第2章 数据恢复基础知识---硬盘基础知识.ppt

《第2章 数据恢复基础知识---硬盘基础知识.ppt》由会员分享，可在线阅读，更多相关《第2章 数据恢复基础知识---硬盘基础知识.ppt（83页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、NeusoftInstituteofInformation2005年4月20日ITEducation&Training计算机网络教研室计算机网络教研室 王王 宏宏 2007年年09月月08日日NeusoftInstituteofInformation2005年4月20日ITEducation&Training2.1硬盘结构主要是指IDE接口的温盘,SCSI接口的硬盘接触较少温盘是一种技术或利用这种技术制作的硬盘温盘由头盘组件(HAD)和印刷电路板组件(PCBA)组成.NeusoftInstituteofInformation2005年4月20日ITEducation&Training温盘特点1

2、、磁头，盘片及运动机构密封。2、固定并高速旋转的镀磁盘片表面平整光滑。3、磁头沿盘片径向移动。4、磁头对盘片接触式启停，但工作时呈飞行状态不与盘片直接接触。NeusoftInstituteofInformation2005年4月20日ITEducation&Training2.1.1硬盘外部结构希捷1.2GB、昆腾15GB和西数80GB对比NeusoftInstituteofInformation2005年4月20日ITEducation&Training迈拓硬盘的伺服口NeusoftInstituteofInformation2005年4月20日ITEducation&Training2.1

3、.2硬盘内部结构NeusoftInstituteofInformation2005年4月20日ITEducation&Training2.1.2硬盘内部结构-盘片NeusoftInstituteofInformation2005年4月20日ITEducation&Training2.1.2硬盘内部结构-磁头NeusoftInstituteofInformation2005年4月20日ITEducation&Training2.1.2硬盘内部结构-磁头NeusoftInstituteofInformation2005年4月20日ITEducation&Training2.1.2硬盘内部结构-磁头

4、NeusoftInstituteofInformation2005年4月20日ITEducation&Training2.1.2硬盘内部结构-磁头各种台式机硬盘磁头硬盘磁头NeusoftInstituteofInformation2005年4月20日ITEducation&Training2.1.2硬盘内部结构-控制电路板NeusoftInstituteofInformation2005年4月20日ITEducation&Training2.2硬盘逻辑结构NeusoftInstituteofInformation2005年4月20日ITEducation&Training2.2.1硬盘逻辑结构

5、盘片盘片：硬盘盘片是将磁粉附着在铝合金（新材料也有用玻璃）圆盘片的表面上.这些磁粉被划分成称为磁道的若干个同心圆，在每个同心圆的磁道上就好像有无数的任意排列的小磁铁，它们分别代表着0和1的状态。当这些小磁铁受到来自磁头的磁力影响时，其排列的方向会随之改变。利用磁头的磁力控制指定的一些小磁铁方向，使每个小磁铁都可以用来储存信息。注意：盘面号又叫磁头号，从0开始编号NeusoftInstituteofInformation2005年4月20日ITEducation&Training2.2.1硬盘逻辑结构盘片NeusoftInstituteofInformation2005年4月20日ITEduca

6、tion&Training2.2.2硬盘逻辑结构磁道NeusoftInstituteofInformation2005年4月20日ITEducation&Training2.2.2硬盘逻辑结构磁道NeusoftInstituteofInformation2005年4月20日ITEducation&Training2.2.3硬盘逻辑结构柱面柱NeusoftInstituteofInformation2005年4月20日ITEducation&Training2.2.4硬盘逻辑结构扇区NeusoftInstituteofInformation2005年4月20日ITEducation&Traini

7、ngNeusoftInstituteofInformation2005年4月20日ITEducation&Training交叉因子：对扇区不采用顺序编号，而是按照等差数列进行交替编号。NeusoftInstituteofInformation2005年4月20日ITEducation&TrainingNeusoftInstituteofInformation2005年4月20日ITEducation&TrainingNeusoftInstituteofInformation2005年4月20日ITEducation&Training2.2.5硬盘逻辑结构容量NeusoftInstituteof

8、Information2005年4月20日ITEducation&TrainingNeusoftInstituteofInformation2005年4月20日ITEducation&Training2.2.6硬盘逻辑结构数制与码制NeusoftInstituteofInformation2005年4月20日ITEducation&TrainingNeusoftInstituteofInformation2005年4月20日ITEducation&TrainingNeusoftInstituteofInformation2005年4月20日ITEducation&TrainingNeusoft

9、InstituteofInformation2005年4月20日ITEducation&TrainingNeusoftInstituteofInformation2005年4月20日ITEducation&Training8421编码NeusoftInstituteofInformation2005年4月20日ITEducation&TrainingNeusoftInstituteofInformation2005年4月20日ITEducation&Training2.3硬盘发展简史略NeusoftInstituteofInformation2005年4月20日ITEducation&Trai

10、ning2.4硬盘接口介绍IDESCSINeusoftInstituteofInformation2005年4月20日ITEducation&Training2.5硬盘的技术指标及参数略NeusoftInstituteofInformation2005年4月20日ITEducation&Training2.6硬盘数据组织NeusoftInstituteofInformation2005年4月20日ITEducation&Training2.6.1低级格式化功能NeusoftInstituteofInformation2005年4月20日ITEducation&Training低级格式化的方法1

11、、A:debug-GC800:00052、A:debug-A100-XXXX:0100MOVAX,0703MOVCX,0001MOVDX,0080INT13INT3-XXXX:010D-G1002、用DM是低格3、用LFORMATNeusoftInstituteofInformation2005年4月20日ITEducation&Training格式化、快速格式化和低级格式化的区别格式化、快速格式化和低级格式化的区别格式化分为高级格式化高级格式化和低级格式化低级格式化。高级格式化高级格式化仅仅是清除硬盘上的数据，生成引导信息，初始化文件分配表（FAT），标注逻辑坏道等。低级格式化低级格式化是将

12、硬盘划分出柱面和磁道，再将磁道划分为若干个扇区，每个扇区又划分出标识部分ID、间隔区、GAP和数据区DATA等。低级格式化是高级格式化之前的一件工作，每块硬盘在出厂前都进行了低级格式化。低级格式化也是一种损耗性操作，对硬盘寿命有一定的不良影响。我们平时所用的Windows下的格式化（包括在DOS下面使用的格式化）其实是高级格式化，而快速格式化快速格式化（DOS下的Format/q）其实并没有对硬盘上的数据进行清除，只是初始化了FAT，让系统认为这个分区是空的。如果用特殊的软件还是可以恢复硬盘上的数据的，以前的DOS（6.22及以前的版本）有一个Unformat工具就可以做到。NeusoftIn

13、stituteofInformation2005年4月20日ITEducation&Training2.6.2分区分区的优点分区的作用分区的容量确定分区的软件分区粒度线性地址扇区NeusoftInstituteofInformation2005年4月20日ITEducation&Training分区的优点NeusoftInstituteofInformation2005年4月20日ITEducation&TrainingNeusoftInstituteofInformation2005年4月20日ITEducation&Training分区的作用NeusoftInstituteofInform

14、ation2005年4月20日ITEducation&Training分区的容量确定NeusoftInstituteofInformation2005年4月20日ITEducation&Training分区的软件FDISKPQ(演示)厂商专用工具NeusoftInstituteofInformation2005年4月20日ITEducation&Training分区粒度NeusoftInstituteofInformation2005年4月20日ITEducation&Training线性地址扇区NeusoftInstituteofInformation2005年4月20日ITEducatio

15、n&TrainingNeusoftInstituteofInformation2005年4月20日ITEducation&TrainingNeusoftInstituteofInformation2005年4月20日ITEducation&TrainingNeusoftInstituteofInformation2005年4月20日ITEducation&Training2.6.3硬盘的高级格式化FORMAT(演示操作)WINDOWS下(演示操作)PQ软件(演示操作)其他工具NeusoftInstituteofInformation2005年4月20日ITEducation&Training作

16、业DEBUG命令的学习PQ软件的练习NeusoftInstituteofInformation2005年4月20日ITEducation&TrainingNeusoftInstituteofInformation2005年4月20日ITEducation&Training2.6.4硬盘数据存储区域MBR区DBR区FAT区DIR区DATA区NeusoftInstituteofInformation2005年4月20日ITEducation&Training2.6.4硬盘数据存储区域-MBR区系统的启动过程NeusoftInstituteofInformation2005年4月20日ITEduca

17、tion&Training2.6.4硬盘数据存储区域-MBR区MBR(masterbootrecord)结构 物理位置：物理位置：0面0道1扇区（clindyer0,side0,sector1)大小：大小：512字节0MBR446字节（0000-01BD）DPT64字节（01BE-01FD）结束标志2字节（55AA）功能：功能：MBR通过检查DPT分区信息来引导系统跳转至DBR；NeusoftInstituteofInformation2005年4月20日ITEducation&Training分区表（分区表（DPT），由，由4个个16字节的分区信息表组成。每个信息表的字节的分区信息表组成。每

18、个信息表的 结构如下：结构如下：偏移地址字节数含义分析01BE1分区类型：00表示非活动分区：80表示活动分区；其他为无效分区。01BF01C13*分区的起始地址（面/扇区/磁道），通常第一分区的起始地址开始于1面0道1扇区，因此这三个字节应为01010001C21#分区的操作系统的类型。01C301C53*该分区的结束地址（面/扇/道）01C601C94该分区起始逻辑扇区01CA01CD4该分区占用的总扇区数注释:*注意分区的起始地址（面/扇区/磁道）和结束地址（面/扇/道）中字节分配:000000000100000100010101NeusoftInstituteofInformation

19、2005年4月20日ITEducation&Training面(磁头)8位扇区6位=磁道10位#分区的操作系统类型(文件格式标志码)4-DOSFAT1632M7-NTFS(OS/2)83-LINUX64MDPT总共64字节（01BE-01FD）,如上所示每个分区占16个字节，所以可以表示四个分区，这也就是为什么一个磁盘的主分区和扩展分区之和总共只能有四个的原因。NeusoftInstituteofInformation2005年4月20日ITEducation&Training表1图2分区表第一字段字节位移字段长度值字段名和定义0 x01BEBYTE0 x80引导指示符(BootIndicat

20、or)指明该分区是否是活动分区。0 x01BFBYTE0 x01开始磁头(StartingHead)0 x01C06位0 x01开始扇区(StartingSector)只用了05位。后面的两位(第6位和第7位)被开始柱面字段所使用0 x01C110位0 x00开始柱面(StartingCylinder)除了开始扇区字段的最后两位外，还使用了1位来组成该柱面值。开始柱面是一个10位数，最大值为10230 x01C2BYTE0 x07系统ID(SystemID)定义了分区的类型，详细定义，请参阅图40 x01C3BYTE0 xFE结束磁头(EndingHead)0 x01C46位0 xFF结束扇区

21、(EndingSector)只使用了05位。最后两位(第6、7位)被结束柱面字段所使用0 x01C510位0 x7B结束柱面(EndingCylinder)除了结束扇区字段最后的两位外，还使用了1位，以组成该柱面值。结束柱面是一个10位的数，最大值为10230 x01C6DWORD0 x0000003F相对扇区数(RelativeSectors)从该磁盘的开始到该分区的开始的位移量，以扇区来计算0 x01CADWORD0 x00DAA83D总扇区数(TotalSectors)该分区中的扇区总数返回索引返回索引NeusoftInstituteofInformation2005年4月20日ITEd

22、ucation&Training为什么采用传统C/H/S所能寻址的硬盘空间有限?每一分区的第1至第3字节是该分区起始地址。其中第1字节为起始磁头号（面号）；第2字节的低6位为起始扇区号，高2位则为起始柱面号的高2位；第3字节为起始柱面号的低8位。因此，分区的起始柱面号是用10位二进制数表示的，最大值为210=1024，因逻辑柱面号从0开始计，故柱面号的显示最大值为1023。同理，用6位二进制数表示的扇区号不会超过26-1=63；用8位二进制数表示的磁头号不会超过28-1=255。每一分区的第5至第7字节表示分区的终止地址，各字节的释义与第1至第3字节相同。这里我们假设一种极端的情况：如果让第5

23、至第7字节的所有二进制位都取1，就获得了柱面号、磁头号和扇区号所能表示的最大值，从而得到最大绝对扇区号为：102425663=16,515,072这个扇区之前的所有物理扇区所包含的字节数为：16,515,072512Bytes8.46109Bytes=8.46GB。NeusoftInstituteofInformation2005年4月20日ITEducation&Training2.6.4硬盘数据存储区域-MBR区引导程序分析引导程序只占446个字节,见参考资料NeusoftInstituteofInformation2005年4月20日ITEducation&Training2.6.4硬盘

24、数据存储区域-MBR区分区类型NeusoftInstituteofInformation2005年4月20日ITEducation&Training2.6.4硬盘数据存储区域-MBR区虚拟MBRNeusoftInstituteofInformation2005年4月20日ITEducation&Training2.6.4硬盘数据存储区域-DBR区DBR主要由下列几个部分组成：1跳转指令，占用3个字节的跳转指令将跳转至引导代码。2厂商标识和DOS版本号，该部分总共占用8个字节。3BPB（BIOSParameterBlock，BIOS参数块）。4操作系统引导程序。5结束标志字，结束标志占用2个字节

25、，其值为AA55DBR中的内容除了第5部分结束标志字固定不变之外，其余4个部分都是不确定的，其内容将随格式化所用的操作系统版本及硬盘的逻辑盘参数的变化而变化。NeusoftInstituteofInformation2005年4月20日ITEducation&Training2.6.4硬盘数据存储区域-DBR区DOS的DBR区NeusoftInstituteofInformation2005年4月20日ITEducation&TrainingNeusoftInstituteofInformation2005年4月20日ITEducation&TrainingNeusoftInstituteof

26、Information2005年4月20日ITEducation&TrainingNeusoftInstituteofInformation2005年4月20日ITEducation&Training对应解释见表3表3FAT32分区上DBR中各部分的位置划分字节位移字段长度字段名对应图8颜色0 x003个字节跳转指令0 x038个字节厂商标志和os版本号0 x0B53个字节BPB0 x4026个字节扩展BPB0 x5A420个字节引导程序代码0 x01FE2个字节有效结束标志NeusoftInstituteofInformation2005年4月20日ITEducation&Training2

27、.6.4硬盘数据存储区域-DBR区WIN98的DBR区NeusoftInstituteofInformation2005年4月20日ITEducation&Training2.6.4硬盘数据存储区域文件分配表FATFAT表(FileAllocationTable文件分配表)，是Microsoft在FAT文件系统中用于磁盘数据(文件)索引和定位引进的一种链式结构。假如把磁盘比作一本书，FAT表可以认为相当于书中的目录，而文件就是各个章节的内容。但FAT表的表示方法却与目录有很大的不同。在FAT文件系统中，文件的存储依照FAT表制定的簇链式数据结构来进行。同时，FAT文件系统将组织数据时使用的目录

28、也抽象为文件，以简化对数据的管理。NeusoftInstituteofInformation2005年4月20日ITEducation&TrainingFAT16存储原理:当把一部分磁盘空间格式化为fat文件系统时，fat文件系统就将这个分区当成整块可分配的区域进行规划，以便于数据的存储。引导扇区(DBR)我们已经说过,FAT16在DBR之后没有留有任何保留扇区，其后紧随的便是FAT表。FAT表是FAT16用来记录磁盘数据区簇链结构的。像前面我们说过的例子一样，FAT将磁盘空间按一定数目的扇区为单位进行划分，这样的单位称为簇。通常情况下，每扇区512字节的原则是不变的。簇的大小一般是2n(n为

29、整数)个扇区的大小.NeusoftInstituteofInformation2005年4月20日ITEducation&TrainingFat16的组织形式引导扇区FAT1FAT2(重复的)根文件夹其他文件夹及所有文件剩余扇区1扇区实际情况取大小同FAT132个扇区开始簇编号(从2开始)不足一簇NeusoftInstituteofInformation2005年4月20日ITEducation&TrainingFAT表实际上是一个数据表，以2个字节为单位，我们暂将这个单位称为FAT记录项，通常情况其第1、2个记录项(前4个字节)用作介质描述。从第三个记录项开始记录除根目录外的其他文件及文件夹

30、的簇链情况。根据簇的表现情况FAT用相应的取值来描述，见表10FAT16记录项的取值含义(16进制)FAT16记录项的取值对应簇的表现情况0000未分配的簇0002FFEF已分配的簇FFF0FFF6系统保留FFF7坏簇FFF8FFFF文件结束簇表10FAT16记录项的取值含义(16进制)FAT16记录项的取值对应簇的表现情况0000未分配的簇0002FFEF已分配的簇FFF0FFF6系统保留FFF7坏簇FFF8FFFF文件结束簇看一幅在winhex所截FAT16的文件分配表表10FAT16记录项的取值含义(16进制)FAT16记录项的取值对应簇的表现情况0000未分配的簇0002FFEF已分配

31、的簇FFF0FFF6系统保留FFF7坏簇FFF8FFFF文件结束簇看一幅在winhex所截FAT16的文件分配表表10FAT16记录项的取值含义(16进制)FAT16记录项的取值对应簇的表现情况0000未分配的簇0002FFEF已分配的簇FFF0FFF6系统保留FFF7坏簇FFF8FFFF文件结束簇看一幅在winhex所截FAT16的文件分配表，图10：NeusoftInstituteofInformation2005年4月20日ITEducation&TrainingNeusoftInstituteofInformation2005年4月20日ITEducation&TrainingFAT3

32、2存储原理：FAT32在格式化的过程中就根据分区的特点构建好了它的DBR，其中BPB参数是很重要的，可以回过头来看一下表4和表5。首先FAT32保留扇区的数目默认为32个，而不是FAT16的仅仅一个。这样的好处是有助于磁盘DBR指令的长度扩展，而且可以为DBR扇区留有备份空间。NeusoftInstituteofInformation2005年4月20日ITEducation&TrainingFAT32的文件分配表的数据结构依然和FAT16相同，所不同的是，FAT32将记录簇链的二进制位数扩展到了32位，故而这种文件系统称为FAT32。32位二进制位的簇链决定了FAT表最大可以寻址2T个簇。这

33、样即使簇的大小为1扇区，理论上仍然能够寻址1TB范围内的分区。但实际中FAT32是不能寻址这样大的空间的，随着分区空间大小的增加，FAT表的记录数会变得臃肿不堪，严重影响系统的性能。在实际中通常不格式化超过32GB的FAT32分区。WIN2000及之上的OS已经不直接支持对超过32GB的分区格式化成FAT32，但WIN98依然可以格式化大到127GB的FAT32分区，但这样没必要也不推荐。同时FAT32也有小的限制，FAT32卷必须至少有65527个簇，所以对于小的分区，仍然需要使用FAT16或FAT12。NeusoftInstituteofInformation2005年4月20日ITEdu

34、cation&TrainingFat32的组织形式引导扇区其余保留扇区FAT1FAT2(重复的)根文件夹首簇其他文件夹及所有文件剩余扇区1扇区31个扇区实际情况取大小同FAT1第2簇不足一簇保留扇区数据区NeusoftInstituteofInformation2005年4月20日ITEducation&Training2.6.4硬盘数据存储区域文件目录表FDTNeusoftInstituteofInformation2005年4月20日ITEducation&Training表11FAT16目录项32个字节的表示定义字节偏移(16进制)字节数定义0 x00 x78文件名0 x80 xA3扩展

35、名0 xB1属性字节00000000(读写)00000001(只读)00000010(隐藏)00000100(系统)00001000(卷标)00010000(子目录)00100000(归档)0 xC0 x1510系统保留0 x160 x172文件的最近修改时间0 x180 x192文件的最近修改日期0 x1A0 x1B2表示文件的首簇号0 x1C0 x1F4表示文件的长度NeusoftInstituteofInformation2005年4月20日ITEducation&Training表14FAT32短文件目录项32个字节的表示定义字节偏移(16进制)字节数定义0 x00 x78文件名0 x

36、80 xA3扩展名0 xB*1属性字节00000000(读写)00000001(只读)00000010(隐藏)00000100(系统)00001000(卷标)00010000(子目录)00100000(归档)0 xC1系统保留0 xD1创建时间的10毫秒位0 xE0 xF2文件创建时间0 x100 x112文件创建日期0 x120 x132文件最后访问日期0 x140 x152文件起始簇号的高16位0 x160 x172文件的最近修改时间0 x180 x192文件的最近修改日期0 x1A0 x1B2文件起始簇号的低16位0 x1C0 x1F4表示文件的长度NeusoftInstituteofInformation2005年4月20日ITEducation&Training2.6.4硬盘数据存储区域DATA区按格式存储数据NeusoftInstituteofInformation2005年4月20日ITEducation&Training2.6.4硬盘数据存储区域NTFS放在后面的章节单独讲