广西南宁市公安局青秀分局刑侦大队 覃 卫 奚永忠

渗水硬盘的数据恢复一例

广西南宁市公安局青秀分局刑侦大队 覃 卫 奚永忠

随着计算机网络技术的发展，电脑已普及到我们日常工作生活中的各个领域，然而刑事犯罪也毫不例外地利用信息化时代一切便利条件进行违法犯罪活动。因此公安司法机关的电子物证取证工作就显得极为重要。随着计算机网络犯罪不断专业化，高智化，犯罪嫌疑人为了逃避法律的打击不免会对其使用过的电脑信息进行删除修改甚至毁坏电脑硬盘，这无疑给我们的司法鉴定工作带来极大难度。但只要被毁坏的电脑硬盘有可修复的条件，我们就可通过专业的修复工具对其进行修复。笔者日前接受过一个电脑硬盘泡水的案例，现总结如下，供大家参考。

硬盘故障；数据恢复

1 简要案情

2013年7月8日，家在广西壮族自治区南宁市青秀区古城路的李某利用电脑传播黄色淫秽图片，当办案民警得知线索对其抓捕时，李某即将其作案的笔记本电脑丢到洗手盆里并开水冲洗。办案民警缴获笔记本电脑时该笔记本电脑已无法开启。

2 硬盘修复

接到送检，我观察到该笔记本电脑已有明显的泡水痕迹,通过询问办案民警得知该笔记本电脑泡水时间不是很长,存在可修复条件.于是我拆下该笔记本电脑的硬盘发现该硬盘也有明显的泡水,但鉴于泡水时间不长,可尝试进行修复。众所周知，传统机械硬盘采用空气填充式技术，其硬盘内部并非完全封闭、真空，在盘体的某些部位有类似于硬质海淀的阀门。而基于传统机械硬盘的混合硬盘，我们可以考虑打开硬盘清洗并烘干。

（1） 需在专业的电子物证实验室进行；

（2） 准备必要的工具和一个无尘操作箱（如图）；

（3） 在无尘工作箱里小心取出电路板和打开硬盘盖（如图）

（4） 小心缓慢移出磁头：

（5） 用高纯度蒸馏水清洗并烘干（如图）；

（6） 若泡水硬盘主板已坏就需准备一块与泡水硬盘一模一样（包括品牌，容量，转速）的硬盘进行主板更换 ；

（7）以上修复工作要认真细致，上螺丝当然要注意顺序,不要一次上紧，先对角上齐螺丝，然后在对角依次拧紧每个螺丝，切勿急于求成 。

3 恢复与鉴定

（1）将修复好的硬盘与电子物证检验设备连接。

（2）观察该硬盘的转速是否平稳，硬盘是否有异响。

（3）若以上正常即可接上电子物证检验工作站进行硬盘坏道检查。现在我们先了解硬盘坏道的形成机理。任何形式的硬盘维修都有可能产生坏道。一旦硬盘出现了坏道，我们可用相关的软件工具进行修复。 硬盘的坏道共分两种：逻辑坏道和物理坏道。逻辑坏道为软坏道，大多是软件的操作和使用不当造成的，可以用软件进行修复；物理坏道为真正的物理性坏道，它表明硬盘的表面磁道上产生了物理损伤，大都无法用软件进行修复，只能通过改变硬盘分区或扇区的使用情况来解决。

以本案为例，经维修的硬盘接笔记本电脑，笔记本电脑上显示：Replace and strike any key when ready"，说明硬盘不能启动。用软盘启动后，在 A：＞后键人C：，屏幕显示："Invalid drive specifcation"，系统不认硬盘。故障分析及处理：造成该故障的原因一般是CMOS中的硬盘设置参数丢失或硬盘类型设置错误造成的。进入CMOS，检查硬盘设置参数是否丢失或硬盘类型设置是否错误。如果确是该种故障，只需将硬盘设置参数恢复或修改过来即可。如果不会修改硬盘参数，也可用备份过的CMOS信息进行恢复，本案的硬盘没有备份CMOS信息，我们可用电子物证检验工作站的CMOS设置中有”HDD AUTO DETECTION”(硬盘自动检测)选项，可自动检测出硬盘类型参数。若无此项，只能查看硬盘表面标签上的硬盘参数，照此修改即可。此外还有一种系统不认硬盘的情况就是开机后屏幕上出现”Error loading operating system”或”Missing operating system”的提示信息。造成该故障的原因一般是DOS引导记录出现错误。DOS引导记录位于逻辑0扇区，是由高级格式化命令FORMAT生成的。主引导程序在检查分区表正确之后，根据分区表中指出的DOS分区的起始地址，读DOS引导记录，若连续读五次都失败，给出”Error loading operating system”的错误提示，若能正确读出DOS引导记录，主引导程序则会将DOS引导记录送人内存0：7C00h处，然后检查DOS引导记录的最后两个字节是否为55AAH，若不是这两个宇节，则给出”Missing operation system”的提示。一般情况下用NDD修复即可。若不成功，只好用FORMAT C：/S命令重写DOS引导记录，也许你会认为格式化后C盘数据将丢失，其实不必担心，数据仍然保存在硬盘上，格式化C盘后可用NU8.0中的UNFORMAT恢复。

通过修改CMOS信息，DOS引导记录，计算机成功认维修的硬盘。接下来我们来查找该硬盘的坏道（包括：物理坏道和逻辑坏道）a:物理坏道的修复，我们需要在尽可能不破坏原送检硬盘数据的前提下隐藏物理坏道，下面我就介绍一种用“PartitionMagic”（分区魔术师，以下简称PM）修复硬盘的方法。 通过对硬盘的重新分区，隐藏有物理坏道的硬盘空间，对其实行隔离。具体的作法是：首先启动PM，选中“Operations”菜单下的“Check”命令，对硬盘进行直接扫描，标记坏簇后，选中“Operations”菜单下的 “Advanced”→“bad sector retset”，最后把坏簇分成一个独立的分区，再通过“Hide partiton”命令将分区隐藏，至此大功告成。如果电脑启动时出现信息“TRACK 0 BAD,DISK UNUSABLE”，那么修复起来就比较麻烦，因为此信息说明硬盘的零磁道损坏了，这时我们可用“DiskMan”来帮助修复，它是一款比较常用的硬盘工具，“DiskMan”需在纯DOS运行，在“硬盘”菜单中选中要修改的盘（一般为C盘），然后依次进入“工具”→“参数修改”→将“起始柱面”的值由“0”改为“1”，确定后保存退出。就可以对硬盘进行重新分区了。b:逻辑坏道的修复。逻辑坏道的修复相对于物理坏道的修复就简单的多了，将修复的硬盘接入电子物证检验工作站，正常启动后回到Windows下，进入“我的电脑”中选择有逻辑坏道的硬盘，单击鼠标右键，选择“属性”→“工具”→“开始检查”就弹出“磁盘扫描程序”，选中“完全”并将“自动修复错误”打上勾，单击“开始”，就开始对该分区进行扫描和修复。

（4）数据的恢复

经过以上的操作，我们已对送检的硬盘进行坏道隐藏和修复，接下来就可运用有关的软件对硬盘进行数据恢复。数据恢复软件，大致有Easy Recovery、Recover、Lost Found、Final Data、Disk Recover等等，还有其他很多。具体操作视具体情况而定。本文在此就不再作深入讨论。

4 结论

对于那些人为损坏，但又存可修复条件的硬盘，在软件是无能为力的时候，这就需要使用成本比较高的软硬件结合的修复方式。这种修复方式需要在超净无尘工作间里面，而且需要设备内部的工作台也是级别非常高的超净空间。还有就是硬盘维修的“维修”跟普通意义上的维修是有很大区别的。所谓的硬盘“维修”，就是把盘片上的坏道、硬盘内部的缺陷等等问题掩盖起来，不让硬盘的控制系统和计算机操作系统发觉而已，那些缺陷仍然实实在在地存在硬盘里面，成为随时可以再爆发的定时炸弹。但是为了最大程度收集提取有关涉案数据证据，那么这样做应该是值得的。

[1]张树．硬盘故障处理与数据维护[M]．北京:电子科技出版社,1997．

覃卫（1969—），男，广西南宁人，壮族，大专，工程师，研究方向：电子物证检验。