數(shù)據(jù)恢復基礎(chǔ)知識

數(shù)據(jù)恢復實訓課件數(shù)據(jù)恢復入門知識儲備第一章現(xiàn)代存儲設(shè)備的結(jié)構(gòu)介紹第二章磁盤體系結(jié)構(gòu)介紹第三章第四章目錄ContentsWindows中的文件系統(tǒng)第五章數(shù)據(jù)恢復基本工具介紹數(shù)據(jù)恢復入門知識儲備數(shù)據(jù)丟失的原因2數(shù)據(jù)恢復3數(shù)據(jù)存儲的方式1數(shù)據(jù)（Data）是表示客觀事物的、可以被記錄和能夠被識別的各種符號，包括字符、符號、表格、聲音、圖形和圖像等，它們被計算機加工、處理后存儲在物理介質(zhì)上，在物理介質(zhì)上已十六進制的方式存放。在我們?nèi)粘Ｉ钪兄饕斐蓴?shù)據(jù)丟失的原因有：1.系統(tǒng)硬件故障2.應用程序或操作系統(tǒng)出錯3.人為錯誤4.電腦病毒/黑客入侵5.自然災害數(shù)據(jù)恢復（Datarecovery）是指通過技術(shù)手段，將保存在臺式機硬盤、筆記本硬盤、服務器硬盤、存儲磁帶庫、移動硬盤、U盤、數(shù)碼存儲卡、Mp3等等設(shè)備上丟失的電子數(shù)據(jù)進行搶救和恢復的技術(shù)?！爆F(xiàn)代存儲設(shè)備的結(jié)構(gòu)介紹目前市面上主要的存儲設(shè)備有硬盤、U盤以及SD卡等。現(xiàn)代存儲設(shè)備的結(jié)構(gòu)介紹硬盤硬盤從品牌上分類，有希捷、西部數(shù)據(jù)、邁拓（已被希捷收購）、三星、日立等，從尺寸上分類，有3.5英寸、2.5英寸、1.8英寸等。不管是哪一種品牌和尺寸的硬盤，都會有一個金屬的外殼保護著硬盤內(nèi)部的重要構(gòu)造，并且在外殼上貼有一個盤標，注明該硬盤的品牌、型號、容量、產(chǎn)地、序列號等信息。一塊希捷3.5英寸硬盤的外觀及盤標信息的含義如下：① Seagate:硬盤的品牌，即“希捷”。② ST4000NM0024:硬盤的型號。③ DATE:16153:硬盤的出廠日期。（2016年第15周第3天）④ PN:1HT178-050:硬盤的零件號。⑤ S/N:Z4F0DF19:硬盤的序列號。⑥ WWN：5000C50087617DC0:硬盤的唯一名字。⑦ 4000Gbytes:硬盤的容量。⑧ ProductsofThailand:硬盤的產(chǎn)地。（泰國）一塊西部數(shù)據(jù)3.5英寸硬盤的外殼及盤標信息的含義如下。① WesternDigital:硬盤的品牌，即“西部數(shù)據(jù)”。② WWN:50014ee2B779A7B1,硬盤的唯一名字。③ RPM：7200Class硬盤的轉(zhuǎn)速。④ DCM:HARNKT2CHB：磁盤配置組件。⑤ DCX:UZ0YR0T66硬盤的組件配置參數(shù)。

⑥ SN:WCC6SDEU5HY1:硬盤的序列號。⑦ MDL:WD5000AZLX-00ZR6A0:硬盤的型號。⑧ DATE:11NOV2015:硬盤的出廠日期。⑨ R/N:771829自動檢測分析及報告技術(shù)⑩ ProductsofThailand:硬盤的產(chǎn)地。（泰國）

在硬盤的背面安裝著一塊電路板，用來實現(xiàn)硬盤電路的控制和信息的傳輸。

硬盤通常有兩個接頭與電路板連接。其中，一個是為主軸電機供電的三相中心抽頭電纜接頭：另一個是與前置放大器/轉(zhuǎn)接器及音圈電纜傳遞信號的電纜接頭。硬盤中驅(qū)動磁頭沿盤面徑向位置運動以尋找目標磁道的系統(tǒng)叫磁頭定位驅(qū)動系統(tǒng)。精密、快速的磁頭驅(qū)動定位系統(tǒng)是實現(xiàn)高密度存儲高速存取的最基本的技術(shù)保障。定位驅(qū)動系統(tǒng)由驅(qū)動部件和運載部件（也稱為磁頭臂）組成。在硬盤存取數(shù)據(jù)時，磁頭臂的運動驅(qū)動磁頭進入指定磁道的中心位置，并精確地跟蹤該磁道。定位驅(qū)動系統(tǒng)的驅(qū)動方式主要有步進電機驅(qū)動和音圈電機驅(qū)動兩種。步進電機驅(qū)動系統(tǒng)的結(jié)構(gòu)緊湊，控制簡申，但是整個驅(qū)動定位系統(tǒng)是開環(huán)控制.步進電機靠脈沖信號驅(qū)動，因此定位精度比較低.一般用于軟磁盤驅(qū)動器和道密度不高的硬盤驅(qū)動器，其道密度在300TPI左右。步進電機驅(qū)動的另一個問題是尋道時間比較長，因此，存取時間較長。現(xiàn)在的磁盎普遍采用音圈電機驅(qū)動和伺服盤定位。音圈電機是線性電機，可以直接驅(qū)動磁頭作直線運動。整個驅(qū)動定位系統(tǒng)是一個帶有速度和位置反饋的閉環(huán)調(diào)節(jié)自動控制系統(tǒng)，驅(qū)動速度快，而且定位稍度高。盤片盤片是一種鋁制的圓盤（少置是陶瓷或特殊玻璃制成的），它擁有最高精度等級的光滑表面（除了停泊區(qū)）。由于分子吸引力的緣故，如此光滑的表面會將磁盤和磁頭粘連在一起。為了防止磁盤與磁頭粘連在一起，盤片生產(chǎn)商在磁頭和磁盤接觸的區(qū)域使用了特殊的激光防滑齒。盤片具有特殊的磁性質(zhì)，因為在盤片上覆蓋了由真空沉積工藝生成的氧化鉻（磁性物質(zhì)）或鈷，氧化鉻覆蓋層具有更高的硬度和抗磨損性；而以前的硬盤則使用氧化鐵做磁性物質(zhì)，然后在上面捜蓋一層軟涂層，這種盤片非常容易損壞。硬盤中的盤片個數(shù)有多有少，最少一個，多則可以達到十個以上。磁頭硬盤讀取數(shù)據(jù)的關(guān)鍵部件，它的主要作用就是將存儲在硬盤盤片上的磁信息轉(zhuǎn)化為電信號向外傳輸，而它的工作原理則是利用特殊材料的電阻值會隨著磁場變化的原理來讀寫盤片上的數(shù)據(jù)，磁頭的好壞在很大程度上決定著硬盤盤片的存儲密度。現(xiàn)代存儲設(shè)備的結(jié)構(gòu)介紹U盤U盤是USB(universalserialbus)盤的簡稱，據(jù)諧音也稱“優(yōu)盤”。U盤是閃存的一種，故有時也稱作閃盤。U盤與硬盤的最大不同是，它不需物理驅(qū)動器，即插即用，且其存儲容量遠超過軟盤，極便于攜帶

。U盤集磁盤存儲技術(shù)、閃存技術(shù)及通用串行總線技術(shù)于一體。USB的端口連接電腦，是數(shù)據(jù)輸入/輸出的通道；主控芯片使計算機將U盤識別為可移動磁盤?，F(xiàn)代存儲設(shè)備的結(jié)構(gòu)介紹SD卡SD片的技術(shù)是由MultiMediaCard(MMC)格式發(fā)展而來，大小為24mmX32mmX2.1mm,長寬與MMC卡相同，只是比MMC卡厚0.7mm。SD卡在MMC卡7針接U的基礎(chǔ)上增加到9針接U，增加的兩根用做數(shù)據(jù)線.另外，由于SD卡的厚度比MMC卡大，所以兼容性方面，SD設(shè)備可以讀取MMC卡，但MMC設(shè)備無法讀取SD卡。數(shù)據(jù)恢復基本工具介紹WinHex里由X-Ways軟件技術(shù)公司（官方網(wǎng)站)開發(fā)的一款專業(yè)的磁盤編輯工具，該工具文如其名，是在Windows下運行的十六進制（hex）編輯軟件，能夠支持Windows98、Windows2000、WindowsXP、Windows2003等操作系統(tǒng)，該軟件功能非常強大，有著完善的分區(qū)管理功能和文件管理功能，能自動分析分區(qū)表鏈和文件簇鏈，并能以不同的方式進行不同程度的備份，直至克隆整個硬盤。作為一款磁盤編輯軟件，具有所有編輯軟件所具有的通用功能如查找、替換等，它能夠完整地顯示和編輯任何一種文件類型的二進制內(nèi)容（用十六進制方式顯示），其磁盤編輯器可以編輯物理磁盤或邏輯磁盤的任一扇區(qū)，內(nèi)存編輯器可以直接編輯內(nèi)存，是非常好用的一款磁盤編輯軟件。啟動WinHex后首先彈出“啟動中心”對話框?？梢栽凇皢又行摹睂υ捒蜻x擇所要打開的項目，這里包括“打開文件”、“打開磁盤”、“打開RAM(內(nèi)存）”和“打開文件夾”，也可以直接從“最近打開的數(shù)據(jù)”中選擇所要打開的項目。左邊是“方案”和“腳本”選項，“方案”為用戶有選擇地保留操作成果提供便利條件：“腳本”是一個批處理腳本編輯系統(tǒng)，可以調(diào)用WinHex己經(jīng)開發(fā)并集成的各種函數(shù)指令進行編程工作，在“啟動中心”對話框中的四個選項中，“打開磁盤”是數(shù)據(jù)恢復中最常用的一項，選擇“打開磁盤”后出現(xiàn)如圖3-2所示的對話框。WinHex“啟動中心”對話框磁盤編輯器這里可以選擇打開“邏輯驅(qū)動器”，也可以選擇打開“物理驅(qū)動器”。選擇打開“物理驅(qū)動器”后彈出WinHex的主窗口界面。對WinHex主窗口中各個區(qū)域定義如下:① 詳細資源面板：② 偏移量的縱坐標；③ 偏移量的橫坐標；④ 菜單欄；⑤ 工具欄；⑥ 十六進制數(shù)據(jù)編輯區(qū)；⑦ 文本區(qū)；⑧ 底邊欄；WinHex主窗口介紹(1)詳細資源面板WinHex主窗口的左邊是“詳細資源面板”，分為6個部分：硬盤參數(shù)、狀態(tài)、容量：、當前位置、窗口情況和剪貼板情況。① 硬盤參數(shù)：包括硬盤的型號、序列號、固件版本號和接口類型。② 狀態(tài)：狀態(tài)為“原始的”。如果對內(nèi)容進行過修改，這里就會顯示“被修改”。此外還有撤銷級別（0)、反向撤銷（由“n/a”“鍵盤輸入”).③ 容量：包括總?cè)萘浚?GB/1073741824字節(jié)，每扇區(qū)512字節(jié)，放棄尾部扇區(qū)2990(這里指因為分區(qū)粒度的原因?qū)е掠脖P最后一個分區(qū)之后剩余的扇區(qū)）。④ 當前位置：包括當前位置之前的分區(qū)數(shù)、有關(guān)的扇區(qū)號。⑤ 窗口情況：包括當前窗口號、窗口數(shù)、模式、字符集設(shè)盟、偏移地址、每一頁的字節(jié)數(shù)⑥ 剪貼板情況：包括剪貼板狀態(tài)、臨時文件夾可用大?。ㄖ饕Q于所在分區(qū)的空閑空間）。這些參數(shù)對把握整個硬盤的情況非常有幫助，其屬性值隨打開內(nèi)容的不同而變化，另外，在其上單擊鼠標右鍵，可將“詳細資源面板”與編輯窗口對換位置，或關(guān)閉“詳細資源面板”(2)“訪問”功能菜單編輯窗口的右上角有一個向下的三角形，這就是“訪問”功能菜單，“訪問”功能菜單是恢復分區(qū)的最好工具，它把每一個分區(qū)按照順序排成一串。如果分區(qū)表有問題，該處也會有一定的反映，而且通過這個菜單可以直接査看分區(qū)文件系統(tǒng)類型、打開各個分區(qū)、直接轉(zhuǎn)移到各個分區(qū)的分區(qū)表、開始扇區(qū)等，并都有相應模板，可以非常直觀地顯示分區(qū)和啟動扇區(qū)參數(shù)，而且可直接在模板上修改、創(chuàng)建備份。對于每個區(qū)域，軟件都提供有右鍵彈出菜單。如在編輯區(qū)單擊鼠標右鍵，會彈出定義選塊起始和編輯菜單。(3) WinHex的偏移量（Offset)偏移置（Offset)是指某個地址相對于一個指定的起始地址所發(fā)生的位移，也就是“距離”。WinHex的偏移量由橫坐標和縱坐標構(gòu)成，用來具體定位十六進制數(shù)據(jù)編輯區(qū)中每個字節(jié)的地址。偏移置的橫坐標和縱坐標中的數(shù)值默認為十六進制，如果需要改成十進制，只需在縱坐標處的任意位置單擊鼠標左鍵即可，(4) WinHex的十六進制數(shù)據(jù)編輯區(qū)當用WinHex打幵一個編輯目標時，編輯目標中存儲的所有數(shù)據(jù)都會以十六進制的形式顯示在WinHex的十六進制數(shù)據(jù)編輯區(qū)。編輯區(qū)的右側(cè)有滾動條，可以上下拖動，這樣就可以方便地査看和編輯這些數(shù)據(jù)了。(5) 文本區(qū)文本區(qū)的作用是將十六進制數(shù)據(jù)編輯區(qū)中的數(shù)據(jù)按照一定的編碼解釋為相應的字符。這里的編碼種類是可以在菜單中選擇的。(6) 底邊欄主窗口的最下邊一欄是一些非常有用的輔助信息，如左下角的“0/2097152”是指當前的邏輯扇區(qū)號/總扇區(qū)數(shù)?！捌频刂贰笔枪鈽嗽谑M制數(shù)據(jù)編輯區(qū)中停留處所在字節(jié)的偏移地址，后面等號處的數(shù)值是該光標處十六進制字節(jié)的十進制值?！斑x塊”后的數(shù)據(jù)是指在十六進制數(shù)據(jù)編輯區(qū)中所選擇的一片數(shù)據(jù)的起始偏移地址和結(jié)束偏移地址；“大小”后的數(shù)據(jù)是選擇的數(shù)據(jù)塊中包含的字節(jié)數(shù)。這些區(qū)域也都有相應的快捷方式，如單擊扇區(qū)/總扇區(qū)區(qū)域的任一地方，都會彈出“跳至扇區(qū)”對話框。單擊“偏移地址”區(qū)域，會彈出“轉(zhuǎn)到偏移量”對話框。單擊“選塊”區(qū)域會彈出“定義選塊”對話框，。Winhex工具欄介紹WinHex工具欄中排列的都是WinHex最常用的一些功能，這些功能也是WinHex的使用基礎(chǔ).我們用大寫字母A?Y對應給每一個功能編號，進行一一講解，A、“新建”。單擊“新建”圖標，出現(xiàn)“建立新文件”對話框，對話框中提示輸入要創(chuàng)建文件的大小，單位可以是字節(jié)、KB、MB、GB。如輸入512Bytes,單擊“OK”按鈕就創(chuàng)建了一個以“未命名”為文件名、大小為512個零值字的文件。此時就可以為這些零字節(jié)賦予有意義的值，然后另存為文件，B、“打開”單擊“打開”圖標，出現(xiàn)一個文件選擇對話框，這時可以選擇一個任意文件，然后單擊右下角的“打開”按鈕，便可以瀏覽該文件的十六進制編碼。打開文件后就可以進行各種修改、査找、替換及銷毀工作了。需要注意的是，普通文件被打開后將不再按照扇區(qū)的結(jié)構(gòu)進行顯示，而是采用“頁面”方式，就無法看到原本扇區(qū)之間的分割線。單個頁面沒有固定大小，純粹是顯示單位。如果打開的是一個原始磁盤鏡像文件，按頁面瀏覽就會產(chǎn)生諸多不便，會讓分析、定位扇區(qū)及解釋文件系統(tǒng)等常規(guī)工作無法完成，這時就需要將此文件強制按照每512字節(jié)/扇區(qū)進行處理，WinHex的介質(zhì)管理器就會視此文件為一個標準磁盤，從而激活許多針對磁盤操作的特殊功能。該功能在菜單欄的“專業(yè)工具”“將鏡像文件轉(zhuǎn)換為磁盤”這個選項中，C、保存。在WinHex的默認編輯模式，數(shù)據(jù)修改后不是直接存盤，而是寫入臨時文件中，編輯好后如果需要存盤，就單擊一下“保存”圖標即可。WinHex的編輯模式有三種，分別為只讀模式、默認編輯模式、替換模式：在只讀模式下不能修改只能查看；在替換模式下，所有的修改即時寫入立即生效。編輯模式可以在菜單欄的“選項”

“編輯模式”這個選項中設(shè)置，E.打開文件夾。這是WinHex的特色功能之一，可以對某一文件夾內(nèi)某類型的文件進行批量展開，以方便后續(xù)的同步、對比、批雖修改等工作。打開此功能后出現(xiàn)打開文件夾對話框打開文件夾對話框?qū)I(yè)工具文件屬性編輯模式F、撤銷。該功能比較好理解，當我們做了某些錯誤的修改，想更正回來，就可以用到，這與Word軟件中的撤銷是一個意思，但是已經(jīng)保存的修改就不能撤銷了，G、復制扇區(qū)。該功能是最常用到的選項之一。在數(shù)據(jù)恢復工作中往往需要選定—定的字節(jié)并復制到合適的地方。例如，需要把6號扇區(qū)的內(nèi)容復制到0號扇區(qū)，可以先把6號扇區(qū)的全部字節(jié)選中，選中的方法可以采用拖動鼠標的方式選中整個扇區(qū)的字節(jié)，也可以采用定義“選塊開始”和“選塊結(jié)尾”的方式選中整個扇區(qū)的字節(jié)，選中后單擊一下“復制扇區(qū)”閣標，就可以把選中的信息存入剪貼板中了，以備隨后的操作使用這些信息。H、寫入剪貼板。這是指將己經(jīng)復制到剪貼板中的數(shù)據(jù)寫入目標位置。例如，剛才把6號扇區(qū)的全部字節(jié)選中后，返回到0號扇區(qū)，光標放在該扇區(qū)第—個字節(jié)處，單擊鼠標“寫入剪貼板”圖標，就可以把6號扇區(qū)的信息寫入0號扇區(qū)了。I、修改數(shù)據(jù)。該功能可以改變數(shù)據(jù)的排列規(guī)律，打開此功能后出現(xiàn)修改數(shù)據(jù)對話框修改數(shù)據(jù)“修改數(shù)據(jù)”功能應用到了邏輯數(shù)學的許多知識，具體功能有給單個或批量字節(jié)做指定加數(shù)（整數(shù)，可以是正負值或是16進制數(shù)值）的加法、給單個或批置字節(jié)做反轉(zhuǎn)位(0?255元素集合內(nèi)的補碼運算)、16位字節(jié)交換（每兩個字節(jié)左右交換位置)、32位字節(jié)交換（每四個字節(jié)左右交換位置）、XOR運算、OR運算、AND運算、循環(huán)左移一位運算、循環(huán)右移一位運算、位移運算、ROT13運算和左旋圓運算。J、査找文本。該功能的主要作用就是搜索、定位操作對象中存在的特定字符串。很多文件系統(tǒng)中的特殊結(jié)構(gòu)及大多數(shù)文件，如Office文檔、數(shù)據(jù)庫文件等，都是以某種字符串作為起始，此時只要査找這些字符串就可以在字節(jié)的海洋中輕易找到我們需要的結(jié)構(gòu)。在對話框的最上方是一個文本填寫框，用來輸入想要搜索的字符。下方都是為搜索任務量身定做的各種條件，用戶可以選擇搜索目標大小寫的匹配要求、兩大字符編碼(ASCII和UNICODE)類型，可以在搜索表達式中加入一個通配符，可以要求完整語句搜索，可以選擇搜索方向或全局搜索，可以在指定范圍內(nèi)為搜索對象確定方位（偏移計算）、可以選擇只在選塊中搜索，可以在所有打開的窗口中進行搜索，可以給出并保存搜索列表。其中“條件：偏移計算”這個設(shè)置很重要。這里設(shè)定得越精確，在搜索中效率越高。這個設(shè)置中有兩個表框需要我們填寫，第一個表框的含義是搜索單元包含的字節(jié)數(shù)(十進制），第二個表框的含義是搜索的目標字符在搜索單元中的起始偏移螢。例如，在一個硬盤某個扇區(qū)的前四個字節(jié)處有“file”這四個ASCII的字符，但我們不知道它在哪個扇區(qū)，需要去搜索，那么我們把“file”這四個ASCII的字符填入文本填寫框，“條件：偏移計算”的第一個表框填寫“512”，因為我們需要以扇區(qū)為單位搜索，而每個扇區(qū)的字節(jié)數(shù)為512；第二個表框填寫“0”，因為搜索目標“file”這四個ASCII的字符開始于扇區(qū)的第一個字節(jié)處。K、査找十六進制數(shù)值。這與“査找文本”用法非常相似L、同步搜索。該功能可以實現(xiàn)多字符串的同時搜索，也就是說它可以同時完成多個搜索任務。同步搜索的對象目前僅限于文本，文木框用來輸入字符串。這里對格式有一定要求，如果要進行多任務搜索，每個任務必須占用獨立的一行。此外還可以從外部導入文本文件來定義搜索內(nèi)容。M、轉(zhuǎn)到偏移量。這是一個用來定位的跳轉(zhuǎn)工具，用法非常靈活。同步搜索查找十六進制數(shù)最上面“新位置”表框填入想跳轉(zhuǎn)的目標位置偏移值，這個值可以是十六進制，也可以是十進制，這里進制的選擇跟主窗口的偏移量所用進制保持一致。另外，這個值的單位可以選擇字節(jié)、字、雙字、扇區(qū)。跳轉(zhuǎn)的目標位置可以選擇四個起始點，分別為從最開始處、從光標當前所在位置往后跳轉(zhuǎn)、從光標當前所在位置往前跳轉(zhuǎn)、從結(jié)尾處往前跳轉(zhuǎn)*N、跳至扇區(qū)。該功能的使用可謂是最多的，該功能用于絕對扇區(qū)號的跳轉(zhuǎn)，其中的“邏輯扇區(qū)”是指LBA地址的扇區(qū)號，“物理”則指C/H/S地址。O、向前。指讓光標回到上一步的操作位置處。P、向后。指讓光標回到后一步的操作位置處。Q、打開磁盤。該功能在WinHex中使用也很多。對話框中可以根據(jù)需求選擇需要編輯的邏輯磁盤或者物理磁盤。R、磁盤克隆。該工具可以很方便地將一塊硬盤或一個分區(qū)克隆到另一個硬盤上或做成鏡像文件。對話框中的來源和目標可以是硬盤、分區(qū)或者文件，可以根據(jù)實際情況進行進擇?？寺r還能夠選擇完整復制或者自定義扇區(qū)進行復制，另外，如果介質(zhì)中有壞扇區(qū)，司以選擇跳過的數(shù)目，還能定義壞扇區(qū)所對應的目標盤中填入的信息值。S、打開RAM。該功能也就是打幵內(nèi)存。這是一個很強大的功能，它可以對計算機系統(tǒng)當前正在運行的進程進行查看和編輯。T、計算器。該功能是直接調(diào)用操作系統(tǒng)下的計算器工具來進行計算。U、常規(guī)設(shè)置。在該選項中可以進行很多基本的設(shè)置。Y、目錄瀏覽器?！澳夸洖g覽器”是對“磁盤快照”后所列目錄的設(shè)置。R-StudioR-Studio是功能超強的數(shù)據(jù)恢復、反刪除工具，采用全新恢復技術(shù)，為使用FAT12/16/32、NTFS、NTFS5(Windows2000系統(tǒng))和Ext2FS(Linux系統(tǒng))分區(qū)的磁盤提供完整數(shù)據(jù)維護解決方案！同時提供對本地和網(wǎng)絡(luò)磁盤的支持，此外大量參數(shù)設(shè)置讓高級用戶獲得最佳恢復效果。R-Studio新增加的版本增加了RAID重組功能，可以虛擬重組的RAID類型包括，RAID0，RAID5，其中重組RAID5可以支持缺少一塊硬盤。具體功能有：采用Windows資源管理器操作界面；R-studio最強大的功能就是掃描磁盤，首先我們選擇磁盤，使用鼠標右鍵點擊后選擇掃描的功能，選擇對應的分區(qū)大小和分區(qū)類型進行掃描即可。DiskGeniusDiskGenius是一款硬盤分區(qū)及數(shù)據(jù)恢復軟件。它是在最初的DOS版的基礎(chǔ)上開發(fā)而成的。Windows版本的DiskGenius軟件，除了繼承并增強了DOS版的大部分功能外(少部分沒有實現(xiàn)的功能將會陸續(xù)加入)，還增加了許多新的功能。如：已刪除文件恢復、分區(qū)復制、分區(qū)備份、硬盤復制等功能。另外還增加了對VMWare、VirtualPC、VirtualBox虛擬硬盤的支持。對Diskgenius主窗口中各個區(qū)域定義如下:菜單欄快捷工具欄硬盤參數(shù)欄磁盤列表分區(qū)參數(shù)表扇區(qū)信息表菜單欄主要包含：文件、硬盤、分區(qū)、工具、查看、幫助。硬盤工具欄：備份分區(qū)表：備份各個分區(qū)的簡要信息，還原時不會還原分區(qū)內(nèi)數(shù)據(jù)，只還原原來備份時的分區(qū)樣子還原分區(qū)表：還原各個分區(qū)的簡要信息轉(zhuǎn)換分區(qū)表類型為MBR格式：轉(zhuǎn)換分區(qū)格式調(diào)整硬盤參數(shù)：更改磁頭、扇區(qū)和總扇區(qū)數(shù)壞道檢測與修復：修復磁盤壞道快速分區(qū)：快速進行多個分區(qū)的規(guī)劃刪掉所有分區(qū)：刪除分區(qū)分區(qū)工具欄：格式化當前分區(qū)：選中分區(qū)對其進行格式化操作刪除當前分區(qū)：刪除當前所存在的分區(qū)表隱藏當前分區(qū)：隱藏當前所存在的分區(qū)表激活當前分區(qū)：將該分區(qū)設(shè)置為引導分區(qū)取消分區(qū)的激活狀態(tài)：將該分區(qū)設(shè)置為非引導分區(qū)轉(zhuǎn)換成主分區(qū)：轉(zhuǎn)換成主分區(qū)轉(zhuǎn)換成邏輯分區(qū)：轉(zhuǎn)換成邏輯分區(qū)設(shè)置卷標：設(shè)置卷標名字工具菜單欄：檢查分區(qū)表錯誤：檢查分區(qū)表項參數(shù)是否正確搜索已丟失分區(qū)：掃描分區(qū)內(nèi)的丟失分區(qū)表恢復已刪除文件：恢復已刪除文件克隆分區(qū)：對分區(qū)進行克隆克隆磁盤：對磁盤進行克隆清除扇區(qū)數(shù)據(jù)：對磁盤進行底層抹除磁盤體系結(jié)構(gòu)介紹硬盤在邏輯上被劃分為磁道、柱面以及扇區(qū)。1.盤面

硬盤的盤片一般用鋁合金材料做基片，高速硬盤也可能用玻璃做基片。硬盤的每一個盤片都有兩個盤面（Side），即上、下盤面，一般每個盤面都會利用，都可以存儲數(shù)據(jù)，成為有效盤片，也有極個別的硬盤盤面數(shù)為單數(shù)。每一個這樣的有效盤面都有一個盤面號，按順序從上至下從“0”開始依次編號。在硬盤系統(tǒng)中，盤面號又叫磁頭號，因為每一個有效盤面都有一個對應的讀寫磁頭。硬盤的盤片組在2～14片不等，通常有2～3個盤片，故盤面號（磁頭號）為0～3或0～5。

2.磁道

磁盤在格式化時被劃分成許多同心圓，這些同心圓軌跡叫做磁道（Track）。磁道從外向內(nèi)從0開始順序編號。硬盤的每一個盤面有300～1024個磁道，新式大容量硬盤每面的磁道數(shù)更多。信息以脈沖串的形式記錄在這些軌跡中，這些同心圓不是連續(xù)記錄數(shù)據(jù)，而是被劃分成一段段的圓弧，這些圓弧的角速度一樣。由于徑向長度不一樣，所以，線速度也不一樣，外圈的線速度較內(nèi)圈的線速度大，即同樣的轉(zhuǎn)速下，外圈在同樣時間段里，劃過的圓弧長度要比內(nèi)圈劃過的圓弧長度大。每段圓弧叫做一個扇區(qū)，扇區(qū)硬盤邏輯結(jié)構(gòu)從“1”開始編號，每個扇區(qū)中的數(shù)據(jù)作為一個單元同時讀出或?qū)懭?。一個標準的3.5寸硬盤盤面通常有幾百到幾千條磁道。磁道是“看”不見的，只是盤面上以特殊形式磁化了的一些磁化區(qū)，在磁盤格式化時就已規(guī)劃完畢。

3.柱面

所有盤面上的同一磁道構(gòu)成一個圓柱，通常稱做柱面（Cylinder），每個圓柱上的磁頭由上而下從“0”開始編號。數(shù)據(jù)的讀/寫按柱面進行，即磁頭讀/寫數(shù)據(jù)時首先在同一柱面內(nèi)從“0”磁頭開始進行操作，依次向下在同一柱面的不同盤面即磁頭上進行操作，只在同一柱面所有的磁頭全部讀/寫完畢后磁頭才轉(zhuǎn)移到下一柱面，因為選取磁頭只需通過電子切換即可，而選取柱面則必須通過機械切換。電子切換相當快，比在機械上磁頭向鄰近磁道移動快得多，所以，數(shù)據(jù)的讀/寫按柱面進行，而不按盤面進行。也就是說，一個磁道寫滿數(shù)據(jù)后，就在同一柱面的下一個盤面來寫，一個柱面寫滿后，才移到下一個扇區(qū)開始寫數(shù)據(jù)。讀數(shù)據(jù)也按照這種方式進行，這樣就提高了硬盤的讀/寫效率。Windows中的文件系統(tǒng)硬盤是用來存儲數(shù)據(jù)的，為了使用和管理的方便，這些數(shù)據(jù)以文件的形式存儲在硬盤上。任何操作系統(tǒng)都有自己的文件管理系統(tǒng)，不同的文件系統(tǒng)又有各自不同的邏輯組織方式，要對硬盤進行高效的管理并對數(shù)據(jù)進行有效恢復，就要求用戶必須深入了解文件在硬盤上是如何存儲的。微軟的文件系統(tǒng)主要有FAT、NTFS和ExFAT:FAT文件系統(tǒng)有FAT12（已淘汰）、FAT16（已淘汰）、FAT32三種類型；NTFS是目前微軟系統(tǒng)中主流的文件系統(tǒng)；ExFAT則是微軟2006年推出的一種新的文件系統(tǒng)，主要針對于移動介質(zhì)。那么接下來我們將主要介紹FAT32、NTFS、EXFAT這三個主流的系統(tǒng)類型。常見分區(qū)類型目前主流的操作系統(tǒng)Windows,它能夠支持的分區(qū)結(jié)構(gòu)包括MBR磁盤分區(qū)、動態(tài)磁盤分區(qū)及GPT磁盤分區(qū)：它能夠支持的文件系統(tǒng)結(jié)構(gòu)包括FAT12、FAT16、FAT32、NTFS和ExFAT。MBR磁盤分區(qū)類型MBR磁盤分區(qū)是使用最為廣泛的一種分區(qū)結(jié)構(gòu)，它也被稱為DOS分區(qū)，但它并不是一個僅僅應用于微軟的操作系統(tǒng)平臺中的分區(qū)結(jié)構(gòu)。Linux系統(tǒng)、基于x86架構(gòu)的UNIX系統(tǒng)都能夠支持MBR磁盤分區(qū)。1.MBR的結(jié)構(gòu)MBR扇區(qū)位于整個硬盤的第一個扇區(qū)：按照C/H/S地址描述，即0柱面0磁頭1扇區(qū)；按照LBA地址描述即0扇區(qū)。它是一個特殊而重要的扇區(qū)。在總共512字節(jié)的MBR扇區(qū)中，由四部分結(jié)構(gòu)組成：(1)引導程序引導程序占用其中的前440字節(jié)，其地址在偏移0?偏移1B7H處。(2)Windows磁盤簽名Windows磁盤標簽占用引導程序后的4字節(jié)，其地址在偏移1B8H?偏移1BBH處，是Windows系統(tǒng)對硬盤初始化時寫入的一個磁盤標簽。(3) 分區(qū)表偏移1BEH?偏移1FDH的64字節(jié)為DPT(DiskPartitionTable,硬盤分區(qū)表），這是MBR中非常重要的一個結(jié)構(gòu)。(4) 結(jié)束標志扇區(qū)最后的兩個字節(jié)“55AA”（偏移1FEH?偏移1FFH)是MBR的結(jié)束標志用WinHex査看一塊硬盤的MBR扇區(qū).引導代碼計算機主板的BIOS程序在自檢通過后，會將MBR扇區(qū)整個讀取到內(nèi)存中，然后將執(zhí)行權(quán)交給內(nèi)存中MBR扇區(qū)的引導程序。引導程序首先會將自己整個搬到一個較為安全的地址中，目的是防止自己被隨后讀入的其他程序覆蓋，因為引導程序一旦被破壞，就會引起計算機死機，從而無法正常引導系統(tǒng)。系統(tǒng)下一步就會判斷讀入內(nèi)存的MBR扇區(qū)的最后兩個字節(jié)是否為“55AA”，如果不是則報錯，在屏幕上會列出錯誤信息。如果是“55AA”，接下來引導程序會到分區(qū)表中査找是否有活動分區(qū)，若有活動分區(qū)，則判斷活動分區(qū)的引導扇區(qū)在磁盤中的地址，并將該引導扇區(qū)讀入內(nèi)存及判斷其合法性，如果是一個合法的引導扇區(qū)，隨后的引導權(quán)就交給這個引導扇區(qū)去引導操作系統(tǒng)了，MBR引導程序的使命也就完成了。磁盤簽名Windows磁盤簽名是Windows系統(tǒng)在對硬盤做初始化時寫入的一個標簽，它是MBR扇區(qū)不可或缺的一個組成部分。Windows系統(tǒng)依靠這個簽名來識別硬盤，如果硬盤的簽名丟失，Windows系統(tǒng)就會認為該硬盤沒有初始化。分區(qū)表項每塊硬盤在使用前都要先進行分區(qū)，也就是將硬盤劃分為一個個的邏輯區(qū)域。每一個分區(qū)都有一個確定的起止位置。在起止位罝之間的那些連續(xù)的扇區(qū)都歸該分區(qū)所有，不同分區(qū)的起止位置互不交錯。MBR磁盤的分區(qū)形式一般有3種，即主分區(qū)、擴展分區(qū)和非DOS分區(qū)。主分區(qū)又稱為主DOS分區(qū)（PrimaryDOSPartition)，目前也稱為主磁盤分區(qū)。擴展分區(qū)又稱為擴展DOS分區(qū)（ExtendedDOSPartition)。非DOS分區(qū)（Non-DOSPartition)是一種特殊的分區(qū)形式，它是將硬盤中的一塊區(qū)域單獨劃分出來供另一個操作系統(tǒng)使用。—塊硬盤最多可以有4個主磁盤分區(qū)，被激活的主磁盤分區(qū)稱為活動分區(qū),活動分區(qū)在—塊硬盤中只能有一個。字節(jié)偏移字節(jié)長度值字節(jié)含義0x01BE1字節(jié)0x80引導標志

(BowIndicator),說明該分區(qū)是否是活動分區(qū)0x01BF1字節(jié)0x02開始磁頭（StartHead)0x01C06位0x03起始崩區(qū)（StartSector):只用了0?5位。后面的兩位（笫6位和笫7位）被開始柱面字段所使用0x01C110位0x00起始柱而（StartCylinder):占用1字節(jié)，最大值為10230x01C21字節(jié)0x0C分區(qū)的類犁描述（Partitiontypeindicator):定義了分區(qū)的類型.0x01C31字節(jié)0xFE結(jié)束磁頭（EndHead）0x01C46位0x3F結(jié)束扇區(qū)（EndSector):只使用了0?5位。最后兩位（第6、7位）被結(jié)束柱面字段所使用0x01C510位0x81結(jié)束柱面（EndCylinder），結(jié)束柱面是一個10位的數(shù)，最大值為1023。0x01C64字節(jié)0x00000080本分區(qū)之前使用的胡區(qū)數(shù)（Sectorsprecedingpartition):指從該磁盤開始到該分區(qū)幵始之間的偏移置，以崩區(qū)數(shù)來表示0x01CA4字節(jié)0x001FE800分區(qū)的總扇區(qū)數(shù)(Sectorsinpartition）指該分區(qū)所包含的期區(qū)總數(shù)剩余3個表單48字節(jié)。。。。。?；顒优c非活動分區(qū)分區(qū)表項的第一個字節(jié)為分區(qū)的引導標志，只能是00H和80H。80H為可引導的活動分區(qū)，00H為不可引導的非活動分區(qū)。其余值對Microsoft而言為非法值。字節(jié)讀取順序大于1字節(jié)的數(shù)值被以低字節(jié)在前的存儲格式（LittieEndian)順序保存下來。例如，“本分區(qū)之前使用的扇區(qū)數(shù)”字段的值3F000000H就是LittleEndian格式的，按照習慣的高位在前的方式表示為0000003FH，這個數(shù)值的十進制值為63。磁頭、柱面、扇區(qū)在MBR分區(qū)中這些參數(shù)不影響分區(qū)正常啟動，將不詳細解釋常見分區(qū)類型00HDOS或WINDOWS不允許使用，視為非法06HFAT16大于32MB07HHPFS/NTFSOBHWINDOWS95FAT32OCHWINDOWS95FAT320FHWINDOWS95Extended(大于8G)83HLinux分區(qū)起始位置與分區(qū)大小分區(qū)的起始位置是根據(jù)描述分區(qū)所在扇區(qū)而定的，而分區(qū)大小則通過該分區(qū)中的分區(qū)大小參數(shù)得知。擴展分區(qū)由于MBR僅僅為分區(qū)表保留了64字節(jié)的存儲空間，而每個分區(qū)的參數(shù)占據(jù)16字節(jié)，所以MBR扇區(qū)中總計可以存儲4個分區(qū)表項的數(shù)據(jù)。如果說邏輯磁盤就是分區(qū)，則硬盤最多只能分出4個邏輯磁盤。對于具體的應用，4個邏輯磁盤往往不能滿足實際需求。為了建立更多的邏輯磁盤供操作系統(tǒng)使用，系統(tǒng)引入了擴展分區(qū)的概念。所謂擴展分區(qū)，嚴格地講它不是一個實際意義的分區(qū)，它僅僅是一個指向下一個用來定義分區(qū)的參數(shù)的指針，這種指針結(jié)構(gòu)形成一個單向鏈表。這樣在主引導扇區(qū)中除了主磁盤分區(qū)外，僅需要存儲一個被稱為擴展分區(qū)的分區(qū)信息，通過這個擴展分區(qū)的信息就可以找到下一個分區(qū)（實際上也就是下一個邏輯磁盤）的起始位置，以此起始位置類推可以找到所有的分區(qū)，Windows中的文件系統(tǒng)FAT32文件系統(tǒng)是從微軟Windows95系統(tǒng)的0SR2版本開始使用的，它能夠支持大于32MB小于32GB的分區(qū)。雖然第三方的格式化程序可以把超過32GB的分區(qū)格式化為FAT32，但微軟自身的系統(tǒng)不允許將大于32GB的分區(qū)格式化為FAT32文件系統(tǒng)。FAT32文件系統(tǒng)由DBR及其保留扇區(qū)、FAT1、FAT2、DATA區(qū)四個部分組成，其結(jié)構(gòu)如下：這些結(jié)構(gòu)是在分區(qū)被格式化時創(chuàng)建出來的，它們的含義如下：① DBR及其保留扇區(qū)。DBR的全稱為DOSBootRecord,含義是DOS引導記錄，也稱為操作系統(tǒng)引導記錄，在DBR之后往往有一些保留扇區(qū)。② FAT1。FAT的全稱為FileAllocationTable,含義是文件分配表，F(xiàn)AT32一般有兩份FAT,FAT1是第一份，也是主FAT。③ FAT2。FAT2是FAT32的第二份文件分配表，也就是FAT1的備份，稱為備份FAT。④ DATA。DATA也就是數(shù)據(jù)區(qū)，是FAT32文件系統(tǒng)的主要區(qū)域，其中也包含目錄區(qū)。字節(jié)偏移字段長度字段含義字節(jié)偏移字段長度字段含義0x003跳轉(zhuǎn)指令0x244每FAT扇區(qū)數(shù)0x038OEM代號0x282標記0x0B2每扇區(qū)字節(jié)數(shù)0x2A2版本0x0D1每簇扇區(qū)數(shù)0x2C4根目錄首簇號0x0E2DOS保留扇區(qū)數(shù)0x302文件系統(tǒng)扇區(qū)號0x101FAT表個數(shù)0x322DBR備份扇區(qū)號0x112未用0x3412保留0x132未用0x401BIOS驅(qū)動器號0x151介質(zhì)描述符0x411未用0x162未用0x421擴展引導標記0x182每磁道扇區(qū)數(shù)0x434卷序列號0x1A2磁頭數(shù)0x4711卷標0x1C4隱藏扇區(qū)0x528文件系統(tǒng)類型0x204該分區(qū)的扇區(qū)總數(shù)0x59H~0xFFH428引導代碼、結(jié)束DBR扇區(qū)分析（

DOS引導扇區(qū)）（1）00H~02H:跳轉(zhuǎn)指令跳轉(zhuǎn)指令本身占用2字節(jié)，它將程序執(zhí)行流程跳轉(zhuǎn)到引導程序處，比如當前DBR中

的“EB58”，就是代表匯編語言的“JMP58”。需要注意該指令本身占用2字節(jié)，計算跳轉(zhuǎn)目標地址時以該指令的下一字節(jié)為基準，所以實際執(zhí)行的下一條指令應該位于5A。緊接著跳轉(zhuǎn)指令的是一條空指令NOP(90H)。（2）03H~0AH:OEM版本號這部分分占8字節(jié)，其內(nèi)容由創(chuàng)建該文件系統(tǒng)的OEM廠商具體安排。當前DBR中的OEM代號為“MSDOS5.0”，說明這個FAT32分區(qū)是由微軟的Windows2000以上的操作系統(tǒng)格式化創(chuàng)建的。（3）OBH~OCH:每扇區(qū)字節(jié)數(shù)記錄每個邏輯扇區(qū)的大小，一般為512字節(jié)，但512并不是固定值，該值可以由程序定義，合法值包括512、1024、2048和4096字節(jié)。（4）0DH?0DH:每簇扇區(qū)數(shù)每簇扇區(qū)數(shù)記錄著文件系統(tǒng)的簇大小，即由多少個扇區(qū)組成一個簇。FAT32最大支持128扇區(qū)的簇。在FAT32文件系統(tǒng)中所有的簇從2開始進行編號，每個簇都有一個自己的地址編號，并且所有的簇都位于數(shù)據(jù)區(qū)內(nèi)，在數(shù)據(jù)區(qū)之前是沒有簇的。（5）0EH?OFH:DBR保留扇區(qū)數(shù)DBR保留扇區(qū)數(shù)是指DBR本身占用的扇區(qū)以及其后保留扇區(qū)的總和，也就是DBR到FAT1之間的扇區(qū)總數(shù)，或者說是FAT1的開始扇區(qū)號。對于FAT32文件系統(tǒng)來說，該值的取值范圍是32扇區(qū)到38扇區(qū)之間。（6） 10H?10H:FAT個數(shù)FAT個數(shù)描述了該文件系統(tǒng)中有幾個FAT表，一般在FAT文件系統(tǒng)中都有兩個FAT,即FAT1和FAT2,FAT2是FAT1的備份。（7）11H?12H:未用這兩個字節(jié)在FAT16中用來表示FDT中最大所能容納的目錄項數(shù)，F(xiàn)AT32沒有固定的FDT,所以不用這個參數(shù)，（8）13H?14H:未用這兩個字節(jié)在FAT16中用來表示小于32MB的分區(qū)的扇區(qū)總數(shù)，F(xiàn)AT32的總是大于32MB,所以不用這個參數(shù)。（9） 15H?15H:介質(zhì)描述符介質(zhì)描述符是描述磁盤介質(zhì)的參數(shù)，根據(jù)磁盤性質(zhì)的不同，取不同的值?具體取值見表4~2K（10）

1冊?17H:未用這兩個字節(jié)在FAT16中用來表示每個FAT表包含的扇區(qū)數(shù)，F(xiàn)AT32不用這個位置。（11） 18H?19H:每磁道扇區(qū)數(shù)這是邏輯C/H/S中的一個參數(shù)，其值一般為63。（12）1AH?1BH:磁頭數(shù)這也是邏輯C/H/S中的一個參數(shù)，其值一般為255。（13）1CH?1FH:隱藏扇區(qū)數(shù)隱藏扇區(qū)數(shù)是指本分區(qū)之前使用的扇區(qū)數(shù)，該值與分區(qū)表中所描述的該分區(qū)的起始扇區(qū)號一致。對于主磁盤分區(qū)來講，是MBR到該分區(qū)DBR之間的扇區(qū)數(shù)：對于擴展分區(qū)中的邏輯驅(qū)動器來講，是其EBR到該分區(qū)DBR之間的扇區(qū)數(shù)。（14） 20H?23H:扇區(qū)總數(shù)扇區(qū)總數(shù)是指分區(qū)的總扇區(qū)數(shù)，也就是FAT32分區(qū)的大小。（15）

24H~27H:每FAT扇區(qū)數(shù)這四個字節(jié)用來記錄FAT32分區(qū)中每個FAT表占用的扇區(qū)數(shù)。（16） 28H?29H:標志這兩個字節(jié)用于表示FAT2是否可用，當其二進制最高位置1時，表示只有FAT1可用，否則FAT2也可用。（17） 2AH?2BH:版本這兩個字節(jié)通常都為0。（18） 2CH?2FH:根目錄首簇號分區(qū)在格式化為FAT32文件系統(tǒng)時，格式化程序會在數(shù)據(jù)區(qū)中指派一個蔟作為FAT32的根目錄區(qū)的開始，并把該簇號記錄在BPB中。通常都是把數(shù)據(jù)區(qū)的第一個簇分配給根目錄使用，也就是2號簇。（19）30H?31H:文件系統(tǒng)信息扇區(qū)號FAT32文件系統(tǒng)在DBR的保留扇區(qū)中安排了一個文件系統(tǒng)信息扇區(qū)，用以記錄數(shù)據(jù)區(qū)中空閑簇的數(shù)量及下一個空閑簇的簇號，該扇區(qū)一般在分區(qū)的1號扇區(qū)，也就是緊跟著DBR后的一個扇區(qū)。（20）32H?33H:DBR備份扇區(qū)號FAT32文件系統(tǒng)在DBR的保留扇區(qū)中安排了一個DBR的備份，一般在6號扇區(qū)，也就是分區(qū)的第7個扇區(qū)。該備份扇區(qū)與原DBR扇區(qū)的內(nèi)容完全一樣，如果原DBR遭到破壞，可以用備份扇區(qū)修復。（21） 34H?3FH:未用這12個字節(jié)保留不用*（22） 40H?40H:BIOS驅(qū)動器號這是BIOS的INT13H所描述的設(shè)備號碼，一般把硬盤定義為8xH。（23） 41H?41H:未用這一個字節(jié)不使用，為0。（24） 42H?42H:擴展引導標記擴展引導標記用來確認后面的三個參數(shù)是否有效，一般值為29H。（25） 43H?46H:卷序列號卷序列號是格式化程序在創(chuàng)建文件系統(tǒng)時生成的一組4字節(jié)的隨機數(shù)值。（26）47H?51H:卷標卷標是由用戶在創(chuàng)建文件系統(tǒng)時指定的一個卷的名稱，原來的系統(tǒng)把卷標記錄在這個地址處，現(xiàn)在的系統(tǒng)己經(jīng)不再使用這個地址記錄卷標，而是由一個目錄項來管理卷標。（27）52H?59H:文件系統(tǒng)類型BPB的最后一個參數(shù)，直接用ASCII碼記錄當前分區(qū)的文件系統(tǒng)類型。引導程序FAT32的DBR引導程序占用420字節(jié)（5AH?1FDH),在Windows98之前的系統(tǒng)之下，這段代碼負責完成DOS三個系統(tǒng)文件的裝入，在Windows2000之后的系統(tǒng)中，其負責完成將系統(tǒng)文件NTLDR裝入，對于一個沒有安裝操作系統(tǒng)的分區(qū)來講，這段程序沒有用處，結(jié)束標志DBR的結(jié)束標志與MBR、MR的結(jié)束標志都相同，為“55AA”，以上3個部分共占用512字節(jié)，正好是一個扇區(qū)。因此稱它為DOS引導扇區(qū)。該部分的內(nèi)容中除了第3部分結(jié)束標志是固定不變之外，其余2個部分都是不完全確定的，都因操作系統(tǒng)版本的不同而不同，也因硬盤的邏輯盤參數(shù)的變化而變化。FAT表FAT表的作用及結(jié)構(gòu)特點FAT(FileAllocationTable)即文件分配表，對于FAT文件系統(tǒng)來講是至關(guān)重要的一個組成部分，其主要作用及結(jié)構(gòu)特點如下：（1） FAT文件系統(tǒng)一般有兩份FAT,它們由格式化程序在對分區(qū)進行格式化時創(chuàng)建，F(xiàn)AT1是活動FAT,FAT2是備份FAT。（2）FAT1跟在DBR之后，其具體地址由DBR的BPB參數(shù)中偏移量為0EH?0FH的兩字節(jié)描述；FAT2跟在FAT1之后，其地址可以用FAT1的所在扇區(qū)號加上每個FAT所占的扇區(qū)數(shù)獲得。（3）FAT表是由FAT表項構(gòu)成的，我們把FAT表項簡稱為FAT項，F(xiàn)AT32的FAT表項為32位。（4）每個FAT項都有一個固定的編號，這個編號從0開始，也就是說，第一個FAT項是0號FAT項，第二個FAT項是1號FAT項，以此類推。（5） FAT表的前兩個FAT項有專門的用途：0號FAT項通常用來存放分區(qū)所在的介質(zhì)類型，例如硬盤的介質(zhì)類型為“F8”，那么硬盤上分區(qū)的FAT表第一個FAT項就以“F8”開始；1號FAT項則用來存儲文件系統(tǒng)的骯臟標志，表明文件系統(tǒng)被非法卸載或者磁盤表面存在錯誤。根目錄區(qū)FAT32文件系統(tǒng)根目錄區(qū)的內(nèi)容主要由三部分組成：根目錄、子目錄和文件內(nèi)容。在數(shù)據(jù)區(qū)中是以“簇”為單位來管理這段空間的，第一個簇的編號為“2”。根據(jù)該例子中DBR的BPB所記錄的“根目錄首簇號”為2,可以確定2號簇被分配給根目錄使用了。

下面這個圖分析來看，前面6行是系統(tǒng)文件，第7~8行是用戶文件的長文件名，9~10行是短文件名。目錄項分析在FAT32文件系統(tǒng)下，分區(qū)根目錄下的文件及文件夾的目錄項存放在根目錄區(qū)中，分區(qū)子目錄下的文件及文件夾的目錄項存放在子目錄區(qū)中，根目錄區(qū)和子目錄區(qū)都在數(shù)據(jù)區(qū)中。FAT32的目錄項與FAT16的目錄項一樣，都可以分為四類：短文件名目錄項。長文件名目錄項?！?”目錄項和“..”目錄項。卷標目錄項字節(jié)偏移字段長度字段含義字節(jié)偏移字段長度字段含義0x008主文件名0x122文件最近訪問日期0x083擴展名0x142文件起始簇號高位0x0B1文件屬性0x162文件修改時間0x0C1未用0x182文件修改日期0x0D1文件創(chuàng)建時間0x1A2文件起始簇號低位0x0E2文件創(chuàng)建時間0x1C4文件大小0x102文件創(chuàng)建日期短文件名目錄項長文件名目錄項從在Windows95開始，文件名“8.3”格式的限制被打破了，文件名可以超過8個字符，并且可以使用中文了，擴展名也可以超過3字節(jié)，這種格式的文件名就稱為長文件名。不過在Windows95以上的系統(tǒng)中創(chuàng)建的長文件名需要考慮與DOS和Windows3.x的兼容問題，所以在Windows95以上的系統(tǒng)中，超過8.3格式的文件或目錄實際存儲著兩個名宇，一個短文件名和一個長文件名。如果是短文件名，則存儲在短文件名目錄項中。當創(chuàng)建一個長文件名時，其對應短文件名的存儲有以下三個處理原則。①系統(tǒng)取長文件名的前6個字符加上形成短文件名，其擴展名不變：② 如果己存在這個名字的文件，則符號“?”后的數(shù)字自動增加：③ 如果有DOS和Windows3.x非法的字符，則以下畫線“_”替代。每個長文件名目錄項也占用32字節(jié)，一個目錄項作為長文件名目錄項使用時，其屬性字節(jié)值為OFH,能夠存儲13個字符，如果文件名很長，一個長文件名就需要多個目錄項，這些目錄項按倒序排列在其短文件名目錄項之前。字節(jié)偏移字段長度字段含義字節(jié)偏移字段長度字段含義0x001序列號0x0D1短文件的校驗和0x0110文件名1~5字符0x0E12文件名6~11字符0x0B1屬性標識0x1A2始終為00x0C1保留未用0x1C2文件名12~13字符“.”目錄項和“..”目錄項在子目錄所在的文仵目錄項區(qū)域中，總有兩個特殊的目錄，它們就是“.”目錄和“..”目錄。這兩個目錄可以用DOS命令“DIR”査看到，使用DIR列目錄后，可以看到前兩個就是“.”目錄和“..”目錄，其中① “.”表示當前目錄。② “..”表示上級目錄。卷標目錄項卷標就是一個分區(qū)的名字，可以在格式化分區(qū)時創(chuàng)建，也可以隨時修改。

在DOS時代，卷標記錄在DBR的BPB中，目前的系統(tǒng)則把卷標當做文件，用文件目錄項進行管理，系統(tǒng)為卷標建一個目錄項，放在根目錄區(qū)中。卷標的目錄項屬于短文件名目錄項，它有如下特點：①對于FAT格式的分區(qū)，卷標的長度最多允許達到11字節(jié)，如果卷標為中文，則最多支持5個字符。② 卷標的目錄項中不記錄起始簇號和大小。③ 卷標的目錄項中不記錄創(chuàng)建時間和最后訪問時間，只記錄修改時間。NTFSNTFS文件系統(tǒng)是隨著WindowsNT操作系統(tǒng)的誕生而產(chǎn)生的，并隨著WindowsNT4跨入主力文件系統(tǒng)的行列。它的優(yōu)點是安全性和穩(wěn)定性極其出色，在使用中不易產(chǎn)生文件碎片；同時它還提供了容錯結(jié)構(gòu)日志，可以將用戶的操作全部記錄下來，從而保護了系統(tǒng)的安全。NTFS文件系統(tǒng)由$Boot及其備份扇區(qū)、$MFT、$MFTMirr、元文件、DATA區(qū)四個部分組成，其結(jié)構(gòu)如下：在分區(qū)的第一個扇區(qū)（引導扇區(qū)DBR)后是15個扇區(qū)的NTLDR區(qū)域，這16個扇區(qū)共同構(gòu)成$BOOT文件。在NTLDR后（但不一定是物理上相連的）是主文件表(MasterFi丨eTable,MFT)區(qū)域，主文件表由文件記錄構(gòu)成，每個文件記錄占2個扇區(qū)，文件記錄簡稱為FR(FileRecord)。在FAT文件系統(tǒng)中是通過FAT表和文件目錄項存儲文件數(shù)據(jù)和記錄文件的文件名、擴展名、建立時間、訪問時間、修改時間、文件屬性、文件大小、文件在磁盤中所占用的簇等信息進行管理的，而在NTFS文件系統(tǒng)中這些信息被稱為屬性，包括文件的內(nèi)容在NTFS中也稱為屬性，各種屬性被放入文件記錄中進行管理。當一個屬性太大，文件記錄中存放不下時，就會分配多個文件記錄進行存放：而當一個文件非常小時，可能這個文件的所有屬性都包含在一個文件記錄中了，甚至包括這個文件的數(shù)據(jù)，也會作為屬性存放在其文件記錄中，這樣做的好處是節(jié)約了磁盤空間并且提高了文件訪問效率。NTFS文件系統(tǒng)的主文件表中還記錄了一些非常重要的系統(tǒng)數(shù)據(jù)，這些數(shù)據(jù)被稱為元數(shù)據(jù)（metadata)文件，簡稱為“元文件”，其中包括了用于文件定位和恢復的數(shù)據(jù)結(jié)構(gòu)、引導程序數(shù)據(jù)及整個卷的分配位圖等信息。NTFS文件系統(tǒng)將這些數(shù)據(jù)都當做文件進行管理，這些文件用戶是不能訪問的，它們的文件名的第一個字符都是“$”，表示該文件是隱藏的。在NTFS文件系統(tǒng)中，這樣的文件主要有16個，包括MFT本身（$Mft)、^FT^鏡像（$MftMirr)、日志文件（$LogFile)、卷文件（$Volume)、屬性定義表（SAttrDef)、根目錄（$Root)、位圖文件（$Bitmap)、引導文件（$Boot)、壞簇文件（SBaddus)、安全文件（$Securc)、大寫文件（$UpCase)、擴展元數(shù)據(jù)文件（$Extendedmetadatadirectory)、重解析點文件（$Extend\$Reparse)、變更日志文件（$Extend\$UsnJml)、配額管理文件（$Extend\$Quota)、對象ID文件（$Extend\$ObjId)等。這16個元數(shù)據(jù)文件總是占據(jù)著MFT的前16項記錄，在這16項以后就是用戶建立的文件和文件夾的記錄了，每個文件記錄在主文件表中占據(jù)的磁盤空間一般為1KB,也就是兩個扇區(qū)，NTFS文件系統(tǒng)分配給主文件表的區(qū)域大約占據(jù)了磁盤空間的12.5%,剩余的磁盤空間用來存放其他元文件和用戶的文件。元文件在圖中只體現(xiàn)了一部分，沒有畫完整，并且除了$BOOT文件以外，其他元文件的位置不是固定的，例如$MFT文件也可以在$MFTMirr文件之后。在NTFS文件系統(tǒng)所在分區(qū)的最后一個扇區(qū)是DBR的備份，但該扇區(qū)并不屬于NTFS文件系統(tǒng)。NTFS文件系統(tǒng)引導扇區(qū)NTFS文件系統(tǒng)的引導扇區(qū)是$Boot的第一個扇區(qū)，它的結(jié)構(gòu)與FAT文件系統(tǒng)的DBR類似，所以習慣上也稱該扇區(qū)為DBR扇區(qū)。DBR扇區(qū)在操作系統(tǒng)的引導過程起著非常重要的作用，如果這個扇區(qū)遭到破壞，系統(tǒng)將不能正常啟動。NTFS文件系統(tǒng)的DBR扇區(qū)與FAT文件系統(tǒng)的結(jié)構(gòu)一樣，也包括跳轉(zhuǎn)指令、OEM代號、BPB參數(shù)、引導程序和結(jié)束標志。字節(jié)偏移字段長度字段含義字節(jié)偏移字段長度字段含義0x003跳轉(zhuǎn)指令0x204未用0x038OEM代號0x244總為800080000x0B2每扇區(qū)字節(jié)數(shù)0x288扇區(qū)總數(shù)0x0D1每簇扇區(qū)數(shù)0x308$MFT的起始簇號0x0E2保留扇區(qū)數(shù)(NTFS不用)0x388$MFTMirr的起始簇號0x103總是000x401文件記錄的大小描述0x132未用0x413未用0x151介質(zhì)描述符0x441索引緩存的大小描述0x162總是000x453未用0x182每磁道扇區(qū)數(shù)0x488卷序列號0x1A2磁頭數(shù)0x504校驗和0x1C4隱藏扇區(qū)（1）00H~02H:跳轉(zhuǎn)指令跳轉(zhuǎn)指令本身占用2字節(jié)，它將程序執(zhí)行流程跳轉(zhuǎn)到引導程序處，比如當前DBR中

的“EB52”，就是代表匯編語言的“JMP52”。需要注意該指令本身占用2字節(jié)，計算跳轉(zhuǎn)目標地址時以該指令的下一字節(jié)為基準，所以實際執(zhí)行的下一條指令應該位于5A。緊接著跳轉(zhuǎn)指令的是一條空指令NOP(90H)。（2）03H~0AH:OEM版本號這部分分占8字節(jié)，其內(nèi)容由創(chuàng)建該文件系統(tǒng)的OEM廠商具體安排。當前DBR中的OEM代號為“NTFS”，說明這個NTFS分區(qū)是由微軟的Windows95以上的操作系統(tǒng)格式化創(chuàng)建的。（3）OBH?OCH:每扇區(qū)字節(jié)數(shù)每扇區(qū)字節(jié)數(shù)記錄每個邏輯扇區(qū)的大小，其常見值為512宇節(jié)，但512并不是固定值，該值可以由程序定義，合法值包括512字節(jié)、1024字節(jié)、2048字節(jié)和4096字節(jié)，（4）0DH?0DH:每簇扇區(qū)數(shù)每簇扇區(qū)數(shù)記錄著文件系統(tǒng)的簇大小，即由多少個扇區(qū)組成一個簇。如果這個分區(qū)是在系統(tǒng)安裝前被格式化而來的，一般大于2GB的分區(qū)每簇默認占用8個扇區(qū)，也就是每簇大小為4KB,這個字節(jié)的內(nèi)容就為十六進制值“08”。如果這個分區(qū)是由一個FAT分區(qū)轉(zhuǎn)換而來，則每個簇一般占用1個扇區(qū)的空間，也就是每簇大小為512字節(jié)，這個字節(jié)的內(nèi)容就是“01H”。在NTFS文件系統(tǒng)中所有的簇從0開始進行編號，每個簇都有一個自己的地址編號，并且從分區(qū)的第一個扇區(qū)就開始編簇。（5）OEH?OFH:DBR保留扇區(qū)數(shù)NTFS文件系統(tǒng)中DBR沒有保留扇區(qū)，該值常為“0000”。（6）10H?12H:總是0這3個字節(jié)總是“000000”。（7）13H?14H:未用這兩個字節(jié)不用。（8）15H?15H:介質(zhì)描述符這個字節(jié)為介質(zhì)描述字節(jié)，一般硬盤為“F8H”；雙面5.25英寸軟盤為“F9H”；雙面3.5英寸軟盤RAM虛擬盤為“FAH”；3.5英寸、1.44MB的軟盤一般為“F0H”。因為NTFS分區(qū)一定在硬盤上，所以此處常為16進制數(shù)“F8”。（9）16H?17H:未用這兩個字節(jié)不用，（10）18H?19H:每磁道扇區(qū)數(shù)這是邏輯C/H/S中的一個參數(shù)，其值一般為63,NTFS己經(jīng)不用此參數(shù)。（11）1AH?1BH:磁頭數(shù)這是邏輯C/H/S中的一個參數(shù)，其值一般為255,NTFS已經(jīng)不用此參數(shù)。（12）1CH?1FH:隱藏扇區(qū)數(shù)隱藏扇區(qū)數(shù)是指本分區(qū)之前使用的扇區(qū)數(shù)，該值與分區(qū)表中所描述的該分區(qū)的起始扇區(qū)號一致。對于主磁盤分區(qū)來講，是MBR到該分區(qū)DBR之間的扇區(qū)數(shù)：對于擴展分區(qū)中的邏輯驅(qū)動器來講，是其EBR到該分區(qū)DBR之間的扇區(qū)數(shù)。（13）20H?23H:未用這4字節(jié)不用。（14）24H?27H:未用 這4字節(jié)不用，但總為80008000。（15）28H?2FH:扇區(qū)總數(shù)扇區(qū)總數(shù)是指分區(qū)的總扇區(qū)數(shù)。NTFS的BPB中記錄的分區(qū)大小比分區(qū)表中記錄的少一個扇區(qū)，因為分區(qū)最后一個扇區(qū)留給DBR備份使用了。（16）30H?37H:$MFT的起始簇號這8字節(jié)為$MFT的起始簇號，注意這個位置使用簇號定義的，而不是扇區(qū)號，并且該地址不是固定值。（17）38H?3FH:$MFTMirr的起始簇號這8字節(jié)為$MFTMirr的起始簇號，這個位置也使用簇號定義，而不是扇區(qū)號。$MFTMirr的地址也不是固定值的，可以在$MFT之后，也可以在$MFT之前。本例中，$MFTMirr的地址就在$MFT之前。（18）40H?40H：文件記錄的大小描述這一個字節(jié)描述每個文件記錄的簇數(shù)。注意該參數(shù)為帶符號數(shù)，當其是負數(shù)時，說巧每個文件記錄的大小要小于每簇扇區(qū)數(shù)，在這種情況下，文件記錄的大小用字節(jié)數(shù)表示，計算方法為：2-1x每個文件記錄的簇數(shù)。假如DBR中該參數(shù)值為“F6H”，換算為十進制等于“-10”，所以每個文件記錄的大小是2-1x-10=210=1024字節(jié)。（19）41H?43H:未用這3字節(jié)不用，（20）44H?44H:索引緩沖的大小描述這一個字節(jié)描述每個索引緩沖的簇數(shù)。注意該參數(shù)也是帶符號數(shù)，當其是負數(shù)時，說明每個索引緩沖的大小要小于每簇扇區(qū)數(shù)，在這種情況下，索引緩沖的大小用字節(jié)數(shù)表示，計算方法為：2-1x每個索引緩沖的簇數(shù)。（21）45H?47H:未用這3字節(jié)不用。（22）48H?4FH:卷序列號這8字節(jié)為分區(qū)的邏輯序列號，也就是在命令行下輸入dir命令后顯示的一排數(shù)據(jù)，這個序列號是硬盤格式化時隨機產(chǎn)生的。（23）50H?51H:校驗和BPB的最后四個字節(jié)是其校驗和，一般都為0；引導程序NTFS的DBR引導程序占用426字節(jié)（54H?1FDH),其負責完成將系統(tǒng)文件NTLDR裝入。對于一個沒有安裝操作系統(tǒng)的分區(qū)來講，這段程序沒有用處。結(jié)束標志DBR的結(jié)束標志與MBR、EBR的結(jié)束標志都相同，為“55AA”。以上幾個部分共占用512字節(jié)，正好是丨個扇區(qū)，這個扇區(qū)屬于$Boot文件的組成的部分。該部分的內(nèi)容中除了結(jié)束標志是固定不變之外，其余的部分都是不完全確定的，都因操作系統(tǒng)版本的不同而不同，也因硬盤的邏輯盤參數(shù)的變化而變化。元文件分析將一個分區(qū)格式化為NTFS后，格式化程序會往該分區(qū)中寫入很多重要的系統(tǒng)信息，這些系統(tǒng)信息在NTFS文件系統(tǒng)中稱為元文件。這些元文件用戶是不能訪問的，它們的文件名的第一個字符都是“$”，表示該文件是隱藏的，用戶無法訪問和修改。在NTFS文件系統(tǒng)中，元文件主要有16個，包括MFT($MFT、MFT鏡像($MFTMirr)、日志文件（$LogFile)、卷文件（$Volume)、屬性定義表（$AttrDef)、根目錄（SRoot)、位圖文件（$Bitmap)、弓|導文件（$Boot)、壞簇文件（$BadClus)、安全文件（SSecure)、大寫文件（$UpCase)、擴展元數(shù)據(jù)文件（$Extendedmetadatadirectory)、

重解析點文件（$Extend\$Reparse)、變更日志文件（$Extend\$UsnJml)、配額管理文件($Extend\$Quota)、對象ID文件（$Extend\$ObjId)等。序號元文件名功能序號元文件名功能0$MFT主文件表本身6$Bitmap位圖文件1$MFTMirr主文件表部分鏡像7$Boot引導文件2$LogFile事務型日志文件8$BadClus壞簇列表文件3$Volume卷文件9$Quota磁盤配額文件4$AttrDef屬性定義文件10$Secure安全文件5$Root根目錄文件11$UpCase大小寫字符轉(zhuǎn)換表序號元文件名功能序號元文件名功能12$Extendmetadatadirectory擴展元數(shù)據(jù)目錄13$Extend\$Reparse重解析點文件14$Extend\UsnJml加密日志文件15$Extend\Quota配額管理文件16$Extend\ObjID對象ID文件在NTFS文件系統(tǒng)中，磁盤上的所有數(shù)據(jù)都是以文件的形式出現(xiàn)的，即使是文件系統(tǒng)的管理信息也是以一組文件的形式存儲的，即元文件。16個元文件中主文件表($MFT)是一個非常重要的元文件，它由文件記錄構(gòu)成，每個文件記錄占用2個扇區(qū)。每個文件都有一個文件記錄，包括元文件本身，而主文件表（$MFT)就是專門用來存儲文件記錄的一個元文件，在$MFT中前16個文件記錄總是元文件的紀錄。系統(tǒng)通過$MFT來確定文件在磁盤上的位置以及文件的所有屬性，所以$MFT是非常重要的。系統(tǒng)為了防止$MFT出現(xiàn)過多的碎片，在它周圍保留了一個緩沖區(qū)，當其他磁盤空間滿的時候緩沖區(qū)里才會產(chǎn)生新的文件。這個緩沖區(qū)的大小是可調(diào)的，可以是磁盤空間的12.5%、25%、37.5%或50%,每當其余磁盤空間變滿時，緩沖區(qū)大小減半。由于$MFT文件本身的重要性，為了確保文件系統(tǒng)結(jié)構(gòu)的可靠性，系統(tǒng)專門為它準備了一個鏡像文件（SMFTMirr),也就是$MFT中的第2個記錄。不過這并不是$MFT的完整鏡像，而是一個小部分鏡像，一般只鏡$MFT文件介紹像$MFT中的前四個文件記錄。$MFT中前丨6個文件記錄總是元文件的記錄.并且這16個文件記錄的順序是固定的，下面對這16個記錄簡單做一個介紹：第1個記錄就是$MFT自身的記錄，也就是說$MFT首先對自己進行管理。第2個記錄的記錄，也就是$MFT前4個文件記錄的鏡像。第3個記錄是日志文件（$LogFile)的記錄，該文件是NTFS為實現(xiàn)可恢復性和安全性而設(shè)計的。當系統(tǒng)運行時，NTFS就會在日志文件中記錄所有影響NTFS卷結(jié)構(gòu)的操作，包括文件的創(chuàng)建和改變目錄結(jié)構(gòu)的命令，從而可在系統(tǒng)失敗時能夠恢復NTFS卷。第4個記錄是，文件（$Volume)的記錄，它包含卷名、NTFS的版本和一個標明該磁盤是否損壞的標志位，NTFS文件系統(tǒng)以此決定是否需要調(diào)用Chkdsk程序來進行修復。第5個記錄是屬性定義表（$AttrDef,attributedefinitiontable)的記錄，其中存放著卷所支持的所有文件屬性，并指出它們是否可以被索引和恢復等。第6個記錄是根目錄（$Root)的記錄，其中保存著該卷根目錄下的所有文件和目錄的索引。在訪問一個文件后，NTFS就保留該文件的MFT引用，第二次就能夠直接訪問該文件。第7個記錄是位圖文件（$Bitmap)的記錄，NTFS卷的簇使用情況都保存在這個位圖文件中，其中每一位（bit)代表卷中的一簇，標識該簇是空閑還是已分配。由于該文件可以很容易被擴大，所以，NTFS的卷可以很方便地動態(tài)擴大，而FAT格式的文件系統(tǒng)由于涉及FAT表的變化，所以不能隨意對分區(qū)大小進行調(diào)整。第8個記錄是引導文件（$Boot)的記錄，該文件中存放著操作系統(tǒng)的引導程序代碼，該文件必須位于特定的磁盤位置才能夠正確地引導系統(tǒng)，一般都是位于卷的最前面。第9個記錄是壞簇文件（SBadChis)的記錄，它記錄著該卷中所有損壞的簇號，防止系統(tǒng)對其進行分配使用。第10個記錄是安全文件（$Secure)的記錄，它存儲著整個卷的安全描述符數(shù)據(jù)庫。NTFS文件和目錄都有各自的安全描述符，為節(jié)省空間，ntfs將文件和目錄的相同描述符存放在此公共文件中》第11個記錄為大寫文件（$UpCase.uppercasefile)的記錄，該文件包含一個大小寫字符轉(zhuǎn)換表。第12個記錄是擴展元數(shù)據(jù)目錄（$Extendedmetadatadirectory)的記錄。第13個記錄是重解析點文件（$Extend\$Reparse)的記錄。第14個記錄是變更日志文件（$Extend\$UsnJml)的記錄。第15個記錄是配額管理文件（$Extend\$Quota)的記錄。第16個記錄是對象ID文件（$Extend\$ObjId)的記錄。第17?23記錄是系統(tǒng)保留的記錄，暫時不用，用于將來擴展。從第24個記錄開始存放用戶文件的記錄。ExFAT全稱為Exte