計算機病毒第二講 磁盤格式與數(shù)據(jù)恢復

1、整理ppt1計算機病毒分析與對抗第二講磁盤格式與數(shù)據(jù)恢復武漢大學計算機學院 彭國軍整理ppt2引言o數(shù)據(jù)的地位o數(shù)據(jù)安全整理ppt3o數(shù)據(jù)恢復數(shù)據(jù)恢復是指由于各種原因?qū)е聰?shù)據(jù)損失時把保留在介質(zhì)上的數(shù)據(jù)重新恢復的過程。 即使數(shù)據(jù)被刪除或硬盤出現(xiàn)故障，只要在介質(zhì)沒有嚴重受損的情況下,數(shù)據(jù)就有可能被完好無損地恢復。n格式化或誤刪除引起的數(shù)據(jù)損失的情況下，大部分數(shù)據(jù)仍未損壞，用軟件重新恢復連接環(huán)節(jié)的話，可以重讀數(shù)據(jù)。n如果硬盤因硬件損壞而無法訪問時，更換發(fā)生故障的零件，即可恢復數(shù)據(jù)。n在介質(zhì)嚴重受損或數(shù)據(jù)被覆蓋情況，數(shù)據(jù)將無法恢復。 整理ppt4課前我們應該思考的問題o磁盤物理結(jié)構(gòu)是怎樣的？其由哪些部

2、分組成？o磁盤中的數(shù)據(jù)是如何存儲和索引的？o磁盤中的數(shù)據(jù)如何被刪除？刪除之后的數(shù)據(jù)是否可以恢復？o如何恢復磁盤中丟失的數(shù)據(jù)?整理ppt5本講的內(nèi)容提綱o硬盤基礎知識o硬盤的數(shù)據(jù)存儲結(jié)構(gòu)oFAT32文件系統(tǒng)及數(shù)據(jù)恢復原理oNTFS文件系統(tǒng)o數(shù)據(jù)恢復實例o安全刪除技術(shù)整理ppt61.硬盤基礎知識整理ppt71.1硬盤外觀oIBM 10MB硬盤的內(nèi)部結(jié)構(gòu)圖及外觀圖 整理ppt820GB的7200RPM高速西部數(shù)據(jù)硬盤 整理ppt9全球最小的HDDo東芝推出的0.85英寸硬盤被吉尼斯承認為一項世界記錄“全球最小的HDD” 。0.85英寸的HDD大小為322435mm（長寬高），重量只有10g，容量為2

3、-4GB。 整理ppt101.2硬盤物理結(jié)構(gòu)o硬盤外部結(jié)構(gòu) n接口（電源接口+數(shù)據(jù)接口）n硬盤控制電路n固定面板 o硬盤內(nèi)部結(jié)構(gòu)n盤片、磁頭、盤片主軸、控制電機、磁頭控制器、數(shù)據(jù)轉(zhuǎn)換器整理ppt111.2.1硬盤外部結(jié)構(gòu)o接口硬盤背面及各部件名稱 整理ppt121.2.1硬盤外部結(jié)構(gòu)o硬盤控制電路拆下硬盤控制電路后 西數(shù)硬盤控制電路近照 整理ppt131.2.1硬盤外部結(jié)構(gòu)o固定面板：就是硬盤正面的面板，它與底板結(jié)合成一個密封的整體，保證了硬盤盤片和機構(gòu)的穩(wěn)定運行。n在面板上最顯眼的莫過于產(chǎn)品標簽，上面印著產(chǎn)品型號、產(chǎn)品序列號、產(chǎn)品、生產(chǎn)日期等信息。n除此，還有一個透氣孔，它的作用就是使硬盤內(nèi)

4、部氣壓與大氣氣壓保持一致。 整理ppt141.2.2硬盤內(nèi)部結(jié)構(gòu)o現(xiàn)在的硬盤主要包括：盤片、磁頭、盤片主軸、控制電機、磁頭現(xiàn)在的硬盤主要包括：盤片、磁頭、盤片主軸、控制電機、磁頭控制器、數(shù)據(jù)轉(zhuǎn)換器、接口、緩存等幾個部份?？刂破?、數(shù)據(jù)轉(zhuǎn)換器、接口、緩存等幾個部份。o硬盤上所有的盤片都固定在一個旋轉(zhuǎn)軸上，這個軸即硬盤上所有的盤片都固定在一個旋轉(zhuǎn)軸上，這個軸即盤片主軸盤片主軸。其中所有盤片之間是絕對平行的，在每個盤片的存儲面上都有一其中所有盤片之間是絕對平行的，在每個盤片的存儲面上都有一個個磁頭磁頭，磁頭與盤片之間的距離比頭發(fā)絲的直徑還要小。，磁頭與盤片之間的距離比頭發(fā)絲的直徑還要小。o所有的磁頭都

5、連在一個所有的磁頭都連在一個磁頭控制器磁頭控制器上，由磁頭控制器負責各個磁上，由磁頭控制器負責各個磁頭的運動。頭的運動。o磁頭可沿盤片的半徑方向動作，而盤片在這里以每分鐘數(shù)千轉(zhuǎn)的磁頭可沿盤片的半徑方向動作，而盤片在這里以每分鐘數(shù)千轉(zhuǎn)的速度在高速旋轉(zhuǎn)，這樣磁頭便可對盤片上的指定位置進行數(shù)據(jù)的速度在高速旋轉(zhuǎn)，這樣磁頭便可對盤片上的指定位置進行數(shù)據(jù)的讀寫操作。讀寫操作。整理ppt151.2.2硬盤內(nèi)部結(jié)構(gòu)整理ppt161)磁頭組件o它由讀寫磁頭、傳動手臂、傳動軸三部份組成。o硬盤的工作原理，它是利用特定的磁粒子的極性來記錄數(shù)據(jù)。o那磁頭是怎么讀取數(shù)據(jù)的呢？n首先磁頭將磁粒子的不同極性轉(zhuǎn)換成不同的電脈

6、沖信號，再利用數(shù)據(jù)轉(zhuǎn)換器將這些原始信號變成電腦可以使用的數(shù)據(jù)，寫的操作正好與此相反。整理ppt17o西數(shù)WD200BB硬盤采用單碟雙磁頭設計，該磁頭組件能支持四個磁頭，不過其中有兩個磁頭傳動手臂沒有安裝磁頭。 整理ppt182)磁頭驅(qū)動機構(gòu)： o磁頭驅(qū)動機構(gòu)由電磁線圈電機、磁頭驅(qū)動小車、防震動裝置構(gòu)成，高精度的輕型磁頭驅(qū)動機構(gòu)能夠?qū)Υ蓬^進行正確的驅(qū)動和定位，并能在很短的時間內(nèi)精確定位系統(tǒng)指令指定的磁道。 整理ppt193)磁盤片 o金屬或玻璃整理ppt204)主軸組件 o主軸組件包括主軸部件如軸承和驅(qū)動電機等。 整理ppt215)前置控制電路 o前置電路控制磁頭感應的信號、主軸電機調(diào)速、磁頭驅(qū)

7、動和服務定位等，由于磁頭讀取的信號微弱，將放大電路密封在腔體內(nèi)可減少外來信號的干擾，提高操作指令的準確性。 整理ppt221.3硬盤邏輯結(jié)構(gòu)o 硬盤由很多盤片(platter)組成，每個盤片的每個面都有一個讀寫磁頭。如果有N個盤片。就有2N個面，對應2N個磁頭(Heads)，從0、1、2開始編號。o每個盤片被劃分成若干個同心圓磁道(邏輯上的，是不可見的。)每個盤片的劃分規(guī)則通常是一樣的。這樣每個盤片的半徑均為固定值R的同心圓再邏輯上形成了一個以電機主軸為軸的柱面(Cylinders)，從外至里編號為0、1、2o每個盤片上的每個磁道又被劃分為幾十個扇區(qū)(Sector)，通常的容量是512byte

8、，并按照一定規(guī)則編號為1、2、3o形成CylindersHeadsSector個扇區(qū)。 整理ppt231.3硬盤邏輯結(jié)構(gòu)o1. 硬盤參數(shù) nCHS(Cylinder/Head/Sector)參數(shù) o磁頭數(shù)(Heads)表示硬盤總共有幾個磁頭,也就是有幾面盤片, 最大為 255 (用 8 個二進制位存儲);o柱面數(shù)(Cylinders) 表示硬盤每一面盤片上有幾條磁道,最大為 1023(用 10 個二進制位存儲);o扇區(qū)數(shù)(Sectors) 表示每一條磁道上有幾個扇區(qū), 最大為 63(用 6個二進制位存儲).每個扇區(qū)一般是 512個字節(jié) n磁盤最大容量o255 * 1023 * 63 * 512

9、 / 1048576 = 8024 MB ( 1M =1048576 Bytes )或o硬盤廠商常用的單位:255 * 1023 * 63 * 512 / 1000000 = 8414 MB ( 1M =1000000 Bytes )整理ppt24硬盤空間擴展o在老式硬盤中, 由于每個磁道的扇區(qū)數(shù)相等,所以外道的記錄密度要遠低于內(nèi)道, 因此會浪費很多磁盤空間 (與軟盤一樣). n為了解決這一問題,進一步提高硬盤容量, 人們改用等密度結(jié)構(gòu)生產(chǎn)硬盤.n也就是說,外圈磁道的扇區(qū)比內(nèi)圈磁道多. 采用這種結(jié)構(gòu)后, 硬盤不再具有實際的3D參數(shù),尋址方式也改為線性尋址, 即以扇區(qū)為單位進行尋址.o為了與使用

10、3D尋址的老軟件兼容 (如使用BIOS Int13H接口的軟件), 在硬盤控制器內(nèi)部安裝了一個地址翻譯器,由它負責將老式3D參數(shù)翻譯成新的線性參數(shù). 整理ppt252.硬盤的數(shù)據(jù)存儲結(jié)構(gòu)整理ppt262.1硬盤總體結(jié)構(gòu)表整理ppt27整理ppt282.2MBRoMBR(Master Boot Record),即主引導記錄，有時也稱主引導扇區(qū)。o位于整個硬盤的0柱面0磁頭1扇區(qū)(可以看作是硬盤的第一個扇區(qū))，BIOS在執(zhí)行自己固有的程序以后就會jump到MBR中的第一條指令。將系統(tǒng)的控制權(quán)交由MBR來執(zhí)行。n在總共512byte的主引導記錄中，MBR的引導程序占了其中的前446個字節(jié)(偏移0H偏

11、移1BDH)n隨后的64個字節(jié)(偏移1BEH偏移1FDH)為DPT(Disk Partition Table，硬盤分區(qū)表)n最后的兩個字節(jié)“55 AA”(偏移1FEH偏移1FFH)是分區(qū)有效結(jié)束標志。整理ppt29oWinHex查看的一塊希捷120GB硬盤的mbr 整理ppt302.3DPT（硬盤分區(qū)表）o在DPT共64個字節(jié)中，以16個字節(jié)為分區(qū)表項單位描述一個分區(qū)的屬性。o通常情況下，第一個分區(qū)表項描述一個分區(qū)的屬性，一般為基本分區(qū)。第二個分區(qū)表項描述除基本分區(qū)外的其余空間，即我們所說的擴展分區(qū)。整理ppt31DPT（硬盤分區(qū)表）示例整理ppt32DPT分區(qū)項各字段含義字節(jié)位移字段長度值字

12、段名和定義0 x01BEBYTE0 x80引導指示符(Boot Indicator) 指明該分區(qū)是否是活動分區(qū)。0 x01BFBYTE0 x01開始磁頭(Starting Head)0 x01C06位0 x01開始扇區(qū)(Starting Sector) 只用了05位。后面的兩位(第6位和第7位)被開始柱面字段所使用0 x01C110位0 x00開始柱面(Starting Cylinder) 除了開始扇區(qū)字段的最后兩位外，還使用了1位來組成該柱面值。開始柱面是一個10位數(shù)，最大值為10230 x01C2BYTE0 x07系統(tǒng)ID(System ID) 定義了分區(qū)的類型0 x01C3BYTE0 x

13、FE結(jié)束磁頭(Ending Head)0 x01C46位0 xFF結(jié)束扇區(qū)(Ending Sector) 只使用了05位。最后兩位(第6、7位)被結(jié)束柱面字段所使用0 x01C510位0 x7B結(jié)束柱面(Ending Cylinder) 除了結(jié)束扇區(qū)字段最后的兩位外，還使用了1位，以組成該柱面值。結(jié)束柱面是一個10位的數(shù)，最大值為10230 x01C6DWORD0 x0000003F相對扇區(qū)數(shù)(Relative Sectors) 從該磁盤的開始到該分區(qū)的開始的位移量，以扇區(qū)來計算0 x01CADWORD0 x00DAA83D總扇區(qū)數(shù)(Total Sectors) 該分區(qū)中的扇區(qū)總數(shù)整理ppt3

14、3DPT的4個分區(qū)項oC盤之前為盤之前為1個主引導扇區(qū)和個主引導扇區(qū)和62個保留扇區(qū)。個保留扇區(qū)。oC盤從盤從63號扇區(qū)開始，結(jié)束號扇區(qū)開始，結(jié)束于于14329979（63+14329917-1）扇）扇區(qū)。區(qū)。C盤大小為盤大小為7,336,916,992字節(jié)。字節(jié)。o主擴展分區(qū)從主擴展分區(qū)從14329980扇扇區(qū)開始，結(jié)束于區(qū)開始，結(jié)束于（14329980+220106565-1）扇區(qū)。主擴展分區(qū)大）扇區(qū)。主擴展分區(qū)大小為小為112,694,560,768字字節(jié)。節(jié)。整理ppt34擴展分區(qū)表整理ppt35擴展分區(qū)表o前面各項均為0，僅存分區(qū)項和結(jié)束標記整理ppt36該硬盤詳細結(jié)構(gòu)MBR(1)+

15、Res(62)+DBR(1)+Res(31)+FAT1+FAT2+DIR+DATA+整理ppt372.4DBR各字段含義整理ppt38DBR各自段具體解釋o包括：n跳轉(zhuǎn)指令n廠商標志和操作系統(tǒng)版本號nBPB(BIOS Parameter Block)n擴展BPBnOS引導程序n結(jié)束標志o右圖以FAT32為例說明分區(qū)DBR各字節(jié)的含義。 整理ppt39FAT32下DBR各字段含義o0H02H 一條跳轉(zhuǎn)指令，指針指向后面的引導程序 o03H0AH 廠商名和系統(tǒng)版本 o0BH0CH 每扇字節(jié)數(shù)，一般為512字節(jié) o0DH 每簇扇區(qū)數(shù)（有關(guān)簇的概念我們在后面會詳細介紹），對于FAT32的磁盤該字節(jié)一般

16、為08H，既每簇為8H*512B=4K。 o0EH0FH 保留扇區(qū)數(shù) o10H 磁盤FAT的個數(shù)，一般為2個 o11H12H 對于FAT16的磁盤為根目錄的最大目錄項，對于FAT32的磁盤該值總為“00H 00H” o13H14H 對于軟盤或早期小硬盤該處為分區(qū)總扇區(qū)數(shù)，對于硬盤一般此值為“00H 00H” o15H 介質(zhì)描述，對于1.44軟盤此處長為“F0H”，對于硬盤此處長為“F8H” o16H17H 對于軟盤或早期小硬盤該處為每個FAT占用的扇區(qū)數(shù)，對于硬盤一般此值為“00H 00H” o18H19H 每道扇區(qū)數(shù)，一般為“3FH 00H”，即每道有63個扇區(qū) o1AH1BH 磁頭數(shù)，一般

17、為“FFH 00H”，即每個柱面有255個磁頭 o1CH1FH 隱含扇區(qū)數(shù) o20H23H 對于大硬盤來說該處存放的是該分區(qū)占用的扇區(qū)數(shù) o24H27H 對于大硬盤來說該處存放的是每個FAT占用的扇區(qū)數(shù) o40H 該處為磁盤BIOS信息，第一塊硬盤為“80H”，一般軟盤為“00H” o47H51H 用戶設置的卷標，如果沒有卷標此處常為字符串“NO NAME ” o52H59H 文件系統(tǒng)，對于FAT32文件系統(tǒng)此處常為“FAT32 ” o1FEH1FFH 結(jié)束標識，和上文提到的主引導區(qū)的結(jié)束標識一樣為“55H AAH” 整理ppt40NTFS下DBRo00：3 bytes跳轉(zhuǎn)指令o03：OEM

18、ID o0B：25 bytesBPBo24: 48 bytes擴展 BPBo54:426 bytes引導程序代碼o1FE:結(jié)束標記（0 xAA55）整理ppt41 NTFS下BPB和擴展BPB中參數(shù)的含義 整理ppt423.FAT32文件系統(tǒng)及數(shù)據(jù)恢復原理整理ppt433.1 FAT32分區(qū)結(jié)構(gòu)整理ppt44o引導扇區(qū)引導扇區(qū)n在前面已經(jīng)論述，其中的在前面已經(jīng)論述，其中的BPB和擴展的和擴展的BPB記錄了分區(qū)的屬記錄了分區(qū)的屬性，即其它性，即其它5個部分的屬性。個部分的屬性。o保留扇區(qū)：保留扇區(qū)：nFAT32中的保留扇區(qū)除了磁盤總第中的保留扇區(qū)除了磁盤總第0扇區(qū)用作扇區(qū)用作DBR，總第，總第2

19、扇區(qū)扇區(qū)(win98 系統(tǒng)系統(tǒng))或總第或總第0 xC扇區(qū)扇區(qū)(win2000,winxp)用用作作OS引導代碼擴展部分外，其余扇區(qū)都不參與操作系統(tǒng)管理引導代碼擴展部分外，其余扇區(qū)都不參與操作系統(tǒng)管理與磁盤數(shù)據(jù)管理，通常情況下是不起作用的。與磁盤數(shù)據(jù)管理，通常情況下是不起作用的。n操作系統(tǒng)之所以在操作系統(tǒng)之所以在 FAT32 中設置保留扇區(qū)，是為了對中設置保留扇區(qū)，是為了對DBR作備份或留待以后升級時用，比如引導程序以后的擴展，作備份或留待以后升級時用，比如引導程序以后的擴展，F(xiàn)AT32中中DBR偏移偏移0 x34占占2字節(jié)的數(shù)據(jù)指明了字節(jié)的數(shù)據(jù)指明了DBR備份扇備份扇區(qū)所在一般為區(qū)所在一般為0

20、 x06即第即第6扇區(qū)，當扇區(qū)，當FAT32分區(qū)分區(qū)DBR扇區(qū)被扇區(qū)被破壞導致分區(qū)無法訪問時可以用第破壞導致分區(qū)無法訪問時可以用第6扇區(qū)的原備份替換第扇區(qū)的原備份替換第0扇扇區(qū)來找回數(shù)據(jù)。區(qū)來找回數(shù)據(jù)。整理ppt45oFAT表表(File Allocation Table 文件分配表文件分配表)是是Microsoft在在FAT文件系統(tǒng)中用于磁盤數(shù)據(jù)文件系統(tǒng)中用于磁盤數(shù)據(jù)(文件文件)索引和定位引進的一種鏈式結(jié)構(gòu)。索引和定位引進的一種鏈式結(jié)構(gòu)。FAT表記錄了磁表記錄了磁盤數(shù)據(jù)文件的存儲鏈表。盤數(shù)據(jù)文件的存儲鏈表。o文件系統(tǒng)將磁盤空間按一定數(shù)目的扇區(qū)為單位進行文件系統(tǒng)將磁盤空間按一定數(shù)目的扇區(qū)為單位

21、進行劃分，這樣的單位稱為劃分，這樣的單位稱為簇簇。n通常情況下，每扇區(qū)通常情況下，每扇區(qū)512字節(jié)的原則是不變的。簇的大字節(jié)的原則是不變的。簇的大小一般是小一般是2n(n 為整數(shù)為整數(shù) )個扇區(qū)的大小，可以是個扇區(qū)的大小，可以是512B、1KB、2KB、4KB、8KB、16KB、32KB、64KB。實際中通常不超過實際中通常不超過32K。整理ppt46FAT表FAT記錄項的值對應簇的表現(xiàn)情況000000000H未分配的簇00000002H 0FFFFFEFH已分配的簇0FFFFFF0H - 0FFFFFF6H系統(tǒng)保留0FFFFFF7H壞簇0FFFFFF8H - 0FFFFFFFH文件結(jié)束簇通常

22、情況其第 1 、 2個記錄項 用作介質(zhì)描述。從第三個記錄項開始記錄除根目錄外的其他文件及文件夾的簇鏈情況。根據(jù)簇的表現(xiàn)情況 FAT 用相應的取值來描述，見下表：整理ppt47o根目錄首簇n對于根目錄的第一個簇，系統(tǒng)并不編號為第 0 簇或第 1 簇 ，而是編號為第 2 簇，也就是說數(shù)據(jù)區(qū)順序上的第 1個簇也是編號上的第 2 簇。 整理ppt48oFAT中將目錄當文件進行處理。文件和目錄都以32字節(jié)的目錄項來進行索引，長文件名擁有多個目錄項。整理ppt49實際目錄的目錄項例子整理ppt50實際文件的目錄項例子整理ppt513.2文件存儲與恢復原理整理ppt524.NTFS文件系統(tǒng)整理ppt53NT

23、FS文件系統(tǒng)總體結(jié)構(gòu)圖o引導扇區(qū)將NTLDR區(qū)域的代碼讀入內(nèi)存并移交控制權(quán)oMFT（主控文件表）是NTFS卷結(jié)構(gòu)的核心。nMFT是一個與文件相對應的文件屬性數(shù)據(jù)庫，它記錄了除文件數(shù)據(jù)外的所有屬性，甚至小文件的數(shù)據(jù)本身也包含在MFT中。nMFT以文件數(shù)組來實現(xiàn)，每個文件記錄的大小固定為1KB。整理ppt54NTFS引導分區(qū)整理ppt55實際含義整理ppt56MFT(Master File Table):組織結(jié)構(gòu)示意表 最開始是保存系統(tǒng)關(guān)鍵信息的16個元數(shù)據(jù)文件。從第24個記錄開始，MFT記錄的都是文件或者目錄（其實被NTFS同樣視為文件）的描述信息 整理ppt57MFT(Master File

24、Table):主控文件表o主控文件表中的每個文件記錄由兩部分組成：n表頭（文件記錄頭）o長度和偏移處的數(shù)據(jù)含義不變n屬性列表o屬性是File具體信息的載體，一個File的所有信息（包括文件的內(nèi)容）都通過屬性體現(xiàn)。通過獲取屬性的值，就能夠得到File的各種所需的信息。 o不同的屬性列表的對應偏移對應著不同的含義oMFT中每個文件記錄的結(jié)束標記為FFFFFFFFH整理ppt58File Record(FR)oFile Record（文件記錄，以下簡稱FR），大小保持為1KB，即2個扇區(qū)n如果一個File足夠?。ù蟾?00多字節(jié)以下），NTFS將其數(shù)據(jù)直接存放在該File的FR中；n否則，NTFS將開辟新空間存放File的具體數(shù)據(jù)，其存放位置記錄在FR中，通過Data Run指明每段起始簇號和每段（即碎片）占用的簇的個數(shù)。 整理ppt59File Record組織結(jié)構(gòu)示意表 FR頭屬性1，通常是$STANDARD