数据恢复实验报告

1、 题目： 数据恢复解析 姓 名： 夏金启 学号： 20101003933院（系）： 计算机学院 专业： 信 息 安 全 指导老师：_ 职称： 副教授 评 阅 人： 职称： 2013年 1月 名目摘要3第一章 引言41.1 数据恢复的意义41.2 数据恢复的应用4其次章 磁盘的规律结构52.1 硬盘原理慨述52.2硬盘数据结构。52.21.MBR区52.22. DBR区72.23. FAT区72.24 .DIR区82.25.据（DATA）区8第三章 NTFS元件83.1 NTFS概念83.11MTF83.12 NTFS属性93.2 NTFS引导结构93.3 NTFS元文件103.31 NTFS结

2、构图103.32 DBR的数据结构11第四章 数据恢复技术的实现124.1 常见数据恢复124.11 NTFS格式化恢复124.2 手工定位NTFS文件系统下的文件16第五章 常见数据恢复软件235.1数据恢复软件235.1.1 winhex235.1.2 easyrecovery235.1.3 finaldata255.1.4 易我数据恢复向导265.2 几款数据恢复软件恢复效果比较27二 易我数据恢复软件27三 finaldata27第六章 总结28摘要本文首先介绍了硬盘的基本结构，让我们对硬盘有最基本的生疏和了解。接着介绍了FAT和NTFS文件的基本组成，重点介绍了数据恢复技术的实现。最

3、终分析了了目前市场上流行软件的优缺点。关键字：FAT，NTFS文件，硬盘，数据恢复软件，数据恢复技术。第一章 引言1.1 数据恢复的意义社会进展和进步，大家每个人的数据资源都在日复一日的膨胀着，而硬盘作为数据存储中心，其高精密的结构和高度的使用频率，在简单的应用环境中，故障发生率也在与日俱增。几乎每个计算机使用者都会遇到一些数据损坏或丢失的事情，而随着各种应用软件、操作系统、病毒木马等各种因素的增加，数据丢失和损坏的程度也在渐渐变的严峻。一旦重要的数据丢失，其所带来的直接和间接的损失都是很惊人的，而通常大家在费尽心思处处找解决方法的同时，也进一步彻底摧毁了这些数据恢复的可能性。NTFS是随着W

4、indows NT操作系统而产生的，全称为“NT File System”，中文意为NT文件系统，如今已是windows类操作系统中的主力分区格式了。它的优点是平安性和稳定性极其精彩，在使用中不易产生文件碎片，NTFS分区对用户权限作出了格外严格的限制，每个用户都只能按着系统赐予的权限进行操作，任何试图越权的操作都将被系统禁止，同时它还供应了容错结构日志，可以将用户的操作全部记录下来，从而爱护了系统的平安。本文主要论述的就是NTFS在系统崩溃或磁盘消灭故障后如何平安的恢复文件系统。1.2 数据恢复的应用目前社会上针对数据恢复的公司有很多，有关的软件也很多。而对于一般的用户，想自己动手简洁恢复数

5、据的伴侣，很少有系统的方法和对软件的选择上有些茫目。本文旨在通过争辩硬盘数据恢复的原理，分析硬盘数据丢失的缘由，进而比较现今比较流行的方法和有关的软件，提出对不同的数据丢失状况下的一些建议，并提出手动备份硬盘分区结构和其它重要数据的方法及通过手工恢复硬盘全盘结构的方法。本文可作为个人数据丢失时状况不是很严峻时个人自己动手恢复数据的一个参考。 其次章 磁盘的规律结构2.1 硬盘原理慨述 硬盘存储数据是依据电、磁转换原理实现的。硬盘由一个或几个表面镀有磁性物质的金属或玻璃等物质盘片以及盘片两面所安装的磁头和相应的把握电路组成，其中盘片和磁头密封在无尘的金属壳中。硬盘工作时，盘片以设计转速高速旋转，

6、设置在盘片表面的磁头则在电路把握下径向移动到指定位置然后将数据存储或读取出来。当系统向硬盘写入数据时，磁头中 “写数据”电流产生磁场使盘片表面磁性物质状态发生转变，并在写电流磁1场消逝后仍能保持，这样数据就存储下来了；当系统从硬盘中读数据时，磁头经过盘片指定区域，盘片表面磁场使磁头产生感应电流或线圈阻抗产生变化，经相关电路处理后还原成数据。2.2硬盘数据结构。硬盘上的数据依据其不同的特点和作用大致可分为5部分：MBR区、DBR区、FAT区、DIR区和DATA区。2.21.MBR区MBR（Main Boot Record）,按其字面上的理解即为主引导记录区，位于整个硬盘的0磁道0柱面1扇区。不过

7、，在总共512字节的主引导扇区中，MBR只占用了其中的446个字节（偏移0-偏移1BDH），另外的64个字节（偏移1BEH-偏移1FDH）交给了DPT(Disk Partition Table硬盘分区表),最终两个字节55，AA（偏移1FEH- 偏移1FFH）是分区的结束标志。这个整体构成了硬盘的主引导扇区。大致的结构如图1图1硬盘的主引导扇区结构图主引导记录中包含了硬盘的一系列参数和一段引导程序。其中的硬盘引导程序的主要作用是检查分区表是否正确并且在系统硬件完成自检以后引导具有激活标志的分区上的操作系统，并将把握权交给启动程序。MBR是由分区程序（如F）所产生的，它不依靠任何操作系统，而且硬

8、盘引导程序也是可以转变的，从而实现多系统共存。DPT及各字节的意义。硬盘分区表偏移长度所表达的意义01字节分区状态0-非活动区80- 活动分区11字节该分区起始磁头（HEAD）22字节该分区起始扇区和起始柱面41字节该分区类型：如82- Linux Native分区83- Linux Swap 分区51字节该分区终止头（HEAD）62字节该分区终止扇区和终止柱面84字节该分区起始确定扇区C4字节该分区扇区数2.22. DBR区DBR（Dos Boot Record）是操作系统引导记录区的意思。它通常位于硬盘的0磁道1磁头1扇区，是操作系统可以直接访问的第一个扇区，它包括一个引导程序和一个被称为

9、BPB（Bios Parameter Block）的本分区参数记录表。引导程序的主要任务是当MBR将系统把握权交给它时，推断本分区跟名目前两个文件是不是操作系统的引导文件（以DOS为例，即是Io.sys和Msdos.sys）。假如确定存在，就把其读入内存，并把把握权交给该文件。BPB参数块记录着本分区的起始扇区、结束扇区、文件存储格式、硬盘介质描述符、根名目大小、FAT个数，安排单元的大小等重要参数。2.23. FAT区在DBR之后的是我们比较生疏的FAT（File Allocation Table文件安排表）区。在解释文件安排表的概念之前，我们先来谈谈簇（cluster）的概念。文件占用磁盘

10、空间时，基本单位不是字节而是簇。簇的大小与磁盘的规格有关，一般状况下，软盘每簇是1个扇区，硬盘每簇的扇区数与硬盘的总容量大小有关，可能是4、8、16、32、64。通过上文我们已经知道，同一个文件的数据并不肯定完整地存放在磁盘的一个连续的区域内，而往往会分成若干段，像一条链子一样存放。这种存储方式称为文件的链式存储。硬盘上的文件经常要进行创建、删除、增长、缩短等操作。这样操作做的越多，盘上的文件就可能被分得越零碎（每段至少是1簇）。但是，由于硬盘上保存着段与段之间的连接信息（即FAT），操作系统在读取文件时，总是能够精确地找到各段的位置并正确读出。2.24 .DIR区DIR（Directory）

11、是根名目区，紧接着其次FAT表（即备份的FAT表）之后，记录着根名目下每个文件（名目）的起始单元，文件的属性等。定位文件位置时，操作系统依据DIR中的起始单元，结合FAT表就可以知道文件在硬盘中的具体位置和大小了。 2.25.据（DATA）区数据区是真正意义上的数据存储的地方，位于DIR区之后，占据硬盘上的大部分数据空间。 第三章 NTFS元件3.1 NTFS概念 3.11MTFMTF，即主文件安排表的简称，它是NTFS文件系统的核心。MFT由一个或几个MFT项（文件记录）组成，每个MFT项占用1024字节的空间。每个MFT项的前部几十个字节有着固定的头结构，用来描述本MFT项的相关信息。后面

12、的字节用于存放“属性”。每个文件和名目的信息都包含在MFT中，每个文件和名目在表中至少有有一个MFT项。初引导扇区外，访问其他任何一个前都要先访问MFT，在MFT中找到该文件的MFT项，依据MFT项中的记录的信息找到内容并对其进行访问。3.12 NTFS属性 在NTFS中，全部与数据相关的信息都称为“属性”，NTFS与其他文件系统最大的不同之处在于，大多数文件系统是对文件的内容进行读写，而NTFS则是对包含文件内容的属性进行读写。在数据结构中，属性又可以分为长驻属性和格外驻属性长驻属性。有的属性其属性内容很小，它的MFT项可以容纳下它的全部内容，为了节省空间，系统会直接将其存放在MFT项中，而

13、不再为其另外安排簇空间，这样的属性称为长驻属性格外驻属性。格外驻属性是指那些内容较大，无法完全存放在其MFT项中的属性。如文件的数据属性，通常内容很大，需要在MFT之外另为其安排足够的簇空间进行存储，这样的属性就是非长驻属性。 3.2 NTFS引导结构一个NTFS文件系统大致上可以分为引导区、MFT、MFT备份区、数据区和DBR备份扇区几个部分。由于NTFS将全部的数据都视为文件，理论上除引导扇区必需位于第一个扇区外，NTFS卷可以在任意位置存放任意文件，但通常状况下会遵循肯定的习惯布局。在XP系统下NTFS卷大致布局如下图：DBR引导区用户数据MFT区用户数据MFT部分记录备份用户数据DBR

14、备份通常为16个扇 占用一个扇区。1) 引导扇区。引导区部分包括DBR和引导代码，一般系统为其安排16个扇区，未完全使用。2) MFT区。文件系统中消灭一个“MFT”区，这个“MFT区”是一个连续的簇空间，除非其他空间已全部被安排使用，否则不会在此空间中存储用户文件或名目。在WINXP下创建的NTFS，其MFT通常距离引导扇区较远，但在WIN2000下创建的NTFS，其MFT通常起始于4号簇位置。3) MFT备份区。由于MFT备份的重要性，在文件系统的中部为其保存了一个备份，不过这个备份很小，只是MFT前几个项的备份。4) 引导扇区备份扇区。在卷的最终一个扇区，保存了一份扇区的备份。这个扇区包

15、含在分区表描述的该分区大小中，但却不在DB描述的文件系统大小范围之内。描述文件系统大小时，总是比分区表描述的扇区数小个扇区。3.3 NTFS元文件3.31 NTFS结构图NTFS的引导扇区也位于文件系统的0号扇区，这是它与FAT文件系统在布局 上的唯一相同之处。数据结构如下图，此图为本硬盘DBR： DBR（S扇区号）转换成物理地址（确定扇区号）。3.32 DBR的数据结构字节偏移（十六进制）字节数含义00-023跳转指令03-0A8OEM名（“明文NTFS”）0B-0C2每扇区字节数0D1每簇扇区数0E-0F2保留扇区数151介质描述符18-192每磁道扇区数（不检查此项）1A-1B2每柱面磁

16、头数（不检查此项）1C-1F4隐含扇区数（不检查此项）24-274总是80008000（不检查此项）28-2F8文件系统扇区总和30-378MFT起始簇号38-3F8MFT备份的起始簇号401每MFT项大小41-433未使用441每个索引的簇数45-473未使用48-4F8序列号50-534校验和54-1FD426引导代码1FE-1FF2签名55AA标记以上引导扇区最为关键的字节数是0B-0C（每扇区字节数） 0B-0C（每扇区字节数） 0D（每簇扇区数）28-2F（文件系统扇区总和） 30-37（MFT起始簇号）38-3F（MFT备份的起始簇号） 40（每MFT项大小）44（每个索引的簇数）

17、，但数据发生不行预料的损坏时，可以依据以上信息重建分区表，定位数据区，恢复MFT，重建DBR，这些关键字节码的用处不言而。 第四章 数据恢复技术的实现4.1 常见数据恢复4.11 NTFS格式化恢复 数据丢失的具体故障为：盘分了三个区在一次意外死机后磁盘提示（前两个区是正常的）提示未格式化（其实大多数伴侣知道这时的问题简洁得多或许重建DBR后整个盘里面的数据都在，这里暂且就不谈这种问题的解决方法了），要命的是这时已经鬼使神差地点击了格式化了，结果大家产然就知道了，数据确定是没有了 。据转到我这里的那同行说他用各种搜寻软件对整个区搜了好几遍（这也是大多数所谓专业的数据恢复商所用的恢复方法了），当

18、然也搜到了很多数据，尽管很乱但还能正常打开。最终客户确认搜出来数据大部份正常，但最重要的的一个压缩文件损坏了，大家知道压缩文件损坏了是很难很难修复的了。首先我用WINHEX把他搜出来的那个压缩文件打开分析了下，文件头乱了，中间的数据也不正常。无法修复，只好从原盘着手了。竟然搜寻软件搜出来的是损坏的，那就只有用手工来做了，当然用手工做这种格式化了的数据很费时，且计算量也很大，只能针对像这样的个别特重要的数据。对原盘的那个格式化掉的分区做完镜像后，用WINHEX打开镜像，设置镜像文件为磁盘。如下图所示：分区是NTFS格式的，整个分区大小为25.4G。对NTFS分区格式争辩过的伴侣会知道，在NTFS

19、文件系统中，文件亦是按簇进行安排的， 文件通过主文件表MFT（Master File Table）来确定其在磁盘上的存储位置、大小、属性等信息。相当于FAT系统下的FAT+FDT的功能。每文件都有一个文件记录。其中第一个记录就是MFT自己本身。我们转到第一个文件记录也就是MFT了直接点可以看到如下图所示：通过第一个文件记录往下观看发觉格式化了后对文件记录没有产生破坏。那么这时我们就可以有一个恢复的思路了：找到所说的那个压缩文件的在MFT中的记录，再通过对文件记录的分析来确定文件在磁盘中的位置及大小，就可以直接从中提出文件了。想到做到，只知道一个压缩文件的压缩文件名为：源文件与素材。那好，我们可

20、以新建一个文本记事本只输入压缩文件名源文件与素材！保存，再用WINHEX打开可以看到如下图：然后再转回来，直接从第一个文件记录往下开头搜寻十六进制数值90 6E 87 65 F6 4E 0E 4E 20 7D 50 67搜寻到了一个地方停下来了，看看是不是那个压缩文件的记录呢看下图：依据观看可以看出正是客户要的那个压缩文件的记录，那么我们又如何来确定这个压缩文件在磁盘上的那一个扇区？占用了多少的扇区呢？这个就需要对NTFS格式有所了解了。NTFS将文件作为属性、属性值集合来处理，这一点其他文件系统不一样。可以看到在MFT中用了不同颜色的段来区分， 如上图所标记的，第一个为文件记录头，其次个10

21、H表示标准属性，第三个30H表示文件名属性，最终一个80H表示数据流属性也就是关键所在了。这里我们只分析数据流属性，其它属性就不一一分析了，可以查看相关资料。每一个属性都为两部份：属性头和内容。先来分析数据流属性的属性头：从第1第4四个字节表示属性的类型，第5第8四个字节这里的值是48 00 00 00表示属性的长度（包括属性头和内容）为72个字节。从17到24共8个字节表示起始的VCN即虚拟簇号，第25到32共8个字节表示结束的VCN此处为2D7FH也就是 这个压缩文件占用了11648个簇。再往下分析从33到40共8个字节表示数据运行的偏移。此处为40H也就是从第64个字节开头了。我们就直接

22、来分析数据运行也只有这一个运行32 80 2D D5 58 17所以起始的LCN即规律簇号为1758D5H1530069，长度为2D80H11648。接下来我们转到1530069簇看，第一个字节右键选块开头，上面算出来这个文件的，如下图：大小为11648个簇，也就是1530069+116481541717再转到1541717簇，所在的扇区的上一扇区也就是文件的结尾了。最终一个字节右键选块结尾。再在所选块中右键编辑复制扇区到新文件即教导到路径保存。然后改扩展名为RAR。至此恢复完成。经检查没有一个损坏的。4.2 手工定位NTFS文件系统下的文件信任很多伴侣在认真看完数据恢复书籍中，关于NTFS文

23、件系统中叙述的一系列属性以后，或多或少还是有些范模糊。的确，NTFS文件系统结构比较简单，且书中也没有讲到如何利用这些属性来定位文件，这对于初学者来说,无疑是一个缺憾.为弥补这一缺憾,我依据我个人对NTFS文件系统的理解，制作了本分析过程。申明，这只是本人的理解，难免会有错误的地方。仅供大家参考。现在我就以我电脑里的一个叫“MFT结构分析”的图片文件，其存储路径为E:教程数据恢复。接下来我们一层一层的去定位文件.以对所学的属性做一个融会贯穿.或许有的伴侣会说:在实际操作中,可以通过在MFT中搜寻文件名的方式来做出定位,这样也是可以的。我制作本分析过程的初衷也就是给初学者对NTFS的理解供应一个

24、思路。学过FAT文件系统的,肯定知道如何定位分区以及DBR,那好,我们就直接从DBR开头从DBR中得出，每簇扇区数为08H，（$MFT一下简称MFT）.MFT的起始簇为：00000C00H，转换为十六进制分别为8扇区和786432簇。现在跳转到786432簇，如下图：我们可以看到，这是MFT的第一个记录，记录的是它自己。，接下来我们跳转到MFT的关于根名目的记录，也就是第5号记录。根名目一般存储的文件以及文件夹比较多。所以，它是格外驻的，关于这些文件夹的信息记录在了其它的位置。而记录在什么位置是由索引安排属性来记录的，也就是A0属性，接下来着重看一下A0属性，如图：上图红色的标注的位置是运行（

25、Data run）31H表示用三个字节描述的是索引的位置的起始LCN（3E9002H），一个字节描述的是长度(02H)。下一个运行的位置描述的是00H表示到此结束，只有一个运行。（提示：假如下一个运行由内容，那么它描述的LCN加上前一个运行描述的LCN才是其真正的LCN，假如由三个运行，用第三个运行的LCN加上前两个的LCN就是第三个运行的真正的LCN，以此类推！）我们将其转换为10进制数值得到这样一个信息，索引项的起始位置为167998簇，乘以每簇扇区数8，等于1343984扇区，长度为2个簇，跳转到1343984扇区，如图：这个位置是根名目的索引项，可以看到里面索引的文件名为元数据。“教程

26、”这个文件夹也存放在根名目里面，我们搜寻该文件名，以找到相对应的索引项，由于NTFS里面文件名是用Unincode字符来表示的，所以该文件名转换为16进制数值为59650B7A8765H，我们在根名目索引项里搜寻此文件名：在1343994扇区找到了“教程”的索引项，（1343994-1343984=10，每簇扇区数为8，说明次索引项存放在其次簇里面）从上图可以看出，其文件记录存放在第6B3500H号扇区，转换为十六进制为13675号记录，一个MFT占用2个扇区，其文件记录的开头为，从MFT第一号记录向下数27350个扇区，就其文件记录存放的位置，计算方式为：6291456 +（13675*2）

27、=6318806，跳转到6318806扇区，如图：图中描述的本MFT号正是我们要找的，看下面的运行31011BEB01H，转换为16进制数值为：125723，再乘以每簇扇区数8等于1005784扇区，现在跳转到1005784扇区搜寻“数据恢复”这个文件夹的十六进制数值70656E6362600D59H，结果没找到，莫非是此文件夹没有记录？不行能。猜想，会不会是被驻留了。存放在MFT里面，跳回6318806扇区，搜寻70656E6362600D59 ，在该MFT的其次个扇区里面找到了该文件夹的记录。跳转到文件的“数据恢复”文件MFT记录号：23A100000000H，十进制为41251号，乘以2

28、加上6291456，等于6373958。如图：对NTFS多少有点了解的人都会发觉，这并不是MFT。为什么？看一下我的MFT的分布状况，如图：我的MFT是分三大块来存放的，（我自己的命名）接下来计算一下：第一块：MFT从786432簇开头,到796687结束用了10255个簇=82040扇区，每2个扇区为一个完整的MFT。其次块：MFT从397607开头到结束397686，用了79个簇632第三块：第一块MFT只用了10255个簇来记录，（我用簇为来但来计算）而我们要找的文件“数据恢复”存放在41251号，（41251*2/8= 10312.75簇）已经超出了第一块的记录范围，超出75.75个簇

29、，经计算，在其次块里面才是存放的“数据恢复”的MFT。其次块的开头位置为397607簇，加上75簇，等于397664簇，由于硬盘是从0开头记录数据的，所以，这个地方应当还要减去1。跳转到397663簇的四分之三（0.75）位置，也就是第6个扇区依据运行，得知其起始LCN为A08AH(35488*8=283904),占用一个簇。跳转到283904扇区：搜寻文件名“MFT”结构分析4D0046005400D37E7E00H其文件MFT号为26A1H（41254号记录），依据前面的MFT记录块的计算，在“数据恢复”MFT记录向下数三个记录，就是“MFT结构分析”这个文件的MFT记录了。跳转到该位置其

30、运行为3281000F8F00H，起始LCN为0F8F00（36623*8=292984扇区），长度为8100H（129*8=1032扇区），那么结束位置为292984+1032=294016扇区跳转到文件的开头292984跳转到294016，选取上一个扇区的结尾编辑-复制-植入新文件-保存文件名为“MFT结构分析.jpg”。双击，能够正常打开。 第五章 常见数据恢复软件5.1数据恢复软件5.1.1 winhexWinhex是一很好的，功能很强大的磁盘，文件二进制数据查看，修改工具.使用它我们可以很便利的查看磁盘的数据，手动修改数据。WinHex以通用的 16 进制编辑器为核心，特地用来应付计

31、算机取证、数据恢复、低级数据处理、以及 IT 平安性、各种日常紧急状况的高级工具: 用来检查和修复各种文件、恢复删除文件、硬盘损坏等。得到 ZDNet Software Library 五星级最高评价，拥有强大的系统效用。功能（特点）如下: A 硬盘, 软盘, CD-ROM 和 DVD, ZIP, Smart Media, Compact Flash, 等磁盘编辑器. B 支持 FAT, NTFS, Ext2/3, ReiserFS, Reiser4, UFS, CDFS, UDF 文件系统 C 支持对磁盘阵列 RAID 系统和动态磁盘的重组、分析和数据恢复D 多种数据恢复技术,可分析 RAW

32、 格式原始数据镜像文件中的完整名目结构，支持分段保存的镜像文件E 数据解释器, 已知 20 种数据类型,驱动器镜像和备份 (可选压缩或分割成 650 MB 的档案)5.1.2 easyrecovery界面如图3图3EasyRecovery软件主界面图EasyRecovery 是世界有名数据恢复公司 Ontrack 的技术杰作。其 Professioanl (专业) 版更是囊括了磁盘诊断、数据恢复、文件修复、E-mail 修复等全部 4 大类目 19 个项目的各种数据文件修复和磁盘诊断方案。其支持的数据恢复方案包括：高级恢复 使用高级选项自定义数据恢复 删除恢复 查找并恢复已删除的文件 格式化恢

33、复 从格式化过的卷中恢复文件 Raw 恢复 忽视任何文件系统信息进行恢复 连续恢复 连续一个保存的数据恢复进度 紧急启动盘 创建自引导紧急启动盘 其支持的磁盘诊断模式包括：驱动器测试 测试驱动器以查找潜在的硬件问题 SMART 测试 监视并报告潜在的磁盘驱动器问题 空间管理器 磁盘驱动器空间状况的具体信息 跳线查看 查找 IDE/ATA 磁盘驱动器的跳线设置5.1.3 finaldata界面如图4图4FinalData主界面图FinalData能够对FAT、FAT32和NTFS三种文件系统中的文件进行恢复，而且它的界面风格和操作方法和Windows资源管理器格外接近，即使是非计算机专业人员的一般用户也可以在几分钟的时间里把握基本的使用方法，完成大部分数据恢复工作。另外，快速高效则是FinalData的另一个显著特点，恢复单个丢失的文件只需要几秒钟的时间，而对于整个硬盘的恢复也可以在几格外钟内完成。5.1.4 易我数据恢复向导界面如图5图5易我数据恢复主只界面易我数据恢复向导是首款国内自主研发的数据恢复软件，是一款功能强大并且性价比格外高的数据恢复软件。本软件在WIND