五一假期结束，公司运维紧急找到我，说是 1T 多的 GHO 系统备份无法通过 Ghost 还原，使用 GhostExp 也无法打开提示“Out of Memory”（ OOM ）。 应该是 Norton Ghost 的浏览器在读取 GHO 文件时全加载进内存里了，不过现在跟 VMware 一样都是博通的了

得亏系统没格，不然跟搜狐上这个《 2.8TB 外贸数据生死救援！ GHOST 备份崩溃后，我们如何 100%恢复？ 》一样完蛋 按某数据恢复工程师提供的思路，研究了 GHO 文件结构:

[File Header]                  (512 字节)
    │
    ├── [Record: Track 0]      (类型 0x0006)  → MBR + 引导扇区
    │
    ├── [Record: Partition]    (类型 0x0603)  → 分区描述符
    │
    ├── [FEEF Partition Header] (512 字节)    → 该分区的压缩参数
    │
    ├── [Compressed Data Blocks]              → 实际数据（ 32KB 对齐）
    │       ├── Block 1 (2B 长度 + 数据)
    │       ├── Block 2 ...
    │       └── ...
    │
    ├── [Record: Continuation] (类型 0x0703)  → 跨文件续卷标记（多文件时出现）
    │
    └── [Record: End]          (类型 0x0023)  → 文件结束标记

赛门铁克的压缩方法，是一个比较黑盒的自定义 LZ77 变种，每个块解压后固定 32KB：

[2 字节 stored_len] [1 字节 控制字节] [数据...]

附：哈希表（ 4096 条） h = ((-24993 * (b2 ^ (16 * (b1 ^ (16 * b0))))) >> 4) & 0xFFF 其中 b0 、b1 、b2 是当前 3 字节窗口，在 2000 年那会比较常见的一种轻量级高压缩比的老格式了，新的诺顿克隆精灵似乎用的是 i2v 格式，但我从小到大见过的 Ghost 镜像都是 gho 格式的

具体的代码已开源： https://github.com/nyarime/gho