數(shù)據(jù)恢復(fù)技術(shù)

數(shù)據(jù)恢復(fù)技術(shù)課件第1頁(yè)，共38頁(yè)，2023年，2月20日，星期六有無(wú)必要專門學(xué)習(xí)這門技術(shù)沒(méi)必要？

有必要!第2頁(yè)，共38頁(yè)，2023年，2月20日，星期六數(shù)據(jù)恢復(fù)的分類物理類數(shù)據(jù)恢復(fù)邏輯類數(shù)據(jù)恢復(fù)第3頁(yè)，共38頁(yè)，2023年，2月20日，星期六本課程內(nèi)容：原理：介紹存儲(chǔ)介質(zhì)、硬盤接口分區(qū)表文件系統(tǒng)RAID技術(shù)操作：虛擬存儲(chǔ)軟件WINHEX軟件常用數(shù)據(jù)恢復(fù)軟件應(yīng)用第4頁(yè)，共38頁(yè)，2023年，2月20日，星期六存儲(chǔ)介質(zhì)：磁存儲(chǔ)：硬盤，軟盤，磁帶電存儲(chǔ)：U盤，存儲(chǔ)卡，固態(tài)硬盤，內(nèi)存條光存儲(chǔ)：光盤固態(tài)硬盤（SolidStateDisk或SolidStateDrive）：也稱作電子硬盤或者固態(tài)電子盤，是由控制單元和固態(tài)存儲(chǔ)單元（DRAM或FLASH芯片）組成的硬盤。固態(tài)硬盤的接口規(guī)范和定義、功能及使用方法上與普通硬盤的相同，在產(chǎn)品外形和尺寸上也與普通硬盤一致。由于固態(tài)硬盤沒(méi)有普通硬盤的旋轉(zhuǎn)介質(zhì)，因而抗震性極佳。其芯片的工作溫度范圍很寬（-40~85℃）。目前廣泛應(yīng)用于軍事、車載、工控、視頻監(jiān)控、網(wǎng)絡(luò)監(jiān)控、網(wǎng)絡(luò)終端、電力、醫(yī)療、航空等、導(dǎo)航設(shè)備等領(lǐng)域。目前由于成本較高，正在逐漸普及到DIY市場(chǎng)。新一代的固態(tài)硬盤普遍采用SATA-2接口。第5頁(yè)，共38頁(yè)，2023年，2月20日，星期六固態(tài)硬盤：第6頁(yè)，共38頁(yè)，2023年，2月20日，星期六普通硬盤：第7頁(yè)，共38頁(yè)，2023年，2月20日，星期六普通硬盤內(nèi)部結(jié)構(gòu)磁頭組件。這個(gè)組件是硬盤中最精密的部位之一，它由讀寫磁頭、傳動(dòng)手臂、傳動(dòng)軸三部分組成。第8頁(yè)，共38頁(yè)，2023年，2月20日，星期六硬盤的接口：IDE：(IntegratedDriveElectronics），即“電子集成驅(qū)動(dòng)器”，它的本意是指把“硬盤控制器”與“盤體”集成在一起的硬盤驅(qū)動(dòng)器。把盤體與控制器集成在一起的做法減少了硬盤接口的電纜數(shù)目與長(zhǎng)度，數(shù)據(jù)傳輸?shù)目煽啃缘玫搅嗽鰪?qiáng)，硬盤制造起來(lái)變得更容易，因?yàn)橛脖P生產(chǎn)廠商不需要再擔(dān)心自己的硬盤是否與其它廠商生產(chǎn)的控制器兼容。對(duì)用戶而言，硬盤安裝起來(lái)也更為方便。IDE這一接口技術(shù)從誕生至今就一直在不斷發(fā)展，性能也不斷的提高，其擁有的價(jià)格低廉、兼容性強(qiáng)的特點(diǎn)，為其造就了其它類型硬盤無(wú)法替代的地位。第9頁(yè)，共38頁(yè)，2023年，2月20日，星期六SCSI：（SmallComputerSystemInterface）（小型計(jì)算機(jī)系統(tǒng)接口），是同IDE（ATA）完全不同的接口，IDE接口是普通PC的標(biāo)準(zhǔn)接口，而SCSI并不是專門為硬盤設(shè)計(jì)的接口，是一種廣泛應(yīng)用于小型機(jī)上的高速數(shù)據(jù)傳輸技術(shù)。SCSI接口具有應(yīng)用范圍廣、多任務(wù)、帶寬大、CPU占用率低，以及熱插拔等優(yōu)點(diǎn)，但較高的價(jià)格使得它很難如IDE硬盤般普及，因此SCSI硬盤主要應(yīng)用于中、高端服務(wù)器和高檔工作站中。第10頁(yè)，共38頁(yè)，2023年，2月20日，星期六SATA：（SerialATA）接口的硬盤又叫串口硬盤，SerialATA采用串行連接方式，串行ATA總線使用嵌入式時(shí)鐘信號(hào)，具備了更強(qiáng)的糾錯(cuò)能力，與以往相比其最大的區(qū)別在于能對(duì)傳輸指令（不僅僅是數(shù)據(jù)）進(jìn)行檢查，如果發(fā)現(xiàn)錯(cuò)誤會(huì)自動(dòng)矯正，這在很大程度上提高了數(shù)據(jù)傳輸?shù)目煽啃浴４薪涌谶€具有結(jié)構(gòu)簡(jiǎn)單、支持熱插拔的優(yōu)點(diǎn)。不再使用4針的“D形”電源接口，改用新式的易于插拔的15針接口代替。S-ATA采用點(diǎn)對(duì)點(diǎn)連接方式，因此每個(gè)S-ATA線纜（或通道）只能連接一塊硬盤，相應(yīng)的也就不必像并行硬盤那樣設(shè)置主、從跳線。第11頁(yè)，共38頁(yè)，2023年，2月20日，星期六光纖通道（FibreChannel）：和SCIS接口一樣光纖通道最初也不是為硬盤設(shè)計(jì)開發(fā)的接口技術(shù)，是專門為網(wǎng)絡(luò)系統(tǒng)設(shè)計(jì)的，但隨著存儲(chǔ)系統(tǒng)對(duì)速度的需求，才逐漸應(yīng)用到硬盤系統(tǒng)中。光纖通道硬盤是為提高多硬盤存儲(chǔ)系統(tǒng)的速度和靈活性才開發(fā)的，它的出現(xiàn)大大提高了多硬盤系統(tǒng)的通信速度。光纖通道的主要特性有：熱插拔性、高速帶寬、遠(yuǎn)程連接、連接設(shè)備數(shù)量大等。第12頁(yè)，共38頁(yè)，2023年，2月20日，星期六硬盤壞磁頭—通電響盤片—用專門的工具讀數(shù)據(jù)電路板—更換同型號(hào)電路板BIOS芯片固件—用PC3000恢復(fù)第13頁(yè)，共38頁(yè)，2023年，2月20日，星期六硬盤數(shù)據(jù)地址定位參數(shù)：C/H/S:三維地址結(jié)構(gòu)：柱面（磁道）：C（Cylinder）磁頭（盤面）：H（Head）扇區(qū)：S（Sector)L/B/A（LogicBlockAddress):線性地址，只有“扇區(qū)”這一個(gè)地址。第14頁(yè)，共38頁(yè)，2023年，2月20日，星期六第15頁(yè)，共38頁(yè)，2023年，2月20日，星期六MBR:（MaterBootRecord）主引導(dǎo)記錄（存放在第一個(gè)扇區(qū)里）—由分區(qū)軟件創(chuàng)建。引導(dǎo)代碼：（00-1BDH）

分區(qū)表：（64bytes，1BE—1FDH）DPT（DiskPartitionTable）

結(jié)束標(biāo)志：55AA第16頁(yè)，共38頁(yè)，2023年，2月20日，星期六引導(dǎo)代碼的恢復(fù)：復(fù)制其他硬盤的引導(dǎo)代碼（掛壞盤）用DOS引導(dǎo)盤，進(jìn)入DOS，輸入命令：FDISK/MBR。進(jìn)入windows磁盤管理，掛盤，“初始化”磁盤，再將以前備份的“分區(qū)表”復(fù)制，粘貼進(jìn)來(lái)。

第17頁(yè)，共38頁(yè)，2023年，2月20日，星期六分區(qū)表項(xiàng)的含義：第1字節(jié)：00H:分區(qū)活動(dòng)標(biāo)志，80表示被激活，00表示未激活。第2字節(jié)：01H:本分區(qū)開始磁頭號(hào)(H)第3字節(jié)：02H:本分區(qū)開始扇區(qū)號(hào)(S)第4字節(jié)：03H:本分區(qū)開始柱面號(hào)(C)第5字節(jié)：04H:分區(qū)類型（微軟：FAT12:01HFAT16:04H(分區(qū)小于32M)06H(分區(qū)大于32M)FAT32:0BH或0CHNTFS:07H擴(kuò)展分區(qū)：05H或0FH第6字節(jié)：05H:本分區(qū)結(jié)束磁頭號(hào)第7字節(jié)：06H:本分區(qū)結(jié)束扇區(qū)號(hào)第8字節(jié)：07H:本分區(qū)結(jié)束柱面第9-12字節(jié)：08-0BH:本分區(qū)開始扇區(qū)號(hào)(LBA地址)（本分區(qū)之前使用的扇區(qū)數(shù)目）第13-16字節(jié)：0CH-0FH:本分區(qū)大?。▎挝唬荷葏^(qū)）第18頁(yè)，共38頁(yè)，2023年，2月20日，星期六分區(qū)表擴(kuò)展分區(qū)：擴(kuò)展引導(dǎo)記錄結(jié)束標(biāo)志(55AA)主擴(kuò)展分區(qū)子擴(kuò)展分區(qū)(EBR：ExtendedBootRecord)定義C盤描述剩余空間未用未用定義D盤EBR未用未用定義E盤EBR未用未用定義F盤未用未用未用C盤分區(qū)表D盤分區(qū)表E盤分區(qū)表F盤分區(qū)表表項(xiàng)1表項(xiàng)2表項(xiàng)3表項(xiàng)4第19頁(yè)，共38頁(yè)，2023年，2月20日，星期六文件系統(tǒng)：FAT12,16,32;NTFS(微軟）OS:FS：DOS3.0之前FAT12DOS3.0-6.22FAT12,16Win3.xFAT12,16win95OSR2之前FAT12,16win95OSR2之后FAT12,16,32win98、SE、winmeFAT12,16,32Winnt3.51之前FAT12,16,32Winnt3.51-4.0FAT12,16,32,NTFSWin2000FAT12,16,32,NTFSWinxp,win2003FAT12,16,32,NTFSvistaFAT12,16,32,NTFS第20頁(yè)，共38頁(yè)，2023年，2月20日，星期六DBR:DOS引導(dǎo)記錄FAT:文件分配表FDT:文件目錄表。簇：是文件管理的最小單元，第一個(gè)簇的簇號(hào)為2。1簇=2n扇區(qū)FAT12,16:FAT32:DBR(占1-8扇區(qū)）FAT1FAT2FDT（占32扇區(qū)）DATADBR(占32-38扇區(qū)）FAT1FAT2DATA第21頁(yè)，共38頁(yè)，2023年，2月20日，星期六簇大?。海J(rèn)數(shù)值）分區(qū)大小簇/扇區(qū)<512M1512M—1G21G—2G4>2G8第22頁(yè)，共38頁(yè)，2023年，2月20日，星期六跳轉(zhuǎn)指令：EB

OEMDBR

BPB參數(shù)(Biosparameterblock)引導(dǎo)代碼結(jié)束標(biāo)志符：55AA第23頁(yè)，共38頁(yè)，2023年，2月20日，星期六BPB參數(shù):(大多在63號(hào)扇區(qū)）0BH-0CH:每扇區(qū)字節(jié)數(shù)。0DH:簇大?。看厣葏^(qū)數(shù)）0EH—0FH:DBR的保留扇區(qū)數(shù)。（用于找FAT1表）10H:FAT表的個(gè)數(shù)。11H—12H:FDT最大存放的目錄項(xiàng)數(shù)。13H—14H:本分區(qū)大小。（小于32M分區(qū)）（FAT)15H:介質(zhì)描述符（F8:硬盤，F(xiàn)0:軟盤）16H—17H:FAT表大小。（用于找FAT2)18H—19H:每磁道扇區(qū)數(shù)。（63）。1CH—1FH:本分區(qū)開始扇區(qū)號(hào)。20H—23H:本分區(qū)大小。（大于32M的分區(qū)）(FAT)32H—33H:DBR備份所在的扇區(qū)（只有FAT32有此功能，一般在6號(hào)扇區(qū)）第24頁(yè)，共38頁(yè)，2023年，2月20日，星期六文件目錄項(xiàng)：32Bytes(存放文件名等文件屬性信息。

文件開始簇號(hào)所在偏移量(第2行54，BA)前11字節(jié)：文件名文件目錄項(xiàng)第12字節(jié)：：“10”表示文件夾“20”表示文件

最后4字節(jié)：文件所占用的字節(jié)數(shù)（文件大小）（文件夾都是0）注：FAT32最大的管理分區(qū)大?。?2G(由微軟的系統(tǒng)限制）第25頁(yè)，共38頁(yè)，2023年，2月20日，星期六FAT表：以鏈（指針）方式存放簇號(hào)。348104810FF文件存儲(chǔ)/讀取步驟：1、FDT2、FAT3、DATA第26頁(yè)，共38頁(yè)，2023年，2月20日，星期六誤刪除操作的變化：FDT：“E5”FAT：“00”DATA：不變格式化操作的變化：FDT：“00”FAT：“00”DATA：不變第27頁(yè)，共38頁(yè)，2023年，2月20日，星期六NTFS:格式化后會(huì)往分區(qū)中寫入16個(gè)元文件：$BOOT：占用16個(gè)扇區(qū)，其中第一個(gè)扇區(qū)是DBR$ROOT（根目錄）$MFT:主文件表，管理文件之用$MFTMIRR:主文件表的鏡像（部分）$LOGFILE:日志$BITMAP:位圖(記錄簇的使用情況）DBR$BOOTMFTMFTMIRR第28頁(yè)，共38頁(yè)，2023年，2月20日，星期六NTFS的DBR結(jié)構(gòu)：0B-0CH:每扇區(qū)字節(jié)數(shù)0DH:簇大小1C-1FH：本分區(qū)開始扇區(qū)號(hào)（隱藏扇區(qū)數(shù)）28-2FH:分區(qū)大?。ū确謪^(qū)表中的值小1)30-37H:$MFT的開始簇號(hào)38-3FH:$MFTMIRR的開始簇號(hào)40-43H:每個(gè)文件記錄包含的簇?cái)?shù)第29頁(yè)，共38頁(yè)，2023年，2月20日，星期六文件記錄頭的結(jié)構(gòu):($MFT)00-03H:文件記錄的頭標(biāo)志（46494C45/FILE)14-15H:第一個(gè)屬性的開始偏移地址16-17H:“01”表示文件在使用中；“00”表示文件已經(jīng)被刪除第30頁(yè)，共38頁(yè)，2023年，2月20日，星期六屬性的公共結(jié)構(gòu)：（相對(duì)偏移地址）00-03H：屬性類型（用16進(jìn)制表示）注：“10H”：標(biāo)準(zhǔn)信息屬性“30H”：文件名屬性“80H”：數(shù)據(jù)屬性08H：屬性是否常駐?！?0”表示常駐“01”表示非常駐第31頁(yè)，共38頁(yè)，2023年，2月20日，星期六常駐屬性的結(jié)構(gòu)：（相對(duì)偏移地址）10-13H：屬性體的大小14-15H：屬性體的開始偏移地址非常駐屬性的結(jié)構(gòu)：20-21H：屬性體RUNLIST的起始地址例：