數(shù)據(jù)恢復(fù)技術(shù)

數(shù)據(jù)恢復(fù)技術(shù)課件第1頁，共38頁，2023年，2月20日，星期六有無必要專門學(xué)習(xí)這門技術(shù)沒必要？

有必要!第2頁，共38頁，2023年，2月20日，星期六數(shù)據(jù)恢復(fù)的分類物理類數(shù)據(jù)恢復(fù)邏輯類數(shù)據(jù)恢復(fù)第3頁，共38頁，2023年，2月20日，星期六本課程內(nèi)容：原理：介紹存儲介質(zhì)、硬盤接口分區(qū)表文件系統(tǒng)RAID技術(shù)操作：虛擬存儲軟件WINHEX軟件常用數(shù)據(jù)恢復(fù)軟件應(yīng)用第4頁，共38頁，2023年，2月20日，星期六存儲介質(zhì)：磁存儲：硬盤，軟盤，磁帶電存儲：U盤，存儲卡，固態(tài)硬盤，內(nèi)存條光存儲：光盤固態(tài)硬盤（SolidStateDisk或SolidStateDrive）：也稱作電子硬盤或者固態(tài)電子盤，是由控制單元和固態(tài)存儲單元（DRAM或FLASH芯片）組成的硬盤。固態(tài)硬盤的接口規(guī)范和定義、功能及使用方法上與普通硬盤的相同，在產(chǎn)品外形和尺寸上也與普通硬盤一致。由于固態(tài)硬盤沒有普通硬盤的旋轉(zhuǎn)介質(zhì)，因而抗震性極佳。其芯片的工作溫度范圍很寬（-40~85℃）。目前廣泛應(yīng)用于軍事、車載、工控、視頻監(jiān)控、網(wǎng)絡(luò)監(jiān)控、網(wǎng)絡(luò)終端、電力、醫(yī)療、航空等、導(dǎo)航設(shè)備等領(lǐng)域。目前由于成本較高，正在逐漸普及到DIY市場。新一代的固態(tài)硬盤普遍采用SATA-2接口。第5頁，共38頁，2023年，2月20日，星期六固態(tài)硬盤：第6頁，共38頁，2023年，2月20日，星期六普通硬盤：第7頁，共38頁，2023年，2月20日，星期六普通硬盤內(nèi)部結(jié)構(gòu)磁頭組件。這個組件是硬盤中最精密的部位之一，它由讀寫磁頭、傳動手臂、傳動軸三部分組成。第8頁，共38頁，2023年，2月20日，星期六硬盤的接口：IDE：(IntegratedDriveElectronics），即“電子集成驅(qū)動器”，它的本意是指把“硬盤控制器”與“盤體”集成在一起的硬盤驅(qū)動器。把盤體與控制器集成在一起的做法減少了硬盤接口的電纜數(shù)目與長度，數(shù)據(jù)傳輸?shù)目煽啃缘玫搅嗽鰪姡脖P制造起來變得更容易，因為硬盤生產(chǎn)廠商不需要再擔(dān)心自己的硬盤是否與其它廠商生產(chǎn)的控制器兼容。對用戶而言，硬盤安裝起來也更為方便。IDE這一接口技術(shù)從誕生至今就一直在不斷發(fā)展，性能也不斷的提高，其擁有的價格低廉、兼容性強的特點，為其造就了其它類型硬盤無法替代的地位。第9頁，共38頁，2023年，2月20日，星期六SCSI：（SmallComputerSystemInterface）（小型計算機系統(tǒng)接口），是同IDE（ATA）完全不同的接口，IDE接口是普通PC的標準接口，而SCSI并不是專門為硬盤設(shè)計的接口，是一種廣泛應(yīng)用于小型機上的高速數(shù)據(jù)傳輸技術(shù)。SCSI接口具有應(yīng)用范圍廣、多任務(wù)、帶寬大、CPU占用率低，以及熱插拔等優(yōu)點，但較高的價格使得它很難如IDE硬盤般普及，因此SCSI硬盤主要應(yīng)用于中、高端服務(wù)器和高檔工作站中。第10頁，共38頁，2023年，2月20日，星期六SATA：（SerialATA）接口的硬盤又叫串口硬盤，SerialATA采用串行連接方式，串行ATA總線使用嵌入式時鐘信號，具備了更強的糾錯能力，與以往相比其最大的區(qū)別在于能對傳輸指令（不僅僅是數(shù)據(jù)）進行檢查，如果發(fā)現(xiàn)錯誤會自動矯正，這在很大程度上提高了數(shù)據(jù)傳輸?shù)目煽啃浴４薪涌谶€具有結(jié)構(gòu)簡單、支持熱插拔的優(yōu)點。不再使用4針的“D形”電源接口，改用新式的易于插拔的15針接口代替。S-ATA采用點對點連接方式，因此每個S-ATA線纜（或通道）只能連接一塊硬盤，相應(yīng)的也就不必像并行硬盤那樣設(shè)置主、從跳線。第11頁，共38頁，2023年，2月20日，星期六光纖通道（FibreChannel）：和SCIS接口一樣光纖通道最初也不是為硬盤設(shè)計開發(fā)的接口技術(shù)，是專門為網(wǎng)絡(luò)系統(tǒng)設(shè)計的，但隨著存儲系統(tǒng)對速度的需求，才逐漸應(yīng)用到硬盤系統(tǒng)中。光纖通道硬盤是為提高多硬盤存儲系統(tǒng)的速度和靈活性才開發(fā)的，它的出現(xiàn)大大提高了多硬盤系統(tǒng)的通信速度。光纖通道的主要特性有：熱插拔性、高速帶寬、遠程連接、連接設(shè)備數(shù)量大等。第12頁，共38頁，2023年，2月20日，星期六硬盤壞磁頭—通電響盤片—用專門的工具讀數(shù)據(jù)電路板—更換同型號電路板BIOS芯片固件—用PC3000恢復(fù)第13頁，共38頁，2023年，2月20日，星期六硬盤數(shù)據(jù)地址定位參數(shù)：C/H/S:三維地址結(jié)構(gòu)：柱面（磁道）：C（Cylinder）磁頭（盤面）：H（Head）扇區(qū)：S（Sector)L/B/A（LogicBlockAddress):線性地址，只有“扇區(qū)”這一個地址。第14頁，共38頁，2023年，2月20日，星期六第15頁，共38頁，2023年，2月20日，星期六MBR:（MaterBootRecord）主引導(dǎo)記錄（存放在第一個扇區(qū)里）—由分區(qū)軟件創(chuàng)建。引導(dǎo)代碼：（00-1BDH）

分區(qū)表：（64bytes，1BE—1FDH）DPT（DiskPartitionTable）

結(jié)束標志：55AA第16頁，共38頁，2023年，2月20日，星期六引導(dǎo)代碼的恢復(fù)：復(fù)制其他硬盤的引導(dǎo)代碼（掛壞盤）用DOS引導(dǎo)盤，進入DOS，輸入命令：FDISK/MBR。進入windows磁盤管理，掛盤，“初始化”磁盤，再將以前備份的“分區(qū)表”復(fù)制，粘貼進來。

第17頁，共38頁，2023年，2月20日，星期六分區(qū)表項的含義：第1字節(jié)：00H:分區(qū)活動標志，80表示被激活，00表示未激活。第2字節(jié)：01H:本分區(qū)開始磁頭號(H)第3字節(jié)：02H:本分區(qū)開始扇區(qū)號(S)第4字節(jié)：03H:本分區(qū)開始柱面號(C)第5字節(jié)：04H:分區(qū)類型（微軟：FAT12:01HFAT16:04H(分區(qū)小于32M)06H(分區(qū)大于32M)FAT32:0BH或0CHNTFS:07H擴展分區(qū)：05H或0FH第6字節(jié)：05H:本分區(qū)結(jié)束磁頭號第7字節(jié)：06H:本分區(qū)結(jié)束扇區(qū)號第8字節(jié)：07H:本分區(qū)結(jié)束柱面第9-12字節(jié)：08-0BH:本分區(qū)開始扇區(qū)號(LBA地址)（本分區(qū)之前使用的扇區(qū)數(shù)目）第13-16字節(jié)：0CH-0FH:本分區(qū)大?。▎挝唬荷葏^(qū)）第18頁，共38頁，2023年，2月20日，星期六分區(qū)表擴展分區(qū)：擴展引導(dǎo)記錄結(jié)束標志(55AA)主擴展分區(qū)子擴展分區(qū)(EBR：ExtendedBootRecord)定義C盤描述剩余空間未用未用定義D盤EBR未用未用定義E盤EBR未用未用定義F盤未用未用未用C盤分區(qū)表D盤分區(qū)表E盤分區(qū)表F盤分區(qū)表表項1表項2表項3表項4第19頁，共38頁，2023年，2月20日，星期六文件系統(tǒng)：FAT12,16,32;NTFS(微軟）OS:FS：DOS3.0之前FAT12DOS3.0-6.22FAT12,16Win3.xFAT12,16win95OSR2之前FAT12,16win95OSR2之后FAT12,16,32win98、SE、winmeFAT12,16,32Winnt3.51之前FAT12,16,32Winnt3.51-4.0FAT12,16,32,NTFSWin2000FAT12,16,32,NTFSWinxp,win2003FAT12,16,32,NTFSvistaFAT12,16,32,NTFS第20頁，共38頁，2023年，2月20日，星期六DBR:DOS引導(dǎo)記錄FAT:文件分配表FDT:文件目錄表。簇：是文件管理的最小單元，第一個簇的簇號為2。1簇=2n扇區(qū)FAT12,16:FAT32:DBR(占1-8扇區(qū)）FAT1FAT2FDT（占32扇區(qū)）DATADBR(占32-38扇區(qū)）FAT1FAT2DATA第21頁，共38頁，2023年，2月20日，星期六簇大?。海J數(shù)值）分區(qū)大小簇/扇區(qū)<512M1512M—1G21G—2G4>2G8第22頁，共38頁，2023年，2月20日，星期六跳轉(zhuǎn)指令：EB

OEMDBR

BPB參數(shù)(Biosparameterblock)引導(dǎo)代碼結(jié)束標志符：55AA第23頁，共38頁，2023年，2月20日，星期六BPB參數(shù):(大多在63號扇區(qū)）0BH-0CH:每扇區(qū)字節(jié)數(shù)。0DH:簇大小（每簇扇區(qū)數(shù)）0EH—0FH:DBR的保留扇區(qū)數(shù)。（用于找FAT1表）10H:FAT表的個數(shù)。11H—12H:FDT最大存放的目錄項數(shù)。13H—14H:本分區(qū)大小。（小于32M分區(qū)）（FAT)15H:介質(zhì)描述符（F8:硬盤，F(xiàn)0:軟盤）16H—17H:FAT表大小。（用于找FAT2)18H—19H:每磁道扇區(qū)數(shù)。（63）。1CH—1FH:本分區(qū)開始扇區(qū)號。20H—23H:本分區(qū)大小。（大于32M的分區(qū)）(FAT)32H—33H:DBR備份所在的扇區(qū)（只有FAT32有此功能，一般在6號扇區(qū)）第24頁，共38頁，2023年，2月20日，星期六文件目錄項：32Bytes(存放文件名等文件屬性信息。

文件開始簇號所在偏移量(第2行54，BA)前11字節(jié)：文件名文件目錄項第12字節(jié)：：“10”表示文件夾“20”表示文件

最后4字節(jié)：文件所占用的字節(jié)數(shù)（文件大小）（文件夾都是0）注：FAT32最大的管理分區(qū)大?。?2G(由微軟的系統(tǒng)限制）第25頁，共38頁，2023年，2月20日，星期六FAT表：以鏈（指針）方式存放簇號。348104810FF文件存儲/讀取步驟：1、FDT2、FAT3、DATA第26頁，共38頁，2023年，2月20日，星期六誤刪除操作的變化：FDT：“E5”FAT：“00”DATA：不變格式化操作的變化：FDT：“00”FAT：“00”DATA：不變第27頁，共38頁，2023年，2月20日，星期六NTFS:格式化后會往分區(qū)中寫入16個元文件：$BOOT：占用16個扇區(qū)，其中第一個扇區(qū)是DBR$ROOT（根目錄）$MFT:主文件表，管理文件之用$MFTMIRR:主文件表的鏡像（部分）$LOGFILE:日志$BITMAP:位圖(記錄簇的使用情況）DBR$BOOTMFTMFTMIRR第28頁，共38頁，2023年，2月20日，星期六NTFS的DBR結(jié)構(gòu)：0B-0CH:每扇區(qū)字節(jié)數(shù)0DH:簇大小1C-1FH：本分區(qū)開始扇區(qū)號（隱藏扇區(qū)數(shù)）28-2FH:分區(qū)大?。ū确謪^(qū)表中的值小1)30-37H:$MFT的開始簇號38-3FH:$MFTMIRR的開始簇號40-43H:每個文件記錄包含的簇數(shù)第29頁，共38頁，2023年，2月20日，星期六文件記錄頭的結(jié)構(gòu):($MFT)00-03H:文件記錄的頭標志（46494C45/FILE)14-15H:第一個屬性的開始偏移地址16-17H:“01”表示文件在使用中；“00”表示文件已經(jīng)被刪除第30頁，共38頁，2023年，2月20日，星期六屬性的公共結(jié)構(gòu)：（相對偏移地址）00-03H：屬性類型（用16進制表示）注：“10H”：標準信息屬性“30H”：文件名屬性“80H”：數(shù)據(jù)屬性08H：屬性是否常駐?！?0”表示常駐“01”表示非常駐第31頁，共38頁，2023年，2月20日，星期六常駐屬性的結(jié)構(gòu)：（相對偏移地址）10-13H：屬性體的大小14-15H：屬性體的開始偏移地址非常駐屬性的結(jié)構(gòu)：20-21H：屬性體RUNLIST的起始地址例：