第一篇：用WinHex實(shí)現(xiàn)NTFS文件系統(tǒng)的數(shù)據(jù)恢復(fù)

用WinHex實(shí)現(xiàn)NTFS文件系統(tǒng)的數(shù)據(jù)恢復(fù)

摘要 概括介紹NTFS文件系統(tǒng)結(jié)構(gòu)、主文件表、文件記錄,文件記錄的相關(guān)屬性,以及數(shù)據(jù)文件在磁盤文件數(shù)據(jù)區(qū)的定位。對(duì)NTFS文件系統(tǒng)的數(shù)據(jù)恢復(fù)做了分析研究,介紹使用磁盤編輯工具WinHex還原被徹底刪除的文件數(shù)據(jù)。

關(guān)鍵詞 WinHex;NTFS;數(shù)據(jù)恢復(fù)

中圖分類號(hào):TP319 文獻(xiàn)標(biāo)識(shí)碼:B 文章編號(hào):1671-489X(2009)24-0098-03

WinHex to Achieve with NTFS File System Data Recovery//Qi Qin

Abstract An overview of the structure of NTFS file system, master file table, file records, file records related to property, as well as data files in the disk file data of the targeted area.On NTFS file system data recovery analysis done, the use of WinHex disk editor to restore the deleted files were complete data.Key words WinHex;NTFS;data recovery

Author’s address Institute of Education Science and Technology, Xuzhou Institute of Technology, Xuzhou, Jiangsu, 221008, China

隨著科技的進(jìn)步,計(jì)算機(jī)教學(xué)已成為現(xiàn)代教育技術(shù)的主要技術(shù)手段,在教育教學(xué)中發(fā)揮著越來越重要的作用。在平時(shí)教學(xué)過程中,計(jì)算機(jī)可實(shí)現(xiàn)電子教案與板書演示、CAI輔助教學(xué)、聯(lián)機(jī)測試等多種教學(xué)手段,在提高學(xué)生學(xué)習(xí)效率、擴(kuò)充信息知識(shí)量、培養(yǎng)學(xué)習(xí)和動(dòng)手能力等方面發(fā)揮著重要作用。而這些教學(xué)信息均以文件數(shù)據(jù)的形式存儲(chǔ)在計(jì)算機(jī)中,一旦遇到系統(tǒng)故障、病毒攻擊、誤刪除或格式化造成數(shù)據(jù)丟失,將影響教學(xué)活動(dòng)的正常開展。

NTFS文件系統(tǒng)基于可恢復(fù)文件結(jié)構(gòu)設(shè)計(jì),在安全性和穩(wěn)定性方面有顯著優(yōu)勢,提供容錯(cuò)結(jié)構(gòu)日志,為多用戶設(shè)置限制的磁盤配額文件特性,對(duì)文件和文件夾有安全驗(yàn)證和數(shù)字加密,保護(hù)系統(tǒng)的安全,不易產(chǎn)生文件碎片,減少用戶數(shù)據(jù)文件丟失或毀壞的危險(xiǎn)。由于系統(tǒng)的優(yōu)越性,NTFS已取代FAT成為當(dāng)前主流文件系統(tǒng)。NTFS文件系統(tǒng)結(jié)構(gòu)分析

NTFS文件系統(tǒng)的結(jié)構(gòu)以卷為基礎(chǔ),卷由邏輯分區(qū)組成。卷以簇為最小存儲(chǔ)管理單元,對(duì)磁盤空間和文件對(duì)象進(jìn)行有機(jī)操作。簇的大小稱卷因子,每簇可按需要分配1、2、4或8扇區(qū),為簇2的冪且是整數(shù)倍,每扇區(qū)512字節(jié),由操作系統(tǒng)建立分區(qū)時(shí)格式化生成。當(dāng)分區(qū)空間超過2 G時(shí),NTFS默認(rèn)簇是8扇區(qū)。NTFS文件系統(tǒng)使用邏輯簇號(hào)和虛擬簇號(hào)對(duì)卷進(jìn)行管理。邏輯簇號(hào)是對(duì)卷上所有簇進(jìn)行順序編號(hào),虛擬簇號(hào)是對(duì)文件占用簇的編號(hào),以便于引用文件中的數(shù)據(jù)。NTFS將卷定義為4個(gè)區(qū)域:分區(qū)引導(dǎo)扇區(qū)、主文件表、系統(tǒng)文件和文件數(shù)據(jù)區(qū)[1]。

分區(qū)引導(dǎo)扇區(qū)位于卷的首扇區(qū),包括分區(qū)的引導(dǎo)程序和BIOS參數(shù)塊(BPB),BPB表中的參數(shù)是在建立文件系統(tǒng)時(shí)由操作系統(tǒng)生成的,系統(tǒng)根據(jù)BPB中參數(shù)得到卷的重要信息,對(duì)分區(qū)引導(dǎo)扇區(qū)、主文件表、文件數(shù)據(jù)等進(jìn)行卷邏輯地址定位。如果BPB參數(shù)丟失,NTFS無法完成數(shù)據(jù)的定位,文件系統(tǒng)將不能正常使用。

主文件表(MFT)是由一系列文件記錄組成,與文件數(shù)據(jù)區(qū)中的文件相對(duì)應(yīng)的關(guān)系數(shù)組,是NTFS的控制中心。NTFS通過文件記錄來描述數(shù)據(jù)文件的各種屬性并確定其在磁盤上的存儲(chǔ)位置。MFT的前16個(gè)文件記錄屬于系統(tǒng)文件,稱為元文件,用于存放系統(tǒng)的元數(shù)據(jù)。元文件在主文件表中地址固定不變,而對(duì)其他文件和文件夾的文件記錄在主文件表中的地址則無具體要求。

文件記錄由記錄頭、屬性列表和結(jié)束標(biāo)志組成。以“46 49 4C 45”為開始標(biāo)志“,FF FF FF FF”為結(jié)束標(biāo)志,大小為1 KB。NTFS將數(shù)據(jù)文件作為屬性/屬性值的集合來處理,屬性的內(nèi)容是屬性值(流),由簡單字符隊(duì)列組成。NTFS并不對(duì)文件數(shù)據(jù)進(jìn)行操作,而通過對(duì)屬性流讀寫來對(duì)文件進(jìn)行創(chuàng)建、讀寫、刪除等操作。

當(dāng)文件和文件夾的數(shù)據(jù)較小時(shí),其所有屬性和屬性值都可直接存放在文件記錄中,稱為常駐屬性。當(dāng)文件或文件夾的屬性太大而不能直接存放在文件記錄中時(shí),稱為非常駐屬性。NTFS將從主文件表之外的磁盤空間中為非常駐屬性值分配存儲(chǔ)區(qū)域,稱為運(yùn)行。運(yùn)行主要說明文件在文件數(shù)據(jù)區(qū)簇的分配情況,由多個(gè)運(yùn)行項(xiàng)組成,一個(gè)運(yùn)行項(xiàng)包含一個(gè)虛擬簇號(hào),是屬性數(shù)據(jù)內(nèi)部簇的順序編號(hào);一個(gè)邏輯簇號(hào),是數(shù)據(jù)儲(chǔ)存在磁盤上的位置;以及數(shù)據(jù)在磁盤上所占用空間的連續(xù)簇的數(shù)量[2]。利用文件的邏輯簇號(hào)和卷因子相乘得到文件在卷中的物理磁盤地址,NTFS通過這種方法對(duì)文件的數(shù)據(jù)區(qū)地址進(jìn)行定位。實(shí)現(xiàn)NTFS文件系統(tǒng)的數(shù)據(jù)恢復(fù)主要思路

在NTFS文件系統(tǒng)中,磁盤上的所有數(shù)據(jù)都是文件,每個(gè)文件在主文件表中都有一個(gè)文件記錄。在文件創(chuàng)建時(shí),在主文件表中為文件生成一個(gè)文件記錄;在文件刪除或者系統(tǒng)格式化時(shí),并沒有破壞磁盤上文件的數(shù)據(jù)信息,而且文件記錄也沒有被刪除,只是更改標(biāo)志(偏移0x16H)的屬性值,并回收文件所占用的空間。

實(shí)現(xiàn)NTFS文件系統(tǒng)的數(shù)據(jù)恢復(fù),首先通過分區(qū)引導(dǎo)扇區(qū)的BPB表參數(shù)定位主文件表、文件的文件記錄;分析文件記錄以及記錄中的屬性,獲取數(shù)據(jù)恢復(fù)時(shí)所需要的文件信息;確定文件的數(shù)據(jù)區(qū)地址;對(duì)刪除文件進(jìn)行恢復(fù)。

2.1 對(duì)主文件表和文件記錄的定位由于文件是通過主文件表的文件記錄來確定其在文件數(shù)據(jù)區(qū)的存儲(chǔ)位置,因此首先要找到主文件表。主文件表卷起始邏輯地址=卷因子*當(dāng)前卷的主文件表邏輯簇號(hào)。通過卷的引導(dǎo)扇區(qū)的BPB參數(shù),可獲取主文件表和卷因子信息。分區(qū)引導(dǎo)扇區(qū)開始偏移0xDH為卷因子,即每簇扇區(qū)數(shù);偏移0x30H為主文件表在當(dāng)前卷的邏輯地址。

2.2 文件記錄屬性分析文件記錄屬性有標(biāo)準(zhǔn)屬性、文件名屬性、數(shù)據(jù)流屬性、位圖屬性等類型[3]。記錄頭偏移0x16H處為文件使用標(biāo)志,文件系統(tǒng)通過標(biāo)志判斷文件的當(dāng)前使用狀態(tài)。當(dāng)文件刪除時(shí),NTFS并不刪除文件記錄,僅更改文件記錄的使用標(biāo)志值。00表示文件已刪除,01表示文件正常使用,02表示文件夾已刪除,03表示文件夾正常使用。

文件名屬性的類型為30H,是常駐屬性,用于存儲(chǔ)文件名。需要注意的是,NTFS的文件名采用Unincode字符集,可支持中文和長文件名,當(dāng)文件名含有超過傳統(tǒng)DOS“8.3”的長文件名時(shí),文件記錄會(huì)有2個(gè)30H的文件名屬性,第1個(gè)是與DOS兼容的短文件名,第2個(gè)是完整的長文件名。通過30H屬性判斷是否為所需要恢復(fù)的文件。

數(shù)據(jù)流屬性的類型為80H,其中包含有非常駐標(biāo)識(shí)、起始虛擬簇號(hào)、結(jié)束虛擬簇號(hào)、運(yùn)行的偏移、數(shù)據(jù)的運(yùn)行項(xiàng)等內(nèi)容。通過分析數(shù)據(jù)流屬性中運(yùn)行的邏輯簇號(hào)和虛擬簇號(hào),來對(duì)文件在文件數(shù)據(jù)區(qū)定位。

2.3 文件數(shù)據(jù)區(qū)的定位數(shù)據(jù)流屬性的開頭為“80 00 00 00”,從屬性頭開始第5個(gè)字節(jié)起的4個(gè)字節(jié)表示屬性的長度。第8個(gè)字節(jié)是非常駐標(biāo)識(shí),如果該值是0,為常駐屬性,表示數(shù)據(jù)流存儲(chǔ)在文件記錄中,可在文件記錄中對(duì)數(shù)據(jù)直接進(jìn)行提取操作;如果該值為1,說明數(shù)據(jù)存儲(chǔ)在運(yùn)行中。第17到24字節(jié)共8個(gè)字節(jié)表示起始虛擬簇號(hào),第25到32字節(jié)共8個(gè)字節(jié)表示結(jié)束虛擬簇號(hào)。第33字節(jié)表示運(yùn)行的偏移地址,一般為40H,即從屬性頭偏移64字節(jié)。從運(yùn)行的偏移處讀出數(shù)據(jù)運(yùn)行項(xiàng)。在運(yùn)行中說明各運(yùn)行項(xiàng)的起始邏輯簇號(hào)和該運(yùn)行項(xiàng)占用的簇?cái)?shù),從而可以定位每一個(gè)數(shù)據(jù)運(yùn)行,對(duì)文件的數(shù)據(jù)進(jìn)行提取操作。

2.4 保存恢復(fù)文件通過分析運(yùn)行項(xiàng),獲取文件在文件數(shù)據(jù)區(qū)起始和結(jié)束邏輯扇區(qū)地址,直接提取磁盤扇區(qū)上的二進(jìn)制代碼,并將數(shù)據(jù)保存到其他卷上。用WinHex數(shù)據(jù)恢復(fù)實(shí)例

WinHex是一款優(yōu)秀的16進(jìn)制磁盤編輯軟件,有完善的分區(qū)和文件管理功能,能編輯物理磁盤或邏輯磁盤的任意扇區(qū),可以編輯文件的二進(jìn)制代碼(用16進(jìn)制顯示),是數(shù)據(jù)恢復(fù)的一個(gè)重要工具。

在卷E中存入一個(gè)名為xyzzyx.rar的壓縮文件。按Shift+Delete組合鍵,徹底刪除xyzzyx.rar文件。刪除文件后,注意不要對(duì)E盤進(jìn)行寫入操作,也不要對(duì)磁盤進(jìn)行碎片整理、磁盤錯(cuò)誤掃描等操作。下面介紹實(shí)現(xiàn)方法。

1)啟動(dòng)WinHex軟件。點(diǎn)擊“Tool”菜單,選擇“Open Disk”菜單項(xiàng),打開卷E。首先定位主文件表,單擊“Go To Sector”按鈕,輸入“0”,跳轉(zhuǎn)至分區(qū)引導(dǎo)扇區(qū)。從BPB表開始偏移0x30H～0x38H處的值為00000C00H,偏移0xDH處的值為08H。則主文件表的起始邏輯地址為C0000*08=600000H

單擊工具欄上“Go To Offset”按鈕,在“New position”對(duì)話框中輸入主文件表的偏移地址“600000”,位置類型選擇“Sectors”,在“relative to”復(fù)選框中選擇“beginning”,單擊確定跳轉(zhuǎn)至主文件表。

單擊工具欄上“Find text”,在文本框中輸入要搜索的文件名“xyzzyx.rar”,NTFS里面文件名是用Unincode字符集來表示的,編碼類型選擇“Unincode”,搜索方向選擇“Down”。

2)經(jīng)過搜索后,光標(biāo)停在記錄的文件名屬性位置上。通過分析30H的文件名屬性,可以看到文件名是“xyzzyx.rar”,確認(rèn)是要恢復(fù)的文件。從記錄頭偏移0x16處使用標(biāo)志值為00,表示文件已被刪除。

接著分析80H的數(shù)據(jù)流屬性,偏移0xC029DD38處表示此文件為非常駐屬性。0xC029DD50為運(yùn)行的偏移值40H,即從第64個(gè)字節(jié)開始,偏移0xC029DD70～0xC029DD75為數(shù)據(jù)運(yùn)行,只有一個(gè)運(yùn)行項(xiàng)32 D1 04 E0 AE 69。0x32H表示該運(yùn)行項(xiàng)為3字節(jié)的偏移,2字節(jié)的文件長度。文件長度為04D1H,即虛擬簇號(hào)。文件的起始邏輯簇號(hào)為69AEE0H。通過計(jì)算可知“xyzzyx.rar”文件的起始邏輯扇區(qū)地址為69AEE0H*8=34D7700H,結(jié)束邏輯扇區(qū)地址為(69AEE0H+04D1H)*8=69B3B1H*8=34D9D88H。

3)單擊工具欄上“Go To Offset”按鈕,在“New position”對(duì)話框中輸入文件的起始邏輯扇區(qū)地址“34D7700”,位置類型選擇“Sectors”,在“relative to”復(fù)選框中選擇“beginning”,單擊確定跳轉(zhuǎn)。光標(biāo)在二進(jìn)制代碼“52 61 72 21 1A 07 00 CF”處停下,看右面字符集可知是Rar的ASCII碼,確定是壓縮文件的開頭標(biāo)志。單擊鼠標(biāo)右鍵選擇“Beginning of block”,定義文件的數(shù)據(jù)區(qū)開始。

再單擊工具欄上“Go To Offset”按鈕,輸入文件的結(jié)束邏輯扇區(qū)地址“34D9D88”,確定轉(zhuǎn)到后的新位置即為該文件數(shù)據(jù)的結(jié)束,單擊鼠標(biāo)右鍵選擇“End of block”。

4)依次選擇“EDITCopy BlockInto New File”,輸入文件名“xyzzyx.rar”,保存在桌面,點(diǎn)擊確定完成操作,在桌面上即可看見所恢復(fù)的文件。結(jié)束語

本文對(duì)NTFS文件系統(tǒng)的結(jié)構(gòu)、主文件表、文件記錄等進(jìn)行概括性介紹,并對(duì)文件記錄的文件名屬性和數(shù)據(jù)流屬性進(jìn)行分析,提出NTFS文件系統(tǒng)下數(shù)據(jù)恢復(fù)的實(shí)現(xiàn)思路,介紹使用WinHex實(shí)現(xiàn)NTFS文件系統(tǒng)的數(shù)據(jù)恢復(fù)的具體方法。應(yīng)用此方法,可以在數(shù)據(jù)沒有被覆蓋的情況下,快速查找被刪除數(shù)據(jù)文件的文件記錄,并進(jìn)行卷邏輯地址的精確定位,使數(shù)據(jù)恢復(fù)更為方便、高效。本方法也適用于NTFS文件系統(tǒng)誤高級(jí)格式化的數(shù)據(jù)恢復(fù)。

參考文獻(xiàn)

[1]戴士劍,陳永紅.數(shù)據(jù)恢復(fù)技術(shù)[M].北京:電子工業(yè)出版社,2003

[2]居錦武,王蘭英.NTFS文件系統(tǒng)剖析[J].計(jì)算機(jī)工程設(shè)計(jì),2007(11)

[3]File Attributes Defined by NTFS[EB/OL].http://

第二篇：數(shù)據(jù)恢復(fù)基礎(chǔ)知識(shí)

數(shù)據(jù)恢復(fù)基礎(chǔ)知識(shí)

計(jì)算機(jī)上只有數(shù)據(jù)是最關(guān)鍵的，數(shù)據(jù)的丟失才是最大的損失。下面我來講解一些數(shù)據(jù)恢復(fù)的基本知識(shí)。

首先申明一點(diǎn)，對(duì)于重要數(shù)據(jù)，備份數(shù)據(jù)才是防止數(shù)據(jù)丟失的根本方法，而數(shù)據(jù)恢復(fù)依賴于很多因素，很難完全恢復(fù)數(shù)據(jù)，一般是僅僅可以恢復(fù)部分?jǐn)?shù)據(jù)。

數(shù)據(jù)恢復(fù)就是找回丟失的數(shù)據(jù)，例如徹底刪除某個(gè)文件或文件夾，重新格式化磁盤，重新分區(qū)磁盤等等都會(huì)造成數(shù)據(jù)的丟失。更嚴(yán)重的數(shù)據(jù)丟失是存儲(chǔ)介質(zhì)硬件損壞，例如，硬盤不小心摔壞了、硬盤根本就不認(rèn)了、硬盤有大量壞道等等。最值得注意的一點(diǎn)是，一旦意識(shí)到數(shù)據(jù)丟失了，立刻停止一些不必要的*作，誤刪、誤格后，不要再往磁盤里寫數(shù)據(jù)了！磁盤摔壞后，不要再加電了！磁盤出現(xiàn)壞道讀不出來，不要反復(fù)讀盤了等等。

硬盤故障大致可分為硬故障和軟故障兩大類。硬故障即PCBA板損壞、盤片劃傷、芯片及其它原器件燒壞、斷針斷線、磁頭音圈電機(jī)損壞等，是由于硬盤自身的機(jī)械零件或電子元器件損壞而引起。劇烈的震動(dòng)、頻繁開關(guān)機(jī)、電路短路、供電電壓不穩(wěn)定等比較容易引發(fā)硬盤物理性故障，硬件故障一般表現(xiàn)為CMOS不認(rèn)硬盤，常有一種“咔嚓咔嚓”的磁組撞擊聲或電機(jī)不轉(zhuǎn)、通電后無任何聲音、磁頭不對(duì)造成讀寫錯(cuò)誤等現(xiàn)象，對(duì)上面描述的大部分情況，一般都要送到專門的數(shù)據(jù)恢復(fù)中心檢測和恢復(fù)數(shù)據(jù)。硬盤軟故障即硬盤數(shù)據(jù)結(jié)構(gòu)由于某種原因，比如說病毒導(dǎo)致硬盤數(shù)據(jù)結(jié)構(gòu)混亂甚至不可被識(shí)別而形成的故障。一般來說，主板BIOS硬盤自動(dòng)檢測（IDE HDD AUTO DETECTION）功能能夠檢測到硬盤參數(shù)，均為軟故障。一般情況下，硬盤在發(fā)生故障時(shí)系統(tǒng)會(huì)在屏幕上顯示一些提示信息，所以我們可以按照屏幕顯示的提示信息找到故障原因，有針對(duì)性地實(shí)施解決方案。軟故障包括誤分區(qū)、誤格式化、誤刪除、誤克隆、MBR丟失、BOOT扇區(qū)丟失、病毒破壞、黑客攻擊、分區(qū)信息丟失、RAID0磁盤陣列、RAID1磁盤陣列、RAID5磁盤陣列失效等因素造成的數(shù)據(jù)丟失。硬盤軟故障相對(duì)于物理故障來說，更容易修復(fù)些，而它對(duì)數(shù)據(jù)的損壞程序也比硬盤物理故障來得輕些。

下面主要說明一下硬盤發(fā)生軟故障后數(shù)據(jù)恢復(fù)的大概方法，部分原理可以用于優(yōu)盤，光盤等的數(shù)據(jù)恢復(fù)。

基礎(chǔ)知識(shí)-硬盤, 分區(qū)和文件系統(tǒng)的介紹

硬盤內(nèi)部結(jié)構(gòu)

關(guān)于硬盤結(jié)構(gòu)的文章已經(jīng)非常多了，不過真正要說清楚的話，就算專門出一本書也說不完，因此這里就不再從頭細(xì)細(xì)講述了。

硬盤最基本的組成部分是由堅(jiān)硬金屬材料制成的涂以磁性介質(zhì)的盤片，不同容量硬盤的盤片數(shù)不等。每個(gè)盤片有兩面，都可記錄信息。盤片被分成許多扇形的區(qū)域，每個(gè)區(qū)域叫一個(gè)扇區(qū)，每個(gè)扇區(qū)可存儲(chǔ)128×2的N次方（N＝0.1.2.3）字節(jié)信息。在DOS中每扇區(qū)是128×2的2次方＝512字節(jié)，盤片表面上以盤片中心為圓心，不同半徑的同心圓稱為磁道。硬盤中，不同盤片相同半徑的磁道所組成的圓柱稱為柱面。磁道與柱面都是表示不同半徑的圓，在許多場合，磁道和柱面可以互換使用，我們知道，每個(gè)磁盤有兩個(gè)面，每個(gè)面都有一個(gè)磁頭，習(xí)慣用磁頭號(hào)來區(qū)分。扇區(qū)，磁道（或柱面）和磁頭數(shù)構(gòu)成了硬盤結(jié)構(gòu)的基本參數(shù)。在老式硬盤中，采用的都是這種比較古老的CHS（Cylinder/Head/Sector）結(jié)構(gòu)體系。因?yàn)楹芫靡郧?，在硬盤的容量還非常小的時(shí)候，人們采用與軟盤類似的結(jié)構(gòu)生產(chǎn)硬盤。也就是硬盤盤片的每一條磁道都具有相同的扇區(qū)數(shù)，由此產(chǎn)生了所謂的3D參數(shù)（Disk Geometry），即是磁頭數(shù)（Heads）、柱面數(shù)（Cylinders）、扇區(qū)數(shù)（Sectors）以及相應(yīng)的3D尋址方式。對(duì)于現(xiàn)在的新硬盤來說，都已經(jīng)全部不采用這樣的結(jié)構(gòu)，而是采用了更加科學(xué)的結(jié)構(gòu)方式，目前的硬盤都是線性尋址也就是直接使用扇區(qū)號(hào)來訪問硬盤，137G以下的硬盤使用32位整數(shù)作為扇區(qū)號(hào)，而137G以上的硬盤使用48位整數(shù)作為扇區(qū)號(hào)。CHS結(jié)構(gòu)體系

其中：磁頭數(shù)表示硬盤總共有幾個(gè)磁頭，也就是有幾面盤片，最大為255（用8個(gè)二進(jìn)制位存儲(chǔ)）；柱面數(shù)表示硬盤每一面盤片上有幾條磁道，最大為1023（用10個(gè)二進(jìn)制位存儲(chǔ)）；扇區(qū)數(shù)表示每一條磁道上有幾個(gè)扇區(qū)，最大為63（用6個(gè)二進(jìn)制位存儲(chǔ)）；每個(gè)扇區(qū)一般是512個(gè)字節(jié)，理論上講你可以取任何一個(gè)你喜歡的數(shù)值，但好像至今還沒有發(fā)現(xiàn)取別的值的。所以磁盤最大容量為：

255×1023×63×512/1048576＝8024MB（1M＝1048576Bytes）或硬盤廠商常用的單位：

255×1023×63×512/1000000＝8414MB（1M＝1000000Bytes）

由于在老式硬盤的CHS結(jié)構(gòu)體系中，每個(gè)磁道的扇區(qū)數(shù)相等，所以外道的記錄密度要遠(yuǎn)低于內(nèi)道，因此會(huì)浪費(fèi)很多磁盤空間（軟盤也是一樣）。為了進(jìn)一步提高硬盤容量，現(xiàn)在硬盤廠商都改用等密度結(jié)構(gòu)生產(chǎn)硬盤。這也就是說，每個(gè)扇區(qū)的磁道長度相等，外圈磁道的扇區(qū)比內(nèi)圈磁道多。采用這種結(jié)構(gòu)后，硬盤不再具有實(shí)際的3D參數(shù)，尋址方式也改為線性尋址，即以扇區(qū)為單位進(jìn)行尋址。而為了與使用3D尋址的老軟件兼容（如使用BIOSInt13H接口的軟件），廠商通常在硬盤控制器內(nèi)部安裝了一個(gè)地址翻譯器，由它負(fù)責(zé)將老式3D參數(shù)翻譯成新的線性參數(shù)。這也是為什么現(xiàn)在硬盤的3D參數(shù)可以有多種選擇的原因（不同的工作模式可以對(duì)應(yīng)不同的3D參數(shù)，如LBA、LARGE、NORMAL）。而隨著磁盤密度的增加、機(jī)構(gòu)的進(jìn)一步復(fù)雜、功能和速度上的提高，如今的硬盤都會(huì)在磁盤里面劃分出一個(gè)容量比較大的，稱為“系統(tǒng)保留區(qū)”的區(qū)域，用于儲(chǔ)存硬盤的各種信息、參數(shù)和控制程序，有的甚至把硬盤的Fireware也做到了系統(tǒng)保留區(qū)里面（原來這些信息都是儲(chǔ)存在硬盤控制電路板的芯片上的）。這樣雖然可以進(jìn)一步簡化生產(chǎn)的流程，加快生產(chǎn)速度和降低生產(chǎn)成本，但是從另一方面，卻又大大增加了硬盤出現(xiàn)致命性損壞的幾率和縮短了硬盤的使用壽命。

恢復(fù)數(shù)據(jù)的原理和方法

發(fā)覺硬盤故障，需要恢復(fù)數(shù)據(jù)的時(shí)候，第一步所要做的就是檢測，判斷磁盤的故障原因和數(shù)據(jù)損壞程度

只有明確磁盤的損壞程度和故障原因，才能采取正確的步驟恢復(fù)數(shù)據(jù)：

硬盤內(nèi)部故障，表現(xiàn)形式一般是CMOS不能識(shí)別硬盤，硬盤異響，那么可能的故障原因物理磁道損壞、內(nèi)電路芯片擊穿、磁頭損壞等等，可以采用的修復(fù)手段有：內(nèi)電路檢修、在超凈間內(nèi)打開盤腔修復(fù)，這種情況只能送到專業(yè)的數(shù)據(jù)恢復(fù)公司。

硬盤外電路故障，如果CMOS不能識(shí)別硬盤，硬盤無異響，那么可能的故障原因是外電路板損壞、芯片擊穿、電壓不穩(wěn)燒毀等等，可以采取的手段是外電路檢修，或者更換相同型號(hào)的硬盤的電路板，一般需要送到專業(yè)的數(shù)據(jù)恢復(fù)公司。

軟故障，如果CMOS能識(shí)別硬盤，一般是硬盤軟故障，破壞原因一般是系統(tǒng)錯(cuò)誤造成數(shù)據(jù)丟失，誤分區(qū)、誤刪除、誤克隆、軟件沖突、病毒破壞等等，可以采用的方法有專用數(shù)據(jù)恢復(fù)軟件或者人工方式。

下面具體講解軟故障的數(shù)據(jù)恢復(fù)方法 1.確認(rèn)數(shù)據(jù)丟失的故障原因

1.硬盤數(shù)據(jù)丟失，故障原因包括：

病毒破壞,誤克隆,硬盤誤格式化，分區(qū)表失丟，誤刪除文件，移動(dòng)硬盤盤符認(rèn)不出來(無法讀取其中數(shù)據(jù)，硬盤零磁道損壞),硬盤誤分區(qū)，盤片邏輯壞區(qū)，硬盤存在物理壞區(qū)。

2.文檔數(shù)據(jù)損壞,如Office 系列數(shù)據(jù)文件損壞，Zip、MPEG、asf、RM 等文件數(shù)據(jù)損壞。

2.根據(jù)故障原因，采用相應(yīng)的手段和步驟

1.備份數(shù)據(jù)，根據(jù)數(shù)據(jù)的重要程度，決定是否需要備份數(shù)據(jù)，備份數(shù)據(jù)的一般步驟是

1.卸下?lián)p壞硬盤，接到另外一臺(tái)完好的機(jī)器，注意新機(jī)器上有足夠的硬盤空間備份

2.使用ghost的原始模式（raw），一個(gè)扇區(qū)一個(gè)扇區(qū)的把損壞磁盤備份到一個(gè)鏡像文件中。如果硬盤上有物理壞道，最好是采用ghost的方式制作一個(gè)磁盤鏡像，然后所有的*作都在磁盤鏡像上進(jìn)行，這樣可以最大限度的保護(hù)原始磁盤不被進(jìn)一步損壞，可以最大限度的恢復(fù)數(shù)據(jù)。——我猜想作者是說把磁盤內(nèi)容克龍到另一塊磁盤上做恢復(fù)的做作，以避免在原磁盤的寫*作。

3.修復(fù)硬盤數(shù)據(jù)。修復(fù)硬盤數(shù)據(jù)有2種類型，一種直接在原始硬盤修改，一種是把讀出數(shù)據(jù)存儲(chǔ)到其他的硬盤上?；舅悸肪褪蔷褪歉鶕?jù)磁盤現(xiàn)有的信息最大限度的推斷出丟失的分區(qū)和文件系統(tǒng)系統(tǒng)的信息，把受損的文件和系統(tǒng)還原，所以如果信息損失太多，那么是不可能恢復(fù)數(shù)據(jù)的。比如錯(cuò)誤刪除一個(gè)文件后，隨即又拷貝了較大的文件過來，那么多半是被刪除的文件被新拷貝過來的文件所覆蓋，幾乎是無法恢復(fù)了。

一個(gè)常識(shí)就是，如果想要恢復(fù)數(shù)據(jù)，那么不要在出問題的磁盤上運(yùn)行scandisk或者Norton Disk Doctor等直接修復(fù)文件系統(tǒng)錯(cuò)誤的軟件，切記。

零磁道，MBR和分區(qū)表DPT：

零磁道處于硬盤上一個(gè)非常重要的位置，硬盤的主引導(dǎo)記錄區(qū)（MBR）就在這個(gè)位置上。零磁道一旦受損，將使硬盤的主引導(dǎo)程序和分區(qū)表信息遭到嚴(yán)重破壞，從而導(dǎo)致硬盤無法自舉。MBR：

當(dāng)通過Fdisk或其他分區(qū)工具對(duì)硬盤進(jìn)行分區(qū)時(shí)，分區(qū)軟件會(huì)在硬盤0柱面0磁頭1扇區(qū)建立MBR（Main Boot Record）,即為主引導(dǎo)記錄區(qū)，位于整個(gè)硬盤的第一個(gè)扇區(qū),在總共512字節(jié)的主引導(dǎo)扇區(qū)中，主引導(dǎo)程序只占用了其中的446個(gè)字節(jié)，64個(gè)字節(jié)交給了DPT(Disk Partition Table硬盤分區(qū)表),最后兩個(gè)字節(jié)（55 AA）屬于分區(qū)結(jié)束標(biāo)志。主引導(dǎo)程序的作用就是檢查分區(qū)表是否正確以及確定哪個(gè)分區(qū)為引導(dǎo)分區(qū)，并在程序結(jié)束時(shí)把該分區(qū)的啟動(dòng)程序調(diào)入內(nèi)存加以執(zhí)行。DPT：

分區(qū)表DPT（Disk Partition Table），把硬盤空間劃分為幾個(gè)獨(dú)立的連續(xù)的存儲(chǔ)空間，也就是分區(qū)。分區(qū)表DPT則以80H或00H為開始標(biāo)志，以55AAH為結(jié)束標(biāo)志。分區(qū)表決定了硬盤中的分區(qū)數(shù)量，每個(gè)分區(qū)的起始及終止扇區(qū)、大小以及是否為活動(dòng)分區(qū)等。

通過破壞DPT，即可輕易地?fù)p毀硬盤分區(qū)信息。分區(qū)表分為主分區(qū)表和擴(kuò)展分區(qū)表。

主分區(qū)表位于硬盤MBR的后部。從1BEH字節(jié)開始，共占用64個(gè)字節(jié)，包含四個(gè)分區(qū)表項(xiàng)，這也就是為什么一個(gè)磁盤的主分區(qū)和擴(kuò)展分區(qū)之和總共只能有四個(gè)的原因。每個(gè)分區(qū)表項(xiàng)的長度為16個(gè)字節(jié)，它包含一個(gè)分區(qū)的引導(dǎo)標(biāo)志、系統(tǒng)標(biāo)志、起始和結(jié)尾的柱面號(hào)、扇區(qū)號(hào)、磁頭號(hào)以及本分區(qū)前面的扇區(qū)數(shù)和本分區(qū)所占用的扇區(qū)數(shù)。其中”引導(dǎo)標(biāo)志”表明此分區(qū)是否可引導(dǎo)，即是否活動(dòng)分區(qū)。當(dāng)引導(dǎo)標(biāo)志為”80″時(shí)，此分區(qū)為活動(dòng)分區(qū)；”系統(tǒng)標(biāo)志”決定了該分區(qū)的類型，如”06″為DOS FAT16分區(qū)，”0b”為DOS FAT32分，”63″為UNIX分區(qū)等；起始和結(jié)尾的柱面號(hào)、扇區(qū)號(hào)、磁頭號(hào)指明了該分區(qū)的起始和終止位置。分區(qū)表項(xiàng)的16個(gè)字節(jié)分配如下： 第1字節(jié): 引導(dǎo)標(biāo)志

第2字節(jié): 起始磁頭

第3字節(jié): 低6位為起始扇區(qū), 高2位與第4字節(jié)為起始柱面 第4字節(jié): 起始柱面的低8位 第5字節(jié): 系統(tǒng)標(biāo)志 第6字節(jié): 終止磁頭

第7字節(jié): 低6位為終止扇區(qū), 高2位與第8字節(jié)為終止柱面 第8字節(jié): 終止柱面的低8位

第9-12字節(jié): 該分區(qū)前的扇區(qū)數(shù)目 第13-16字節(jié): 該分區(qū)占用的扇區(qū)數(shù)目

擴(kuò)展分區(qū)作為一個(gè)主分區(qū)占用了主分區(qū)表的一個(gè)表項(xiàng)。在擴(kuò)展分區(qū)起始位置所指示的扇區(qū)(即該分區(qū)的第一個(gè)扇區(qū))中，包含有第一個(gè)邏輯分區(qū)表，同樣從1BEH字節(jié)開始，每個(gè)分區(qū)表項(xiàng)占用16個(gè)字節(jié)。邏輯分區(qū)表一般包含兩個(gè)分區(qū)表項(xiàng)，一個(gè)指向當(dāng)前的邏輯分區(qū)，另一個(gè)則指向下一個(gè)擴(kuò)展分區(qū)。下一個(gè)擴(kuò)展分區(qū)的首扇區(qū)又包含了一個(gè)邏輯分區(qū)表，這樣以此類推，擴(kuò)展分區(qū)中就可以包含多個(gè)邏輯分區(qū)。為方便說明，我們把這一系列擴(kuò)展分區(qū)和邏輯分區(qū)分別編號(hào)，主擴(kuò)展分區(qū)為 1號(hào)擴(kuò)展分區(qū)，第一個(gè)邏輯分區(qū)表所包含的兩個(gè)分區(qū)分別標(biāo)為 1號(hào)邏輯分區(qū)和 2號(hào)擴(kuò)展分區(qū)，依次類推。

主分區(qū)表中的分區(qū)是主分區(qū)，而擴(kuò)展分區(qū)表中的是邏輯分區(qū)，并且只能存在一個(gè)擴(kuò)展分區(qū)。FS即文件系統(tǒng)，位于分區(qū)之內(nèi)，用于管理分區(qū)中文件的存儲(chǔ)以及各種信息，包括文件名字，大小，時(shí)間，實(shí)際占用的磁盤空間等。windows 目前常用的文件系統(tǒng)包括FAT12，F(xiàn)AT16，F(xiàn)AT32和NTFS系統(tǒng)。

DBR（Dos Boot Record）是*作系統(tǒng)引導(dǎo)記錄區(qū)。它位于硬盤的每個(gè)分區(qū)的第一個(gè)扇區(qū)，是*作系統(tǒng)可以直接訪問的第一個(gè)扇區(qū)，它一般包括一個(gè)位于該分區(qū)的*作系統(tǒng)的引導(dǎo)程序和相關(guān)的分區(qū)參數(shù)記錄表。

簇，是文件系統(tǒng)中最小的數(shù)據(jù)存儲(chǔ)單元，由若干個(gè)連續(xù)的扇區(qū)組成，硬盤的扇區(qū)的大小是512字節(jié)（幾乎是用于所有的硬盤），也就是既是一個(gè)字節(jié)的文件也要分配給它1個(gè)簇的空間，剩余的空間都被浪費(fèi)了，簇越小，那么對(duì)小文件的存儲(chǔ)的效率越高，簇越大，文件訪問的效率高，但是浪費(fèi)空間比較嚴(yán)重。FAT(file allocation table)即文件分配表，記錄了分區(qū)中簇的的使用情況，F(xiàn)AT表的大小與硬盤的分區(qū)的大小有關(guān)，為了數(shù)據(jù)安全起見，F(xiàn)AT一般做兩個(gè)，二FAT為第一FAT的備份，用于FAT12，F(xiàn)AT16，和FAT32文件系統(tǒng)。

DIR是DIRECTORY即根目錄區(qū)的簡寫，根目錄區(qū)存儲(chǔ)了文件系統(tǒng)的根目錄中的文件或者目錄的信息（包括文件的名字，大小，所在的磁盤空間等等），F(xiàn)AT12，F(xiàn)AT16的DIR緊接在第二FAT表之后，而FAT32的根目錄區(qū)可以在分區(qū)的任何一個(gè)簇。MFT（Master File Table）是NTFS中存儲(chǔ)有關(guān)文件的各種信息的數(shù)據(jù)結(jié)構(gòu)，包括文件的大小，時(shí)間，所占據(jù)的數(shù)據(jù)空間等等。

以FAT32為例，F(xiàn)AT32分區(qū)的的0－2扇區(qū)為FAT32文件系統(tǒng)的DBR即引導(dǎo)扇區(qū)，3－5扇區(qū)為0－2扇區(qū)的備份。6－31扇區(qū)為空，32扇區(qū)開始為第一個(gè)FAT表，F(xiàn)AT表的大小與硬盤的分區(qū)的大小有關(guān)。隨后是第2個(gè)FAT表，剩余的空間都是實(shí)際的文件所占用的，包括目錄和文件。FAT32文件系統(tǒng)的根目錄并不一定是數(shù)據(jù)區(qū)的第一個(gè)簇，它可以位于數(shù)據(jù)區(qū)的任何一個(gè)簇，這也是FAT32的根目錄大小不在受255個(gè)文件限制的原因，這也是FAT32的文件名可以支持長文件名的原因之一。

分區(qū)表丟失，表現(xiàn)為硬盤原先所有分區(qū)或者部分分區(qū)沒了，在磁盤管理器(winxp win2000 win2003)看到未分區(qū)的硬盤或者未分區(qū)的空間。有多種可能：

病毒，當(dāng)年的cih病毒會(huì)用無效的數(shù)據(jù)填充分區(qū)表和第一個(gè)分區(qū)的數(shù)據(jù)，這種情況下，從前面介紹的分區(qū)的性質(zhì)來看，c盤的數(shù)據(jù)很難恢復(fù)，而隨后d盤和e盤等分區(qū)的實(shí)際數(shù)據(jù)并沒有被破壞，而僅僅是分區(qū)表丟失而已，所以只要找到D盤和E盤等分區(qū)的正確的起始和結(jié)束位置，很容易恢復(fù)。

重新分區(qū)，使用fdisk對(duì)磁盤重新劃分空間分布，那么原來的分區(qū)表被新的分區(qū)表取代，這個(gè)時(shí)候，同樣是原來分區(qū)的數(shù)據(jù)沒有損壞，僅僅是分區(qū)表指向了不正確的位置。

誤刪除文件的恢復(fù)

誤刪除文件的恢復(fù)的原理是什么呢？為什么刪除文件后，又可以恢復(fù)回來？是不是所有的刪除的文件都可以恢復(fù)？

當(dāng)我們存儲(chǔ)一個(gè)文件的時(shí)候，*作系統(tǒng)首先在一個(gè)記錄所有空間使用情況的表格中，找到足夠容納我們的新文件的空間，然后把文件內(nèi)容寫到相對(duì)應(yīng)的硬盤扇區(qū)上，最后在表格中標(biāo)出該空間被占用了。

當(dāng)我們刪除一個(gè)文件的時(shí)候，一般并不對(duì)實(shí)際文件所占用的扇區(qū)進(jìn)行*作，而是僅僅在該表格中指明那些空間是空白的了，可以分配給別的文件使用。在這個(gè)時(shí)候，被刪除的文件的實(shí)際內(nèi)容并沒有受到破壞，可以恢復(fù)回來。如果我們刪除一個(gè)文件后，又重新創(chuàng)建了一個(gè)文件，那么被刪除文件所占用的扇區(qū)就有可能被新創(chuàng)建的文件所使用，這時(shí)候就無法恢復(fù)原來被刪除的文件了。所以一旦錯(cuò)誤的刪除了文件，必須注意的就是不要對(duì)該文件所在的分區(qū)進(jìn)行寫*作了，否則有可能覆蓋原來刪除的文件，從而導(dǎo)致數(shù)據(jù)無法恢復(fù)。

對(duì)于誤刪除的文件，我們有很多選擇，如finaldata,recover4all,easyrecovery，這些軟件使用很簡單，直接按照向?qū)У闹甘揪涂梢粤恕?/p>

下面介紹一種手工恢復(fù)被刪除數(shù)據(jù)的方法，特別是使用這種自動(dòng)化的方法恢復(fù)無效的時(shí)候，這種方法適合恢復(fù)有明顯特征的結(jié)構(gòu)簡單的文件，如文本文件，如果格式復(fù)雜，就需要寫一個(gè)類似的程序來恢復(fù)了。原理就是直接在分區(qū)中尋找被刪除的文件的內(nèi)容。

一個(gè)實(shí)例就是微軟公司的vc6，vc6的ide有一個(gè)bug，一直沒有修復(fù)，就是存儲(chǔ)寫好的程序代碼的時(shí)候，偶然會(huì)彈出一個(gè)對(duì)話框說無法存儲(chǔ)文件，這個(gè)時(shí)候必須再存一次才可以，如果你直接關(guān)閉vc6，就會(huì)發(fā)現(xiàn)剛才那個(gè)文件被刪除了（這個(gè)bug是微軟確認(rèn)的，一直到vc6的sp5補(bǔ)丁也沒有修復(fù)）。

我的一個(gè)朋友使用vc6的時(shí)候遇到了這個(gè)bug，而且他以為vc6出了問題，直接關(guān)閉了vc6，結(jié)果很費(fèi)勁才調(diào)試好的很長的一的文件就失蹤了。我首先試用了finaldata和easyrecovery，結(jié)果找出很多以前刪除的文件，就是沒有需要的。沒有辦法的情況下，只好使用強(qiáng)行搜索的方法了

1.運(yùn)行winhex，選擇tools菜單中的opendisk,選擇誤刪除的文件所在的邏輯盤c盤，2.選擇search菜單，使用find text命令，在打開的c盤上直接搜索程序代碼中的特征串“增加了處理Reg_Expand_SZ”，3.經(jīng)過一段時(shí)間后,把找到的代碼所在扇區(qū)的前后幾個(gè)扇區(qū)全部復(fù)制下來，拷貝到一個(gè)新的文件中，這樣就找回了原來的代碼。

對(duì)于恢復(fù)結(jié)構(gòu)性很強(qiáng)的文檔，如果自動(dòng)化的方式不起作用，可以寫一個(gè)小程序來搜索的同時(shí)加以判斷，或者直接利用winhex提供的接口寫一個(gè)腳本，如果數(shù)據(jù)很重要，這樣的手段也是很需要的。如果文件分散在分區(qū)的多個(gè)位置，還需要根據(jù)文檔的內(nèi)部結(jié)構(gòu)來重新組織文檔，才能徹底恢復(fù)數(shù)據(jù)。

誤格式化的原理也是非常類似，僅僅是快速格式化的時(shí)候，并沒有覆蓋原來的數(shù)據(jù)，所以可以恢復(fù)

第三篇：數(shù)據(jù)恢復(fù)保密協(xié)議

數(shù)據(jù)恢復(fù)保密協(xié)議

甲方：

乙方：中國人網(wǎng)絡(luò)數(shù)據(jù)恢復(fù)中心

一、服務(wù)內(nèi)容：

甲方委托乙方采用乙方掌握的相應(yīng)技術(shù)恢復(fù)甲方所需有用的數(shù)據(jù)，盡量降低因數(shù)據(jù)丟失給甲方造成的損失。乙方所做的全部工作將依據(jù)如下條款。這里所講的數(shù)據(jù)不包括操作系統(tǒng)和軟件環(huán)境。乙方對(duì)甲方提供的硬盤僅作鏡像操作，但仍需滿足甲方要求的數(shù)據(jù)恢復(fù)。

二、付款

甲方同意乙方在本協(xié)議條款的約束下進(jìn)行數(shù)據(jù)修復(fù)工作。甲方確認(rèn)恢復(fù)出的數(shù)據(jù)是自己需要的數(shù)據(jù)，并且只有對(duì)該數(shù)據(jù)進(jìn)行拷貝時(shí)，才支付服務(wù)費(fèi)，其它的一切情況不收取服務(wù)費(fèi)。

三、承諾條款

乙方不以任何形式和方式，向甲方提供任何百分之百的修復(fù)承諾。

四、保密條款：

甲方允許乙方使用該硬盤（或設(shè)備）中的任何信息用于數(shù)據(jù)恢復(fù)，乙方保證該信息的保密性，數(shù)據(jù)恢復(fù)之后，不論甲方是否拷貝數(shù)據(jù)，乙方都不能留下數(shù)據(jù)任何形式的備份。若因乙方原因造成甲方數(shù)據(jù)、信息泄漏，甲方有權(quán)追究乙方的法律責(zé)任。乙方不能以任何形式將甲方的相關(guān)信息加以披露。

五、免責(zé)條款：

甲方委托乙方修復(fù)的數(shù)據(jù)可能發(fā)生丟失，乙方不承擔(dān)甲方數(shù)據(jù)損壞的責(zé)任及由于甲方數(shù)據(jù)損壞所導(dǎo)致或引發(fā)的任何連帶責(zé)任，包括數(shù)據(jù)丟失，免除保修義務(wù)、商業(yè)損失、民事侵權(quán)或其他永久性損失及由此協(xié)議引起的偶發(fā)性、后續(xù)性、間接性損失。

六、不可預(yù)計(jì)的情況：

甲方和乙方承認(rèn)，本協(xié)議因以下情況而終止，雙方互不承擔(dān)違約責(zé)任：

a：不可抗性的災(zāi)害；如地震，火災(zāi)等、戰(zhàn)爭、騷亂。

b：硬件或軟件不可獲得或失效。

C：戰(zhàn)爭、騷亂乙方在恢復(fù)數(shù)據(jù)的過程中，如果因?yàn)橛脖P進(jìn)一步的自然損壞（比如最開始為壞道，后來讀數(shù)據(jù)造成硬盤故障進(jìn)一步的老化和損壞，最終磁頭損壞或不認(rèn)盤），或則由于其他外界原因(如突然停電)等造成硬盤的進(jìn)一步損壞而引起數(shù)據(jù)無法恢復(fù)。

七、恢復(fù)介質(zhì)保管條款：

在乙方通知甲方數(shù)據(jù)恢復(fù)成功完成后5天之內(nèi)或超過雙方最初約定領(lǐng)取存儲(chǔ)介質(zhì)、設(shè)備、數(shù)據(jù)的約定期限，乙方負(fù)責(zé)再次敦促提醒甲方領(lǐng)取數(shù)據(jù)和介質(zhì)。如果數(shù)據(jù)未恢復(fù)成功，乙方負(fù)責(zé)知會(huì)甲方并告訴實(shí)際情況。如果在乙方通知后超過一個(gè)月，甲方仍未前來領(lǐng)取，乙方將視甲方放棄介質(zhì)和介質(zhì)的數(shù)據(jù)恢復(fù)，可以對(duì)介質(zhì)做任何處理，并可刪除已恢復(fù)出來的任何數(shù)據(jù)。

八、本協(xié)議一經(jīng)雙方簽定即已生效：本協(xié)議自簽字蓋章之日起生效。

九、本協(xié)議一式二份，甲乙雙方各執(zhí)一份，均具同等法律效力。

甲方簽字：乙方簽字：

聯(lián)系電話：聯(lián)系電話：

日 期：日 期：

第四篇：數(shù)據(jù)恢復(fù)實(shí)習(xí)報(bào)告

實(shí)驗(yàn)一

FAT32數(shù)據(jù)存儲(chǔ)分析

一、實(shí)驗(yàn)內(nèi)容

1、使用磁盤軟件分析FAT32文件系統(tǒng)的分區(qū)引導(dǎo)扇區(qū)（DBR）、文件分配表（FAT)、文件目錄表（FDT）。

2、學(xué)會(huì)使用常見數(shù)據(jù)恢復(fù)軟件。

二、實(shí)驗(yàn)?zāi)康?/p>

1、進(jìn)一步掌握和了解FAT32文件格式；

2、掌握常見磁盤軟件的使用；

3、掌握常見數(shù)據(jù)恢復(fù)軟件的使用；

4、提高動(dòng)手操作能力。

三、實(shí)驗(yàn)要求

1、提前預(yù)習(xí)實(shí)驗(yàn)，認(rèn)真閱讀實(shí)驗(yàn)原理。

2、認(rèn)真高效的完成實(shí)驗(yàn)，實(shí)驗(yàn)過程中服從實(shí)驗(yàn)室管理人 員以及實(shí)驗(yàn)指導(dǎo)老師的管理。

3、認(rèn)真填寫實(shí)驗(yàn)報(bào)告。

四、實(shí)驗(yàn)所需工具

1、Winhex：一款優(yōu)秀的16進(jìn)制查看與編輯器。

2、Easyrecovery：一款優(yōu)秀的硬盤數(shù)據(jù)恢復(fù)工具，能夠幫你恢復(fù)丟失的數(shù)據(jù)。

五、實(shí)驗(yàn)原理

1、硬盤結(jié)構(gòu) 1.1硬盤物理結(jié)構(gòu) 硬盤存儲(chǔ)數(shù)據(jù)是根據(jù)電、磁轉(zhuǎn)換原理實(shí)現(xiàn)的。硬盤由一個(gè)或幾個(gè)表面鍍有磁性物質(zhì)的金屬或玻璃等物質(zhì)盤片以及盤片兩面所安裝的磁頭和相應(yīng)的控制電路組成(圖 1)，其中盤片和磁頭密封在無塵的金屬殼中。

數(shù)據(jù)恢復(fù)實(shí)習(xí)報(bào)告 圖 1 硬盤工作時(shí)，盤片以設(shè)計(jì)轉(zhuǎn)速高速旋轉(zhuǎn)，設(shè)置在盤片表面的磁頭則在電路控制下徑向移動(dòng)到指定位置然后將數(shù)據(jù)存儲(chǔ)或讀取出來。當(dāng)系統(tǒng)向硬盤寫入數(shù)據(jù)時(shí)，磁頭中“寫數(shù)據(jù)”電流產(chǎn)生磁場使盤片表面磁性物質(zhì)狀態(tài)發(fā)生改變，并在寫電流磁場消失后仍能保持，這樣數(shù)據(jù)就存儲(chǔ)下來了；當(dāng)系統(tǒng)從硬盤中讀數(shù)據(jù)時(shí)，磁頭經(jīng)過盤片指定區(qū)域，盤片表面磁場使磁頭產(chǎn)生感應(yīng)電流或線圈阻抗產(chǎn)生變化，經(jīng)相關(guān)電路處理后還原成數(shù)據(jù)。

1.2硬盤邏輯結(jié)構(gòu)

硬盤由很多盤片(platter)組成，每個(gè)盤片的每個(gè)面都有一個(gè)讀寫磁頭。如果有N個(gè)盤片。就有2N個(gè)面，對(duì)應(yīng)2N個(gè)磁頭(Heads)，從0、1、2開始編號(hào)。每個(gè)盤片被劃分成若干個(gè)同心圓磁道(邏輯上的，是不可見的。)每個(gè)盤片的劃分規(guī)則通常是一樣的。這樣每個(gè)盤片的半徑均為固定值R的同心圓再邏輯上形成了一個(gè)以電機(jī)主軸為軸的柱面(Cylinders)，從外至里編號(hào)為0、1、2……每個(gè)盤片上的每個(gè)磁道又被劃分為幾十個(gè)扇區(qū)(Sector)，通常的容量是512byte，并按照一定規(guī)則編號(hào)為1、2、3……形成Cylinders×Heads×Sector個(gè)扇區(qū)。

1.3、MBR(master boot record)扇區(qū)

計(jì)算機(jī)在按下POWER鍵以后，開始執(zhí)行主板BIOS程序。進(jìn)行完一系列檢測和配置以后。開始按BIOS中設(shè)定的系統(tǒng)引導(dǎo)順序引導(dǎo)系統(tǒng)。假定現(xiàn)在是硬盤。BIOS執(zhí)行完自己的程序后如何 把執(zhí)行權(quán)交給硬盤呢。交給硬盤后又執(zhí)行存儲(chǔ)在哪里的程序呢。其實(shí)，稱為MBR的一段代碼起著舉足輕重的作用。MBR(masterboot record),即主引導(dǎo)記錄，有時(shí)也稱主引導(dǎo)扇區(qū)。位于整個(gè)硬盤的0 柱面0磁頭1扇區(qū)(可以看作是硬盤的第一個(gè)扇區(qū))，BIOS在執(zhí)行自己固有的程序以后就會(huì)jump到MBR中的第一條指令。將系統(tǒng)的控制權(quán)交由MBR來執(zhí)行。在總共512byte的主引導(dǎo)記錄中，MBR的引導(dǎo)程序占了其中的前446 個(gè)字節(jié)(偏移0H~偏移1BDH)，隨后的64 個(gè)字節(jié)(偏移1BEH~偏移1FDH)為DPT(DiskPartitionTable，硬盤分區(qū)表)，最后的兩個(gè)字節(jié)“55 AA”(偏移1FEH~偏移1FFH)是分區(qū)有效結(jié)束標(biāo)志。

2、FAT32中各個(gè)組成的格式

其格式組織如下圖：

2.1引導(dǎo)扇區(qū)（DBR）

DBR區(qū)(DOS BOOT RECORD)即操作系統(tǒng)引導(dǎo)記錄區(qū)的意思，通常占用分區(qū)的第0扇區(qū)共512 個(gè)字節(jié)(特殊情況也要占用其它保留扇區(qū)，我們先說第0扇)。在這512 個(gè)字節(jié)中，其實(shí)又是由跳轉(zhuǎn)指令，廠商標(biāo)志和操作系統(tǒng)版本號(hào)，BPB(BIOS Parameter Block)，擴(kuò)展BPB，os引導(dǎo)程序，結(jié)束標(biāo)志幾部分組成。

2.2 文件分配表（FAT）

FAT 表(File Allocation Table 文件分配表)，是Microsoft 在FAT 文件，系統(tǒng)中用于磁盤數(shù)據(jù)(文件)索引和定位引進(jìn)的一種鏈?zhǔn)浇Y(jié)構(gòu)。假如把磁盤比作一本書，F(xiàn)AT 表可以認(rèn)為相當(dāng)于書中的目錄，而文件就是各個(gè)章節(jié)的內(nèi)容。但FAT 表的表示方法卻與目錄有很大的不同在FAT 文件系統(tǒng)中，文件的存儲(chǔ)依照FAT 表制定的簇鏈?zhǔn)綌?shù)據(jù)結(jié)構(gòu)來進(jìn)行。同時(shí)，F(xiàn)AT 文件系統(tǒng)將組織數(shù)據(jù)時(shí)使用的目錄也抽象為文件，以簡化對(duì)數(shù)據(jù)的管理。

2.3 文件目錄表（FDT）

文件目錄表是一個(gè)表示目錄的特殊類型文件（現(xiàn)今通常稱為文件夾）。它里面保存的每個(gè)文件或目錄使用表中的32位條目表示。每個(gè)條目記錄名字、擴(kuò)展名、屬性（檔案、目錄、隱藏、只讀、系統(tǒng)和卷）、創(chuàng)建的日期和時(shí)間、文件/目錄數(shù)據(jù)第一個(gè)簇的地址，最后是文件/目錄的大小。除了FAT12和FAT16文件系統(tǒng)中的根目錄表占據(jù)特殊的根目錄區(qū)域位置之外，所有其它的目錄表都存在數(shù)據(jù)區(qū)域。

3、FAT32的文件管理過程

當(dāng)把一部分磁盤空間格式化為fat文件系統(tǒng)時(shí)，fat文件系統(tǒng)就將這個(gè)分區(qū)當(dāng)成整塊可分配的區(qū)域進(jìn)行規(guī)劃，以便于數(shù)據(jù)的存儲(chǔ)。一般來講，其劃分形式如圖2所示：

數(shù)據(jù)恢復(fù)實(shí)習(xí)報(bào)告 圖 2

FAT 文件系統(tǒng)的目錄結(jié)構(gòu)其實(shí)是一顆有向的從根到葉的樹，這里提到的有向是指對(duì)于FAT 分區(qū)內(nèi)的任一文件(包括文件夾)，均需從根目錄尋址來找到?？梢赃@樣認(rèn)為：目錄存儲(chǔ)結(jié)構(gòu)的入口就是根目錄。FAT 文件系統(tǒng)根據(jù)根目錄來尋址其他文件(包括文件夾)，故而根目錄的位置必須在磁盤存取數(shù)據(jù)之前得以確定。FAT 文件系統(tǒng)就是根據(jù)分區(qū)的相關(guān)DBR參數(shù)與DBR 中存放的已經(jīng)計(jì)算好的FAT 表(2 份)的大小來確定的。格式化以后，根目錄的大小和位置其實(shí)都已經(jīng)確定下來了：位置緊隨FAT2之后，大小通常為32個(gè)扇區(qū)。根目錄之后便是數(shù)據(jù)區(qū)第2 簇。

FAT文件系統(tǒng)支持文件按名存取，當(dāng)需要訪問文件時(shí)，F(xiàn)AT文件系統(tǒng)首先根據(jù)文件目錄表（FDT）來獲得此文件的首簇號(hào)，然后再根據(jù)文件分配表（FAT）中的簇鏈關(guān)系來尋址、定位整個(gè)文件，最后實(shí)現(xiàn)文件的正確存取。

六、實(shí)驗(yàn)過程及結(jié)果

本實(shí)驗(yàn)是在win7系統(tǒng)上以及文件系統(tǒng)為FAT32的計(jì)算機(jī)上進(jìn)行。以下是實(shí)驗(yàn)過程：

1、利用winhex查看分區(qū)引導(dǎo)扇區(qū)（DBR）、文件分配表（FAT）、文件目錄表（DFT）.1.1打開winhex軟件以及分區(qū)F如下圖：

1.2查看F區(qū)詳細(xì)技術(shù)報(bào)告：

1.3 查看F區(qū)引導(dǎo)扇區(qū)：

引導(dǎo)扇區(qū)詳細(xì)內(nèi)容：

1.4查看F區(qū)的文件分配表

1.4.1 文件分配表一（FAT1）

1.4.2文件分配表備份（FAT2）

1.5查看文件目錄表（FDT）

1.6查看文件信息：

2、利用easyRecovery來恢復(fù).事先在D盤創(chuàng)建了一個(gè)測試用的txt文件，刪除后用easyRecovery進(jìn)行恢復(fù)。

2.1啟動(dòng)easyrecovy 主界面：

磁盤診斷功能：

數(shù)據(jù)恢復(fù)功能：

文件修復(fù)：

郵件修復(fù)：

下面只做數(shù)據(jù)恢復(fù)功能實(shí)驗(yàn)。

2.2選擇恢復(fù)的分區(qū)

選取數(shù)據(jù)恢復(fù)，選擇分區(qū)：

2.3顯示分區(qū)文件目錄：

2.3設(shè)置過濾條件：

2.4選擇：

2.5選擇恢復(fù)目地目錄：

2.6恢復(fù)報(bào)告：

2.7恢復(fù)結(jié)果：

十分成功的恢復(fù)了之前刪除的文本文檔，初步了解了easyrecovy的用法用途。

八、總結(jié)與感悟

本次實(shí)習(xí)主要是探討FAT32文件系統(tǒng)的數(shù)據(jù)存儲(chǔ)以及學(xué)會(huì)使用數(shù)據(jù)恢復(fù)軟件進(jìn)行磁盤的數(shù)據(jù)恢復(fù)，通過本次實(shí)習(xí)，我提高了自身的動(dòng)手能力，大大加深了對(duì)FAT32文件系統(tǒng)的理解，掌握了FAT32文件的原理；并學(xué)會(huì)了使用數(shù)據(jù)恢復(fù)軟件，提高了解決問題的能力。最后感謝老師對(duì)我們的指導(dǎo)！

第五篇：實(shí)訓(xùn)三：NTFS 文件系統(tǒng)和共享文件夾教案紙

廣西理工職業(yè)技術(shù)學(xué)院教案

【課堂引入】

總結(jié)上次實(shí)訓(xùn)情況，提出改進(jìn)措施。【提出任務(wù)】

1．使用 NTFS 文件系統(tǒng)實(shí)現(xiàn)磁盤限額 2．使用 NTFS 文件系統(tǒng)壓縮數(shù)據(jù)

3．使用 NTFS 文件系統(tǒng)中的 EFS 加密數(shù)據(jù)

4．練習(xí)創(chuàng)建、刪除共享文件夾、訪問共享文件夾、指定共享文件夾權(quán)限的方法 5．練習(xí)使用卷影副本恢復(fù)受到損壞的共享文件夾 6．驗(yàn)證用戶的有效權(quán)限 【實(shí)訓(xùn)環(huán)境】

安裝有 Windows Server 2003 操作系統(tǒng)的計(jì)算機(jī) 【實(shí)訓(xùn)步驟】

任務(wù) 1：NTFS 文件系統(tǒng)一、使用 NTFS 文件系統(tǒng)實(shí)現(xiàn)磁盤限額 1．分配默認(rèn)磁盤配額

（1）為驅(qū)動(dòng)器 c盤（必須是NTFS 分區(qū)）配置默認(rèn)的限額管理設(shè)置值：磁盤空間限度：2MB；磁盤空間警告信息：1MB（2）建新用戶 test，然后以 test 用戶登錄系統(tǒng)，向 data文件夾中分兩次拷貝數(shù)據(jù)，1MB<第一次<2MB，第二次>2MB，哪一次拷貝成功？哪一次沒成功？

注：在“配額”選項(xiàng)卡中，若選中了“用戶超出了配額限制時(shí)記錄事件”和“用戶超出了警告等級(jí)時(shí)記錄事件”，則可以在“事件查看器”（在“計(jì)算機(jī)管理”對(duì)話框中）中查看日志。

2．為某用戶指定磁盤配額（1）創(chuàng)建新用戶（student 學(xué)號(hào)）

（2）單擊磁盤的 “配額” 選項(xiàng)卡中的 “配額項(xiàng)” 按鈕，在打開的對(duì)話框中為用戶 “student學(xué)號(hào)”指定磁盤限額。

（3）然后以“student 學(xué)號(hào)”登錄計(jì)算機(jī)，測試所設(shè)磁盤配額。

二、使用 NTFS 文件系統(tǒng)壓縮數(shù)據(jù)

廣西理工職業(yè)技術(shù)學(xué)院教案

1．對(duì)文件夾 data 進(jìn)行啟用磁盤壓縮功能，以節(jié)省磁盤空間。

（1）向 data 文件夾中拷貝一些數(shù)據(jù)，打開文件夾的“屬性”對(duì)話框，查看其大小和所占空間值，并記錄下來。

（2）在“屬性”對(duì)話框中，單擊“高級(jí)”按鈕，啟用壓縮功能，將文件夾進(jìn)行壓縮。（3）右擊 data 文件夾，選擇“屬性”，查看其大小和所占空間值，比較前面記錄的數(shù)值。

2．采用其他顏色標(biāo)記啟用了壓縮功能的文件和文件夾

打開 “Windows 資源管理器”，通過“工具”—“文件夾選項(xiàng)”—“查看”，選擇“用交替的顏色顯示壓縮文件和文件夾”。

3．驗(yàn)證啟用 NTFS 文件系統(tǒng)壓縮功能的文件或文件夾在拷貝和移動(dòng)時(shí)的繼承性。

三、使用 NTFS 文件系統(tǒng)中的 EFS 加密數(shù)據(jù)

在 data 文件夾中新建文件 admin.txt，利用 EFS 加密 admin.txt 文件（1）以用戶 LocalUser1 登陸系統(tǒng)，對(duì) admin.txt 文件進(jìn)行加密

（2）以用戶 LocalUser2 登陸系統(tǒng)，試圖訪問 admin.txt 文件，看是否能夠打開任務(wù) 2：共享文件夾

一、使用共享文件夾共享文件

1． 在D 盤上創(chuàng)建一個(gè)文件夾 test，將該文件夾設(shè)為共享，在文件夾 test 內(nèi)新建文件 ab.txt 要求：

(1)共享名為“network學(xué)號(hào)”(2)允許同時(shí)連接 10 個(gè)用戶

(3)查看 data 共享文件夾的權(quán)限，并刪除 everyone組的完全控制權(quán)限(4)將完全控制權(quán)限指定給用戶“Administrator”和“Manager 學(xué)號(hào)”(5)用戶“LocalUser1”在任何時(shí)刻都不能更改此文件夾

2．分別通過“網(wǎng)上鄰居”、“運(yùn)行”對(duì)話框、“瀏覽器”、“映射網(wǎng)絡(luò)驅(qū)動(dòng)器”的方式訪問 相鄰計(jì)算機(jī)上所設(shè)置的共享文件夾

3．在相鄰計(jì)算機(jī)上以 Administrator 用戶訪問共享文件夾 test，進(jìn)行如下操作：打開 test 文件夾，新建文件夾，新建文件 cd.txt，打開文件 cd.txt，更改文件 cd.txt

廣西理工職業(yè)技術(shù)學(xué)院教案 的內(nèi)容，刪除文件cd.txt，是否成功？為什么？

4．在相鄰計(jì)算機(jī)上以 LocalUser1 用戶訪問共享文件夾 test，進(jìn)行如下操作：打開 test文件夾，新建文件夾，打開文件ab.txt，更改文件 ab.txt 的內(nèi)容，刪除文件 ab.txt，新建文件cd.txt，是否成功？為什么？在本機(jī)以 LocalUser1 登錄系統(tǒng)，執(zhí)行上述操作，完成思考題 3。

5．刪除 test 文件夾的共享功能，試圖通過其他計(jì)算機(jī)以上述 4 種方式（步驟 2）訪問 test 文件夾，是否能夠成功？

6．在D 盤上建立一個(gè)隱藏的共享文件夾，試圖通過其他計(jì)算機(jī)以上述 4種方式（步驟 2）訪問該文件夾，完成思考題 1。

7．新建 data 文件夾，將 data 文件夾共享，共享文件名為：test，完成思考題 2。

二、卷影副本

Windows Server 2003 網(wǎng)絡(luò)操作系統(tǒng),，提供的卷影副本服務(wù)功能可以對(duì)共享文件夾定期備份，一旦文件遭受損壞，在客戶端就能將共享文件恢復(fù)到原來的某一時(shí)刻狀態(tài)。1．啟用卷影副本服務(wù)。

在服務(wù)器端右擊共享文件夾所在的硬盤分區(qū)（注意：這個(gè)分區(qū)一定是 NTFS 文件系統(tǒng)），選擇“屬性”—“卷影副本”標(biāo)簽頁，在選項(xiàng)框中選擇該硬盤分區(qū)，然后點(diǎn)擊“啟用”按鈕。

2．調(diào)整創(chuàng)建副本文件時(shí)間間隔參數(shù)。

默認(rèn)情況下Windows Server 2003 卷影副本服務(wù)每天只能創(chuàng)建兩個(gè)副本，有時(shí)不能滿足我們的需要?？梢愿鶕?jù)需要設(shè)定創(chuàng)建副本的頻率： 在“卷影副本”標(biāo)簽頁中，點(diǎn)擊“設(shè)置”—“計(jì)劃”—“日程安排”—“高級(jí)”按鈕，在“高級(jí)計(jì)劃選項(xiàng)”對(duì)話框中選中“重復(fù)任務(wù)”選項(xiàng)，就可以對(duì)創(chuàng)建副本的時(shí)間間隔參數(shù)進(jìn)行設(shè)置了?？梢愿鶕?jù)文件的重要程度進(jìn)行設(shè)置。如設(shè)置為每“10 分鐘”產(chǎn)生一次副本，要注意，時(shí)間間隔參數(shù)不要設(shè)置得過小，否則會(huì)加重系統(tǒng)的負(fù)擔(dān)。

3．用戶使用卷影副本功能（還原受到破壞的共享文件夾）

（1）首先在客戶端要安裝卷影副本客戶端程序，它位于 Win2003 服務(wù)器的

“%systemroot%system32clientstwclientx86twcli32.msi”中，只支持Windows 2000（SP3 或更高版本）和 Windows XP 客戶操作系統(tǒng)。

廣西理工職業(yè)技術(shù)學(xué)院教案

（2）找到要還原的文件夾，右鍵點(diǎn)擊，選擇“屬性”，切換到“以前的版本”標(biāo)簽頁，接著在“文件夾版本”框中根據(jù)時(shí)間選擇一個(gè)你需要的副本文件，點(diǎn)擊“還原”按鈕，這樣該文件夾就恢復(fù)到原來的狀態(tài)了。

三、用戶的有效權(quán)限

通過為某一用戶配置共享權(quán)限和 NTFS 權(quán)限，理解這兩種權(quán)限是如何共同為網(wǎng)絡(luò)訪問文件夾提供安全性。三條規(guī)則：

● 權(quán)限最大法則（累加權(quán)限）： ● “拒絕”權(quán)限超越其他權(quán)限：

● 共享文件夾權(quán)限和 NTFS 權(quán)限取最嚴(yán)格的權(quán)限： 【小結(jié)】：

檢查實(shí)訓(xùn)完成情況，并抽查學(xué)生配置情況。當(dāng)場講解?！静贾米鳂I(yè)】

1．如何設(shè)置隱藏的共享文件夾？是否可以從網(wǎng)上鄰居登錄隱藏共享文件夾？ 2．設(shè)置共享文件夾時(shí)，共享名是否必須與文件夾的名字一致？ 3．共享文件夾的共享權(quán)限，對(duì)于本機(jī)訪問起作用嗎？ 4．共享文件夾的共享權(quán)限有幾種？哪幾種？

5．什么是卷影副本？它有什么功能？實(shí)現(xiàn)卷影副本功能對(duì)服務(wù)器端有什么要求（必須是什么操作系統(tǒng)和什么文件系統(tǒng)）？