教案数据恢复基础知识合.ppt

《教案数据恢复基础知识合.ppt》由会员分享，可在线阅读，更多相关《教案数据恢复基础知识合.ppt（141页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、主讲人：（总经理）主讲人：（总经理）计算机专业技能数据恢复计算机专业技能数据恢复基础培训基础培训第一章：数据恢复基础知识第一章：数据恢复基础知识一、一、数据恢复的概念与研究范围数据恢复的概念与研究范围第一章：数据恢复基础知识第一章：数据恢复基础知识1、数据：、数据：不仅包括计算机文件系统或数据库系统中不仅包括计算机文件系统或数据库系统中存储的各种数据、正文、图形、图像、声存储的各种数据、正文、图形、图像、声音等形式的多媒体数据文件、软件或各种音等形式的多媒体数据文件、软件或各种文档资料，也包括存放或管理这些信息的文档资料，也包括存放或管理这些信息的硬件信息，如计算机硬件及其网络地址、硬件信息，

2、如计算机硬件及其网络地址、网络结构、网络服务等。网络结构、网络服务等。2 2、数据恢复：、数据恢复：数据恢复就是把遭受破坏、这种破坏可能是由硬数据恢复就是把遭受破坏、这种破坏可能是由硬件缺陷导致不可访问或不可获得、或由于误操作件缺陷导致不可访问或不可获得、或由于误操作等各种原因导致丢失的数据还原成正常数据。等各种原因导致丢失的数据还原成正常数据。注：注：数据恢复不同于数据备份，不是所有的情况都可数据恢复不同于数据备份，不是所有的情况都可以恢复以恢复3 3、数据丢失的原因：、数据丢失的原因：造成数据丢失的原因有很多，包括软硬件故障、造成数据丢失的原因有很多，包括软硬件故障、异常断电、死机、病毒破

3、坏、黑客入侵、误操作、异常断电、死机、病毒破坏、黑客入侵、误操作、磁盘阵列损坏、口令丢失、文件结构损坏等，均磁盘阵列损坏、口令丢失、文件结构损坏等，均属于数据修复的范畴。属于数据修复的范畴。第一章：数据恢复基础知识第一章：数据恢复基础知识数据灾难的分类数据灾难的分类1、逻辑问题：、逻辑问题：存储介质硬件本身没有问题，由于逻辑节存储介质硬件本身没有问题，由于逻辑节点出现错误导致的数据不可访问，相应的点出现错误导致的数据不可访问，相应的数据恢复称为数据恢复称为“逻辑恢复逻辑恢复”。如误删除、。如误删除、误格式化等。误格式化等。2、物理问题：存储介质硬件损坏或失效造成、物理问题：存储介质硬件损坏或失

4、效造成的数据丢失，相应的数据恢复称为：的数据丢失，相应的数据恢复称为：“物物理恢复理恢复”第一章：数据恢复基础知识第一章：数据恢复基础知识几种数据丢失的现象几种数据丢失的现象1、不能进入系统、不能进入系统2、磁盘出现坏道、磁盘出现坏道3、分区丢失、分区丢失4、文件丢失、文件丢失5、密码丢失、密码丢失6、文档无法打开或打开后是乱码、文档无法打开或打开后是乱码第一章：数据恢复基础知识第一章：数据恢复基础知识数据存储技术简介数据存储技术简介1、数据存储介质：、数据存储介质：仅有两种稳定的物理状态，能方便的检测仅有两种稳定的物理状态，能方便的检测出属于哪种稳定状态，两种稳定状态又容出属于哪种稳定状态，

5、两种稳定状态又容易相互转换的物质或元器件，都可以用来易相互转换的物质或元器件，都可以用来记忆二进制代码记忆二进制代码“0”和和“1”，称这样的，称这样的物质或元器件为存储介质或记录介质。存物质或元器件为存储介质或记录介质。存储介质不同，存储信息的机理也不同。储介质不同，存储信息的机理也不同。第一章：数据恢复基础知识第一章：数据恢复基础知识2、存储技术的分类、存储技术的分类（1）、电存储技术）、电存储技术电存储技术主要指半导体存储器电存储技术主要指半导体存储器SCM（SemiconductorMemory)。常见的。常见的存储介质包括内存、闪存等存储介质包括内存、闪存等第一章：数据恢复基础知识第

6、一章：数据恢复基础知识（2）、磁存储技术）、磁存储技术磁存储技术主要指磁表面存储器磁存储技术主要指磁表面存储器MSM(MagneticSurfaceMemory)磁表面存储器是用非磁性金属或塑料做基体，磁表面存储器是用非磁性金属或塑料做基体，在其表涂敷、电镀、沉积或溅射一层很薄的高在其表涂敷、电镀、沉积或溅射一层很薄的高导磁率、硬矩磁材料的磁面，用磁层的两种剩导磁率、硬矩磁材料的磁面，用磁层的两种剩磁状态记录信息磁状态记录信息“0”和和“1”。基体和磁层和。基体和磁层和称为磁记录介质。长见存储介质如：硬盘、软称为磁记录介质。长见存储介质如：硬盘、软盘、磁带等。盘、磁带等。第一章：数据恢复基础知

7、识第一章：数据恢复基础知识（3）、光存储技术）、光存储技术光盘存储器是目前辅存中记录密度最高的存储光盘存储器是目前辅存中记录密度最高的存储器器.常见的光存储设备有：常见的光存储设备有：CD-ROM、CD-R、CD-RW、DVD-ROM、DVD-RW等等第一章：数据恢复基础知识第一章：数据恢复基础知识第二章：磁盘结构第二章：磁盘结构一、磁盘物理结构一、磁盘物理结构（1）、接口：）、接口：接口包括电源接口和数据接口两部分接口包括电源接口和数据接口两部分（2）、控制电路板：）、控制电路板：采用贴片式焊接，包括主轴调速电路、磁头采用贴片式焊接，包括主轴调速电路、磁头驱动伺服电驱动伺服电路、读写电路、控

8、制与接口电路等。路、读写电路、控制与接口电路等。（3）、固定面板：）、固定面板：硬盘正面的面板，它与底板结合成一个密封的整体，保证硬盘正面的面板，它与底板结合成一个密封的整体，保证了硬盘盘片和机构的稳定运行。了硬盘盘片和机构的稳定运行。第二章：磁盘结构第二章：磁盘结构磁盘外部结构图示磁盘外部结构图示第二章：磁盘结构第二章：磁盘结构硬盘的数据接口硬盘的数据接口l根据联接方式的差异，分为根据联接方式的差异，分为EIDE接口、接口、SCSI接口和接口和SATA串口。串口。EIDE接口多用在接口多用在桌面硬盘，经常听说的桌面硬盘，经常听说的40针、针、80芯的接口芯的接口电缆指的就是这类数据线电缆指的

9、就是这类数据线第二章：磁盘结构第二章：磁盘结构IDE磁盘接口示意图磁盘接口示意图第二章：磁盘结构第二章：磁盘结构有些硬盘的电路板上会附加有一层保护层，使用海有些硬盘的电路板上会附加有一层保护层，使用海绵或金属板绵或金属板第二章：磁盘结构第二章：磁盘结构SATA第二章：磁盘结构第二章：磁盘结构IDE硬盘与硬盘与SATA硬盘数据线对比硬盘数据线对比第二章：磁盘结构第二章：磁盘结构SATA硬盘硬盘l采用串行传输，每次传输数据为一位，有效避免了信号的串扰问题。采用串行传输，每次传输数据为一位，有效避免了信号的串扰问题。从而可以在理论上无限提高串行传输的工作频率。从而可以在理论上无限提高串行传输的工作频

10、率。l采用了比并行接口更低的电压标准，减小能耗。采用了比并行接口更低的电压标准，减小能耗。l采用点对点协议，不存在并行采用点对点协议，不存在并行ATA的主的主/从问题，省去了跳线设置工作。从问题，省去了跳线设置工作。SCSI硬盘硬盘l具有更高的数据传输速率。具有更高的数据传输速率。l更低的更低的CPU占用率。占用率。l运转稳定运转稳定第二章：磁盘结构第二章：磁盘结构SCSI硬盘外观及接口硬盘外观及接口第二章：磁盘结构第二章：磁盘结构SCSI硬盘的背面板硬盘的背面板第二章：磁盘结构第二章：磁盘结构磁盘内部结构磁盘内部结构（1）磁头组件：这是硬盘中最精密的部位之一，）磁头组件：这是硬盘中最精密的部

11、位之一，它由读写磁头、转动手臂、转动轴三部分组成。它由读写磁头、转动手臂、转动轴三部分组成。磁头是硬盘技术中最重要和关键的一环，实际磁头是硬盘技术中最重要和关键的一环，实际上是集成工艺制成的多个磁头的组合，采用非上是集成工艺制成的多个磁头的组合，采用非接触式头、盘结构，加电后在高速旋转的磁盘接触式头、盘结构，加电后在高速旋转的磁盘表面移动，与盘片之间的间隙只有表面移动，与盘片之间的间隙只有0.10.3m，这样可以获得很好的数据传输率。，这样可以获得很好的数据传输率。第二章：磁盘结构第二章：磁盘结构磁头及其附件结构磁头及其附件结构第二章：磁盘结构第二章：磁盘结构（2）磁头驱动机构：用于实现磁头的

12、移动来完成硬盘）磁头驱动机构：用于实现磁头的移动来完成硬盘的寻道。的寻道。（3）主轴组件：包括主轴部件如轴承和驱动电机等。）主轴组件：包括主轴部件如轴承和驱动电机等。（4）前置控制电路：用于控制磁头感应的信号、主轴）前置控制电路：用于控制磁头感应的信号、主轴电机调速、磁头驱动和伺服定位等。电机调速、磁头驱动和伺服定位等。（5）磁盘片：硬盘存储数据的载体。）磁盘片：硬盘存储数据的载体。第二章：磁盘结构第二章：磁盘结构磁盘内部结构图示磁盘内部结构图示第二章：磁盘结构第二章：磁盘结构l目前，微机上安装的硬盘几乎都是采用温彻斯特目前，微机上安装的硬盘几乎都是采用温彻斯特（Winchester）技术制造

13、的硬盘，这种硬盘也被称为温）技术制造的硬盘，这种硬盘也被称为温盘。这种结构的特点为：盘。这种结构的特点为：（1）磁头、盘片及运动机构密封在盘体内；）磁头、盘片及运动机构密封在盘体内；（2）磁头在启动、停止时与盘片接触，而在）磁头在启动、停止时与盘片接触，而在工作时工作时因盘因盘片高速旋转，从而带动磁头片高速旋转，从而带动磁头“悬浮悬浮”在盘片上面呈飞行状在盘片上面呈飞行状态（空气动力学原理），这个态（空气动力学原理），这个“悬浮悬浮”的高度约为的高度约为0.1微微米米0.3微米，这个高度是非常小的。微米，这个高度是非常小的。第二章：磁盘结构第二章：磁盘结构磁头高度对比图磁头高度对比图第二章：磁

14、盘结构第二章：磁盘结构SCSI硬盘内部结构硬盘内部结构第二章：磁盘结构第二章：磁盘结构硬盘的寻道硬盘的寻道l每个盘片的每个面都有一个读写磁头，与磁头每个盘片的每个面都有一个读写磁头，与磁头接触的表面靠近主轴，即线速度最小的地方，接触的表面靠近主轴，即线速度最小的地方，是一个特殊的区域，它不存放任何数据，称为是一个特殊的区域，它不存放任何数据，称为启停区或着陆区，启停区外就是数据区。在最启停区或着陆区，启停区外就是数据区。在最外圈，离主轴最远的地方是外圈，离主轴最远的地方是“0”磁道，而硬磁道，而硬盘数据的存放就是从最外圈开始的。盘数据的存放就是从最外圈开始的。第二章：磁盘结构第二章：磁盘结构盘

15、片区域分配示意图盘片区域分配示意图第二章：磁盘结构第二章：磁盘结构磁头的拆卸与安装磁头的拆卸与安装l1、首先卸掉背面电路版上的所有螺丝，拆下电路版第二章：磁盘结构第二章：磁盘结构l拆下电路版后我们看到背面有两颗螺丝，此螺丝是固定磁头的，暂时不要动。第二章：磁盘结构第二章：磁盘结构2、揭开标签，卸掉硬盘正面版上的螺丝。第二章：磁盘结构第二章：磁盘结构3、揭开正面版第二章：磁盘结构第二章：磁盘结构4、卸掉上面的强力磁铁第二章：磁盘结构第二章：磁盘结构5、卸掉硬盘背面的2颗螺丝与前置控制电路的固定螺丝后磁头即可取下第二章：磁盘结构第二章：磁盘结构拆下的磁头与空硬盘拆下的磁头与空硬盘第二章：磁盘结构第

16、二章：磁盘结构重新安装磁头重新安装磁头第二章：磁盘结构第二章：磁盘结构二、磁盘逻辑结构二、磁盘逻辑结构1 1、磁头（、磁头（HeadHead）:硬盘的盘体是由多个盘片重叠在一起构硬盘的盘体是由多个盘片重叠在一起构成的。硬盘成的。硬盘“磁面磁面”的概念与软盘类似，的概念与软盘类似，它是指一个盘片的两个面，每个盘片有上它是指一个盘片的两个面，每个盘片有上下两个磁面。在硬盘中，一个磁面对应一下两个磁面。在硬盘中，一个磁面对应一个读写磁头，所以，一般来说在对硬盘进个读写磁头，所以，一般来说在对硬盘进行读写操作时，不再称磁面行读写操作时，不再称磁面0 0、磁面、磁面1 1、磁、磁面面2 2，而是称磁头，

17、而是称磁头0 0、磁头、磁头1 1、磁头、磁头2 2。第二章：磁盘结构第二章：磁盘结构2 2、磁道（、磁道（TrackTrack）：磁盘在格式化时会划分成许多同心圆，）：磁盘在格式化时会划分成许多同心圆，其同心圆轨迹称为磁道。其同心圆轨迹称为磁道。3 3、柱面柱面(Cylinder):(Cylinder):由于硬盘的盘体是由多个盘片重叠在由于硬盘的盘体是由多个盘片重叠在一起构成，每个盘片的每个面都被划分成不同半径的同心一起构成，每个盘片的每个面都被划分成不同半径的同心圆磁道，整个盘体中所有磁面的半径相同的同心磁道就称圆磁道，整个盘体中所有磁面的半径相同的同心磁道就称为为“柱面柱面”。4 4、扇

18、区、扇区(Sector):(Sector):如果将每一个磁道视为一个圆环，再把该如果将每一个磁道视为一个圆环，再把该圆环等分成若干个扇形小区，该等分的小区就是磁盘存取圆环等分成若干个扇形小区，该等分的小区就是磁盘存取数据的最基本的单位数据的最基本的单位“扇区扇区”。磁盘的。磁盘的“磁头磁头”与与“柱面柱面”编号从编号从0 0计起，而计起，而“扇区扇区”则从则从1 1计起。计起。第二章：磁盘结构第二章：磁盘结构磁盘组织结构磁盘组织结构第二章：磁盘结构第二章：磁盘结构l硬盘在存储数据之前，一般需经过低级格式化、硬盘在存储数据之前，一般需经过低级格式化、分区、高级格式化这三个步骤之后才能使用。分区、

19、高级格式化这三个步骤之后才能使用。其作用是在物理硬盘上建立一定的数据逻辑结其作用是在物理硬盘上建立一定的数据逻辑结构。构。l低级格式化的主要功能：低级格式化的主要功能：它的作用是检测硬盘磁介质，划分磁道，为每它的作用是检测硬盘磁介质，划分磁道，为每个磁道划分扇区，并根据用户选定的交叉因子个磁道划分扇区，并根据用户选定的交叉因子安排扇区在磁道中的排列顺序等。安排扇区在磁道中的排列顺序等。第二章：磁盘结构第二章：磁盘结构分区的作用分区的作用l一块硬盘，就是所有容量都划分给一个分区，一块硬盘，就是所有容量都划分给一个分区，也要显式的进行这个操作来指定。所以，对硬也要显式的进行这个操作来指定。所以，对

20、硬盘做完低级格式化后，必须进行分区操作，通盘做完低级格式化后，必须进行分区操作，通过分区来完成主引导记录的写入。也正是这个过分区来完成主引导记录的写入。也正是这个原因，很多独立发行的低级格式化软件，也同原因，很多独立发行的低级格式化软件，也同时是一个分区软件，可以完成硬盘分区功能。时是一个分区软件，可以完成硬盘分区功能。第二章：磁盘结构第二章：磁盘结构基本分区与扩展分区基本分区与扩展分区1、基本分区：、基本分区：基本分区（主分区）是物理磁盘中可以被标记为激活，并基本分区（主分区）是物理磁盘中可以被标记为激活，并且被系统用来启动计算机的磁盘分区。每块物理磁盘最多且被系统用来启动计算机的磁盘分区。

21、每块物理磁盘最多可以有可以有4个基本分区。个基本分区。2、扩展分区：、扩展分区：扩展分区是为了突破一个硬盘上只能有扩展分区是为了突破一个硬盘上只能有4个分区的限制而制个分区的限制而制定的，一个硬盘只能有一个扩展分区。定的，一个硬盘只能有一个扩展分区。第二章：磁盘结构第二章：磁盘结构卷集的概念卷集的概念卷集是将一个或多个物理硬盘上的未格式化的自卷集是将一个或多个物理硬盘上的未格式化的自由空间组合成一个逻辑卷，做为一个整体来访问，由空间组合成一个逻辑卷，做为一个整体来访问，为其分配一个盘符，就像一个单独的分区一样来为其分配一个盘符，就像一个单独的分区一样来格式化和存储数据。格式化和存储数据。第二章

22、：磁盘结构第二章：磁盘结构磁盘分区结构磁盘分区结构1、硬盘分区由五部分构成（、硬盘分区由五部分构成（FAT文件系统）：文件系统）：（1）、）、MBR主引导记录（主引导记录（MainBootRecord）（2）、）、DBR系统引导记录（系统引导记录（DosBootRecord）（3）、）、FAT文件分配表（文件分配表（FileAllocationTable）（4）、）、FDT文件目录表（文件目录表（FileDirectoryTable）（5）、）、DATA数据区数据区第二章：磁盘结构第二章：磁盘结构MBR称为硬盘主引导记录，它是由称为硬盘主引导记录，它是由FDISK建立在柱面建立在柱面0、磁头、

23、磁头0，扇区，扇区1的磁盘引导记录数据区，它不属于任的磁盘引导记录数据区，它不属于任何操作系统。用于硬盘启动时将系统何操作系统。用于硬盘启动时将系统控制权转给用户指定的，并在分区表控制权转给用户指定的，并在分区表中登记了的某个操作系统区。一个物中登记了的某个操作系统区。一个物理硬盘只有一个理硬盘只有一个MBR。第二章：磁盘结构第二章：磁盘结构DBR是经由是经由FORMAT高级格式化写高级格式化写到磁盘逻辑到磁盘逻辑0扇区上的，主要功能是扇区上的，主要功能是完成完成DOS系统的自举。硬盘上的每系统的自举。硬盘上的每一个逻辑磁盘都有自己的一个逻辑磁盘都有自己的DBR。DBR中记录了本分区的扇区总数

24、、中记录了本分区的扇区总数、FAT表个数等信息。表个数等信息。第二章：磁盘结构第二章：磁盘结构FDT表和表和FAT表是表是FAT文件系统组织文件系统组织结构的两个组成部分，结构的两个组成部分，FDT中记录中记录了文件的名字、起始地址等信息，了文件的名字、起始地址等信息，FAT记录了文件在磁盘上的具体位记录了文件在磁盘上的具体位置。系统就是通过这两个表上的文置。系统就是通过这两个表上的文件簇链关系来存取文件的。件簇链关系来存取文件的。第二章：磁盘结构第二章：磁盘结构硬盘分区结构示意图硬盘分区结构示意图第二章：磁盘结构第二章：磁盘结构2、Boot Sector简介简介Boot Sector也也就就

25、是是硬硬盘盘的的第第一一个个扇扇区区，它它由由 MBR(Master Boot Record)，DPT(Disk Partition Table)和和Boot Record ID三部分组成。三部分组成。l主主引引导导记记录录MBRMBR占占用用Boot Sector的的前前446个个字字节节(0 to 0 x1BD)，存存放放系系统主引导程序统主引导程序(它负责从活动分区中装载并运行系统引导程序它负责从活动分区中装载并运行系统引导程序)。lDPT 即主分区表占用即主分区表占用64个字节个字节(0 x1BE to 0 x1FD)，记录了磁盘的基本，记录了磁盘的基本分区信息，主分区表分为四个分区项

26、，每项分区信息，主分区表分为四个分区项，每项16字节，分别记录了每个字节，分别记录了每个主分区的信息主分区的信息(因此最多可以有四个主分区因此最多可以有四个主分区)。l Boot Record ID 即引导区标记占用两个字节即引导区标记占用两个字节(0 x1FE and 0 x1FF)，对，对于合法引导区，它等于于合法引导区，它等于0 xAA55，这是判别引导区是否合法的标志。，这是判别引导区是否合法的标志。第二章：磁盘结构第二章：磁盘结构BOOTSECTOR的具体结构如下图所示的具体结构如下图所示第二章：磁盘结构第二章：磁盘结构 Boot Sector图示第二章：磁盘结构第二章：磁盘结构3、

27、分区表结构、分区表结构l分区表由四个分区分区表由四个分区项构成，每一项长项构成，每一项长度为度为16个字节，分个字节，分区表结构如下图所区表结构如下图所示：示：第二章：磁盘结构第二章：磁盘结构4.硬盘分区类型硬盘分区类型l00未使用分区项l01DOS12一种fat表为12位的分区主要用于早期小硬盘和部分软盘l05EXTEND扩展分区的一种l06BIGDOS即FAT16分区分区表为16位，每簇最大为32K，最大分区为2Gl07NTFS分区l0BFAT32分区分区表为32位l0CFAT32X分区与FAT32基本相同l0EBIGDOSX即FAT16分区扩展分区表为16位，每簇最大可以超过32Kl0F

28、EXTENDX扩展分区的一种l82Linux主分区l83Linux交换分区第二章：磁盘结构第二章：磁盘结构DBR（63扇）示意图扇）示意图第二章：磁盘结构第二章：磁盘结构FAT第二章：磁盘结构第二章：磁盘结构FDT第二章：磁盘结构第二章：磁盘结构l由于由于MBR中的主分区表项中最多只能记录中的主分区表项中最多只能记录4个个分区的信息，因此我们的分区表采用的是链式分区的信息，因此我们的分区表采用的是链式结构进行标注，一般每个逻辑分区记录两个分结构进行标注，一般每个逻辑分区记录两个分区表项，一项标注本逻辑分区的信息，第二项区表项，一项标注本逻辑分区的信息，第二项标注下一个扩展分区的信息，如此链接下

29、去直标注下一个扩展分区的信息，如此链接下去直至最后一个分区。具体如图所示至最后一个分区。具体如图所示：第二章：磁盘结构第二章：磁盘结构第二章：磁盘结构第二章：磁盘结构NTFS文件系统结构文件系统结构NTFS是新技术文件系统（是新技术文件系统（NewTechnologyFileSystem),与与FAT文文件系统相比件系统相比NTFS具有许多新的特性，具有许多新的特性，比如容错性、安全性、文件压缩和磁比如容错性、安全性、文件压缩和磁盘配额等。盘配额等。第二章：磁盘结构第二章：磁盘结构相对于相对于FAT，NTFS所具有的特性：所具有的特性：容错性：NTFS可以自动修复磁盘错误而不会显示出错误信息。

30、安全性：NTFS有许多安全性能方面的选项，可以在本机上和通过远程的方法保护文件、目录，可以组织未经授权的用户访问文件。通过EFS加密提高数据安全性文件压缩：NTFS文件系统支持文件压缩功能，可以压缩单个文件或整个文件夹。磁盘限额：所谓磁盘限额就是管理员可以对本域中的每个用户进行磁盘使用空间的限制。第二章：磁盘结构第二章：磁盘结构NTFS的分区结构的分区结构NTFS文件系统中文件同样是按簇进行分配NTFS文件系统并不去关心什么是扇区，也不会关心扇区有多大文件通过主文件表MFT确定文件在磁盘上的存储位置，NTFS卷中的每一个文件都有自己的一个唯一标识，称为文件引用号。第二章：磁盘结构第二章：磁盘结

31、构NTFSF分区结构示意图分区结构示意图第二章：磁盘结构第二章：磁盘结构MFTl元数据元数据存储在卷上支持文件系统管理的数据。只为系统存储在卷上支持文件系统管理的数据。只为系统服务，不能被应用程序访问。服务，不能被应用程序访问。不管簇的大小是多少，不管簇的大小是多少，MFT中的记录大小一般是中的记录大小一般是固定的，占用固定的，占用1k空间。这些记录从零开始编号。空间。这些记录从零开始编号。MFT仅供系统本身进行文件管理使用（仅供系统本身进行文件管理使用（MFT本身本身也是元数据）。在也是元数据）。在MFT的前的前16条记录是非常重要条记录是非常重要的操作系统使用的元数据文件，这些元数据文件的

32、操作系统使用的元数据文件，这些元数据文件的名字都是以的名字都是以“$”开头，是系统管理卷不可缺少开头，是系统管理卷不可缺少的。的。第二章：磁盘结构第二章：磁盘结构NTFS中的前中的前10个元文件个元文件$MFT:$MFT中的第一条记录即是中的第一条记录即是$MFT自自身。身。$MFTMirr:由于由于MFT自身的重要性，系统专门为自身的重要性，系统专门为它的起始部分建立的镜像文件。它的起始部分建立的镜像文件。$LogFile:该文件是该文件是NTFS为实现可恢复性和安为实现可恢复性和安全性而设计的。全性而设计的。NTFS会在系统运行时将所有影会在系统运行时将所有影响响NTFS卷结构的操作记录在

33、日志文件中，以便卷结构的操作记录在日志文件中，以便在系统失败时恢复在系统失败时恢复NTFS卷。卷。第二章：磁盘结构第二章：磁盘结构$Volume(卷文件）：其中包含卷文件）：其中包含NTFS版本、卷名版本、卷名等信息。等信息。$AttrDef(属性定义表）：其中存放着卷所支持属性定义表）：其中存放着卷所支持的全部属性信息。的全部属性信息。$Root(根目录）：保存着该卷根目录下所有文根目录）：保存着该卷根目录下所有文件的索引。在访问一个文件后，件的索引。在访问一个文件后，ntfs就保留该文就保留该文件的件的MFT引用，第二次就能直接访问该文件。引用，第二次就能直接访问该文件。第二章：磁盘结构第

34、二章：磁盘结构$Bitmap（位图文件）：标志（位图文件）：标志NTFS卷中所有簇卷中所有簇的占用情况，其中的每一位代表一个簇是空闲还的占用情况，其中的每一位代表一个簇是空闲还是已分配。是已分配。$Boot(引导文件）：存放着操作系统的引导程引导文件）：存放着操作系统的引导程序代码。序代码。$BadClus(坏簇文件）坏簇文件）:记录着该卷中所有坏簇记录着该卷中所有坏簇的簇号。的簇号。$Secure(安全文件）：存储整个卷的安全描述安全文件）：存储整个卷的安全描述符数据库符数据库第二章：磁盘结构第二章：磁盘结构第三章：数据恢复软件介绍第三章：数据恢复软件介绍一、一、EasyRecoveryEa

35、syRecovery是一款功能非常强大的数据恢复软件，是一款功能非常强大的数据恢复软件，可以恢复由于病毒破坏、误删除或误格式化甚至分区损可以恢复由于病毒破坏、误删除或误格式化甚至分区损坏等造成的数据丢失，使用坏等造成的数据丢失，使用EasyRecovery可以修复主可以修复主引导扇区（引导扇区（MBR）、）、BIOS参数块（参数块（BPB）、分区表、）、分区表、文件分配表（文件分配表（FAT）或目录及文件。当你从计算机中删）或目录及文件。当你从计算机中删除文件时，它们并未真正被删除，文件的结构信息仍然除文件时，它们并未真正被删除，文件的结构信息仍然保留在硬盘上，除非新的数据将之覆盖了。能用保留

36、在硬盘上，除非新的数据将之覆盖了。能用EasyRecovery找回数据、文件的前提就是硬盘中还保找回数据、文件的前提就是硬盘中还保留有文件的信息和数据块。但在你删除文件、格式化硬留有文件的信息和数据块。但在你删除文件、格式化硬盘等操作后，再在对应分区内写入大量新信息时，这些盘等操作后，再在对应分区内写入大量新信息时，这些需要恢复的数据就很有可能被覆盖了！这时，无论如何需要恢复的数据就很有可能被覆盖了！这时，无论如何都是找不回想要的数据了。都是找不回想要的数据了。第三章：数据恢复软件介绍第三章：数据恢复软件介绍EasyRecovery启动后的界面如图所示：启动后的界面如图所示：第三章：数据恢复软

37、件介绍第三章：数据恢复软件介绍l在数据恢复过程中我们使用最多的是其中“数据修复”模块中的AdvancedRecovery和RawRecovery。lAdvancedRecovery为高级选项自定义数据恢复，主要对付那些分区或目录结构损坏的不是太严重的情况，比如说格式化、文件被误删除或分区表损坏等，它可以完全依照恢复分区的文件系统，通过文件分配表和文件目录表搜索出相应的目录树结构，即使完整的目录树结构被破坏，它也可以找出其中的子目录。第三章：数据恢复软件介绍第三章：数据恢复软件介绍有些情况下分区信息被破坏的比较严重，AdvancedRecovery已经无法自动识别分区类型，显示为“无相法识别”空

38、间，这时我们可以启动高级选项，从中选择应文件系统，如图：第三章：数据恢复软件介绍第三章：数据恢复软件介绍AdvancedRecovery可以扫描未分配空间中是否存在我们制定的文件系统的记录，重新加载一个文件系统，如图：第三章：数据恢复软件介绍第三章：数据恢复软件介绍l在相应的文件系统下继续扫描仍然有可能恢复出完整的目录结构和相应数据。扫描结束后点击“下一步”选择相应的保存路径保存即可。第三章：数据恢复软件介绍第三章：数据恢复软件介绍RawRecoveryRawRecovery是脱离开任何文件系统，按照簇的方式进行扫描，此模式将对整个分区的扇区一个个地进行扫描。该扫描模式可以找回保存在一个簇中的

39、小文件或连续存放的大文件。也就是说通过这种方式恢复数据时文件越大，能成功恢复的概率就越低。第三章：数据恢复软件介绍第三章：数据恢复软件介绍RawRecovery同样可以对未分配空间进行扫描，其操作界面如图（8）所示第三章：数据恢复软件介绍第三章：数据恢复软件介绍从中选择要扫描的硬盘空间，在“文件类型”中构选你所需要的文件类型。注意，这里的文件类型包括常见的大多数数据类型，但不包括一些特殊软件自己的特有数据类型，比如说一些财务软件的数据库等，这种情况下我们还可以通过添加数据类型来解决，但前提是手上需要拥有一定量的相同数据类型的文件样本第三章：数据恢复软件介绍第三章：数据恢复软件介绍在“文件类型”

40、对话框中点击添加，弹出图（9）的对话框，使用Ultraedit读出样本文件的16进制编码，从中找出8字节的特征码（一般为文件头的前8字节）写入“新的文件标识”对话框，然后填入相应的偏移量、扩展名和描述即可。第三章：数据恢复软件介绍第三章：数据恢复软件介绍二、二、FinalDataFinalData也是一款我们常用的数据恢复软件，其数据恢复功能与EasyRecovery类似，界面如图：第三章：数据恢复软件介绍第三章：数据恢复软件介绍l选择界面左上角的“文件”、“打开”，从“选择驱动器”对话框中选择想要恢复的文件所在的驱动器。这里我们选择“驱动器D”然后单击“OK”开始扫描。第三章：数据恢复软件介

41、绍第三章：数据恢复软件介绍首先扫描根目录（又称做“快速扫描”），其次进行簇扫描（又称“完整扫描”），如图第三章：数据恢复软件介绍第三章：数据恢复软件介绍扫描完成后出现下图对话框，从中查找所需文件选择保存路径恢复存即可。第三章：数据恢复软件介绍第三章：数据恢复软件介绍其中左边的项目分别表示：1、“RootDirectory”：正常根目录2、“DeletedDirectory”：从根目录删除的目录集合(只在“快速扫描”后可用)3、“DeletedFiles”：从根目录删除的文件集合(只在“快速扫描”后可用)4、“LostDirectory”：只有在“完整扫描”后找到的目录将会被显示在这里。由于已经

42、被部分覆盖或者破坏，所以“快速扫描”不能发现这些目录。如果根目录由于格式化或者病毒等引起破坏，FinalData就会把发现和恢复的信息放到“丢失的目录”中。(只在“完整扫描”后可用)5、“LostFiles”：被严重破坏的文件，如果数据部分依然完好，可以从“丢失的文件”中恢复。在“快速扫描”过后，FinalData将执行“完整扫描”以查找被破坏的文件并将列表显示在“丢失的文件”中。(只在“完整扫描”后可用)第三章：数据恢复软件介绍第三章：数据恢复软件介绍6、“RecentlyDeletedfiles”：当FinalData安装后，“文件删除管理器”功能自动将被删除文件的信息加入到“最近删除的文

43、件”中。因为FinalData将这些文件信息保存在一个特殊的硬盘位置，大多数情况下可以完整地恢复出现(安装程序时会指定一定的硬盘空间用来存放这些信息)。7、“SearchedFiles”：这些就是所有硬盘上面被删除的文件，以后可以按照文件名、簇号和日期对扫描到的文件进行查找。另外FinalData对于查找分区结构和文件系统的功能非常强大，因此在很多时候也会作为恢复分区的辅助工具使用。第三章：数据恢复软件介绍第三章：数据恢复软件介绍三、三、AdvancedEFSdatarecoveryAdvancedEFSdatarecovery是一个可以从是一个可以从WindowsNTFS分区里解密用分区里解

44、密用EFS加密的文件加密的文件的工具。的工具。AdvancedEFSdatarecovery启动后的界面如图所示：启动后的界面如图所示：第三章：数据恢复软件介绍第三章：数据恢复软件介绍若要对若要对NTFS分区里的分区里的EFS加密文件进行解密，点击加密文件进行解密，点击“scanscanforkeys”，首先队硬盘中的分区进行密钥扫描，在弹出下图窗口时点击，首先队硬盘中的分区进行密钥扫描，在弹出下图窗口时点击“startscan”开始扫描。开始扫描。第三章：数据恢复软件介绍第三章：数据恢复软件介绍下图显示出的即为扫描到的密钥信息：下图显示出的即为扫描到的密钥信息：第三章：数据恢复软件介绍第三章

45、：数据恢复软件介绍对密钥扫描完成后，我们点击对密钥扫描完成后，我们点击“Encryptedfiles”扫描加密的文件，如图。扫描加密的文件，如图。进入进入“Encryptedfiles”选项卡后点击选项卡后点击“scanforencryptedfiles”开始扫开始扫描描第三章：数据恢复软件介绍第三章：数据恢复软件介绍下图为扫描出来的整个分区中做了下图为扫描出来的整个分区中做了EFS加密的文件，我们将其中需要恢复加密的文件，我们将其中需要恢复的文件前面构选然后点击的文件前面构选然后点击“decrypt”保存出相应的文件即可。保存出相应的文件即可。第三章：数据恢复软件介绍第三章：数据恢复软件介绍

46、保存完毕，恢复工作完成。保存完毕，恢复工作完成。第三章：数据恢复软件介绍第三章：数据恢复软件介绍RAID技术详解及其数据恢复技术详解及其数据恢复一、一、RAID简介简介RAID直译为直译为“独立冗余磁盘阵列独立冗余磁盘阵列”，可以，可以把把RAID理解成一种使用磁盘驱动器的方法，理解成一种使用磁盘驱动器的方法，就是指用两个以上的物理硬盘进行协作，逻就是指用两个以上的物理硬盘进行协作，逻辑上作为一个磁盘驱动器来使用，但能提供辑上作为一个磁盘驱动器来使用，但能提供数据冗余容错协同工作能力，以此来全面提数据冗余容错协同工作能力，以此来全面提升磁盘子系统的性能。升磁盘子系统的性能。RAID技术详解及其

47、数据恢复技术详解及其数据恢复为确保网络系统可靠地保存数据，使系统正常运行，磁盘阵列已成为高可靠性网络系统解决方案中不可缺少的存储设备。磁盘阵列由磁盘阵列控制器及若干性能近似的、按一定要求排列的硬盘组成。该类设备具有高速度、大容量、安全可靠等特点，通过冗余纠错技术、镜像数据或数据分割及奇偶校验等技术来保证设备及数据可靠，并实现容错要求，是一种具有较高容错能力的智能化磁盘集合，具有较高的安全性和可靠性。RAID在现代网络系统中作为海量存储器，广泛应用于磁盘服务器中。RAID技术详解及其数据恢复技术详解及其数据恢复二、二、RAID的优点的优点1、成本低，功耗小，传输速率高。2、可以提供容错功能。3、

48、RAID与传统的大直径磁盘驱动器相比，与可靠性与价格都很高的专用硬盘相比，在同样的容量下，价格要低许多，性能与可靠性也不低于它们。RAID技术详解及其数据恢复技术详解及其数据恢复RAID技术镜像技术技术镜像技术RAID技术延展技术技术延展技术RAID技术详解及其数据恢复技术详解及其数据恢复三、三、RAID的分级的分级1、RAID0RAID0级，无冗余无校验的磁盘阵列。从外表看是一个硬盘，但容量却是两个硬盘的总和。RAID0比一般单一硬盘的可靠度要差，只要一个硬盘损坏，整个阵列里的数据都会损失掉。但极佳的性能使RAID0仍然具有很大的吸引力。RAID技术详解及其数据恢复技术详解及其数据恢复RAI

49、D0的两种方式的两种方式方式方式1：串联在一起，形成一个独立的逻辑驱动：串联在一起，形成一个独立的逻辑驱动器，当一块磁盘的空间用尽时，数据就会被自器，当一块磁盘的空间用尽时，数据就会被自动写入到下一块磁盘中，可靠性是单独使用一动写入到下一块磁盘中，可靠性是单独使用一块硬盘的块硬盘的1/n方式方式2：是用：是用n块硬盘选择合理的带区大小创建块硬盘选择合理的带区大小创建带区集，在电脑数据读写时同时向带区集，在电脑数据读写时同时向n块磁盘读块磁盘读写数据写数据,速度提升速度提升n倍。提高系统的性能。倍。提高系统的性能。RAID技术详解及其数据恢复技术详解及其数据恢复RAID0使用了一种名为使用了一种

50、名为“数据串行数据串行”的机制。它将数的机制。它将数据对应储存在一堆不同硬盘所组成的大硬盘中。数据据对应储存在一堆不同硬盘所组成的大硬盘中。数据是用连续是用连续“串行串行”的形式，以规定的大小储存在实体的形式，以规定的大小储存在实体硬盘上。这表示大于实际串行大小的文件将会被分散硬盘上。这表示大于实际串行大小的文件将会被分散储存在硬盘阵列中。因此单一文件中的不同串行可以储存在硬盘阵列中。因此单一文件中的不同串行可以平行处理。在这个清况下，平行处理。在这个清况下，RAID0阵列或阵列或“串行集合串行集合”的数据传输速率即为阵列中最低速硬盘的数据传输的数据传输速率即为阵列中最低速硬盘的数据传输速率与