用WinHex实现NTFS文件系统的数据恢复

第一篇：用WinHex实现NTFS文件系统的数据恢复

用WinHex实现NTFS文件系统的数据恢复

摘要 概括介绍NTFS文件系统结构、主文件表、文件记录,文件记录的相关属性,以及数据文件在磁盘文件数据区的定位。对NTFS文件系统的数据恢复做了分析研究,介绍使用磁盘编辑工具WinHex还原被彻底删除的文件数据。

关键词 WinHex;NTFS;数据恢复

中图分类号:TP319 文献标识码:B 文章编号:1671-489X(2009)24-0098-03

WinHex to Achieve with NTFS File System Data Recovery//Qi Qin

Abstract An overview of the structure of NTFS file system, master file table, file records, file records related to property, as well as data files in the disk file data of the targeted area.On NTFS file system data recovery analysis done, the use of WinHex disk editor to restore the deleted files were complete data.Key words WinHex;NTFS;data recovery

Author’s address Institute of Education Science and Technology, Xuzhou Institute of Technology, Xuzhou, Jiangsu, 221008, China

随着科技的进步,计算机教学已成为现代教育技术的主要技术手段,在教育教学中发挥着越来越重要的作用。在平时教学过程中,计算机可实现电子教案与板书演示、CAI辅助教学、联机测试等多种教学手段,在提高学生学习效率、扩充信息知识量、培养学习和动手能力等方面发挥着重要作用。而这些教学信息均以文件数据的形式存储在计算机中,一旦遇到系统故障、病毒攻击、误删除或格式化造成数据丢失,将影响教学活动的正常开展。

NTFS文件系统基于可恢复文件结构设计,在安全性和稳定性方面有显著优势,提供容错结构日志,为多用户设置限制的磁盘配额文件特性,对文件和文件夹有安全验证和数字加密,保护系统的安全,不易产生文件碎片,减少用户数据文件丢失或毁坏的危险。由于系统的优越性,NTFS已取代FAT成为当前主流文件系统。NTFS文件系统结构分析

NTFS文件系统的结构以卷为基础,卷由逻辑分区组成。卷以簇为最小存储管理单元,对磁盘空间和文件对象进行有机操作。簇的大小称卷因子,每簇可按需要分配1、2、4或8扇区,为簇2的幂且是整数倍,每扇区512字节,由操作系统建立分区时格式化生成。当分区空间超过2 G时,NTFS默认簇是8扇区。NTFS文件系统使用逻辑簇号和虚拟簇号对卷进行管理。逻辑簇号是对卷上所有簇进行顺序编号,虚拟簇号是对文件占用簇的编号,以便于引用文件中的数据。NTFS将卷定义为4个区域:分区引导扇区、主文件表、系统文件和文件数据区[1]。

分区引导扇区位于卷的首扇区,包括分区的引导程序和BIOS参数块(BPB),BPB表中的参数是在建立文件系统时由操作系统生成的,系统根据BPB中参数得到卷的重要信息,对分区引导扇区、主文件表、文件数据等进行卷逻辑地址定位。如果BPB参数丢失,NTFS无法完成数据的定位,文件系统将不能正常使用。

主文件表(MFT)是由一系列文件记录组成,与文件数据区中的文件相对应的关系数组,是NTFS的控制中心。NTFS通过文件记录来描述数据文件的各种属性并确定其在磁盘上的存储位置。MFT的前16个文件记录属于系统文件,称为元文件,用于存放系统的元数据。元文件在主文件表中地址固定不变,而对其他文件和文件夹的文件记录在主文件表中的地址则无具体要求。

文件记录由记录头、属性列表和结束标志组成。以“46 49 4C 45”为开始标志“,FF FF FF FF”为结束标志,大小为1 KB。NTFS将数据文件作为属性/属性值的集合来处理,属性的内容是属性值(流),由简单字符队列组成。NTFS并不对文件数据进行操作,而通过对属性流读写来对文件进行创建、读写、删除等操作。

当文件和文件夹的数据较小时,其所有属性和属性值都可直接存放在文件记录中,称为常驻属性。当文件或文件夹的属性太大而不能直接存放在文件记录中时,称为非常驻属性。NTFS将从主文件表之外的磁盘空间中为非常驻属性值分配存储区域,称为运行。运行主要说明文件在文件数据区簇的分配情况,由多个运行项组成,一个运行项包含一个虚拟簇号,是属性数据内部簇的顺序编号;一个逻辑簇号,是数据储存在磁盘上的位置;以及数据在磁盘上所占用空间的连续簇的数量[2]。利用文件的逻辑簇号和卷因子相乘得到文件在卷中的物理磁盘地址,NTFS通过这种方法对文件的数据区地址进行定位。实现NTFS文件系统的数据恢复主要思路

在NTFS文件系统中,磁盘上的所有数据都是文件,每个文件在主文件表中都有一个文件记录。在文件创建时,在主文件表中为文件生成一个文件记录;在文件删除或者系统格式化时,并没有破坏磁盘上文件的数据信息,而且文件记录也没有被删除,只是更改标志(偏移0x16H)的属性值,并回收文件所占用的空间。

实现NTFS文件系统的数据恢复,首先通过分区引导扇区的BPB表参数定位主文件表、文件的文件记录;分析文件记录以及记录中的属性,获取数据恢复时所需要的文件信息;确定文件的数据区地址;对删除文件进行恢复。

2.1 对主文件表和文件记录的定位由于文件是通过主文件表的文件记录来确定其在文件数据区的存储位置,因此首先要找到主文件表。主文件表卷起始逻辑地址=卷因子*当前卷的主文件表逻辑簇号。通过卷的引导扇区的BPB参数,可获取主文件表和卷因子信息。分区引导扇区开始偏移0xDH为卷因子,即每簇扇区数;偏移0x30H为主文件表在当前卷的逻辑地址。

2.2 文件记录属性分析文件记录属性有标准属性、文件名属性、数据流属性、位图属性等类型[3]。记录头偏移0x16H处为文件使用标志,文件系统通过标志判断文件的当前使用状态。当文件删除时,NTFS并不删除文件记录,仅更改文件记录的使用标志值。00表示文件已删除,01表示文件正常使用,02表示文件夹已删除,03表示文件夹正常使用。

文件名属性的类型为30H,是常驻属性,用于存储文件名。需要注意的是,NTFS的文件名采用Unincode字符集,可支持中文和长文件名,当文件名含有超过传统DOS“8.3”的长文件名时,文件记录会有2个30H的文件名属性,第1个是与DOS兼容的短文件名,第2个是完整的长文件名。通过30H属性判断是否为所需要恢复的文件。

数据流属性的类型为80H,其中包含有非常驻标识、起始虚拟簇号、结束虚拟簇号、运行的偏移、数据的运行项等内容。通过分析数据流属性中运行的逻辑簇号和虚拟簇号,来对文件在文件数据区定位。

2.3 文件数据区的定位数据流属性的开头为“80 00 00 00”,从属性头开始第5个字节起的4个字节表示属性的长度。第8个字节是非常驻标识,如果该值是0,为常驻属性,表示数据流存储在文件记录中,可在文件记录中对数据直接进行提取操作;如果该值为1,说明数据存储在运行中。第17到24字节共8个字节表示起始虚拟簇号,第25到32字节共8个字节表示结束虚拟簇号。第33字节表示运行的偏移地址,一般为40H,即从属性头偏移64字节。从运行的偏移处读出数据运行项。在运行中说明各运行项的起始逻辑簇号和该运行项占用的簇数,从而可以定位每一个数据运行,对文件的数据进行提取操作。

2.4 保存恢复文件通过分析运行项,获取文件在文件数据区起始和结束逻辑扇区地址,直接提取磁盘扇区上的二进制代码,并将数据保存到其他卷上。用WinHex数据恢复实例

WinHex是一款优秀的16进制磁盘编辑软件,有完善的分区和文件管理功能,能编辑物理磁盘或逻辑磁盘的任意扇区,可以编辑文件的二进制代码(用16进制显示),是数据恢复的一个重要工具。

在卷E中存入一个名为xyzzyx.rar的压缩文件。按Shift+Delete组合键,彻底删除xyzzyx.rar文件。删除文件后,注意不要对E盘进行写入操作,也不要对磁盘进行碎片整理、磁盘错误扫描等操作。下面介绍实现方法。

1)启动WinHex软件。点击“Tool”菜单,选择“Open Disk”菜单项,打开卷E。首先定位主文件表,单击“Go To Sector”按钮,输入“0”,跳转至分区引导扇区。从BPB表开始偏移0x30H～0x38H处的值为00000C00H,偏移0xDH处的值为08H。则主文件表的起始逻辑地址为C0000*08=600000H

单击工具栏上“Go To Offset”按钮,在“New position”对话框中输入主文件表的偏移地址“600000”,位置类型选择“Sectors”,在“relative to”复选框中选择“beginning”,单击确定跳转至主文件表。

单击工具栏上“Find text”,在文本框中输入要搜索的文件名“xyzzyx.rar”,NTFS里面文件名是用Unincode字符集来表示的,编码类型选择“Unincode”,搜索方向选择“Down”。

2)经过搜索后,光标停在记录的文件名属性位置上。通过分析30H的文件名属性,可以看到文件名是“xyzzyx.rar”,确认是要恢复的文件。从记录头偏移0x16处使用标志值为00,表示文件已被删除。

接着分析80H的数据流属性,偏移0xC029DD38处表示此文件为非常驻属性。0xC029DD50为运行的偏移值40H,即从第64个字节开始,偏移0xC029DD70～0xC029DD75为数据运行,只有一个运行项32 D1 04 E0 AE 69。0x32H表示该运行项为3字节的偏移,2字节的文件长度。文件长度为04D1H,即虚拟簇号。文件的起始逻辑簇号为69AEE0H。通过计算可知“xyzzyx.rar”文件的起始逻辑扇区地址为69AEE0H*8=34D7700H,结束逻辑扇区地址为(69AEE0H+04D1H)*8=69B3B1H*8=34D9D88H。

3)单击工具栏上“Go To Offset”按钮,在“New position”对话框中输入文件的起始逻辑扇区地址“34D7700”,位置类型选择“Sectors”,在“relative to”复选框中选择“beginning”,单击确定跳转。光标在二进制代码“52 61 72 21 1A 07 00 CF”处停下,看右面字符集可知是Rar的ASCII码,确定是压缩文件的开头标志。单击鼠标右键选择“Beginning of block”,定义文件的数据区开始。

再单击工具栏上“Go To Offset”按钮,输入文件的结束逻辑扇区地址“34D9D88”,确定转到后的新位置即为该文件数据的结束,单击鼠标右键选择“End of block”。

4)依次选择“EDITCopy BlockInto New File”,输入文件名“xyzzyx.rar”,保存在桌面,点击确定完成操作,在桌面上即可看见所恢复的文件。结束语

本文对NTFS文件系统的结构、主文件表、文件记录等进行概括性介绍,并对文件记录的文件名属性和数据流属性进行分析,提出NTFS文件系统下数据恢复的实现思路,介绍使用WinHex实现NTFS文件系统的数据恢复的具体方法。应用此方法,可以在数据没有被覆盖的情况下,快速查找被删除数据文件的文件记录,并进行卷逻辑地址的精确定位,使数据恢复更为方便、高效。本方法也适用于NTFS文件系统误高级格式化的数据恢复。

参考文献

[1]戴士剑,陈永红.数据恢复技术[M].北京:电子工业出版社,2003

[2]居锦武,王兰英.NTFS文件系统剖析[J].计算机工程设计,2007(11)

[3]File Attributes Defined by NTFS[EB/OL].http://

第二篇：数据恢复基础知识

数据恢复基础知识

计算机上只有数据是最关键的，数据的丢失才是最大的损失。下面我来讲解一些数据恢复的基本知识。

首先申明一点，对于重要数据，备份数据才是防止数据丢失的根本方法，而数据恢复依赖于很多因素，很难完全恢复数据，一般是仅仅可以恢复部分数据。

数据恢复就是找回丢失的数据，例如彻底删除某个文件或文件夹，重新格式化磁盘，重新分区磁盘等等都会造成数据的丢失。更严重的数据丢失是存储介质硬件损坏，例如，硬盘不小心摔坏了、硬盘根本就不认了、硬盘有大量坏道等等。最值得注意的一点是，一旦意识到数据丢失了，立刻停止一些不必要的*作，误删、误格后，不要再往磁盘里写数据了！磁盘摔坏后，不要再加电了！磁盘出现坏道读不出来，不要反复读盘了等等。

硬盘故障大致可分为硬故障和软故障两大类。硬故障即PCBA板损坏、盘片划伤、芯片及其它原器件烧坏、断针断线、磁头音圈电机损坏等，是由于硬盘自身的机械零件或电子元器件损坏而引起。剧烈的震动、频繁开关机、电路短路、供电电压不稳定等比较容易引发硬盘物理性故障，硬件故障一般表现为CMOS不认硬盘，常有一种“咔嚓咔嚓”的磁组撞击声或电机不转、通电后无任何声音、磁头不对造成读写错误等现象，对上面描述的大部分情况，一般都要送到专门的数据恢复中心检测和恢复数据。硬盘软故障即硬盘数据结构由于某种原因，比如说病毒导致硬盘数据结构混乱甚至不可被识别而形成的故障。一般来说，主板BIOS硬盘自动检测（IDE HDD AUTO DETECTION）功能能够检测到硬盘参数，均为软故障。一般情况下，硬盘在发生故障时系统会在屏幕上显示一些提示信息，所以我们可以按照屏幕显示的提示信息找到故障原因，有针对性地实施解决方案。软故障包括误分区、误格式化、误删除、误克隆、MBR丢失、BOOT扇区丢失、病毒破坏、黑客攻击、分区信息丢失、RAID0磁盘阵列、RAID1磁盘阵列、RAID5磁盘阵列失效等因素造成的数据丢失。硬盘软故障相对于物理故障来说，更容易修复些，而它对数据的损坏程序也比硬盘物理故障来得轻些。

下面主要说明一下硬盘发生软故障后数据恢复的大概方法，部分原理可以用于优盘，光盘等的数据恢复。

基础知识-硬盘, 分区和文件系统的介绍

硬盘内部结构

关于硬盘结构的文章已经非常多了，不过真正要说清楚的话，就算专门出一本书也说不完，因此这里就不再从头细细讲述了。

硬盘最基本的组成部分是由坚硬金属材料制成的涂以磁性介质的盘片，不同容量硬盘的盘片数不等。每个盘片有两面，都可记录信息。盘片被分成许多扇形的区域，每个区域叫一个扇区，每个扇区可存储128×2的N次方（N＝0.1.2.3）字节信息。在DOS中每扇区是128×2的2次方＝512字节，盘片表面上以盘片中心为圆心，不同半径的同心圆称为磁道。硬盘中，不同盘片相同半径的磁道所组成的圆柱称为柱面。磁道与柱面都是表示不同半径的圆，在许多场合，磁道和柱面可以互换使用，我们知道，每个磁盘有两个面，每个面都有一个磁头，习惯用磁头号来区分。扇区，磁道（或柱面）和磁头数构成了硬盘结构的基本参数。在老式硬盘中，采用的都是这种比较古老的CHS（Cylinder/Head/Sector）结构体系。因为很久以前，在硬盘的容量还非常小的时候，人们采用与软盘类似的结构生产硬盘。也就是硬盘盘片的每一条磁道都具有相同的扇区数，由此产生了所谓的3D参数（Disk Geometry），即是磁头数（Heads）、柱面数（Cylinders）、扇区数（Sectors）以及相应的3D寻址方式。对于现在的新硬盘来说，都已经全部不采用这样的结构，而是采用了更加科学的结构方式，目前的硬盘都是线性寻址也就是直接使用扇区号来访问硬盘，137G以下的硬盘使用32位整数作为扇区号，而137G以上的硬盘使用48位整数作为扇区号。CHS结构体系

其中：磁头数表示硬盘总共有几个磁头，也就是有几面盘片，最大为255（用8个二进制位存储）；柱面数表示硬盘每一面盘片上有几条磁道，最大为1023（用10个二进制位存储）；扇区数表示每一条磁道上有几个扇区，最大为63（用6个二进制位存储）；每个扇区一般是512个字节，理论上讲你可以取任何一个你喜欢的数值，但好像至今还没有发现取别的值的。所以磁盘最大容量为：

255×1023×63×512/1048576＝8024MB（1M＝1048576Bytes）或硬盘厂商常用的单位：

255×1023×63×512/1000000＝8414MB（1M＝1000000Bytes）

由于在老式硬盘的CHS结构体系中，每个磁道的扇区数相等，所以外道的记录密度要远低于内道，因此会浪费很多磁盘空间（软盘也是一样）。为了进一步提高硬盘容量，现在硬盘厂商都改用等密度结构生产硬盘。这也就是说，每个扇区的磁道长度相等，外圈磁道的扇区比内圈磁道多。采用这种结构后，硬盘不再具有实际的3D参数，寻址方式也改为线性寻址，即以扇区为单位进行寻址。而为了与使用3D寻址的老软件兼容（如使用BIOSInt13H接口的软件），厂商通常在硬盘控制器内部安装了一个地址翻译器，由它负责将老式3D参数翻译成新的线性参数。这也是为什么现在硬盘的3D参数可以有多种选择的原因（不同的工作模式可以对应不同的3D参数，如LBA、LARGE、NORMAL）。而随着磁盘密度的增加、机构的进一步复杂、功能和速度上的提高，如今的硬盘都会在磁盘里面划分出一个容量比较大的，称为“系统保留区”的区域，用于储存硬盘的各种信息、参数和控制程序，有的甚至把硬盘的Fireware也做到了系统保留区里面（原来这些信息都是储存在硬盘控制电路板的芯片上的）。这样虽然可以进一步简化生产的流程，加快生产速度和降低生产成本，但是从另一方面，却又大大增加了硬盘出现致命性损坏的几率和缩短了硬盘的使用寿命。

恢复数据的原理和方法

发觉硬盘故障，需要恢复数据的时候，第一步所要做的就是检测，判断磁盘的故障原因和数据损坏程度

只有明确磁盘的损坏程度和故障原因，才能采取正确的步骤恢复数据：

硬盘内部故障，表现形式一般是CMOS不能识别硬盘，硬盘异响，那么可能的故障原因物理磁道损坏、内电路芯片击穿、磁头损坏等等，可以采用的修复手段有：内电路检修、在超净间内打开盘腔修复，这种情况只能送到专业的数据恢复公司。

硬盘外电路故障，如果CMOS不能识别硬盘，硬盘无异响，那么可能的故障原因是外电路板损坏、芯片击穿、电压不稳烧毁等等，可以采取的手段是外电路检修，或者更换相同型号的硬盘的电路板，一般需要送到专业的数据恢复公司。

软故障，如果CMOS能识别硬盘，一般是硬盘软故障，破坏原因一般是系统错误造成数据丢失，误分区、误删除、误克隆、软件冲突、病毒破坏等等，可以采用的方法有专用数据恢复软件或者人工方式。

下面具体讲解软故障的数据恢复方法 1.确认数据丢失的故障原因

1.硬盘数据丢失，故障原因包括：

病毒破坏,误克隆,硬盘误格式化，分区表失丢，误删除文件，移动硬盘盘符认不出来(无法读取其中数据，硬盘零磁道损坏),硬盘误分区，盘片逻辑坏区，硬盘存在物理坏区。

2.文档数据损坏,如Office 系列数据文件损坏，Zip、MPEG、asf、RM 等文件数据损坏。

2.根据故障原因，采用相应的手段和步骤

1.备份数据，根据数据的重要程度，决定是否需要备份数据，备份数据的一般步骤是

1.卸下损坏硬盘，接到另外一台完好的机器，注意新机器上有足够的硬盘空间备份

2.使用ghost的原始模式（raw），一个扇区一个扇区的把损坏磁盘备份到一个镜像文件中。如果硬盘上有物理坏道，最好是采用ghost的方式制作一个磁盘镜像，然后所有的*作都在磁盘镜像上进行，这样可以最大限度的保护原始磁盘不被进一步损坏，可以最大限度的恢复数据。——我猜想作者是说把磁盘内容克龙到另一块磁盘上做恢复的做作，以避免在原磁盘的写*作。

3.修复硬盘数据。修复硬盘数据有2种类型，一种直接在原始硬盘修改，一种是把读出数据存储到其他的硬盘上。基本思路就是就是根据磁盘现有的信息最大限度的推断出丢失的分区和文件系统系统的信息，把受损的文件和系统还原，所以如果信息损失太多，那么是不可能恢复数据的。比如错误删除一个文件后，随即又拷贝了较大的文件过来，那么多半是被删除的文件被新拷贝过来的文件所覆盖，几乎是无法恢复了。

一个常识就是，如果想要恢复数据，那么不要在出问题的磁盘上运行scandisk或者Norton Disk Doctor等直接修复文件系统错误的软件，切记。

零磁道，MBR和分区表DPT：

零磁道处于硬盘上一个非常重要的位置，硬盘的主引导记录区（MBR）就在这个位置上。零磁道一旦受损，将使硬盘的主引导程序和分区表信息遭到严重破坏，从而导致硬盘无法自举。MBR：

当通过Fdisk或其他分区工具对硬盘进行分区时，分区软件会在硬盘0柱面0磁头1扇区建立MBR（Main Boot Record）,即为主引导记录区，位于整个硬盘的第一个扇区,在总共512字节的主引导扇区中，主引导程序只占用了其中的446个字节，64个字节交给了DPT(Disk Partition Table硬盘分区表),最后两个字节（55 AA）属于分区结束标志。主引导程序的作用就是检查分区表是否正确以及确定哪个分区为引导分区，并在程序结束时把该分区的启动程序调入内存加以执行。DPT：

分区表DPT（Disk Partition Table），把硬盘空间划分为几个独立的连续的存储空间，也就是分区。分区表DPT则以80H或00H为开始标志，以55AAH为结束标志。分区表决定了硬盘中的分区数量，每个分区的起始及终止扇区、大小以及是否为活动分区等。

通过破坏DPT，即可轻易地损毁硬盘分区信息。分区表分为主分区表和扩展分区表。

主分区表位于硬盘MBR的后部。从1BEH字节开始，共占用64个字节，包含四个分区表项，这也就是为什么一个磁盘的主分区和扩展分区之和总共只能有四个的原因。每个分区表项的长度为16个字节，它包含一个分区的引导标志、系统标志、起始和结尾的柱面号、扇区号、磁头号以及本分区前面的扇区数和本分区所占用的扇区数。其中”引导标志”表明此分区是否可引导，即是否活动分区。当引导标志为”80″时，此分区为活动分区；”系统标志”决定了该分区的类型，如”06″为DOS FAT16分区，”0b”为DOS FAT32分，”63″为UNIX分区等；起始和结尾的柱面号、扇区号、磁头号指明了该分区的起始和终止位置。分区表项的16个字节分配如下： 第1字节: 引导标志

第2字节: 起始磁头

第3字节: 低6位为起始扇区, 高2位与第4字节为起始柱面 第4字节: 起始柱面的低8位 第5字节: 系统标志 第6字节: 终止磁头

第7字节: 低6位为终止扇区, 高2位与第8字节为终止柱面 第8字节: 终止柱面的低8位

第9-12字节: 该分区前的扇区数目 第13-16字节: 该分区占用的扇区数目

扩展分区作为一个主分区占用了主分区表的一个表项。在扩展分区起始位置所指示的扇区(即该分区的第一个扇区)中，包含有第一个逻辑分区表，同样从1BEH字节开始，每个分区表项占用16个字节。逻辑分区表一般包含两个分区表项，一个指向当前的逻辑分区，另一个则指向下一个扩展分区。下一个扩展分区的首扇区又包含了一个逻辑分区表，这样以此类推，扩展分区中就可以包含多个逻辑分区。为方便说明，我们把这一系列扩展分区和逻辑分区分别编号，主扩展分区为 1号扩展分区，第一个逻辑分区表所包含的两个分区分别标为 1号逻辑分区和 2号扩展分区，依次类推。

主分区表中的分区是主分区，而扩展分区表中的是逻辑分区，并且只能存在一个扩展分区。FS即文件系统，位于分区之内，用于管理分区中文件的存储以及各种信息，包括文件名字，大小，时间，实际占用的磁盘空间等。windows 目前常用的文件系统包括FAT12，FAT16，FAT32和NTFS系统。

DBR（Dos Boot Record）是*作系统引导记录区。它位于硬盘的每个分区的第一个扇区，是*作系统可以直接访问的第一个扇区，它一般包括一个位于该分区的*作系统的引导程序和相关的分区参数记录表。

簇，是文件系统中最小的数据存储单元，由若干个连续的扇区组成，硬盘的扇区的大小是512字节（几乎是用于所有的硬盘），也就是既是一个字节的文件也要分配给它1个簇的空间，剩余的空间都被浪费了，簇越小，那么对小文件的存储的效率越高，簇越大，文件访问的效率高，但是浪费空间比较严重。FAT(file allocation table)即文件分配表，记录了分区中簇的的使用情况，FAT表的大小与硬盘的分区的大小有关，为了数据安全起见，FAT一般做两个，二FAT为第一FAT的备份，用于FAT12，FAT16，和FAT32文件系统。

DIR是DIRECTORY即根目录区的简写，根目录区存储了文件系统的根目录中的文件或者目录的信息（包括文件的名字，大小，所在的磁盘空间等等），FAT12，FAT16的DIR紧接在第二FAT表之后，而FAT32的根目录区可以在分区的任何一个簇。MFT（Master File Table）是NTFS中存储有关文件的各种信息的数据结构，包括文件的大小，时间，所占据的数据空间等等。

以FAT32为例，FAT32分区的的0－2扇区为FAT32文件系统的DBR即引导扇区，3－5扇区为0－2扇区的备份。6－31扇区为空，32扇区开始为第一个FAT表，FAT表的大小与硬盘的分区的大小有关。随后是第2个FAT表，剩余的空间都是实际的文件所占用的，包括目录和文件。FAT32文件系统的根目录并不一定是数据区的第一个簇，它可以位于数据区的任何一个簇，这也是FAT32的根目录大小不在受255个文件限制的原因，这也是FAT32的文件名可以支持长文件名的原因之一。

分区表丢失，表现为硬盘原先所有分区或者部分分区没了，在磁盘管理器(winxp win2000 win2003)看到未分区的硬盘或者未分区的空间。有多种可能：

病毒，当年的cih病毒会用无效的数据填充分区表和第一个分区的数据，这种情况下，从前面介绍的分区的性质来看，c盘的数据很难恢复，而随后d盘和e盘等分区的实际数据并没有被破坏，而仅仅是分区表丢失而已，所以只要找到D盘和E盘等分区的正确的起始和结束位置，很容易恢复。

重新分区，使用fdisk对磁盘重新划分空间分布，那么原来的分区表被新的分区表取代，这个时候，同样是原来分区的数据没有损坏，仅仅是分区表指向了不正确的位置。

误删除文件的恢复

误删除文件的恢复的原理是什么呢？为什么删除文件后，又可以恢复回来？是不是所有的删除的文件都可以恢复？

当我们存储一个文件的时候，*作系统首先在一个记录所有空间使用情况的表格中，找到足够容纳我们的新文件的空间，然后把文件内容写到相对应的硬盘扇区上，最后在表格中标出该空间被占用了。

当我们删除一个文件的时候，一般并不对实际文件所占用的扇区进行*作，而是仅仅在该表格中指明那些空间是空白的了，可以分配给别的文件使用。在这个时候，被删除的文件的实际内容并没有受到破坏，可以恢复回来。如果我们删除一个文件后，又重新创建了一个文件，那么被删除文件所占用的扇区就有可能被新创建的文件所使用，这时候就无法恢复原来被删除的文件了。所以一旦错误的删除了文件，必须注意的就是不要对该文件所在的分区进行写*作了，否则有可能覆盖原来删除的文件，从而导致数据无法恢复。

对于误删除的文件，我们有很多选择，如finaldata,recover4all,easyrecovery，这些软件使用很简单，直接按照向导的指示就可以了。

下面介绍一种手工恢复被删除数据的方法，特别是使用这种自动化的方法恢复无效的时候，这种方法适合恢复有明显特征的结构简单的文件，如文本文件，如果格式复杂，就需要写一个类似的程序来恢复了。原理就是直接在分区中寻找被删除的文件的内容。

一个实例就是微软公司的vc6，vc6的ide有一个bug，一直没有修复，就是存储写好的程序代码的时候，偶然会弹出一个对话框说无法存储文件，这个时候必须再存一次才可以，如果你直接关闭vc6，就会发现刚才那个文件被删除了（这个bug是微软确认的，一直到vc6的sp5补丁也没有修复）。

我的一个朋友使用vc6的时候遇到了这个bug，而且他以为vc6出了问题，直接关闭了vc6，结果很费劲才调试好的很长的一的文件就失踪了。我首先试用了finaldata和easyrecovery，结果找出很多以前删除的文件，就是没有需要的。没有办法的情况下，只好使用强行搜索的方法了

1.运行winhex，选择tools菜单中的opendisk,选择误删除的文件所在的逻辑盘c盘，2.选择search菜单，使用find text命令，在打开的c盘上直接搜索程序代码中的特征串“增加了处理Reg_Expand_SZ”，3.经过一段时间后,把找到的代码所在扇区的前后几个扇区全部复制下来，拷贝到一个新的文件中，这样就找回了原来的代码。

对于恢复结构性很强的文档，如果自动化的方式不起作用，可以写一个小程序来搜索的同时加以判断，或者直接利用winhex提供的接口写一个脚本，如果数据很重要，这样的手段也是很需要的。如果文件分散在分区的多个位置，还需要根据文档的内部结构来重新组织文档，才能彻底恢复数据。

误格式化的原理也是非常类似，仅仅是快速格式化的时候，并没有覆盖原来的数据，所以可以恢复

第三篇：数据恢复保密协议

数据恢复保密协议

甲方：

乙方：中国人网络数据恢复中心

一、服务内容：

甲方委托乙方采用乙方掌握的相应技术恢复甲方所需有用的数据，尽量降低因数据丢失给甲方造成的损失。乙方所做的全部工作将依据如下条款。这里所讲的数据不包括操作系统和软件环境。乙方对甲方提供的硬盘仅作镜像操作，但仍需满足甲方要求的数据恢复。

二、付款

甲方同意乙方在本协议条款的约束下进行数据修复工作。甲方确认恢复出的数据是自己需要的数据，并且只有对该数据进行拷贝时，才支付服务费，其它的一切情况不收取服务费。

三、承诺条款

乙方不以任何形式和方式，向甲方提供任何百分之百的修复承诺。

四、保密条款：

甲方允许乙方使用该硬盘（或设备）中的任何信息用于数据恢复，乙方保证该信息的保密性，数据恢复之后，不论甲方是否拷贝数据，乙方都不能留下数据任何形式的备份。若因乙方原因造成甲方数据、信息泄漏，甲方有权追究乙方的法律责任。乙方不能以任何形式将甲方的相关信息加以披露。

五、免责条款：

甲方委托乙方修复的数据可能发生丢失，乙方不承担甲方数据损坏的责任及由于甲方数据损坏所导致或引发的任何连带责任，包括数据丢失，免除保修义务、商业损失、民事侵权或其他永久性损失及由此协议引起的偶发性、后续性、间接性损失。

六、不可预计的情况：

甲方和乙方承认，本协议因以下情况而终止，双方互不承担违约责任：

a：不可抗性的灾害；如地震，火灾等、战争、骚乱。

b：硬件或软件不可获得或失效。

C：战争、骚乱乙方在恢复数据的过程中，如果因为硬盘进一步的自然损坏（比如最开始为坏道，后来读数据造成硬盘故障进一步的老化和损坏，最终磁头损坏或不认盘），或则由于其他外界原因(如突然停电)等造成硬盘的进一步损坏而引起数据无法恢复。

七、恢复介质保管条款：

在乙方通知甲方数据恢复成功完成后5天之内或超过双方最初约定领取存储介质、设备、数据的约定期限，乙方负责再次敦促提醒甲方领取数据和介质。如果数据未恢复成功，乙方负责知会甲方并告诉实际情况。如果在乙方通知后超过一个月，甲方仍未前来领取，乙方将视甲方放弃介质和介质的数据恢复，可以对介质做任何处理，并可删除已恢复出来的任何数据。

八、本协议一经双方签定即已生效：本协议自签字盖章之日起生效。

九、本协议一式二份，甲乙双方各执一份，均具同等法律效力。

甲方签字：乙方签字：

联系电话：联系电话：

日 期：日 期：

第四篇：数据恢复实习报告

实验一

FAT32数据存储分析

一、实验内容

1、使用磁盘软件分析FAT32文件系统的分区引导扇区（DBR）、文件分配表（FAT)、文件目录表（FDT）。

2、学会使用常见数据恢复软件。

二、实验目的

1、进一步掌握和了解FAT32文件格式；

2、掌握常见磁盘软件的使用；

3、掌握常见数据恢复软件的使用；

4、提高动手操作能力。

三、实验要求

1、提前预习实验，认真阅读实验原理。

2、认真高效的完成实验，实验过程中服从实验室管理人 员以及实验指导老师的管理。

3、认真填写实验报告。

四、实验所需工具

1、Winhex：一款优秀的16进制查看与编辑器。

2、Easyrecovery：一款优秀的硬盘数据恢复工具，能够帮你恢复丢失的数据。

五、实验原理

1、硬盘结构 1.1硬盘物理结构 硬盘存储数据是根据电、磁转换原理实现的。硬盘由一个或几个表面镀有磁性物质的金属或玻璃等物质盘片以及盘片两面所安装的磁头和相应的控制电路组成(图 1)，其中盘片和磁头密封在无尘的金属壳中。

数据恢复实习报告 图 1 硬盘工作时，盘片以设计转速高速旋转，设置在盘片表面的磁头则在电路控制下径向移动到指定位置然后将数据存储或读取出来。当系统向硬盘写入数据时，磁头中“写数据”电流产生磁场使盘片表面磁性物质状态发生改变，并在写电流磁场消失后仍能保持，这样数据就存储下来了；当系统从硬盘中读数据时，磁头经过盘片指定区域，盘片表面磁场使磁头产生感应电流或线圈阻抗产生变化，经相关电路处理后还原成数据。

1.2硬盘逻辑结构

硬盘由很多盘片(platter)组成，每个盘片的每个面都有一个读写磁头。如果有N个盘片。就有2N个面，对应2N个磁头(Heads)，从0、1、2开始编号。每个盘片被划分成若干个同心圆磁道(逻辑上的，是不可见的。)每个盘片的划分规则通常是一样的。这样每个盘片的半径均为固定值R的同心圆再逻辑上形成了一个以电机主轴为轴的柱面(Cylinders)，从外至里编号为0、1、2……每个盘片上的每个磁道又被划分为几十个扇区(Sector)，通常的容量是512byte，并按照一定规则编号为1、2、3……形成Cylinders×Heads×Sector个扇区。

1.3、MBR(master boot record)扇区

计算机在按下POWER键以后，开始执行主板BIOS程序。进行完一系列检测和配置以后。开始按BIOS中设定的系统引导顺序引导系统。假定现在是硬盘。BIOS执行完自己的程序后如何 把执行权交给硬盘呢。交给硬盘后又执行存储在哪里的程序呢。其实，称为MBR的一段代码起着举足轻重的作用。MBR(masterboot record),即主引导记录，有时也称主引导扇区。位于整个硬盘的0 柱面0磁头1扇区(可以看作是硬盘的第一个扇区)，BIOS在执行自己固有的程序以后就会jump到MBR中的第一条指令。将系统的控制权交由MBR来执行。在总共512byte的主引导记录中，MBR的引导程序占了其中的前446 个字节(偏移0H~偏移1BDH)，随后的64 个字节(偏移1BEH~偏移1FDH)为DPT(DiskPartitionTable，硬盘分区表)，最后的两个字节“55 AA”(偏移1FEH~偏移1FFH)是分区有效结束标志。

2、FAT32中各个组成的格式

其格式组织如下图：

2.1引导扇区（DBR）

DBR区(DOS BOOT RECORD)即操作系统引导记录区的意思，通常占用分区的第0扇区共512 个字节(特殊情况也要占用其它保留扇区，我们先说第0扇)。在这512 个字节中，其实又是由跳转指令，厂商标志和操作系统版本号，BPB(BIOS Parameter Block)，扩展BPB，os引导程序，结束标志几部分组成。

2.2 文件分配表（FAT）

FAT 表(File Allocation Table 文件分配表)，是Microsoft 在FAT 文件，系统中用于磁盘数据(文件)索引和定位引进的一种链式结构。假如把磁盘比作一本书，FAT 表可以认为相当于书中的目录，而文件就是各个章节的内容。但FAT 表的表示方法却与目录有很大的不同在FAT 文件系统中，文件的存储依照FAT 表制定的簇链式数据结构来进行。同时，FAT 文件系统将组织数据时使用的目录也抽象为文件，以简化对数据的管理。

2.3 文件目录表（FDT）

文件目录表是一个表示目录的特殊类型文件（现今通常称为文件夹）。它里面保存的每个文件或目录使用表中的32位条目表示。每个条目记录名字、扩展名、属性（档案、目录、隐藏、只读、系统和卷）、创建的日期和时间、文件/目录数据第一个簇的地址，最后是文件/目录的大小。除了FAT12和FAT16文件系统中的根目录表占据特殊的根目录区域位置之外，所有其它的目录表都存在数据区域。

3、FAT32的文件管理过程

当把一部分磁盘空间格式化为fat文件系统时，fat文件系统就将这个分区当成整块可分配的区域进行规划，以便于数据的存储。一般来讲，其划分形式如图2所示：

数据恢复实习报告 图 2

FAT 文件系统的目录结构其实是一颗有向的从根到叶的树，这里提到的有向是指对于FAT 分区内的任一文件(包括文件夹)，均需从根目录寻址来找到。可以这样认为：目录存储结构的入口就是根目录。FAT 文件系统根据根目录来寻址其他文件(包括文件夹)，故而根目录的位置必须在磁盘存取数据之前得以确定。FAT 文件系统就是根据分区的相关DBR参数与DBR 中存放的已经计算好的FAT 表(2 份)的大小来确定的。格式化以后，根目录的大小和位置其实都已经确定下来了：位置紧随FAT2之后，大小通常为32个扇区。根目录之后便是数据区第2 簇。

FAT文件系统支持文件按名存取，当需要访问文件时，FAT文件系统首先根据文件目录表（FDT）来获得此文件的首簇号，然后再根据文件分配表（FAT）中的簇链关系来寻址、定位整个文件，最后实现文件的正确存取。

六、实验过程及结果

本实验是在win7系统上以及文件系统为FAT32的计算机上进行。以下是实验过程：

1、利用winhex查看分区引导扇区（DBR）、文件分配表（FAT）、文件目录表（DFT）.1.1打开winhex软件以及分区F如下图：

1.2查看F区详细技术报告：

1.3 查看F区引导扇区：

引导扇区详细内容：

1.4查看F区的文件分配表

1.4.1 文件分配表一（FAT1）

1.4.2文件分配表备份（FAT2）

1.5查看文件目录表（FDT）

1.6查看文件信息：

2、利用easyRecovery来恢复.事先在D盘创建了一个测试用的txt文件，删除后用easyRecovery进行恢复。

2.1启动easyrecovy 主界面：

磁盘诊断功能：

数据恢复功能：

文件修复：

邮件修复：

下面只做数据恢复功能实验。

2.2选择恢复的分区

选取数据恢复，选择分区：

2.3显示分区文件目录：

2.3设置过滤条件：

2.4选择：

2.5选择恢复目地目录：

2.6恢复报告：

2.7恢复结果：

十分成功的恢复了之前删除的文本文档，初步了解了easyrecovy的用法用途。

八、总结与感悟

本次实习主要是探讨FAT32文件系统的数据存储以及学会使用数据恢复软件进行磁盘的数据恢复，通过本次实习，我提高了自身的动手能力，大大加深了对FAT32文件系统的理解，掌握了FAT32文件的原理；并学会了使用数据恢复软件，提高了解决问题的能力。最后感谢老师对我们的指导！

第五篇：实训三：NTFS 文件系统和共享文件夹教案纸

广西理工职业技术学院教案

【课堂引入】

总结上次实训情况，提出改进措施。【提出任务】

1．使用 NTFS 文件系统实现磁盘限额 2．使用 NTFS 文件系统压缩数据

3．使用 NTFS 文件系统中的 EFS 加密数据

4．练习创建、删除共享文件夹、访问共享文件夹、指定共享文件夹权限的方法 5．练习使用卷影副本恢复受到损坏的共享文件夹 6．验证用户的有效权限 【实训环境】

安装有 Windows Server 2003 操作系统的计算机 【实训步骤】

任务 1：NTFS 文件系统一、使用 NTFS 文件系统实现磁盘限额 1．分配默认磁盘配额

（1）为驱动器 c盘（必须是NTFS 分区）配置默认的限额管理设置值：磁盘空间限度：2MB；磁盘空间警告信息：1MB（2）建新用户 test，然后以 test 用户登录系统，向 data文件夹中分两次拷贝数据，1MB<第一次<2MB，第二次>2MB，哪一次拷贝成功？哪一次没成功？

注：在“配额”选项卡中，若选中了“用户超出了配额限制时记录事件”和“用户超出了警告等级时记录事件”，则可以在“事件查看器”（在“计算机管理”对话框中）中查看日志。

2．为某用户指定磁盘配额（1）创建新用户（student 学号）

（2）单击磁盘的 “配额” 选项卡中的 “配额项” 按钮，在打开的对话框中为用户 “student学号”指定磁盘限额。

（3）然后以“student 学号”登录计算机，测试所设磁盘配额。

二、使用 NTFS 文件系统压缩数据

广西理工职业技术学院教案

1．对文件夹 data 进行启用磁盘压缩功能，以节省磁盘空间。

（1）向 data 文件夹中拷贝一些数据，打开文件夹的“属性”对话框，查看其大小和所占空间值，并记录下来。

（2）在“属性”对话框中，单击“高级”按钮，启用压缩功能，将文件夹进行压缩。（3）右击 data 文件夹，选择“属性”，查看其大小和所占空间值，比较前面记录的数值。

2．采用其他颜色标记启用了压缩功能的文件和文件夹

打开 “Windows 资源管理器”，通过“工具”—“文件夹选项”—“查看”，选择“用交替的颜色显示压缩文件和文件夹”。

3．验证启用 NTFS 文件系统压缩功能的文件或文件夹在拷贝和移动时的继承性。

三、使用 NTFS 文件系统中的 EFS 加密数据

在 data 文件夹中新建文件 admin.txt，利用 EFS 加密 admin.txt 文件（1）以用户 LocalUser1 登陆系统，对 admin.txt 文件进行加密

（2）以用户 LocalUser2 登陆系统，试图访问 admin.txt 文件，看是否能够打开任务 2：共享文件夹

一、使用共享文件夹共享文件

1． 在D 盘上创建一个文件夹 test，将该文件夹设为共享，在文件夹 test 内新建文件 ab.txt 要求：

(1)共享名为“network学号”(2)允许同时连接 10 个用户

(3)查看 data 共享文件夹的权限，并删除 everyone组的完全控制权限(4)将完全控制权限指定给用户“Administrator”和“Manager 学号”(5)用户“LocalUser1”在任何时刻都不能更改此文件夹

2．分别通过“网上邻居”、“运行”对话框、“浏览器”、“映射网络驱动器”的方式访问 相邻计算机上所设置的共享文件夹

3．在相邻计算机上以 Administrator 用户访问共享文件夹 test，进行如下操作：打开 test 文件夹，新建文件夹，新建文件 cd.txt，打开文件 cd.txt，更改文件 cd.txt

广西理工职业技术学院教案 的内容，删除文件cd.txt，是否成功？为什么？

4．在相邻计算机上以 LocalUser1 用户访问共享文件夹 test，进行如下操作：打开 test文件夹，新建文件夹，打开文件ab.txt，更改文件 ab.txt 的内容，删除文件 ab.txt，新建文件cd.txt，是否成功？为什么？在本机以 LocalUser1 登录系统，执行上述操作，完成思考题 3。

5．删除 test 文件夹的共享功能，试图通过其他计算机以上述 4 种方式（步骤 2）访问 test 文件夹，是否能够成功？

6．在D 盘上建立一个隐藏的共享文件夹，试图通过其他计算机以上述 4种方式（步骤 2）访问该文件夹，完成思考题 1。

7．新建 data 文件夹，将 data 文件夹共享，共享文件名为：test，完成思考题 2。

二、卷影副本

Windows Server 2003 网络操作系统,，提供的卷影副本服务功能可以对共享文件夹定期备份，一旦文件遭受损坏，在客户端就能将共享文件恢复到原来的某一时刻状态。1．启用卷影副本服务。

在服务器端右击共享文件夹所在的硬盘分区（注意：这个分区一定是 NTFS 文件系统），选择“属性”—“卷影副本”标签页，在选项框中选择该硬盘分区，然后点击“启用”按钮。

2．调整创建副本文件时间间隔参数。

默认情况下Windows Server 2003 卷影副本服务每天只能创建两个副本，有时不能满足我们的需要。可以根据需要设定创建副本的频率： 在“卷影副本”标签页中，点击“设置”—“计划”—“日程安排”—“高级”按钮，在“高级计划选项”对话框中选中“重复任务”选项，就可以对创建副本的时间间隔参数进行设置了。可以根据文件的重要程度进行设置。如设置为每“10 分钟”产生一次副本，要注意，时间间隔参数不要设置得过小，否则会加重系统的负担。

3．用户使用卷影副本功能（还原受到破坏的共享文件夹）

（1）首先在客户端要安装卷影副本客户端程序，它位于 Win2003 服务器的

“%systemroot%system32clientstwclientx86twcli32.msi”中，只支持Windows 2000（SP3 或更高版本）和 Windows XP 客户操作系统。

广西理工职业技术学院教案

（2）找到要还原的文件夹，右键点击，选择“属性”，切换到“以前的版本”标签页，接着在“文件夹版本”框中根据时间选择一个你需要的副本文件，点击“还原”按钮，这样该文件夹就恢复到原来的状态了。

三、用户的有效权限

通过为某一用户配置共享权限和 NTFS 权限，理解这两种权限是如何共同为网络访问文件夹提供安全性。三条规则：

● 权限最大法则（累加权限）： ● “拒绝”权限超越其他权限：

● 共享文件夹权限和 NTFS 权限取最严格的权限： 【小结】：

检查实训完成情况，并抽查学生配置情况。当场讲解。【布置作业】

1．如何设置隐藏的共享文件夹？是否可以从网上邻居登录隐藏共享文件夹？ 2．设置共享文件夹时，共享名是否必须与文件夹的名字一致？ 3．共享文件夹的共享权限，对于本机访问起作用吗？ 4．共享文件夹的共享权限有几种？哪几种？

5．什么是卷影副本？它有什么功能？实现卷影副本功能对服务器端有什么要求（必须是什么操作系统和什么文件系统）？