教案数据恢复基础知识合市公开课一等奖百校联赛获奖课件.pptx

主讲人：（总经理）主讲人：（总经理）计算机专业技能数据恢复计算机专业技能数据恢复基础培训基础培训第1页第一章：数据恢复基础知识第一章：数据恢复基础知识一、一、数据恢复概念与研究范围数据恢复概念与研究范围第2页第一章：数据恢复基础知识第一章：数据恢复基础知识1、数据：、数据：不但包含计算机文件系统或数据库系统中不但包含计算机文件系统或数据库系统中存放各种数据、正文、图形、图像、声音存放各种数据、正文、图形、图像、声音等形式多媒体数据文件、软件或各种文档等形式多媒体数据文件、软件或各种文档资料，也包含存放或管理这些信息硬件信资料，也包含存放或管理这些信息硬件信息，如计算机硬件及其网络地址、网络结息，如计算机硬件及其网络地址、网络结构、网络服务等。构、网络服务等。第3页2 2、数据恢复：、数据恢复：数据恢复就是把遭受破坏、这种破坏可能是由硬数据恢复就是把遭受破坏、这种破坏可能是由硬件缺点造成不可访问或不可取得、或因为误操作件缺点造成不可访问或不可取得、或因为误操作等各种原因造成丢失数据还原成正常数据。等各种原因造成丢失数据还原成正常数据。注：注：数据恢复不一样于数据备份，不是全部情况都能数据恢复不一样于数据备份，不是全部情况都能够恢复够恢复3 3、数据丢失原因：、数据丢失原因：造成数据丢失原因有很多，包含软硬件故障、异造成数据丢失原因有很多，包含软硬件故障、异常断电、死机、病毒破坏、黑客入侵、误操作、常断电、死机、病毒破坏、黑客入侵、误操作、磁盘阵列损坏、口令丢失、文件结构损坏等，均磁盘阵列损坏、口令丢失、文件结构损坏等，均属于数据修复范围。属于数据修复范围。第一章：数据恢复基础知识第一章：数据恢复基础知识第4页数据灾难分类数据灾难分类1、逻辑问题：、逻辑问题：存放介质硬件本身没有问题，因为逻辑节存放介质硬件本身没有问题，因为逻辑节点出现错误造成数据不可访问，对应数据点出现错误造成数据不可访问，对应数据恢复称为恢复称为“逻辑恢复逻辑恢复”。如误删除、误格。如误删除、误格式化等。式化等。2、物理问题：存放介质硬件损坏或失效造成、物理问题：存放介质硬件损坏或失效造成数据丢失，对应数据恢复称为：数据丢失，对应数据恢复称为：“物理恢物理恢复复”第一章：数据恢复基础知识第一章：数据恢复基础知识第5页几个数据丢失现象几个数据丢失现象1、不能进入系统、不能进入系统2、磁盘出现坏道、磁盘出现坏道3、分区丢失、分区丢失4、文件丢失、文件丢失5、密码丢失、密码丢失6、文档无法打开或打开后是乱码、文档无法打开或打开后是乱码第一章：数据恢复基础知识第一章：数据恢复基础知识第6页数据存放技术介绍数据存放技术介绍1、数据存放介质：、数据存放介质：仅有两种稳定物理状态，能方便检测出属仅有两种稳定物理状态，能方便检测出属于哪种稳定状态，两种稳定状态又轻易相于哪种稳定状态，两种稳定状态又轻易相互转换物质或元器件，都能够用来记忆二互转换物质或元器件，都能够用来记忆二进制代码进制代码“0”和和“1”，称这么物质或元，称这么物质或元器件为存放介质或统计介质。存放介质不器件为存放介质或统计介质。存放介质不一样，存放信息机理也不一样。一样，存放信息机理也不一样。第一章：数据恢复基础知识第一章：数据恢复基础知识第7页2、存放技术分类、存放技术分类（1）、电存放技术）、电存放技术电存放技术主要指半导体存放器电存放技术主要指半导体存放器SCM（SemiconductorMemory)。常见存。常见存放介质包含内存、闪存等放介质包含内存、闪存等第一章：数据恢复基础知识第一章：数据恢复基础知识第8页（2）、磁存放技术）、磁存放技术磁存放技术主要指磁表面存放器磁存放技术主要指磁表面存放器MSM(MagneticSurfaceMemory)磁表面存放器是用非磁性金属或塑料做基体，磁表面存放器是用非磁性金属或塑料做基体，在其表涂敷、电镀、沉积或溅射一层很薄高导在其表涂敷、电镀、沉积或溅射一层很薄高导磁率、硬矩磁材料磁面，用磁层两种剩磁状态磁率、硬矩磁材料磁面，用磁层两种剩磁状态统计信息统计信息“0”和和“1”。基体和磁层和称为磁。基体和磁层和称为磁统计介质。长见存放介质如：硬盘、软盘、磁统计介质。长见存放介质如：硬盘、软盘、磁带等。带等。第一章：数据恢复基础知识第一章：数据恢复基础知识第9页（3）、光存放技术）、光存放技术光盘存放器是当前辅存中统计密度最高存放器光盘存放器是当前辅存中统计密度最高存放器.常见光存放设备有：常见光存放设备有：CD-ROM、CD-R、CD-RW、DVD-ROM、DVD-RW等等第一章：数据恢复基础知识第一章：数据恢复基础知识第10页第二章：磁盘结构第二章：磁盘结构一、磁盘物理结构一、磁盘物理结构第11页（1）、接口：）、接口：接口包含电源接口和数据接口两部分接口包含电源接口和数据接口两部分（2）、控制电路板：）、控制电路板：采取贴片式焊接，包含主轴调速电路、磁头采取贴片式焊接，包含主轴调速电路、磁头驱动伺服电驱动伺服电路、读写电路、控制与接口电路等。路、读写电路、控制与接口电路等。（3）、固定面板：）、固定面板：硬盘正面面板，它与底板结合成一个密封整体，确保了硬硬盘正面面板，它与底板结合成一个密封整体，确保了硬盘盘片和机构稳定运行。盘盘片和机构稳定运行。第二章：磁盘结构第二章：磁盘结构第12页磁盘外部结构图示磁盘外部结构图示第二章：磁盘结构第二章：磁盘结构第13页硬盘数据接口硬盘数据接口l依据联接方式差异，分为依据联接方式差异，分为EIDE接口、接口、SCSI接口和接口和SATA串口。串口。EIDE接口多用在桌面硬接口多用在桌面硬盘，经常听说盘，经常听说40针、针、80芯接口电缆指就是芯接口电缆指就是这类数据线这类数据线第二章：磁盘结构第二章：磁盘结构第14页IDE磁盘接口示意图磁盘接口示意图第二章：磁盘结构第二章：磁盘结构第15页有些硬盘电路板上会附加有一层保护层，使用海绵有些硬盘电路板上会附加有一层保护层，使用海绵或金属板或金属板第二章：磁盘结构第二章：磁盘结构第16页SATA第二章：磁盘结构第二章：磁盘结构第17页IDE硬盘与硬盘与SATA硬盘数据线对比硬盘数据线对比第二章：磁盘结构第二章：磁盘结构第18页SATA硬盘硬盘l采取串行传输，每次传输数据为一位，有效防止了信号串扰问题。从采取串行传输，每次传输数据为一位，有效防止了信号串扰问题。从而能够在理论上无限提升串行传输工作频率。而能够在理论上无限提升串行传输工作频率。l采取了比并行接口更低电压标准，减小能耗。采取了比并行接口更低电压标准，减小能耗。l采取点对点协议，不存在并行采取点对点协议，不存在并行ATA主主/从问题，省去了跳线设置工作。从问题，省去了跳线设置工作。SCSI硬盘硬盘l含有更高数据传输速率。含有更高数据传输速率。l更低更低CPU占用率。占用率。l运转稳定运转稳定第二章：磁盘结构第二章：磁盘结构第19页SCSI硬盘外观及接口硬盘外观及接口第二章：磁盘结构第二章：磁盘结构第20页SCSI硬盘后面板硬盘后面板第二章：磁盘结构第二章：磁盘结构第21页磁盘内部结构磁盘内部结构（1）磁头组件：这是硬盘中最精密部位之一，）磁头组件：这是硬盘中最精密部位之一，它由读写磁头、转动手臂、转动轴三部分组成。它由读写磁头、转动手臂、转动轴三部分组成。磁头是硬盘技术中最主要和关键一环，实际上磁头是硬盘技术中最主要和关键一环，实际上是集成工艺制成多个磁头组合，采取非接触式是集成工艺制成多个磁头组合，采取非接触式头、盘结构，加电后在高速旋转磁盘表面移动，头、盘结构，加电后在高速旋转磁盘表面移动，与盘片之间间隙只有与盘片之间间隙只有0.10.3m，这么能够，这么能够取得很好数据传输率。取得很好数据传输率。第二章：磁盘结构第二章：磁盘结构第22页磁头及其附件结构磁头及其附件结构第二章：磁盘结构第二章：磁盘结构第23页（2）磁头驱动机构：用于实现磁头移动来完成硬盘）磁头驱动机构：用于实现磁头移动来完成硬盘寻寻道。道。（3）主轴组件：包含主轴部件如轴承和驱动电机等。）主轴组件：包含主轴部件如轴承和驱动电机等。（4）前置控制电路：用于控制磁头感应信号、主轴电）前置控制电路：用于控制磁头感应信号、主轴电机调速、磁头驱动和伺服定位等。机调速、磁头驱动和伺服定位等。（5）磁盘片：硬盘存放数据载体。）磁盘片：硬盘存放数据载体。第二章：磁盘结构第二章：磁盘结构第24页磁盘内部结构图示磁盘内部结构图示第二章：磁盘结构第二章：磁盘结构第25页l当前，微机上安装硬盘几乎都是采取温彻斯特当前，微机上安装硬盘几乎都是采取温彻斯特（Winchester）技术制造硬盘，这种硬盘也被称为温盘。）技术制造硬盘，这种硬盘也被称为温盘。这种结构特点为：这种结构特点为：（1）磁头、盘片及运动机构密封在盘体内；）磁头、盘片及运动机构密封在盘体内；（2）磁头在开启、停顿时与盘片接触，而在）磁头在开启、停顿时与盘片接触，而在工作时工作时因盘因盘片高速旋转，从而带动磁头片高速旋转，从而带动磁头“悬浮悬浮”在盘片上面呈飞行状在盘片上面呈飞行状态（空气动力学原理），这个态（空气动力学原理），这个“悬浮悬浮”高度约为高度约为0.1微米微米0.3微米，这个高度是非常小。微米，这个高度是非常小。第二章：磁盘结构第二章：磁盘结构第26页磁头高度对比图磁头高度对比图第二章：磁盘结构第二章：磁盘结构第27页SCSI硬盘内部结构硬盘内部结构第二章：磁盘结构第二章：磁盘结构第28页硬盘寻道硬盘寻道l每个盘片每个面都有一个读写磁头，与磁头接每个盘片每个面都有一个读写磁头，与磁头接触表面靠近主轴，即线速度最小地方，是一个触表面靠近主轴，即线速度最小地方，是一个特殊区域，它不存放任何数据，称为启停区或特殊区域，它不存放任何数据，称为启停区或着陆区，启停区外就是数据区。在最外圈，离着陆区，启停区外就是数据区。在最外圈，离主轴最远地方是主轴最远地方是“0”磁道，而硬盘数据存放磁道，而硬盘数据存放就是从最外圈开始。就是从最外圈开始。第二章：磁盘结构第二章：磁盘结构第29页盘片区域分配示意图盘片区域分配示意图第二章：磁盘结构第二章：磁盘结构第30页磁头拆卸与安装磁头拆卸与安装l1、首先卸掉后面电路版上全部螺丝，拆下电路版第二章：磁盘结构第二章：磁盘结构第31页l拆下电路版后我们看到后面有两颗螺丝，此螺丝是固定磁头，暂时不要动。第二章：磁盘结构第二章：磁盘结构第32页2、揭开标签，卸掉硬盘正面版上螺丝。第二章：磁盘结构第二章：磁盘结构第33页3、揭开正面版第二章：磁盘结构第二章：磁盘结构第34页4、卸掉上面强力磁铁第二章：磁盘结构第二章：磁盘结构第35页5、卸掉硬盘后面2颗螺丝与前置控制电路固定螺丝后磁头即可取下第二章：磁盘结构第二章：磁盘结构第36页拆下磁头与空硬盘拆下磁头与空硬盘第二章：磁盘结构第二章：磁盘结构第37页重新安装磁头重新安装磁头第二章：磁盘结构第二章：磁盘结构第38页二、磁盘逻辑结构二、磁盘逻辑结构1 1、磁头（、磁头（HeadHead）:硬盘盘体是由多个盘片重合在一起组成。硬盘盘体是由多个盘片重合在一起组成。硬盘硬盘“磁面磁面”概念与软盘类似，它是指一概念与软盘类似，它是指一个盘片两个面，每个盘片有上下两个磁面。个盘片两个面，每个盘片有上下两个磁面。在硬盘中，一个磁面对应一个读写磁头，在硬盘中，一个磁面对应一个读写磁头，所以，普通来说在对硬盘进行读写操作时，所以，普通来说在对硬盘进行读写操作时，不再称磁面不再称磁面0 0、磁面、磁面1 1、磁面、磁面2 2，而是称磁，而是称磁头头0 0、磁头、磁头1 1、磁头、磁头2 2。第二章：磁盘结构第二章：磁盘结构第39页2 2、磁道（、磁道（TrackTrack）：磁盘在格式化时会划分成许多同心圆，）：磁盘在格式化时会划分成许多同心圆，其同心圆轨迹称为磁道。其同心圆轨迹称为磁道。3 3、柱面柱面(Cylinder):(Cylinder):因为硬盘盘体是由多个盘片重合在一因为硬盘盘体是由多个盘片重合在一起组成，每个盘片每个面都被划分成不一样半径同心圆磁起组成，每个盘片每个面都被划分成不一样半径同心圆磁道，整个盘体中全部磁面半径相同同心磁道就称为道，整个盘体中全部磁面半径相同同心磁道就称为“柱面柱面”。4 4、扇区、扇区(Sector):(Sector):假如将每一个磁道视为一个圆环，再把该假如将每一个磁道视为一个圆环，再把该圆环等分成若干个扇形小区，该等分小区就是磁盘存取数圆环等分成若干个扇形小区，该等分小区就是磁盘存取数据最基本单位据最基本单位“扇区扇区”。磁盘。磁盘“磁头磁头”与与“柱面柱面”编号从编号从0 0计起，而计起，而“扇区扇区”则从则从1 1计起。计起。第二章：磁盘结构第二章：磁盘结构第40页磁盘组织结构磁盘组织结构第二章：磁盘结构第二章：磁盘结构第41页l硬盘在存放数据之前，普通需经过低级格式化、硬盘在存放数据之前，普通需经过低级格式化、分区、高级格式化这三个步骤之后才能使用。分区、高级格式化这三个步骤之后才能使用。其作用是在物理硬盘上建立一定数据逻辑结构。其作用是在物理硬盘上建立一定数据逻辑结构。l低级格式化主要功效：低级格式化主要功效：它作用是检测硬盘磁介质，划分磁道，为每个它作用是检测硬盘磁介质，划分磁道，为每个磁道划分扇区，并依据用户选定交叉因子安排磁道划分扇区，并依据用户选定交叉因子安排扇区在磁道中排列次序等。扇区在磁道中排列次序等。第二章：磁盘结构第二章：磁盘结构第42页分区作用分区作用l一块硬盘，就是全部容量都划分给一个分区，一块硬盘，就是全部容量都划分给一个分区，也要显式进行这个操作来指定。所以，对硬盘也要显式进行这个操作来指定。所以，对硬盘做完低级格式化后，必须进行分区操作，经过做完低级格式化后，必须进行分区操作，经过分区来完成主引导统计写入。也正是这个原因，分区来完成主引导统计写入。也正是这个原因，很多独立发行低级格式化软件，也同时是一个很多独立发行低级格式化软件，也同时是一个分区软件，能够完成硬盘分区功效。分区软件，能够完成硬盘分区功效。第二章：磁盘结构第二章：磁盘结构第43页基本分区与扩展分区基本分区与扩展分区1、基本分区：、基本分区：基本分区（主分区）是物理磁盘中能够被标识为激活，而基本分区（主分区）是物理磁盘中能够被标识为激活，而且被系统用来开启计算机磁盘分区。每块物理磁盘最多能且被系统用来开启计算机磁盘分区。每块物理磁盘最多能够有够有4个基本分区。个基本分区。2、扩展分区：、扩展分区：扩展分区是为了突破一个硬盘上只能有扩展分区是为了突破一个硬盘上只能有4个分区限制而制订，个分区限制而制订，一个硬盘只能有一个扩展分区。一个硬盘只能有一个扩展分区。第二章：磁盘结构第二章：磁盘结构第44页卷集概念卷集概念卷集是将一个或多个物理硬盘上未格式化自由空卷集是将一个或多个物理硬盘上未格式化自由空间组合成一个逻辑卷，做为一个整体来访问，为间组合成一个逻辑卷，做为一个整体来访问，为其分配一个盘符，就像一个单独分区一样来格式其分配一个盘符，就像一个单独分区一样来格式化和存放数据。化和存放数据。第二章：磁盘结构第二章：磁盘结构第45页磁盘分区结构磁盘分区结构1、硬盘分区由五部分组成（、硬盘分区由五部分组成（FAT文件系统）：文件系统）：（1）、）、MBR主引导统计（主引导统计（MainBootRecord）（2）、）、DBR系统引导统计（系统引导统计（DosBootRecord）（3）、）、FAT文件分配表（文件分配表（FileAllocationTable）（4）、）、FDT文件目录表（文件目录表（FileDirectoryTable）（5）、）、DATA数据区数据区第二章：磁盘结构第二章：磁盘结构第46页MBR称为硬盘主引导统计，它是由称为硬盘主引导统计，它是由FDISK建立在柱面建立在柱面0、磁头、磁头0，扇区，扇区1磁盘引导统计数据区，它不属于任何磁盘引导统计数据区，它不属于任何操作系统。用于硬盘开启时将系统控操作系统。用于硬盘开启时将系统控制权转给用户指定，并在分区表中登制权转给用户指定，并在分区表中登记了某个操作系统区。一个物理硬盘记了某个操作系统区。一个物理硬盘只有一个只有一个MBR。第二章：磁盘结构第二章：磁盘结构第47页DBR是经由是经由FORMAT高级格式化写高级格式化写到磁盘逻辑到磁盘逻辑0扇区上，主要功效是完扇区上，主要功效是完成成DOS系统自举。硬盘上每一个逻系统自举。硬盘上每一个逻辑磁盘都有自己辑磁盘都有自己DBR。DBR中统计中统计了本分区扇区总数、了本分区扇区总数、FAT表个数等信表个数等信息。息。第二章：磁盘结构第二章：磁盘结构第48页FDT表和表和FAT表是表是FAT文件系统组织文件系统组织结构两个组成部分，结构两个组成部分，FDT中统计了中统计了文件名字、起始地址等信息，文件名字、起始地址等信息，FAT统计了文件在磁盘上详细位置。系统计了文件在磁盘上详细位置。系统就是经过这两个表上文件簇链关统就是经过这两个表上文件簇链关系来存取文件。系来存取文件。第二章：磁盘结构第二章：磁盘结构第49页硬盘分区结构示意图硬盘分区结构示意图第二章：磁盘结构第二章：磁盘结构第50页2、Boot Sector介绍介绍Boot Sector也也就就是是硬硬盘盘第第一一个个扇扇区区，它它由由 MBR(Master Boot Record)，DPT(Disk Partition Table)和和Boot Record ID三部分组成。三部分组成。l主主引引导导统统计计MBRMBR占占用用Boot Sector前前446个个字字节节(0 to 0 x1BD)，存存放放系系统统主引导程序主引导程序(它负责从活动分区中装载并运行系统引导程序它负责从活动分区中装载并运行系统引导程序)。lDPT 即主分区表占用即主分区表占用64个字节个字节(0 x1BE to 0 x1FD)，统计了磁盘基本分，统计了磁盘基本分区信息，主分区表分为四个分区项，每项区信息，主分区表分为四个分区项，每项16字节，分别统计了每个主字节，分别统计了每个主分区信息分区信息(所以最多能够有四个主分区所以最多能够有四个主分区)。l Boot Record ID 即引导区标识占用两个字节即引导区标识占用两个字节(0 x1FE and 0 x1FF)，对，对于正当引导区，它等于于正当引导区，它等于0 xAA55，这是判别引导区是否正当标志。，这是判别引导区是否正当标志。第二章：磁盘结构第二章：磁盘结构第51页BOOTSECTOR详细结构以下列图所表示详细结构以下列图所表示第二章：磁盘结构第二章：磁盘结构第52页 Boot Sector图示第二章：磁盘结构第二章：磁盘结构第53页3、分区表结构、分区表结构l分区表由四个分区分区表由四个分区项组成，每一项长项组成，每一项长度为度为16个字节，分个字节，分区表结构以下列图区表结构以下列图所表示：所表示：第二章：磁盘结构第二章：磁盘结构第54页4.硬盘分区类型硬盘分区类型l00未使用分区项l01DOS12一个fat表为12位分区主要用于早期小硬盘和部分软盘l05EXTEND扩展分区一个l06BIGDOS即FAT16分区分区表为16位，每簇最大为32K，最大分区为2Gl07NTFS分区l0BFAT32分区分区表为32位l0CFAT32X分区与FAT32基本相同l0EBIGDOSX即FAT16分区扩展分区表为16位，每簇最大能够超出32Kl0FEXTENDX扩展分区一个l82Linux主分区l83Linux交换分区第二章：磁盘结构第二章：磁盘结构第55页DBR（63扇）示意图扇）示意图第二章：磁盘结构第二章：磁盘结构第56页FAT第二章：磁盘结构第二章：磁盘结构第57页FDT第二章：磁盘结构第二章：磁盘结构第58页l因为因为MBR中主分区表项中最多只能统计中主分区表项中最多只能统计4个分个分区信息，所以我们分区表采取是链式结构进行区信息，所以我们分区表采取是链式结构进行标注，普通每个逻辑分区统计两个分区表项，标注，普通每个逻辑分区统计两个分区表项，一项标注本逻辑分区信息，第二项标注下一个一项标注本逻辑分区信息，第二项标注下一个扩展分区信息，如此链接下去直至最终一个分扩展分区信息，如此链接下去直至最终一个分区。详细如图所表示区。详细如图所表示：第二章：磁盘结构第二章：磁盘结构第59页第二章：磁盘结构第二章：磁盘结构第60页NTFS文件系统结构文件系统结构NTFS是新技术文件系统（是新技术文件系统（NewTechnologyFileSystem),与与FAT文文件系统相比件系统相比NTFS含有许多新特征，含有许多新特征，比如容错性、安全性、文件压缩和磁比如容错性、安全性、文件压缩和磁盘配额等。盘配额等。第二章：磁盘结构第二章：磁盘结构第61页相对于相对于FAT，NTFS所含有特征：所含有特征：容错性：NTFS能够自动修复磁盘错误而不会显示犯错误信息。安全性：NTFS有许多安全性能方面选项，能够在本机上和经过远程方法保护文件、目录，能够组织未经授权用户访问文件。经过EFS加密提升数据安全性文件压缩：NTFS文件系统支持文件压缩功效，能够压缩单个文件或整个文件夹。磁盘限额：所谓磁盘限额就是管理员能够对本域中每个用户进行磁盘使用空间限制。第二章：磁盘结构第二章：磁盘结构第62页NTFS分区结构分区结构NTFS文件系统汉字件一样是按簇进行分配NTFS文件系统并不去关心什么是扇区，也不会关心扇区有多大文件经过主文件表MFT确定文件在磁盘上存放位置，NTFS卷中每一个文件都有自己一个唯一标识，称为文件引用号。第二章：磁盘结构第二章：磁盘结构第63页NTFSF分区结构示意图分区结构示意图第二章：磁盘结构第二章：磁盘结构第64页MFTl元数据元数据存放在卷上支持文件系统管理数据。只为系统服存放在卷上支持文件系统管理数据。只为系统服务，不能被应用程序访问。务，不能被应用程序访问。不论簇大小是多少，不论簇大小是多少，MFT中统计大小普通是固定，中统计大小普通是固定，占用占用1k空间。这些统计从零开始编号。空间。这些统计从零开始编号。MFT仅供仅供系统本身进行文件管理使用（系统本身进行文件管理使用（MFT本身也是元数本身也是元数据）。在据）。在MFT前前16条统计是非常主要操作系统使条统计是非常主要操作系统使用元数据文件，这些元数据文件名字都是以用元数据文件，这些元数据文件名字都是以“$”开头，是系统管理卷不可缺乏。开头，是系统管理卷不可缺乏。第二章：磁盘结构第二章：磁盘结构第65页NTFS中前中前10个元文件个元文件$MFT:$MFT中第一条统计即是中第一条统计即是$MFT自自身。身。$MFTMirr:因为因为MFT本身主要性，系统专门为它本身主要性，系统专门为它起始部分建立镜像文件。起始部分建立镜像文件。$LogFile:该文件是该文件是NTFS为实现可恢复性和安为实现可恢复性和安全性而设计。全性而设计。NTFS会在系统运行时将全部影响会在系统运行时将全部影响NTFS卷结构操作统计在日志文件中，方便在系卷结构操作统计在日志文件中，方便在系统失败时恢复统失败时恢复NTFS卷。卷。第二章：磁盘结构第二章：磁盘结构第66页$Volume(卷文件）：其中包含卷文件）：其中包含NTFS版本、卷名版本、卷名等信息。等信息。$AttrDef(属性定义表）：其中存放着卷所支持属性定义表）：其中存放着卷所支持全部属性信息。全部属性信息。$Root(根目录）：保留着该卷根目录下全部文根目录）：保留着该卷根目录下全部文件索引。在访问一个文件后，件索引。在访问一个文件后，ntfs就保留该文件就保留该文件MFT引用，第二次就能直接访问该文件。引用，第二次就能直接访问该文件。第二章：磁盘结构第二章：磁盘结构第67页$Bitmap（位图文件）：标志（位图文件）：标志NTFS卷中全部簇卷中全部簇占用情况，其中每一位代表一个簇是空闲还是已占用情况，其中每一位代表一个簇是空闲还是已分配。分配。$Boot(引导文件）：存放着操作系统引导程序引导文件）：存放着操作系统引导程序代码。代码。$BadClus(坏簇文件）坏簇文件）:统计着该卷中全部坏簇统计着该卷中全部坏簇簇号。簇号。$Secure(安全文件）：存放整个卷安全描述符安全文件）：存放整个卷安全描述符数据库数据库第二章：磁盘结构第二章：磁盘结构第68页第三章：数据恢复软件介绍第三章：数据恢复软件介绍一、一、EasyRecovery第69页EasyRecovery是一款功效非常强大数据恢复软件，能是一款功效非常强大数据恢复软件，能够恢复因为病毒破坏、误删除或误格式化甚至分区损坏够恢复因为病毒破坏、误删除或误格式化甚至分区损坏等造成数据丢失，使用等造成数据丢失，使用EasyRecovery能够修复主引导能够修复主引导扇区（扇区（MBR）、）、BIOS参数块（参数块（BPB）、分区表、文件）、分区表、文件分配表（分配表（FAT）或目录及文件。当你从计算机中删除文）或目录及文件。当你从计算机中删除文件时，它们并未真正被删除，文件结构信息依然保留在件时，它们并未真正被删除，文件结构信息依然保留在硬盘上，除非新数据将之覆盖了。能用硬盘上，除非新数据将之覆盖了。能用EasyRecovery找回数据、文件前提就是硬盘中还保留有文件信息和数找回数据、文件前提就是硬盘中还保留有文件信息和数据块。但在你删除文件、格式化硬盘等操作后，再在对据块。但在你删除文件、格式化硬盘等操作后，再在对应分区内写入大量新信息时，这些需要恢复数据就很有应分区内写入大量新信息时，这些需要恢复数据就很有可能被覆盖了！这时，不论怎样都是找不回想要数据了。可能被覆盖了！这时，不论怎样都是找不回想要数据了。第三章：数据恢复软件介绍第三章：数据恢复软件介绍第70页EasyRecovery开启后界面如图所表示：开启后界面如图所表示：第三章：数据恢复软件介绍第三章：数据恢复软件介绍第71页l在数据恢复过程中我们使用最多是其中“数据修复”模块中AdvancedRecovery和RawRecovery。lAdvancedRecovery为高级选项自定义数据恢复，主要对付那些分区或目录结构损坏不是太严重情况，比如说格式化、文件被误删除或分区表损坏等，它能够完全依照恢复分区文件系统，经过文件分配表和文件目录表搜索出对应目录树结构，即使完整目录树结构被破坏，它也能够找出其中子目录。第三章：数据恢复软件介绍第三章：数据恢复软件介绍第72页有些情况下分区信息被破坏比较严重，AdvancedRecovery已经无法自动识别分区类型，显示为“无相法识别”空间，这时我们能够开启高级选项，从中选择应文件系统，如图：第三章：数据恢复软件介绍第三章：数据恢复软件介绍第73页AdvancedRecovery能够扫描未分配空间中是否存在我们制订文件系统统计，重新加载一个文件系统，如图：第三章：数据恢复软件介绍第三章：数据恢复软件介绍第74页l在对应文件系统下继续扫描依然有可能恢复出完整目录结构和对应数据。扫描结束后点击“下一步”选择对应保留路径保留即可。第三章：数据恢复软件介绍第三章：数据恢复软件介绍第75页RawRecoveryRawRecovery是脱离开任何文件系统，按照簇方式进行扫描，此模式将对整个分区扇区一个个地进行扫描。该扫描模式能够找回保留在一个簇中小文件或连续存放大文件。也就是说经过这种方式恢复数据时文件越大，能成功恢复概率就越低。第三章：数据恢复软件介绍第三章：数据恢复软件介绍第76页RawRecovery一样能够对未分配空间进行扫描，其操作界面如图（8）所表示第三章：数据恢复软件介绍第三章：数据恢复软件介绍第77页从中选择要扫描硬盘空间，在“文件类型”中构选你所需要文件类型。注意，这里文件类型包含常见大多数数据类型，但不包含一些特殊软件自己特有数据类型，比如说一些财务软件数据库等，这种情况下我们还能够经过添加数据类型来处理，但前提是手上需要拥有一定量相同数据类型文件样本第三章：数据恢复软件介绍第三章：数据恢复软件介绍第78页在“文件类型”对话框中点击添加，弹出图（9）对话框，使用Ultraedit读出样本文件16进制编码，从中找出8字节特征码（普通为文件头前8字节）写入“新文件标识”对话框，然后填入对应偏移量、扩展名和描述即可。第三章：数据恢复软件介绍第三章：数据恢复软件介绍第79页二、二、FinalDataFinalData也是一款我们惯用数据恢复软件，其数据恢复功效与EasyRecovery类似，界面如图：第三章：数据恢复软件介绍第三章：数据恢复软件介绍第80页l选择界面左上角“文件”、“打开”，从“选择驱动器”对话框中选择想要恢复文件所在驱动器。这里我们选择“驱动器D”然后单击“OK”开始扫描。第三章：数据恢复软件介绍第三章：数据恢复软件介绍第81页首先扫描根目录（又称做“快速扫描”），其次进行簇扫描（又称“完整扫描”），如图第三章：数据恢复软件介绍第三章：数据恢复软件介绍第82页扫描完成后出现下列图对话框，从中查找所需文件选择保留路径恢复存即可。第三章：数据恢复软件介绍第三章：数据恢复软件介绍第83页其中左边项目分别表示：1、“RootDirectory”：正常根目录2、“DeletedDirectory”：从根目录删除目录集合(只在“快速扫描”后可用)3、“DeletedFiles”：从根目录删除文件集合(只在“快速扫描”后可用)4、“LostDirectory”：只有在“完整扫描”后找到目录将会被显示在这里。因为已经被部分覆盖或者破坏，所以“快速扫描”不能发觉这些目录。假如根目录因为格式化或者病毒等引发破坏，FinalData就会把发觉和恢复信息放到“丢失目录”中。(只在“完整扫描”后可用)5、“LostFiles”：被严重破坏文件，假如数据部分依然完好，能够从“丢失文件”中恢复。在“快速扫描”过后，FinalData将执行“完整扫描”以查找被破坏文件并将列表显示在“丢失文件”中。(只在“完整扫描”后可用)第三章：数据恢复软件介绍第三章：数据恢复软件介绍第84页6、“RecentlyDeletedfiles”：当FinalData安装后，“文件删除管理器”功效自动将被删除文件信息加入到“最近删除文件”中。因为FinalData将这些文件信息保留在一个特殊硬盘位置，大多数情况下能够完整地恢复出现(安装程序时会指定一定硬盘空间用来存放这些信息)。7、“SearchedFiles”：这些就是全部硬盘上面被删除文件，以后能够按照文件名、簇号和日期对扫描到文件进行查找。另外FinalData对于查找分区结构和文件系统功效非常强大，所以在很多时候也会作为恢复分区辅助工具使用。第三章：数据恢复软件介绍第三章：数据恢复软件介绍第85页三、三、AdvancedEFSdatarecoveryAdvancedEFSdatarecovery是一个能够从是一个能够从WindowsNTFS分区里解密用分区里解密用EFS加密文件工加密文件工具。具。AdvancedEFSdatarecovery开启后界面如图所表示：开启后界面如图所表示：第三章：数据恢复软件介绍第三章：数据恢复软件介绍第86页若要对若要对NTFS分区里分区里EFS加密文件进行解密，点击加密文件进行解密，点击“scanscanforkeys”，首先队硬盘中分区进行密钥扫描，在弹出下列图窗口时点击，首先队硬盘中分区进行密钥扫描，在弹出下列图窗口时点击“startscan”开始扫描。开始扫描。第三章：数据恢复软件介绍第三章：数据恢复软件介绍第87页下列图显示出即为扫描到密钥信息：下列图显示出即为扫描到密钥信息：第三章：数据恢复软件介绍第三章：数据恢复软件介绍第88页对密钥扫描完成后，我们点击对密钥扫描完成后，我们点击“Encryptedfiles”扫描加密文件，如图。扫描加密文件，如图。进入进入“Encryptedfiles”选项卡后点击选项卡后点击“scanforencryptedfiles”开始扫开始扫描描第三章：数据恢复软件介绍第三章：数据恢复软件介绍第89页下列图为扫描出来整个分区中做了下列图为扫描出来整个分区中做了EFS加密文件，我们将其中需要恢复文加密文件，我们将其中需要恢复文件前面构选然后点击件前面构选然后点击“decrypt”保留出对应文件即可。保留出对应文件即可。第三章：数据恢复软件介绍第三章：数据恢复软件介绍第90页保留完成，恢复工作完成。保留完成，恢复工作完成。第三章：数据恢复软件介绍第三章：数据恢复软件介绍第91页RAID技术详解及其数据恢复技术详解及其数据恢复一、一、RAID介绍介绍第92页RAID直译为直译为“独立冗余磁盘阵列独立冗余磁盘阵列”，能够，能够把把RAID了解成一个使用磁盘驱动器方法，了解成一个使用磁盘驱动器方法，就是指用两个以上物理硬盘进行协作，逻辑就是指用两个以上物理硬盘进行协作，逻辑上作为一个磁盘驱动器来使用，但能提供数上作为一个磁盘驱动器来使用，但能提供数据冗余容错协同工作能力，以此来全方面提据冗余容错协同工作能力，以此来全方面提升磁盘子系统性能。升磁盘子系统性能。RAID技术详解及其数据恢复技术详解及其数据恢复第93页为确保网络系统可靠地保留数据，使系统正常运行，磁盘阵列已成为高可靠性网络系统处理方案中不可缺乏存放设备。磁盘阵列由磁盘阵列控制器及若干性能近似、按一定要求排列硬盘组成。该类设备含有高速度、大容量、安全可靠等特点，经过冗余纠错技术、镜像数据或数据分割及奇偶校验等技术来确保设备及数据可靠，并实现容错要求，是一个含有较高容错能力智能化磁盘集合，含有较高安全性和可靠性。RAID在当代网络系统中作为海量存放器，广泛应用于磁盘服务器中。RAID技术详解及其数据恢复技术详解及其数据恢复第94页二、二、RAID优点优点1、成本低，功耗小，传输速率高。2、能够提供容错功效。3、RAID与传统大直径磁盘驱动器相比，与可靠性与价格都很高专用硬盘相比，在一样容量下，价格要低许多，性能与可靠性也不低于它们。RAID技术详解及其数据恢复技术详解及其数据恢复第95页RAID技术镜像技术技术镜像技术RAID技术延展技术技术延展技术RAID技术详解及其数据恢复技术详解及其数据恢复第96页三、三、RAID分级分级1、RAID0RAID0级，无冗余无校验磁盘阵列。从外表看是一个硬盘，但容量却是两个硬盘总和。RAID0比普通单一硬盘可靠度要差，只要一个硬盘损坏，整个阵列里数据都会损失掉。但极佳性能使RAID0依然含有很大吸引力。RAID技术详解及其数据恢复技术详解及其数据恢复第97页RAID0两种方式两种方式方式方式1：串联在一起，形成一个独立逻辑驱动器，：串联在一起，形成一个独立逻辑驱动器，当一块磁盘空间用尽时，数据就会被自动写入当一块磁盘空间用尽时，数据就会被自动写入到下一块磁盘中，可靠性是单独使用一块硬盘到下一块磁盘中，可靠性是单独使用一块硬盘1/n方式方式2：是用：是用n块硬盘选择合理带区大小创建带块硬盘选择合理带区大小创建带区集，在电脑数据读写时同时向区集，在电脑数据读写时同时向n块磁盘读写块磁盘读写数据数据,速度提升速度提升n倍。提升系统性能。倍。提升系统性能。RAID技术详解及其数据恢复技术详解及其数据恢复第98页RAID0使用了一个名为使用了一个名为“数据串行数据串行”机制。它将数据机制。它将数据对应储存在一堆不一样硬盘所组成大硬盘中。数据是对应储存在一堆不一样硬盘所组成大硬盘中。数据是用连续用连续“串行串行”形式，以要求大小储存在实体硬盘上。形式，以要求大小储存在实体硬盘上。这表示大于实际串行大小文件将会被分散储存在硬盘这表示大于实际串行大小文件将会被分散储存在硬盘阵列中。所以单一文件中不一样串行能够平行处理。阵列中。所以单一文件中不一样串行能够平行处理。在这个清况下，在这个清况下，RAID0阵列或阵列或“串行集合串行集合”数据传输数据传输速率即为阵列中最低速硬盘数据传输速率与该阵列硬速率即为阵列中最低速硬盘数据传输速率与该阵列硬盘数之乘积。若使用相同硬盘，则数据传输带宽恰好盘数之乘积。若使用相同硬盘