數(shù)據(jù)恢復(fù)23598

1、存儲(chǔ)技術(shù)有:電存儲(chǔ)（U盤(pán)），光存儲(chǔ)（光盤(pán)），磁存儲(chǔ)（硬盤(pán)）；CHS(CylinderHeadSect)：柱面數(shù)、磁頭數(shù)和扇區(qū)數(shù)硬盤(pán)總?cè)萘?字節(jié)數(shù))=磁頭數(shù)柱面數(shù)每磁道扇區(qū)數(shù)512計(jì)算機(jī)啟動(dòng)經(jīng)過(guò)幾個(gè)階段：1.預(yù)引導(dǎo)(PreBoot)階段；2.引導(dǎo)階段；3.加載內(nèi)核階段；4.初始化內(nèi)核階段；5.登陸。DBR(DOSBootRecd)即操作系統(tǒng)引導(dǎo)記錄扇區(qū)，從字面可以得知，它的作用與引導(dǎo)操作系統(tǒng)有關(guān)。DBR有兩個(gè)重要功能：引導(dǎo)系統(tǒng)和保存文件系

2、統(tǒng)參數(shù)。DBR本身是由高級(jí)格式化工具(如Fmat)建立的，大小為1個(gè)扇區(qū)，占用512字節(jié)。FDT(FileDirectyTable)即文件目錄表，由若干個(gè)32字節(jié)的表項(xiàng)構(gòu)成，登記著分區(qū)上的目錄、文件和子目錄信息。這些信息包括文件和目錄的名稱、創(chuàng)建日期、屬性、大小、從硬盤(pán)何處開(kāi)始存放(首簇號(hào))等，需要結(jié)合FAT表才能最終確定文件的具體位置。對(duì)硬盤(pán)分區(qū)實(shí)施高級(jí)格式化時(shí)，格式化工具會(huì)自動(dòng)建立一個(gè)根目錄FDT。FAT即文件系統(tǒng)中的文件分配表，實(shí)

3、際上就是一張記錄文件存儲(chǔ)位置的表格，文件存儲(chǔ)位置用簇號(hào)來(lái)表示。文件的首簇號(hào)存放在FDT登記項(xiàng)中，后續(xù)簇號(hào)存放于FAT。FAT本身由高級(jí)格式化程序建立。FAT在DBR之后存放，一個(gè)分區(qū)有兩個(gè)FAT，第1個(gè)是主表，第2個(gè)是備份表，兩張表內(nèi)容相同。FAT表項(xiàng)：存放簇號(hào)FAT文件系統(tǒng)以簇為單位值為文件分配空間，每個(gè)簇在FAT表內(nèi)占用一個(gè)登記項(xiàng)。FAT32分區(qū)一個(gè)登記項(xiàng)的長(zhǎng)度是4字節(jié)。文件的起始簇號(hào)存放在該文件FDT的第20、21字節(jié)和第26、2

4、7字節(jié)。下一簇號(hào)=[當(dāng)前簇號(hào)4FAT表起始地址]FAT中用00000000H表示空簇(未分配的硬盤(pán)空間)，用FFFFFFF7H表示壞簇，簡(jiǎn)單刪除文件簡(jiǎn)單刪除文件后，其FDT登記項(xiàng)首字節(jié)被修改為E5H，長(zhǎng)文件名登記項(xiàng)首字節(jié)也同樣被置為E5H。E5H是文件刪除的標(biāo)記。簡(jiǎn)單刪除前后的FAT相關(guān)表項(xiàng)沒(méi)有變化。簡(jiǎn)單刪除文件后，僅把該文件相關(guān)的FDT登記項(xiàng)首字節(jié)修改為E5H，其余都沒(méi)有改變。NTFS文件系統(tǒng)上的所有東西都是一個(gè)文件，所有東西都是文件

5、的一個(gè)屬性，有數(shù)據(jù)屬性、安全屬性、文件名屬性等。NTFS卷上分配的每個(gè)扇區(qū)屬于某個(gè)文件，甚至文件系統(tǒng)元數(shù)據(jù)(即描述文件系統(tǒng)自身的信息)也是一個(gè)文件的部分。用NTFS文件系統(tǒng)格式化一個(gè)卷(分區(qū))后，就生成幾個(gè)系統(tǒng)文件和主文件表(MFT)，MFT包含了NTFS卷上所有文件和文件夾的信息。NTFS卷開(kāi)頭包含的信息是分區(qū)引導(dǎo)記錄，始于0扇，最大長(zhǎng)度為16個(gè)扇區(qū)。NTFS卷的第一個(gè)文件是MFT數(shù)據(jù)恢復(fù)：當(dāng)存儲(chǔ)介質(zhì)出現(xiàn)損傷或由于人員誤操作、操作系統(tǒng)

6、本身故障所造成的數(shù)據(jù)看不見(jiàn)、無(wú)法讀取、丟失。工程師通過(guò)特殊的手段讀取卻在正常狀態(tài)下不可見(jiàn)、不可讀、無(wú)法讀的數(shù)據(jù)數(shù)據(jù)恢復(fù)方式：備份NTFS用什么加密？加密文件系統(tǒng)(EFS)。用DESRSA算法NTFS加密過(guò)程僅對(duì)加密用戶可見(jiàn)；分區(qū)表位于MBR，分區(qū)信息466509，共能存放4個(gè)分區(qū)的信息。MBR大小為1個(gè)扇區(qū)，512字節(jié)虛擬MBR指MBR將硬盤(pán)定義為兩個(gè)分區(qū)，即主分區(qū)和擴(kuò)展分區(qū)(通常是除主分區(qū)外剩余的所有硬盤(pán)空間)，然后在擴(kuò)展分區(qū)上再定義

7、主分區(qū)和擴(kuò)展分區(qū)，直到所有分區(qū)定義完畢。虛擬MBR可以定義任意多個(gè)分區(qū)，這些分區(qū)形成一個(gè)分區(qū)鏈，MBR引導(dǎo)程序每次啟動(dòng)時(shí)就沿著這個(gè)分區(qū)鏈完成所有分區(qū)的檢測(cè)。由于虛擬MBR的主要作用是定義分區(qū)，所以它只包含分區(qū)信息表，不包含引導(dǎo)程序和提示信息，F(xiàn)AT表項(xiàng)表項(xiàng)的大小決定了分區(qū)容量的上限。FAT的功能主要有如下三個(gè)1)記錄磁盤(pán)類(lèi)型2)記錄文件占用的各簇簇號(hào)3)記錄可用簇和壞簇DBR修復(fù)方法：分區(qū)開(kāi)始處都有一定數(shù)量的保留扇區(qū)(一般為32個(gè))，第

8、1扇區(qū)為DBR扇區(qū)，第6扇區(qū)為DBR的備份扇區(qū)。因此，如果由于某種原因?qū)е翫BR扇區(qū)損壞，可利用備份扇區(qū)來(lái)修復(fù)此外，由于DBR是由高級(jí)格式化程序建立的，因此也可以用格式化的方法重建DBR，但分區(qū)上原有的FAT、FDT數(shù)據(jù)將被清除。如果備份DBR也已經(jīng)被破壞，則只能通過(guò)手工方法來(lái)修復(fù)DBR，平均尋道時(shí)間通常為8～12ms1.使用winhex找到某一文件（目錄）的FDT表項(xiàng)，如下。50524534202020204A5047201812B2

9、81AA3EC23E0100E449B33EC40CF52C03000011111010101010（1）給出OBH字節(jié)的20H（2）分析該表項(xiàng)是一個(gè)文件還是目錄文件（3）一般來(lái)說(shuō)第10H字節(jié)開(kāi)始的兩個(gè)字節(jié)是文件建立日期，試著分析該文件（目錄）建立的日期時(shí)間為357格式；3eAA，轉(zhuǎn)化為二進(jìn)制為0011111010101010；前七位為年份：311980=2011。中間5位為10；后3位為5；2011.5102.分析FAT32文件系統(tǒng)下

10、刪除文件是否一定能恢復(fù)，如果不能恢復(fù)請(qǐng)簡(jiǎn)述可能的原因？文件被覆蓋，原來(lái)存儲(chǔ)位置簇號(hào)不連續(xù)，硬盤(pán)重新劃分，備份也被刪除，磁盤(pán)磁道被破壞；3.分別簡(jiǎn)述NTFS的DBR修復(fù)方法，F(xiàn)AT32的DBR修復(fù)方法Ntfs：1啟動(dòng)WinHex搜索被破壞的Dbr起始扇區(qū)，2找到該分區(qū)的最后一個(gè)扇區(qū)恢復(fù)Fat：(1)啟動(dòng)WinHex，選擇并進(jìn)入受損DBR所在的分區(qū)，如圖211所示。當(dāng)前所在位置就是已損壞的DBR扇區(qū)。(2)向后跳轉(zhuǎn)6扇區(qū)，定位至備份DBR扇

11、區(qū)處，如圖212所示。(3)塊選DBR扇區(qū)并復(fù)制。用鼠標(biāo)右鍵點(diǎn)擊備份扇區(qū)的第1字節(jié)(EB)，彈出如圖213所示的菜單。選擇“選塊開(kāi)始”項(xiàng)，再將光標(biāo)移到備份扇區(qū)的最后一個(gè)字節(jié)(AA)，點(diǎn)擊鼠標(biāo)右鍵，在彈出的菜單中選擇“選塊結(jié)尾”項(xiàng)，備份扇區(qū)即被塊選。然后點(diǎn)擊“編輯”→“復(fù)制區(qū)塊”→“正常”菜單項(xiàng)。(4)粘貼備份DBR。跳轉(zhuǎn)回分區(qū)DBR扇區(qū)處，將光標(biāo)定位在第1個(gè)字節(jié)，點(diǎn)擊“編輯”→“剪貼板數(shù)據(jù)”→“寫(xiě)入”菜單項(xiàng)，彈出如圖214所示的提示對(duì)話

12、框。單擊“是”按鈕，備份數(shù)據(jù)即寫(xiě)入DBR扇區(qū)。該512字節(jié)的數(shù)據(jù)用另一種顏色顯示以示區(qū)別，表示未真正寫(xiě)入硬盤(pán)。單擊工具欄上的“保存扇區(qū)”按鈕，數(shù)據(jù)寫(xiě)入硬盤(pán)，DBR修復(fù)完成。；找到該分區(qū)的第六個(gè)扇區(qū)恢復(fù)4.請(qǐng)盡量多的列舉你使用過(guò)的數(shù)據(jù)恢復(fù)工具，分別描述下各自的應(yīng)用場(chǎng)合winhex，F(xiàn)inalData，DataCompass數(shù)據(jù)指南針，PC3000UDMA，UnFmat，EasyRecovery，360恢復(fù)，金山硬件恢復(fù)，瑞星硬件恢復(fù)，一鍵