数据恢复技术课件.ppt

数据存储及恢复原理与应用王伟林wangwl 有无必要专门学习这门技术 没必要 有必要 数据恢复的分类 物理类数据恢复逻辑类数据恢复 本课程内容 原理 介绍存储介质 硬盘接口分区表文件系统RAID技术操作 虚拟存储软件WINHEX软件常用数据恢复软件应用 存储介质 磁存储 硬盘 软盘 磁带电存储 U盘 存储卡 固态硬盘 内存条光存储 光盘 固态硬盘 SolidStateDisk或SolidStateDrive 也称作电子硬盘或者固态电子盘 是由控制单元和固态存储单元 DRAM或FLASH芯片 组成的硬盘 固态硬盘的接口规范和定义 功能及使用方法上与普通硬盘的相同 在产品外形和尺寸上也与普通硬盘一致 由于固态硬盘没有普通硬盘的旋转介质 因而抗震性极佳 其芯片的工作温度范围很宽 40 85 目前广泛应用于军事 车载 工控 视频监控 网络监控 网络终端 电力 医疗 航空等 导航设备等领域 目前由于成本较高 正在逐渐普及到DIY市场 新一代的固态硬盘普遍采用SATA 2接口 固态硬盘 普通硬盘 普通硬盘内部结构 磁头组件 这个组件是硬盘中最精密的部位之一 它由读写磁头 传动手臂 传动轴三部分组成 硬盘的接口 IDE IntegratedDriveElectronics 即 电子集成驱动器 它的本意是指把 硬盘控制器 与 盘体 集成在一起的硬盘驱动器 把盘体与控制器集成在一起的做法减少了硬盘接口的电缆数目与长度 数据传输的可靠性得到了增强 硬盘制造起来变得更容易 因为硬盘生产厂商不需要再担心自己的硬盘是否与其它厂商生产的控制器兼容 对用户而言 硬盘安装起来也更为方便 IDE这一接口技术从诞生至今就一直在不断发展 性能也不断的提高 其拥有的价格低廉 兼容性强的特点 为其造就了其它类型硬盘无法替代的地位 SCSI SmallComputerSystemInterface 小型计算机系统接口 是同IDE ATA 完全不同的接口 IDE接口是普通PC的标准接口 而SCSI并不是专门为硬盘设计的接口 是一种广泛应用于小型机上的高速数据传输技术 SCSI接口具有应用范围广 多任务 带宽大 CPU占用率低 以及热插拔等优点 但较高的价格使得它很难如IDE硬盘般普及 因此SCSI硬盘主要应用于中 高端服务器和高档工作站中 SATA SerialATA 接口的硬盘又叫串口硬盘 SerialATA采用串行连接方式 串行ATA总线使用嵌入式时钟信号 具备了更强的纠错能力 与以往相比其最大的区别在于能对传输指令 不仅仅是数据 进行检查 如果发现错误会自动矫正 这在很大程度上提高了数据传输的可靠性 串行接口还具有结构简单 支持热插拔的优点 不再使用4针的 D形 电源接口 改用新式的易于插拔的15针接口代替 S ATA采用点对点连接方式 因此每个S ATA线缆 或通道 只能连接一块硬盘 相应的也就不必像并行硬盘那样设置主 从跳线 光纤通道 FibreChannel 和SCIS接口一样光纤通道最初也不是为硬盘设计开发的接口技术 是专门为网络系统设计的 但随着存储系统对速度的需求 才逐渐应用到硬盘系统中 光纤通道硬盘是为提高多硬盘存储系统的速度和灵活性才开发的 它的出现大大提高了多硬盘系统的通信速度 光纤通道的主要特性有 热插拔性 高速带宽 远程连接 连接设备数量大等 硬盘坏 磁头 通电响盘片 用专门的工具读数据电路板 更换同型号电路板BIOS芯片固件 用PC3000恢复 硬盘数据地址定位参数 C H S 三维地址结构 柱面 磁道 C Cylinder 磁头 盘面 H Head 扇区 S Sector L B A LogicBlockAddress 线性地址 只有 扇区 这一个地址 MBR MaterBootRecord 主引导记录 存放在第一个扇区里 由分区软件创建 引导代码 00 1BDH 分区表 64bytes 1BE 1FDH DPT DiskPartitionTable 结束标志 55AA 引导代码的恢复 复制其他硬盘的引导代码 挂坏盘 用DOS引导盘 进入DOS 输入命令 FDISK MBR 进入windows磁盘管理 挂盘 初始化 磁盘 再将以前备份的 分区表 复制 粘贴进来 分区表项的含义 第1字节 00H 分区活动标志 80表示被激活 00表示未激活 第2字节 01H 本分区开始磁头号 H 第3字节 02H 本分区开始扇区号 S 第4字节 03H 本分区开始柱面号 C 第5字节 04H 分区类型 微软 FAT12 01HFAT16 04H 分区小于32M 06H 分区大于32M FAT32 0BH或0CHNTFS 07H扩展分区 05H或0FH第6字节 05H 本分区结束磁头号第7字节 06H 本分区结束扇区号第8字节 07H 本分区结束柱面第9 12字节 08 0BH 本分区开始扇区号 LBA地址 本分区之前使用的扇区数目 第13 16字节 0CH 0FH 本分区大小 单位 扇区 分区表扩展分区 扩展引导记录结束标志 55AA 主扩展分区子扩展分区 EBR ExtendedBootRecord 定义C盘 描述剩余空间 未用 未用 定义D盘 EBR 未用 未用 定义E盘 EBR 未用 未用 定义F盘 未用 未用 未用 C盘分区表 D盘分区表 E盘分区表 F盘分区表 表项1 表项2 表项3 表项4 文件系统 FAT12 16 32 NTFS 微软 OS FS DOS3 0之前FAT12DOS3 0 6 22FAT12 16Win3 xFAT12 16win95OSR2之前FAT12 16win95OSR2之后FAT12 16 32win98 SE winmeFAT12 16 32Winnt3 51之前FAT12 16 32Winnt3 51 4 0FAT12 16 32 NTFSWin2000FAT12 16 32 NTFSWinxp win2003FAT12 16 32 NTFSvistaFAT12 16 32 NTFS DBR DOS引导记录FAT 文件分配表FDT 文件目录表 簇 是文件管理的最小单元 第一个簇的簇号为2 1簇 2n扇区FAT12 16 FAT32 DBR 占1 8扇区 FAT1FAT2FDT 占32扇区 DATA DBR 占32 38扇区 FAT1FAT2DATA 簇大小 默认数值 分区大小簇 扇区2G8 跳转指令 EBOEMDBRBPB参数 Biosparameterblock 引导代码 结束标志符 55AA BPB参数 大多在63号扇区 0BH 0CH 每扇区字节数 0DH 簇大小 每簇扇区数 0EH 0FH DBR的保留扇区数 用于找FAT1表 10H FAT表的个数 11H 12H FDT最大存放的目录项数 13H 14H 本分区大小 小于32M分区 FAT 15H 介质描述符 F8 硬盘 F0 软盘 16H 17H FAT表大小 用于找FAT2 18H 19H 每磁道扇区数 63 1CH 1FH 本分区开始扇区号 20H 23H 本分区大小 大于32M的分区 FAT 32H 33H DBR备份所在的扇区 只有FAT32有此功能 一般在6号扇区 文件目录项 32Bytes 存放文件名等文件属性信息 文件开始簇号所在偏移量 第2行54 BA 前11字节 文件名文件目录项第12字节 10 表示文件夹 20 表示文件最后4字节 文件所占用的字节数 文件大小 文件夹都是0 注 FAT32最大的管理分区大小 32G 由微软的系统限制 FAT表 以链 指针 方式存放簇号 348104810FF文件存储 读取步骤 1 FDT2 FAT3 DATA 误删除操作的变化 FDT E5 FAT 00 DATA 不变格式化操作的变化 FDT 00 FAT 00 DATA 不变 NTFS 格式化后会往分区中写入16个元文件 BOOT 占用16个扇区 其中第一个扇区是DBR ROOT 根目录 MFT 主文件表 管理文件之用 MFTMIRR 主文件表的镜像 部分 LOGFILE 日志 BITMAP 位图 记录簇的使用情况 DBR BOOT MFT MFTMIRR NTFS的DBR结构 0B 0CH 每扇区字节数0DH 簇大小1C 1FH 本分区开始扇区号 隐藏扇区数 28 2FH 分区大小 比分区表中的值小1 30 37H MFT的开始簇号38 3FH MFTMIRR的开始簇号40 43H 每个文件记录包含的簇数 文件记录头的结构 MFT 00 03H 文件记录的头标志 46494C45 FILE 14 15H 第一个属性的开始偏移地址16 17H 01 表示文件在使用中 00 表示文件已经被删除 属性的公共结构 相对偏移地址 00 03H 属性类型 用16进制表示 注 10H 标准信息属性 30H 文件名属性 80H 数据属性08H 属性是否常驻 00 表示常驻 01 表示非常驻 常驻属性的结构 相对偏移地址 10 13H 属性体的大小14 15H 属性体的开始偏移地址非常驻属性的结构 20 21H 属性体RUNLIST的起始地址例 314058920100 所占簇数 开始簇号 误删除操作的变化 MFT 16 17H由01变为00 表示文件被删除 DATA 不变格式化操作的变化 MFT 清零DATA 不变 RAID 独立冗余磁盘阵列 初名 廉价冗余磁盘阵列 磁盘阵列最小管理单元 块RAID技术 01234567 级别 RAID 0 Stripe 条带 块 条带模式 提高读写速度 RAID