实训指导6122数据恢复(修复)FinalData课件

1、计算机网络安全技术与实施学习情境6：实训任务6.1国家高等职业教育网络技术专业教学资源库数据备份与恢复数据修复内容介绍任务场景1任务相关工具软件介绍2任务设计、规划3任务实施及方法技巧4任务检查与评价5任务总结6任务场景任务相关工具软件介绍常用数据修复软件：FinalData、EasyRecovery、Disk Genius恢复已删除文件：Active File RecoveryDrive RescueDISKCOMMANDFilerecoveryangelFileRescueNTFSRecover4allRecoverItAllProSmartUndeleteUnEraseVideoResc

2、ue Pro恢复媒体文件：MediaRecoveryMediaRescue ProObjectRescue ProPhotoRescue ProRecover My Photos恢复格式化后的分区文件：DiskRecoveryEasyRecoveryFile Rescue PlusFile ScavengerFinalData EnterpriseFinalRecoveryFormatRecoveryHandy RecoveryRecoverMyFilesR-StudioSearch and Recover易我数据恢复向导任务实施及方法技巧数据恢复(修复)相关知识与原理介绍任务实施及方法技巧1

3、、数据恢复（修得）原理 文件在磁盘上的存储就像是一个链表，表头是文件的起始地址，整个文件并不一定是连续的，而是一个节点一个节点的连接起来的。要访问某个文件时，只要找到表头就行了。删除文件时，其实只是把表头写上删除标志，后面的数据并没有删除，直到下一次进行写磁盘操作需要占用节点所在位置时，才会把相应的数据覆盖掉。数据恢复软件正是利用了这一点，只要没有覆盖掉那些数据，就可以恢复。 打个比喻，硬盘和写在其中的文件， 好比一本书，书中的每一个章节都有一个目录以便于查找和阅读。硬盘中的文件也有一个表，称之为文件分配表，指示了每一个文件的具体扇区位置，系统在删除文件时并不是把文件清除，而是把文件分配表中的

4、此文件记录条目删除了。任务实施及方法技巧2、文件分配表文件分配表FAT（File Allocation Table）用来记录文件所在位置的表格。它对于硬盘的使用是非常重要的，假若丢失文件分配表，那么硬盘上的数据就无法定位而不能使用了。文件分配表区共保存了两个相同的文件分配表，因为文件所占用的存储空间（簇链）及空闲空间的管理都是通过FAT实现的，FAT如此重要，保存两个以便第一个损坏时，还有第二个可用。文件系统对数据区的存储空间是按簇进行划分和管理的，簇是空间分配和回收的基本单位，即，一个文件总是占用若干个整簇，文件所使用的最后一簇剩余的空间就不再使用，而是浪费掉了。任务实施及方法技巧3、扇区F

5、AT32系统一簇对应8个逻辑相邻的扇区，理论上，这种用法所能管理的逻辑盘容量上限为16TB（16384GB），容量大于16TB时，可以用一簇对应16个扇区，依此类推。FAT16系统在逻辑盘容量介于128MB到256MB时，一簇对应8个扇区，容量介于256MB到512MB时，一簇对应16个扇区，容量介于512MB到1GB时，一簇对应32个扇区，容量介于1GB到2GB时，一簇对应32个扇区，超出2GB的部分无法使用。显然，对于容量大于512MB的逻辑盘，采用FAT32的簇比采用FAT16的簇小很多，大大减少了空间的浪费。需要注意的是FAT32分区能存放的最大文件大小为4GB。任务实施及方法技巧4、

6、分区表分区表是将大表的数据分成称为分区的许多小的子集。倘若硬盘丢失了分区表，数据就无法按顺序读取和写入，导致无法操作。硬盘分区实质上是对硬盘的一种格式化，然后才能使用硬盘保存各种信息。创建分区时，就已经设置好了硬盘的各项物理参数，指定了硬盘主引导记录（Master Boot Record，一般简称为MBR）和引导记录备份的存放位置。主分区表位于硬盘主引导扇区(0柱面0磁头1扇区)的后部。从1BEH字节开始，共占用64个字节，包含四个分区表项。每个分区表项的长度为16个字节，它包含一个分区的引导标志、系统标志、起始和结尾的柱面号、扇区号、磁头号以及本分区前面的扇区数和本分区所占用的扇区数。其中引

7、导标志表明此分区是否可引导，即是否活动分区。当引导标志为80时，此分区为活动分区；系统标志决定了该分区的类型，如06为DOS FAT16分区，0b为DOS FAT32分区，63为UNIX分区等；起始和结尾的柱面号、扇区号、磁头号指明了该分区的起始和 终止位置。任务实施及方法技巧4、分区表分区表一般位于硬盘某柱面的0磁头 1扇区。而第1个分区表(也即主分区表)总是位于(0柱面,1磁头,1扇区)，剩余的分区表位置可以由主分区表依次推导出来。分区表有64个字节，占据其所在扇区的441-509字节，要判定是不是分区表，就看其后紧邻的两个字节(也即510-511)是不是 55AA，若是，则为分区表。任务

8、实施及方法技巧5、硬盘数据文档修复的原则 与前面的数据备份与恢复软件不同，这里介绍的软件是在没有备份的基础上对各种原因引起的数据丢失的恢复，如对误删除的文件进行恢复、对硬盘分区数据恢复、对U盘数据丢失的恢复等，因此称之为数据修复更好。这类软件有FinalData、EasyRecovery、Recoverall等，这些软件可以进行文件级的恢复，当然也有很多专业的数据修复软件及工具。数据修复及保护必须清楚几个概念：（1）硬盘文件删除及快速格式化（即使分区遭到一定的破坏）是可以恢复的；（2）在发现数据文件丢失后，在恢复前不要再往里写数据；（3）平时的文档尽量不要存放在桌面或系统盘，如C盘下，因为这个

9、分区数据交换读写较频繁，如系统的虚拟内存一般在这里，这给数据的恢复带来了麻烦，因为要修复的数据文件可能被后续的写入数据覆盖，另外是系统损坏使得系统重做带来麻烦；（4）巧妙地运行GHOST等软件也可以对硬盘数据提供帮助，特别是系统分区表被破坏后；（5）U盘是易损设备，可能是由于病毒破坏或物理损坏造成（如晶振可能由于摔坏造成分区无法别，如果有重要数据可以考虑更换等方式），也是可以修复的；（6）操作系统由于病毒或系统文件丢失可以考虑利用系统修复光盘启动系统进行修复；（7）可以借助WinHex这样的16进制文件编辑与磁盘编辑软件为文件恢复提供帮助；（8）在不同的情况下的数据修复要进行多的反复的尝试。任

10、务实施及方法技巧数据恢复（修复）演示实验2- FinalData FinalData也是一款我们常用的数据恢复软件，其数据恢复功能与EasyRecovery类似 ，界面如图：任务实施及方法技巧选择界面左上角的“文件”、“打开”，从“选择驱动器”对话框中选择想要恢复的文件所在的驱动器。这里我们选择“驱动器D”然后单击“OK”开始扫描。任务实施及方法技巧首先扫描根目录（又称做“快速扫描”），其次进行簇扫描（又称“完整扫描”），如图 任务实施及方法技巧扫描完成后出现下图对话框，从中查找所需文件选择保存路径恢复存即可。任务实施及方法技巧其中左边的项目分别表示：1、“Root Directory”：正常

11、根目录2、“Deleted Directory”：从根目录删除的目录集合(只在“快速扫描”后可用)3、“Deleted Files”：从根目录删除的文件集合(只在“快速扫描”后可用)4、“Lost Directory”：只有在“完整扫描”后找到的目录将会被显示在这里。由于已经被部分覆盖或者破坏，所以“快速扫描”不能发现这些目录。如果根目录由于格式化或者病毒等引起破坏，FinalData就会把发现和恢复的信息放到“丢失的目录”中。(只在“完整扫描”后可用)5、“Lost Files”：被严重破坏的文件，如果数据部分依然完好，可以从“丢失的文件”中恢复。在“快速扫描”过后，FinalData将执行

12、“完整扫描”以查找被破坏的文件并将列表显示在“丢失的文件”中。(只在“完整扫描”后可用)任务实施及方法技巧6、“Recently Deleted files”：当FinalData安装后，“文件删除管理器”功能自动将被删除文件的信息加入到“最近删除的文件”中。因为FinalData将这些文件信息保存在一个特殊的硬盘位置，大多数情况下可以完整地恢复出现(安装程序时会指定一定的硬盘空间用来存放这些信息)。7、“Searched Files ”：这些就是所有硬盘上面被删除的文件，以后可以按照文件名、簇号和日期对扫描到的文件进行查找。另外FinalData对于查找分区结构和文件系统的功能非常强大，因此在很多时候也会作为恢复分区的辅助工具使用。任务实施及方法技巧8、制作自己的U盘启动盘，来对计算机进行系统安装，数据修复任务实施及方法技巧任务检查与评价理解数据备份与恢复的重要性，知道备份方式与种类、能够实施企业网络数据备份与恢复方案。这个工作任务建议采用虚拟实验的方式完成的。要求达到的目标是：能够利用 FileGee对数据进行备份与恢复，利用FinalData对误删除的数据进行恢复。任务6.1-知识技能要点测评表序号测评要点具体目标测评权重1知识理解深入理解数据备份与恢复的常用技术。202工具及软件使用能利用虚拟机完成本任务的数据备份与恢复实验 。103任