CIH病毒是一種能夠破壞計算機系統(tǒng)硬件的惡性病毒。這個病毒產(chǎn)自臺灣，原集嘉通訊公司（技嘉子公司）手機研發(fā)中心主任工程師陳盈豪在其于臺灣大同工學(xué)院念書期間制作。最早隨國際兩大盜版集團販賣的盜版光盤在歐美等地廣泛傳播，隨后進一步通過網(wǎng)絡(luò)傳播到全世界各個角落。

來源

CIH病毒是一位名叫陳盈豪的臺灣大學(xué)生所編寫的，從臺灣傳入大陸地區(qū)的。CIH的載體是一個名為“ICQ中文Chat模塊”的工具，并以熱門盜版光盤游戲如“古墓奇兵”或Windows95/98為媒介，經(jīng)互聯(lián)網(wǎng)各網(wǎng)站互相轉(zhuǎn)載，使其迅速傳播。目前傳播的主要途徑主要通過Internet和電子郵件，當(dāng)然隨著時間的推移，其傳播主要仍將通過軟盤或光盤途徑。

歷史

1998年6月2日，首例CIH病毒在中國臺灣被發(fā)現(xiàn)；1998年6月6日，發(fā)現(xiàn)CIH病毒V1.2版本；1998年6月12日，發(fā)現(xiàn)CIH 病毒V1.3版本；1998年6月30日，發(fā)現(xiàn)CIH病毒V1.4版本；1998年7月26日，CIH病毒在美國大面積傳播；1998年8月26日，CIH病毒實現(xiàn)了全球蔓延，公安部發(fā)出緊急通知，新華社和新聞聯(lián)播跟進報導(dǎo)；1999年4月26日，CIH病毒1.2版首次大規(guī)模爆發(fā)，全球超過六千萬臺電腦受到了不同程度的破壞。此后，陳盈豪公開道歉并積極提供解毒程式和防毒程式，CIH病毒逐漸得到有效控制。

這個病毒的死灰復(fù)燃是在2001年。一個用珍妮佛洛佩茲的裸照偽裝的VBScript文檔里的愛蟲病毒的一個變種包含CIH病毒的掛鉤例程，從而使該病毒在互聯(lián)網(wǎng)上傳播開來。但由于CIH病毒只在windows 95、98和windows Me系統(tǒng)上發(fā)作，且人們對它的特性也有所了解，因此造成的損失有限。

一個修改版本是CIH.1106，發(fā)現(xiàn)于2002年12月，但是沒有嚴重的破壞性。

CIH病毒屬文件型病毒，殺傷力極強。主要表現(xiàn)在于病毒發(fā)作后，硬盤數(shù)據(jù)全部丟失，甚至主板上BIOS中的原內(nèi)容也會被徹底破壞，主機無法啟動。只有更換BIOS，或是向固定在主板上的BIOS中重新寫入原來版本的程序，才能解決問題。當(dāng)然，CIH對BIOS的破壞，也并非想像中的那么可怕?，F(xiàn)在PC機基本上使用兩種只讀存儲器存放BIOS數(shù)據(jù)，一種是使用傳統(tǒng)的ROM或EPROM，另一種就是E2PROM。廠家事先將BIOS以特殊手段“燒”入（又稱“固化”）到這些存儲器中，然后將它們安裝在PC機里。當(dāng)我們打開計算機電源時，BIOS中程序和數(shù)據(jù)首先被執(zhí)行、加載，使得我們的系統(tǒng)能夠正確識別機器里安裝的各種硬件并調(diào)用相應(yīng)的驅(qū)動程序，然后硬盤再開始引導(dǎo)操作系統(tǒng)。固化在ROM或EPROM中的數(shù)據(jù)，只有施加以特殊的電壓或使用紫外線才有可能被清除，這就是我們打開有些計算機機箱時，可能會看到有塊芯片上貼著一小塊銀色或黑色紙塊的原因——防止紫外線清除BIOS數(shù)據(jù)。要清除存儲在這類只讀存儲器中的數(shù)據(jù)，僅靠計算機系統(tǒng)內(nèi)部的電壓是不夠的。所以，僅使用這種只讀存儲器存儲BIOS數(shù)據(jù)的用戶，就沒有必要擔(dān)心CIH病毒會破壞BIOS。但最新出產(chǎn)的計算機，特別是Pentium以上的計算機基本上都使用了EEPROM存儲部分BIOS。EEPROM又名“電可改寫只讀存儲器”。一般情況下，這種存儲器中的數(shù)據(jù)并不會被用戶輕易改寫，但只要施加特殊的邏輯和電壓，就有可能將EEPROM中的數(shù)據(jù)改寫掉。使用PC機的CPU邏輯和計算機內(nèi)部電壓就可輕易實現(xiàn)對EEPROM的改寫，這正是我們通過軟件升級BIOS的原理，也是CIH破壞BIOS的基本方法。改寫EEPROM內(nèi)的數(shù)據(jù)需要一定的邏輯條件，不同PC機系統(tǒng)對這種條件的要求可能并不相同，所以CIH并不會破壞所有使用EEPROM存儲BIOS的主板，目前報道的只有技嘉和微星等幾種5V主板，這并不是說這些主板的質(zhì)量不好，只不過其EEPROM邏輯正好與CIH吻合，或者CIH的編制者也許就是要有目的地破壞某些品牌的主板。所以，要判斷CIH對您的主板究竟有沒有危害，首先應(yīng)該判別您的BIOS是僅僅燒在ROM/EPROM之中，還是有一部分使用了EEPROM。需要注意的是，雖然CIH并不會破壞所有BIOS，但CIH在“黑色”的26日摧毀硬盤上所有數(shù)據(jù)遠比破壞BIOS要嚴重得多——這是每個感染CIH病毒的用戶不可避免的。

病毒版本

CIH病毒別名有Win95.CIH、Spacefiller、Win32.CIH、PE_CIH，它主要感染W(wǎng)indows95/98下的可執(zhí)行文件(PE格式，Portable Executable Format)，不感染DOS以及WIN 3.X(NE格式，Windows and OS/2 Windows 3.1 execution File Format)下的可執(zhí)行文件，并且在Win NT中無效。其發(fā)展過程經(jīng)歷了v1.0，v1.1、v1.2、v1.3、v1.4總共5個版本，最流行的是v1.2版本.

CIH病毒各種不同版本的隨時間的發(fā)展不斷完善，其基本發(fā)展歷程為：

v1.0版本

最初的V1.0版本只有656字節(jié)，其顯得比較簡單，與普通類型的病毒在結(jié)構(gòu)上并無多大的改善，其最大的“賣點”是在于其是當(dāng)時為數(shù)不多的、可感染Microsoft Windows PE類可執(zhí)行文件的病毒之一，被其感染的程序文件長度增加，此版本的CIH不具有破壞性。

v1.1版本

當(dāng)其發(fā)展到v1.1版本時，病毒長度為796字節(jié)，此版本的CIH病毒具有可判斷WinNT軟件的功能，一旦判斷用戶運行的是WinNT，則不發(fā)生作用，進行自我隱藏，以避免產(chǎn)生錯誤提示信息，同時使用了更加優(yōu)化的代碼，以縮減其長度。此版本的CIH另外一個優(yōu)秀點在于其可以利用WIN PE類可執(zhí)行文件中的“空隙”，將自身根據(jù)需要分裂成幾個部分后，分別插入到PE類可執(zhí)行文件中，這樣做的優(yōu)點是在感染大部分WINPE類文件時，不會導(dǎo)致文件長度增加。

v1.2版本

當(dāng)其發(fā)展到v1.2版本時，除了改正了一些v1.1版本的缺陷之外，同時增加了破壞用戶硬盤以及用戶主機BIOS程序的代碼，這一改進，使其步入惡性病毒的行列，此版本的CIH病毒體長度為1003字節(jié)，病毒發(fā)作時間為每年的4月26日。

v1.3版本

原先v1.2版本的CIH病毒最大的缺陷在于當(dāng)其感染ZIP自解壓包文件(ZIP self-extractors file)時，將導(dǎo)致此ZIP

壓縮包在自解壓時出現(xiàn)：

WinZip Self-Extractor header corrupt.

Possible cause: disk or file transfer error.

的錯誤警告信息。v1.3版本的改進方法是：一旦判斷開啟的文件是WinZip類的自解壓程序，則不進行感染。同時，此版本的CIH病毒發(fā)作時間修改為每年的6月26日。v1.3版本的CIH病毒長度為1010字節(jié)。

v1.4版本

此版本的CIH病毒改進上上幾個版本中的缺陷，不感染ZIP自解壓包文件，同時修改了發(fā)作日期及病毒中的版權(quán)信息(版本信息被更改為：“CIH v1.4 TATUNG”，在以前版本中的相關(guān)信息為“CIH v1.x TTIT”)，此版本的長度為1019字節(jié)。從上面的說明中，我們可以看出，實際上，在CIH的相關(guān)版本中，只有v1.2、v1.3、v1.4這3個版本的病毒具有實際的破壞性.

發(fā)作特征

CIH屬惡性病毒，當(dāng)其發(fā)作條件成熟時，其將破壞硬盤數(shù)據(jù)，同時有可能破壞BIOS程序，其發(fā)作特征是：

1、以2048個扇區(qū)為單位，從硬盤主引導(dǎo)區(qū)開始依次往硬盤中寫入垃圾數(shù)據(jù)，直到硬盤數(shù)據(jù)被全部破壞為止。最壞的情況下硬盤所有數(shù)據(jù)(含全部邏輯盤數(shù)據(jù))均被破壞，如果重要信息沒有備份，那就只有哭了。

2、某些主板上的Flash Rom中的BIOS信息將被清除。

大事記

（1998-2004年）

1998年6月2日：臺灣傳出首例CIH病毒報告

1998年6月6日：發(fā)現(xiàn)CIH V1.2版本

1998年6月12日：發(fā)現(xiàn)CIH V1.3版本

1998年6月26日：CIH V1.3版本造成一定程度的破壞

1998年6月30日：發(fā)現(xiàn)CIH V1.4版本

1998年7月：在INTERNET 環(huán)境中發(fā)現(xiàn)一個基于WIN98系統(tǒng)的分布感染實例

1998年7月26日：CIH病毒開始在美國大面積傳播

1998年8月：在Wing Commander游戲站點發(fā)現(xiàn)DEMO被感染

1998年8月：兩家歐洲的PC游戲雜志光盤被發(fā)現(xiàn)感染CIH

1998年8月26日：CIH 1.4 版本爆發(fā)，首次在全球蔓延

1998年8月31日：公安部發(fā)出緊急通知，新華社、中央臺新聞聯(lián)播全文播發(fā)

1998年9月：Yamaha為某個類型的CD-R驅(qū)動編寫的軟件被感染CIH

1998年10月：一個在全球發(fā)行的游戲SiN的DEMO版被發(fā)現(xiàn)感染CIH

1999年3月：CIH 1.2 版本被發(fā)現(xiàn)在IBM 的Aptiva 機器中預(yù)裝

1999年4月26：CIH 1.2 版本首次大范圍爆發(fā) 全球超過六千萬臺電腦被不同程度破壞

2000年4月26：CIH 1.2 版本第二次大范圍爆發(fā)，全球損失超過十億美元

2001年4月26：CIH 第三次大范圍爆發(fā)。僅北京就有超過六千臺電腦遭CIH破壞

2002年4月26日：CIH病毒再次爆發(fā)，數(shù)千臺電腦遭破壞

2003年4月26日：仍然有100多個CIH病毒的受害者

感染特征

由于流行的CIH病毒版本中，其標識版本號的信息使用的是明文，所以可以通過搜索可執(zhí)行文件中的字符串來識別是否感染了CIH病毒，搜索的特征串為“CIH v”或者是“CIH v1.”如果你想搜索更完全的特征字符串，可嘗試“CIH v1.2 TTIT”、“CIH v1.3 TTIT”以及“CIH v1.4 TATUNG”，不要直接搜索“CIH”特征串，因為此特征串在很多的正常程序中也存在，例如程序中存在如下代碼行： inc bx dec cx dec ax 則它們的特征碼正好是“CIH(0x43;0x49;0x48)”，容易產(chǎn)生誤判。

具體的搜索方法為：首先開啟“資源管理器”，選擇其中的菜單功能“工具>查找>文件或文件夾”，在彈出的“查找文件”設(shè)置窗口的“名稱和位置”輸入中輸入查找路徑及文件名(如：*.EXE)，然后在“高級>包含文字”欄中輸入要查找的特征字符串--“CIH v”，最后點擊“查找鍵”即可開始查找工作。如果在查找過程中，顯示出一大堆符合查找特征的可執(zhí)行文件，則表明您的計算機上已經(jīng)感染了CIH病毒。

實際上，在以上的方法中存在著一個致命的缺點，那就是：如果用戶剛剛感染CIH病毒，那么這樣一個大面積的搜索過程實際上也是在擴大病毒的感染面。

一般情況下，推薦的方法是先運行一下“寫字板”軟件，然后使用上面的方法在“寫字板”軟件的可執(zhí)行程序Notepad.exe中搜索特征串，以判斷是否感染了CIH病毒。另外一個判斷方法是在Windows PE文件中搜索IMAGE_NT_SIGNATURE字段，也就是0x00004550，其代表的識別字符為“PE00”，然后查看其前一個字節(jié)是否為0x00，如果是，則表示程序未受感染，如果為其他數(shù)值，則表示很可能已經(jīng)感染了CIH病毒。

最后一個判斷方法是先搜索IMAGE_NT_SIGNATURE字段--“PE00”，接著搜索其偏移0x28位置處的值是否為55 8D 44 24 F8 33 DB 64，如果是，則表示此程序已被感染。

適合高級用戶使用的一個方法是直接搜索特征代碼，并將其修改掉，方法是：先處理掉兩個轉(zhuǎn)跳點，即搜索：5E CC 56 8B F0 特征串以及5E CC FB 33 DB特征串，將這兩個特征串中的CC改90(nop)，接著搜索 CD 2C4 20 與 CD 20 67 00 40 00特征字串，將其全部修改為90，即可（以上數(shù)值全部為16進制）。

破壞性

CIH病毒是一種能夠破壞計算機系統(tǒng)硬件的惡性病毒。這個病毒產(chǎn)自臺灣，集嘉通訊公司（技嘉子公司）手機研發(fā)中心主任工程師陳盈豪在其于臺灣大同工學(xué)院念書期間制作。最早隨國際兩大盜版集團販賣的盜版光盤在歐美等地廣泛傳播，隨后進一步通過Internet傳播到全世界各個角落。目前傳播的途徑主要通過Internet和電子郵件。計算機病毒的傳播已擺脫了傳統(tǒng)存儲介質(zhì)的束縛，Internet和光盤現(xiàn)已成為加速計算機病毒傳播最有效的催化劑。CIH病毒只感染W(wǎng)indows95/98操作系統(tǒng)，從目前分析來看它對DOS操作系統(tǒng)似乎還沒有什么影響，這可能是因為它使用了Windows下的VxD（虛擬設(shè)備驅(qū)動程序）技術(shù)造成的。所以，對于僅使用DOS的用戶來說，這種病毒似乎并沒有什么影響，但如果是Windows95/98用戶就要特別注意了。正是因為CIH獨特地使用了VxD技術(shù)，使得這種病毒在Windows環(huán)境下傳播，其實時性和隱蔽性都特別強，使用一般反病毒軟件很難發(fā)現(xiàn)這種病毒在系統(tǒng)中的傳播。CIH病毒每月26日都會爆發(fā)（有一種版本是每年4月26日爆發(fā)）。CIH病毒發(fā)作時，一方面全面破壞計算機系統(tǒng)硬盤上的數(shù)據(jù)，另一方面對某些計算機主板的BIOS進行改寫。BIOS被改寫后，系統(tǒng)無法啟動，只有將計算機送回廠家修理，更換BIOS芯片。由于CIH病毒對數(shù)據(jù)和硬件的破壞作用都是不可逆的，所以一旦CIH病毒爆發(fā)，用戶只能眼睜睜地看著價值萬元的計算機和積累多年的重要數(shù)據(jù)毀于一旦。CIH病毒現(xiàn)已被認定是首例能夠破壞計算機系統(tǒng)硬件的病毒，同時也是最具殺傷力的惡性病毒。從技術(shù)角度來看，CIH病毒實現(xiàn)了與操作系統(tǒng)的完美結(jié)合。該病毒使用了Windows95/98最核心的VxD技術(shù)編制，被認為是牢固地連接到了操作系統(tǒng)底層，所以CIH病毒既不會向DOS操作系統(tǒng)傳播，也不會向WindowsNT操作系統(tǒng)擴散。CIH病毒的這一技術(shù)特點給使用傳統(tǒng)反病毒技術(shù)防治計算機病毒的人提出了巨大的挑戰(zhàn)，這是因為傳統(tǒng)反病毒工具基本上都是純DOS或工作在Windows95之下的仿真DOS應(yīng)用程序，它們無法深入到Windows95/98操作系統(tǒng)的底層去徹底清除CIH病毒；另一方面，由于能夠與操作系統(tǒng)底層緊密結(jié)合，CIH病毒的傳播就更為迅速、隱蔽。防治類似CIH這種能夠與操作系統(tǒng)緊密結(jié)合的病毒最好的方法是使用本身能夠與各種操作系統(tǒng)緊密結(jié)合的反病毒軟件。CIH病毒是一種運用最新技術(shù)，會Format硬碟的最新病毒，通常都利用網(wǎng)路族上網(wǎng)時，進行傳播感染。目前最新的變種病毒為CIH 會在每月26日發(fā)病，并會展現(xiàn)最強大的破壞力-Format硬碟.CIH病毒平常并沒有作什么破壞性的動作，也沒有顯示任何畫面，只是占用部份記憶體而已。但是有些32-bit的程式被感染之后，運作會不正常，甚至?xí)斐僧?dāng)機。但是，CIH病毒長駐在主記憶體之后，每次執(zhí)行時，會檢查電的日期是否為﹝4月26日﹞，如果是，它會透過你的電腦I/O部：CF8，CFD，CFE修改你的電腦的某些設(shè)定，并且把你電腦所有硬盤的資料都毀了，甚至連硬盤數(shù)據(jù)區(qū)及引導(dǎo)區(qū)的資料都不在了，并且讓電腦當(dāng)機。當(dāng)你重新開機，屏幕會出現(xiàn)"DISK BOOT FAILURE, INSERT SYSTEM DISK AND PRESS ENTER"(硬盤引導(dǎo)失敗，請插入系統(tǒng)盤后敲擊回車)。若是用軟盤引導(dǎo)開機再執(zhí)行C:指令，則出現(xiàn)"Invalid drive specification"(不可用的驅(qū)動器編號)。即使曾經(jīng)有備份引導(dǎo)區(qū)資料，但是磁盤中的資料已全毀，可不可以開機已經(jīng)沒有意義了。

檢測預(yù)防

系統(tǒng)中感染了CIH病毒時，由于病毒時刻在監(jiān)視系統(tǒng)中的文件使用情況，造成系統(tǒng)效率降低，而且有些自解壓文件在病毒感染后被破壞，清除病毒后也不能使用，尤其是病毒發(fā)作時造成的破壞，后果更為嚴重。目前，防止CIH病毒的傳染和破壞主要有兩種方法：一是實時監(jiān)測，不讓病毒進入系統(tǒng)，如KILL98就采用了這種方法，其優(yōu)點是比較安全，但影響系統(tǒng)的速度，有可能誤報，而且對使用染有病毒的文件不方便。二是定期對系統(tǒng)進行病毒檢查，清除文件中的病毒，這種方法比較簡單，系統(tǒng)效率影響不大，但安全性不高。

實際上，CIH病毒第一次進入機器內(nèi)存時，系統(tǒng)中感染病毒的文件是很少的，只是由于未能及時發(fā)現(xiàn)，才使病毒得以傳播和蔓延。許多殺毒軟件在檢查文件中的病毒特征時，由于病毒代碼先于殺毒軟件獲得文件的操作權(quán)，從而將病毒代碼寫進文件中，這就造成了系統(tǒng)中幾乎所有的32位可執(zhí)行文件都感染了CIH病毒的現(xiàn)象。

文件中的CIH病毒的檢測比較簡單，只要從32位可執(zhí)行文件的PE文件頭的偏移28H處獲得程序的入口地址，對入口程序段進行掃描即可。

根據(jù)CIH病毒在感染文件前對病毒特征的判別，我們可以人為地在PE格式的EXE文件頭的前一個字節(jié)的位置處寫上55H或一個非零值，以騙過病毒對文件是否染毒的判別。而大多數(shù)殺毒軟件在殺毒后，保留了文件頭中的病毒特征，相當(dāng)于對這些文件進行了免疫。

由于病毒主要來源于因特網(wǎng)和光盤，光盤文件上的病毒無法清除，始終是系統(tǒng)的隱患，而使用第一種方法則有可能使用戶從網(wǎng)上下載文件失敗，造成不必要的損失。根據(jù)對病毒代碼的分析，我們介紹一種方法，它既不影響系統(tǒng)效率，也能使用戶放心地使用網(wǎng)上下載的文件和光盤上的文件。

解決方法

首先用戶應(yīng)該確定自己計算機主板的BIOS是哪種類型的，如果是不可升級型的，用戶只需對改回去的CMOS的參數(shù)進行重新設(shè)置即可。如果用戶的計算機BIOS是可升級型的。如果出現(xiàn)CIH病毒發(fā)作的癥狀，不要重新啟動計算機從C盤引導(dǎo)系統(tǒng)，而應(yīng)該及時進入CMOS設(shè)置程序，將系統(tǒng)引導(dǎo)盤設(shè)置為a盤然后A盤引導(dǎo)系統(tǒng)，之后用殺毒軟件對系統(tǒng)軟件造成破壞后該怎樣辦呢？首先使用殺毒軟件對硬盤進行徹底殺毒，之后再對系統(tǒng)軟件和應(yīng)用軟件進行重新安裝?？梢栽诒籆IH病毒破壞的基礎(chǔ)上直接安裝，這種方法較簡單，但會造成硬盤空間的浪費，因為這將帶來一些垃圾文件；另一種方法是將用戶的重要數(shù)據(jù)進行備份，之后對硬盤進行格式化，重新安裝系統(tǒng)程序和應(yīng)用程序，這樣能節(jié)省硬盤空間。

硬盤修復(fù)

瑞星修復(fù)

首先使用瑞星殺毒盤啟動機器，然后運行瑞星殺毒軟件DOS版，選擇菜單中的項，本程序?qū)⒆詣臃治鲇脖P是否需要修復(fù)。

1）如果出現(xiàn)“The hard disk is ok, needn't recover! Enter = return to main menu”信息，則表示硬盤系統(tǒng)是好的，不需要修復(fù)。

2）如果出現(xiàn)紅色提示框，報告用戶硬盤的分區(qū)信息和文件分配表（FAT）的類型，用戶首先應(yīng)該確認該提示信息

是否正確。然后，再根據(jù)以下提示信息選擇是否進行恢復(fù)。

“Recovery Partition Table?(Y/N)”

若選擇“Y”，則瑞星殺毒軟件將自動恢復(fù)硬盤的分區(qū)信息。

如果選擇“N”，則瑞星殺毒軟件將返回主菜單。

恢復(fù)硬盤分區(qū)結(jié)束后，瑞星殺毒軟件將提示：“Recovery Drive C：(Y/N)”詢問用戶是否繼續(xù)恢復(fù)C盤的文件。

如果選擇“Y”，則瑞星殺毒軟件將自動恢復(fù)C盤中的文件。

如果選擇“N”，則瑞星殺毒軟件將返回主菜單。

在恢復(fù)硬盤分區(qū)后，可以重新啟動機器，此時可以看到完全恢復(fù)的D、E等擴展邏輯分區(qū)；在恢復(fù)硬盤分區(qū)后，再進一步恢復(fù)C盤的文件后，重新啟動機器，則不僅可以找到擴展的邏輯分區(qū)，而且可以看到C盤上恢復(fù)的文件目錄，這些目錄名為“RISING.XXX”(XXX為0-999的數(shù)字編號)。這時擴展分區(qū)已恢復(fù)正常，將C盤中各個目錄中的重要文件進行備份。3）如果出現(xiàn)“The hard disk can't be recovered, Enter= return to main menu”信息，則表示邏輯盤數(shù)據(jù)

使用此功能無法恢復(fù)。當(dāng)本功能無法恢復(fù)硬盤數(shù)據(jù)時，可以與瑞星公司聯(lián)系或由其他專業(yè)數(shù)據(jù)恢復(fù)人員進行分析，使用其他方法進行恢復(fù)，以確保重要數(shù)據(jù)不丟失。

江民修復(fù)

當(dāng)用戶的硬盤數(shù)據(jù)一旦被CIH病毒破壞后，使用KV3000的F10功能，可修復(fù)的程度如下：

1．C盤容量為2.1G以上，原FAT表是32位的，C分區(qū)的修復(fù)率為98%，D，E，F(xiàn)等分區(qū)的修復(fù)率為99%，配合手工C，D，E，F(xiàn)等分區(qū)的修復(fù)率為100%。

2．硬盤容量為2.1G以下，原FAT表是16位的，C分區(qū)的修復(fù)率為0%，D，E，F(xiàn)等分區(qū)的修復(fù)率也為99%，配合手工C，D，E，F(xiàn)等分區(qū)的修復(fù)率為100%。因為原C盤是16位的短FAT表，所以C盤的FAT表和根目錄下的文件目錄都被CIH病毒亂碼覆蓋了。KV3000可以把C盤找回來，雖然根目錄的文件名字已被病毒亂碼覆蓋看不見了，但文件的內(nèi)容影像還存儲在C盤內(nèi)的某寫扇區(qū)上。推薦用KV3000找回C盤，再用文件修復(fù)軟件TIRAMISU.EXE可將C盤內(nèi)的部分文件影象找回來（需要了解這個軟件的朋友可以訪問Ontrack公司的主頁，在這個網(wǎng)站上已經(jīng)找不到有關(guān)TIRAMISU的內(nèi)容。因為現(xiàn)在TIRAMISU已經(jīng)被整合到Ontrack公司的旗艦產(chǎn)品——EasyRecovery中。相關(guān)的詳細介紹可以參照下文中的“分區(qū)表破壞”），如果原存放文件影象的簇是相連的，找回的文件就完整無損。

但對于FAT16的C盤是不是中了CIH就沒救呢？您還是可以嘗試一下FIXMBR，F(xiàn)IXMBR是一個DOS應(yīng)用程序，完全遵守DOS的程序的操作規(guī)范。如果執(zhí)行FIXMBR/？即可得到FIXMBR的幫助信息。如下：Usage : FIXMBR [DriveNo] [/A] [/D] [/P] [/Z] [/H] DriveNo Hard disk scope 0-3 , default is all drive （指硬盤號，0表示第一個硬盤） /A Active DOS partition（激活基本DOS分區(qū)）/P Display partition（顯示DOS分區(qū)的結(jié)構(gòu)）/D Display MBR（顯示主引導(dǎo)記錄內(nèi)容）/Z Zero MBR（將主引導(dǎo)記錄填零）缺省的情況下將檢查MBR結(jié)構(gòu)，如果不正常將提示是否修復(fù)?；卮稹癥”后將搜索分區(qū)。如果搜索到分區(qū)后將提示是否修改MBR，回答“Y”后就將修復(fù)完成。如果這時出現(xiàn)死機現(xiàn)象，請將BIOS中的防病毒功能禁止后再做。缺省的狀態(tài)下將搜索所有已經(jīng)存在的硬盤，并完成以上操作。如果完成的結(jié)果不對，可以用/Z參數(shù)將結(jié)果清空后重新啟動，就可以恢復(fù)到原來的狀態(tài)。但它不支持WinNT和Linux的分區(qū)，對FAT32分區(qū)表支持也有限。它可以通過全盤搜索決定硬盤分區(qū)，并重新構(gòu)造主引導(dǎo)扇區(qū)。由于軟件只修改主引導(dǎo)扇區(qū)記錄，對其他扇區(qū)不進行寫操作，故一般不會帶來不安全目錄（如果修復(fù)得不理想，請DiskEdit等工具進行手工修復(fù)）。注意：FIXMBR是一個比較老的程序。

由于病毒破壞硬盤的方式實在太多，而且大部分破壞都無法用一般軟件輕易修復(fù)（如果您喜歡使用DiskEdit等磁盤扇區(qū)編輯工具，對某些情況還有一線希望），所以我們最好的辦法就是安一個好的殺毒軟件。下面我們來看看病毒在哪方面的破壞不能恢復(fù)呢？分區(qū)表破壞，可能是數(shù)據(jù)損壞中除了物理損壞最嚴重的一種災(zāi)難性破壞。其原因主要有以下幾種：

1．個人無操作刪除分區(qū)，只要沒有進行其他的操作完全可以恢復(fù)。

2．安裝多系統(tǒng)引導(dǎo)軟件或采用第三方分區(qū)工具，有恢復(fù)的可能。

3．病毒破壞可以部分或者全部恢復(fù)。

4．利用Ghost克隆分區(qū)/硬盤破壞，只可以部分恢復(fù)或者不能恢復(fù)（用Ghost的朋友要小心了）。

據(jù)國外的一個主業(yè)數(shù)據(jù)恢復(fù)公司調(diào)查，數(shù)據(jù)損壞以后很大程度上是可以恢復(fù)的。之所以有很多不能恢復(fù)的實例存在，90%以上是由于用戶在后來的恢復(fù)過程中有無操作，從而造成了更大的破壞。所以希望朋友們牢記以下2點：

1．在硬盤數(shù)據(jù)出現(xiàn)后，請立即關(guān)機，不要再對硬盤進行任何寫操作，那樣會增大修復(fù)的難度，也影響到修復(fù)的成功率。

2．每一步操作都應(yīng)該是可逆的（就像Norton Disk Doctor中的Undo功能）或者對故障硬盤是只讀的（大名鼎鼎的EasyRecovery和Lost&Found都是這種工作原理）。

如果在遇到以上情況，可以用以上這個軟件，這個軟件包含在Norton Utility系列工具中，功能十分強大，可以恢復(fù)分區(qū)記錄，F(xiàn)AT表，需要注意的是它對硬盤的操作不是只讀的，因此需要每一步都做好Undo文件，這樣即使誤操作也可以恢復(fù)，Norton Disk Doctor配合DiskEdit在分區(qū)表不能恢復(fù)時也可以恢復(fù)部分文件，可惜Norton Disk Doctor不支持NTFS分區(qū)，這不能不說好是它的一大遺憾之處。