法,幫助 IT 專家判斷所牽涉的惡意程式碼本質、遏制它們擴散、儘可能將它們移除、驗證它們已經移除,並且在必要時繼續下一步驟。

Windows PE CD-ROM

執行這類調查有兩個先決條件:Windows PE CD-ROM 和外部存放裝置,例如 USB 快閃磁碟。

您可能看過不少電視節目,知道警員應該將犯罪現場保持現狀。同樣的道理,您也應該將您在調查的資料保留在硬碟上。只不過我們所建置的 Windows PE 開機光碟片在執行工具時,並不會修改硬碟資料,這一點跟惡意程式碼移除工具之入門套件不同。

利 用 Windows PE 光碟片開機之後,會進入一個受限的 Windows 環境。當您建立這張開機光碟時,可以加入針對特殊目的事先設定的工具 (例如,惡意程式碼移除工具之入門套件中的工具)。請注意,電腦至少要具備 512MB 的 RAM 才行 — 這是 Windows PE 的需求。

建 立 Windows PE CD-ROM 的程序相當直接了當,相關細節請參閱<惡意程式碼移除工具之入門套件>。建立這張開機光碟片之前,必須先安裝 Windows 自動化安裝套件 (AIK)、Sysinternals Suite (可在 microsoft.com/technet/sysinternals/utilities/sysinternalssuite.mspx 取得),將 Sysinternals 工具放在惡意程式碼移除工具之入門套件第二項工作所述的工具清單中,然後再安裝其他惡意程式碼掃瞄工具和公用程式。有關建立光碟片的詳細指示,請使用<惡 意程式碼移除工具之入門套件>文件中所述的步驟。

USB 外接磁碟

這 個程序不會更改您要調查的磁碟機,因此您還要另外準備一個 USB 隨身碟或其他種類的外接硬碟,以便儲存所產生的輸出檔案 (建議使用 USB 隨身碟,因為 Windows PE 可以自動掛接 USB 裝置)。您也可以使用外部硬碟機來存放原始硬碟機的影像。正因為有這些需求和選擇的關係,您必須事先進行規劃,將調查所需的總磁碟空間列入考量。

您想要確定套件在調查開始時是空的,因此必須把儲存調查檔案所用的外部磁碟機當中,所有之前的資料完全移除。這個動作只要利用磁碟清除公用程式覆寫整個可寫入磁碟機表面,就可以輕鬆辦到。必要時,可以再將外部磁碟格式化,並且標示作為調查之用。此舉是為了確保裝置不含任何可能污染您在調查期間所收集之證據的檔案。

另 外最好也能加入監管鏈表,這麼一來就有一份官方記錄,記載整個調查期間由誰負責處理電腦了。《Windows 基本電腦調查指南》附有監管鏈表範例供您參考。完成包裝套件後 (此套件包含必要了的 Windows PE 開機光碟片、外部存放裝置和監管鏈表),就可以著手進行調查工作了。

進行調查

現 在您已經準備就緒,可以著手展開調查了。首先,請使用 Windows PE 光碟片啟動可疑的系統,確定電腦的開機順序是將 CD-ROM 光碟機視為主要開機裝置。當畫面出現提示時,請按下任何按鍵,完成從 CD-ROM 開機的程序。這時候,您就有權存取您安裝在光碟片上的工具了。

我 們將在測試機器上使用套件,示範從電腦 (我們將它稱為 Testbox1) 收集資訊的程序。Testbox1 上所指派的光碟機是 X:\,而提供給惡意程式碼移除工具之入門套件工具的預設位置是 X:\tools。若要存取套件內的工具,只要輸入:cd \tools 即可。

您 可以利用幾種工具,識別掛接在電腦上的目標磁碟機。而位於 Sysinternals 工具目錄的 Bginfo.exe 正可提供這項資訊,並將它放在桌面上的背景視窗內,以方便您參考。磁碟機管理員也可以識別電腦上所有的磁碟機,包括目標硬碟機和外部 USB 裝置。[圖 1] 所顯示的是 Testbox1 的磁碟資訊。開機磁碟機是 X:\,目標硬碟機是 C:\,而我們的外部 USB 磁碟機是 F:\。


Figure 1 Viewing disk information with Drive Manager
找出惡意程式碼

在開始調查之前,必須先執行防惡意程式碼工具,以確保調查工作不受到病毒或其他惡意程式碼的染指。必要時,還可以把防惡意程式碼工具所產生的報告作為證據。要是不檢查電腦是否含有惡意程式碼,不僅危及調查,也會降低鑑識人員調查準確性的可信度。我們建議您以唯讀或報告模式,執行它所提供的防惡意程式碼工具。

<惡意程式碼移除工具之入門套件>討論了幾項建議工具,其中包括惡意軟體移除工具和 McAfee AVERT Stinger。執行惡意軟體移除工具時,務必加入 /N 命令列選項,表示工具只報告惡意程式碼,而不會移除它。

x:\tools\windows-KB890830-v1.29.exe /N

得出的報告檔案將置於 %windir%\debug\mrt.log 中。

同樣的,在執行 McAfee AVERT Stinger 時,請將喜好設定改為 [僅產生報告 (Report only)],如 [圖 2] 所示,這樣它只會掃瞄電腦,但不會對硬碟做任何變更。另外,掃瞄完成時,一定要從工具儲存報告。


Figure 2 Use Report only mode in McAfee AVERT Stinger
儲存重要檔案

如果在調查之前未將整個磁碟備份,至少應該備份重要的使用者檔案。必要時,也可以將設定資訊作為日後複閱之用。開始時,請先收集登錄檔和設定,其中包含電腦的用途,以及系統所安裝的軟體等所有相關資訊。

為了儲存 Testbox1 的登錄 Hive,我們首先在卸除式 F:\ 磁碟機上建立一個資料夾,然後在開始進行調查時,以下列命令記錄日期和時間:

f:Mkdir f:\evidence_files Date /t >> f:\evidence_files\Evidence_start.txt Time /t >> f:\evidence_files\Evidence_start.txt

接下來我們再以 xcopy 命令儲存登錄 Hive,複製整個設定目錄及其內容。您感興趣的登錄檔就位於 %windows%\system32\config 下。在本例當中,我們要執行的命令如下:

xcopy c:\windows\system32\config\*.* f:\registrybkup /s /e /k /v

這個命令會複製 config 資料夾中所有的設定資訊。Textbox1 的 config 資料夾大約含有 95MB 的資訊。

接下來就是使用者資料了,硬碟的任何地方都有可能存有使用者資料。不過在本例當中,我們只複製 c:\HR 這個目錄的資料。為了確保資料完整收集,我們以下面這個 xcopy 命令來複製目錄及其子目錄中所有的資料:

Mkdir f:\evidence_files\HR_Evidence Mkdir f:\evidence_files\documents_and_settings Mkdir f:\evidence_files\users xcopy c:\HR\*.* f:\evidence_files\HR_Evidence /s /e /k /v

接下來是個人資料夾資訊。同樣的,我們想從這些目錄及其子目錄複製所有的資料。我們使用下列命令來進行這個動作:

Xcopy c:\documents and settings\*.* f:\evidence_files\documents_and_settings /s /e /k /v

Xcopy c:\users\*.* f:\evidence_files\users /s /e /k /v

這 個範例收集了大約 500MB 的資料,必要的話我們現在就可以進行分析。如您所見,您所收集的資料量有可能相當龐大 — 如果碰到音訊檔、視訊和相片的話,就更不在話下了。儘管如此,還是要儘可能保存原始資料,因為調查工作需要的不只是實際收集的證據,還要保證這項資訊在收集的過程中未經更改。因此在理想的情況下,最好能夠為調查工作製作一個完整的磁碟影像,但是這個動作可能會因大小的限制而難以辦到。現在您應該知道,為什麼一定要事先研究調查工作需要多少存放空間了吧。

收集其他資訊

系統檔案也是收集證據的有力幫手,但是要尋找這類資料可能需要花點時間搜索目標電腦,因為這些檔案不見得會放在同一個地方。雖然如此,有些類型的檔案還是值得一找,因為它們的確可以提供有用的內容。比方說,交換檔案含有記憶體存取了哪些檔案的相關資訊。另外,交換檔案甚至還提供詳細的使用活動。同樣的,網頁瀏覽器資料和 Cookie 也會提供瀏覽行為和模式的相關資訊。

尋 找這項資料可能需要進行一些偵查工作,特別是當使用者變更設定,把資料儲存到預設位置以外的地方時更是如此。不過您可以利用幾種 Sysinternals 工具,幫助您尋找重要的檔案。[圖 3] 一共列了五個有用的應用程式,並且說明這些應用程式如何協助您進行調查。

-----------------------------------------------------
Tom Cloward身兼 CCE、CISSP,在 Microsoft 擔任專案經理,主要工作是提供適用於 IT 專家的安全性和循規解決方案加速器。他在軟體和 IT 產業已有 15 年以上的工作經驗,熱衷於 IT 安全性、鑑識與法規遵循。

-----------------------------------------------------
Frank Simorjay身兼 CISSP、CET,同時也是 Microsoft Solution Accelerator ─ 安全性和法規遵循小組的技術專案經理暨安全性主題專家,專為 Microsoft 的客戶設計安全性解決方案。他的最新作品是惡意程式碼移除工具之入門套件 (Malware Removal Starter Kit),此套件可在 Microsoft TechNet 網站上取得。

出處:

Microsoft TechNet Magazine 2007/12


Windows XP 開機流程!



1、預引導(Pre-Boot)階段

2、引導階段

3、加載內核階段

4、初始化內核階段

5、登陸

一、預引導階段 在按下計算機電源使計算機啟動,

並且在Windows XP操作系統啟動之前這段時間,

我們稱之為預引導(Pre-Boot)階段,

在這個階段裡,計算機首先運行Power On Self Test(POST),

POST檢測系統的總內存以及其他硬件設備的現狀。

如果計算機系統的BIOS(基礎輸入/輸出系統)是即插即用的,

那麼計算機硬件設備將經過檢驗以及完成配置。

計算機的基礎輸入/輸出系統(BIOS)定位計算機的引導設備,

然後MBR(Master Boot Record)被加載並運行。

在預引導階段,計算機要加載Windows XP的NTLDR文件。


二、引導階段 Windows XP Professional引導階段包含4個小的階段。

首先,計算機要經過初始引導加載器階段(Initial Boot Loader),

在這個階段裡,NTLDR將計算機微處理器從實模式轉換為32位平面內存模式。

在實模式中,系統為MS-DOS保留640kb內存,其餘內存視為擴展內存,

而在32位平面內存模式中,系統(Windows XP Professional)視所有內存為可用內存。

接著,NTLDR啟動內建的mini-file system drivers,

通過這個步驟,使NTLDR可以識別每一個用NTFS或者FAT文件系統格式化的分區,

以便發現以及加載Windows XP Professional,

到這裡,初始引導加載器階段就結束了。

接著系統來到了操作系統選擇階段,

如果計算機安裝了不止一個操作系統(也就是多系統),

而且正確設置了boot.ini使系統提供操作系統選擇的條件下,

計算機顯示器會顯示一個操作系統選單,

這是NTLDR讀取boot.ini的結果。


三、加載內核階段 在加載內核階段,ntldr加載稱為Windows XP內核的ntokrnl.exe。

系統加載了Windows XP內核但是沒有將它初始化。

接著ntldr加載硬件抽象層(HAL,hal.dll),然後,

系統繼續加載HKEY_LOCAL_MACHINE\system鍵,

NTLDR讀取select鍵來決定哪一個Control Set將被加載。

控制集中包含設備的驅動程序以及需要加載的服務。

NTLDR加載HKEY_LOCAL_MACHINE\system\service\...下start鍵值為0的最底層設備驅動。

當作為Control Set的鏡像的Current Control Set被加載時,

ntldr傳遞控制給內核,初始化內核階段就開始了。


四、初始化內核階段 在初始化內核階段開始的時候,

彩色的Windows XP的logo以及進度條顯示在屏幕中央,

在這個階段,系統完成了啟動的4項任務:

內核使用在硬件檢測時收集到的數據來創建了HKEY_LOCAL_MACHINE\HARDWARE鍵。

內核通過引用HKEY_LOCAL_MACHINE\system\Current的默認值複製Control Set來創建了Clone Control Set。

Clone Control Set配置是計算機數據的備份,不包括啟動中的改變,也不會被修改。

系統完成初始化以及加載設備驅動程序,內核初始化那些在加載內核階段被加載的底層驅動程序,

然後內核掃瞄HKEY_LOCAL_MACHINE\system\CurrentControlSet\service\...下start鍵值為1的設備驅動程序。

這些設備驅動程序在加載的時候便完成初始化,如果有錯誤發生,內核使用ErrorControl鍵值來決定如何處理,

值為3時,錯誤標誌為危機/關鍵,系統初次遇到錯誤會以LastKnownGood Control Set重新啟動,

如果使用LastKnownGood Control Set啟動仍然產生錯誤,系統報告啟動失敗,錯誤信息將被顯示,

系統停止啟動;值為2時錯誤情況為嚴重,系統啟動失敗並且以LastKnownGood Control Set重新啟動,

如果系統啟動已經在使用LastKnownGood值,它會忽略錯誤並且繼續啟動;

當值是1的時候錯誤為普通,系統會產生一個錯誤信息,

但是仍然會忽略這個錯誤並且繼續啟動;當值是0的時候忽略,系統不會顯示任何錯誤信息而繼續運行

Session Manager啟動了Windows XP高級子系統以及服務,

Session Manager啟動控制所有輸入、輸出設備以及訪問顯示器屏幕的Win32子系統以及Winlogon進程,

初始化內核完畢。


五、登陸 Winlogon.exe啟動Local Security Authority,

同時Windows XP Professional歡迎屏幕或者登陸對話框顯示,

這時候,系統還可能在後台繼續初始化剛才沒有完成的驅動程序。

提示輸入有效的用戶名或密碼。

Service Controller最後執行以及掃瞄HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servives來檢查是否還有服務需要加載,

Service Controller查找start鍵值為2或更高的服務,

服務按照start的值以及DependOnGroup和DepandOnService的值來加載。

只有用戶成功登陸到計算機後,Windows XP的啟動才被認為是完成,

在成功登陸後,系統拷貝Clone Control Set到LastKnownGood Control Set,完成這一步驟後,

系統才意味著已經成功引導了


轉貼至網路