网络安全体系课程之硬盘结构及数据恢复

网络安全体系网盾高级阶段主讲：尹俊E-mail：whuadmin@315网络安全体系课程第23讲硬盘结构及数据恢复本章目标了解数据存储介质掌握硬盘的物理及逻辑结构了解手工恢复数据掌握利用工具恢复数据数据存储介质基础信息存储金字塔数据存储介质基础计算机存储设备分类按体系结构上分：内存储器和外存储器按存储原理上分：电存储技术、磁存储技术、光存储技术数据存储介质基础电存储技术：电存储技术主要是指半导体存储器SCM（SemiconductorMemory），根据其工作方式不同，可分为随机存储器(RAM),只读存储器(ROM)及FLASH讨论：日常生活中存在哪些利用电存储技术的存储芯片？举例说明。思考：RAM，ROM，FLASH特点是什么？数据存储介质基础磁存储技术

磁存储主要是指磁表面存储器MSM（MagneticSurfaceMemory）。磁表面存储器是用非磁性金属或塑料做基体，在起表面涂敷、电镀、沉积或溅射一层很薄的高导磁率、硬矩磁材料的磁面，用磁层的两种剩磁状态记录信息“0”和“1”。基体和磁层合称为磁记录介质。依记录介质的形状可分别称为：磁卡存储器、磁带存储器、磁鼓存储器、磁盘存储器目前广泛使用的MSM是磁盘和磁带存储器。数据存储介质基础磁盘技术磁盘技术包括磁性盘片、电机、盘上方的伸缩臂及伸缩臂上的磁头硬盘的速度由两个方面决定：内部传输率和外部传输率。从盘面到缓存的内部传输率等于位存储率密度乘以盘面的线速度。从缓存到主机内存的外部传输率则与硬盘所采用的外部接口标准有关。数据存储介质基础硬盘S.M.A.R.T技术

即自动监视分析及报告技术，Self-MonitoringAnalysis&ReportingTechnology

通过监视和分析硬盘工作时的状态和性能并显示出来，使用户可以随时了解硬盘的工作情况。当硬盘发生失效时，用户可以及时获得警告，从而采取适当的措施保证硬盘中的数据不受损失。数据存储介质基础光存储技术(ODM，OpticalDiskMemory)

是将用于记录的薄层涂敷在基体上构成记录介质。记录薄层有非磁性材料与磁性材料两种，前者构成光盘介质，后者构成磁光盘介质。其存储容量大且盘片易更换。缺点是存储速度比硬盘低一个数量级。目前我们所能接触的光存储设备有：CD-ROM只读光盘；CD-R允许用户自己写一次的CD；CD-RW多次读写光盘，采用CD-R的格式；MO永磁光盘，可以重复读写，数据保存长达100年；相应的DVD产品可以视为CD的后代。数据存储介质质基础各种存储技术术的速度比较较电存储>磁存储>光存储思考：在我们们的计算机系系统中，存储储速度最快的的部件，是什什么？是内内存？硬盘？还是是其他？二数据据恢复技术基基础什么是数据恢恢复：数据恢复就是是把遭受破坏坏、或由硬件件缺陷导致不不可访问，或或者不可获得得，或者由于于误操作等各各种原因导致致丢失的数据据还原成正常常的数据，即即恢复到它本本来的面目。。数据出现问题题主要包括两两大类：即逻逻辑问题与硬硬件问题，相相应的恢复也也分别称为软软恢复和硬恢恢复。软恢复：指一切可以以通过“软””的方式进行行的恢复，不不涉及硬件修修理的数据恢恢复。如病毒毒感染、误格格式化、误删删除、等等。。硬恢复：涉及硬件修修理、由硬件件损坏或者失失效造成的数数据恢复。如如磁道损坏、、磁盘划伤、、磁组损坏、、电路板芯片片等等。数据恢复技术术基础数据恢复的一一般操作原则则备份当前尚能能正常工作的的驱动器上的的所有数据。。将损坏的硬盘盘拿到正常的的相同的操作作系统下，如如果条件允许许，取下该硬硬盘，安装一一个新的硬盘盘，在重新挂挂上坏硬盘之之前对硬盘分分区格式化，，并确信立即即更改CMOS设置置。。调查查使使用用者者。。了了解解详详细细情情况况。。如果果可可能能，，备备份份所所有有扇扇区区。。准备备扇扇区区编编辑辑工工具具，，如如WinHex、DiskEdit等。。尽可可能能得得到到使使用用者者的的关关键键文文件件信信息息。。数据据恢恢复复技技术术总总论论硬盘盘的的修修理理与与数数据据恢恢复复的的比比较较硬盘硬件维修数据恢复目的硬件正常工作得到数据方式维修软硬结合工具测量仪器、烙铁等系统硬件、特殊工具软件、修理工具等代价不大于新硬件的成本与硬件无关，取决于数据。成本修理费用智能劳动三硬硬盘盘基基础础知知识识硬盘盘出出厂厂处处理理的的基基本本流流程程1、在在生生产产线线上上装装配配硬硬盘盘的的硬硬件件部部分分，，用用特特别别设设备备往往盘盘片片上上写写入入伺伺服服信信号号（（Servowrite）.2、格格式式化化硬硬盘盘的的系系统统保保留留区区（（servicearea），，并并向向系系统统保保留留区区写写入入程程序序模模块块和和参参数数模模块块。。程程序序模模块块一一般般用用于于硬硬盘盘内内部部管管理理，，如如加加密密解解密密程程序序、、自自监监控控程程序序、、自自动动修修复复程程序序等等。。参参数数模模块块如如型型号号、、系系统统号号、、容容量量、、口口令令、、配配件件类类型型等等。。3、扫扫描描所所使使用用的的盘盘片片表表面面按按物物理理地地址址全全面面扫扫描描，，检检查查出出所所有有的的缺缺陷陷磁磁道道和和缺缺陷陷扇扇区区，，并并将将这这些些缺缺陷陷磁磁道道和和缺缺陷陷扇扇区区按按实实际际热热处处理理地地址址记记录录在在永永久久缺缺陷陷列列表表（（Plist：Permanentdefectlist）中中。。Plist保留留在在系系统统保保留留区区中中，，一一般般用用户户无无法法查查看看或或修修改改。。4、系系统统调调用用内内部部低低级级格格式式化化程程序序，，根根据据相相应应的的内内部部参参数数进进行行内内部部低低级级格格式式化化，，完完成成对对所所有有的的磁磁道道和和扇扇区区进进行行编编号号、、信信息息重重写写、、清清零零等等工工作作，，在在编编号号时时，，采采用用跳跳过过的的方方法法忽忽略略掉掉记记录录在在Plist中的缺陷陷磁道和和缺陷扇扇区，保保证以后后用户不不会也不不能使用用到那些些缺陷磁磁道和缺缺陷扇区区。硬盘基础础知识常见的硬硬盘品牌牌希捷(Seagate)迈拓（Maxtor）西部数据据（WD）三星(SAMSUNG)日立(Hitachi)富士通（（FUJITSU）硬盘基础础知识IDE接口的硬硬盘多属属于温盘盘（Winchester）,由头盘组组件（HDA,HeadDiskAssembly）与印刷刷电路板板组件（（PCBA，PrintCircuitBoardAssembly）组成。。温彻斯特特（Winchester）硬盘的的结构特特点：1、磁头、、盘片及及运动机机构密封封在盘体体内。2、磁头在在启动、、停止时时与盘片片接触，，在工作作时因盘盘片高速旋转，，从而带带动磁头头“悬浮浮”，在在盘片上上面呈飞飞行状态态，高度度大约为为0.1-0.3μm3、磁头工工作时与与盘片不不直接接接触4、磁盘表表面非常常平整光光滑硬盘基础础知识常见的硬硬盘类型型PATA（IDE）SATASCSISCSI的英文名名称是““SmallComputerSystemInterface”,中文翻译译为“小小型计算算机系统统专用接接口”;顾名思义义,这是为了了小型计计算机设设计的扩扩充接口口,它可以让让计算机机加装其其他外设设设备以以提高系系统性能能或增加加新的功功能,例如硬盘盘、光驱驱、扫描描仪等。。四硬硬盘的的物理结结构硬盘正面面结构硬盘的物物理结构构硬盘背面面结构硬盘的物物理结构构硬盘外部部结构硬盘是一一个集机机、电、、磁于一体的高高精度系系统。其外部结结构可以以分为两两个部分分：控制制电路板板和外壳壳硬盘的物物理结构构硬盘产品品标签硬盘的物物理结构构硬盘产品品标签硬盘的物物理结构构硬盘控制制电路图图片硬盘的物物理结构构硬盘控制制电路图图片硬盘的物物理结构构硬盘控制制电路总总得来说说可以分分为如下下几个部部份：主主控制芯芯片、数数据传输输芯片、、高速数数据缓存存芯片等等，其中中主控制制芯片负负责硬盘盘数据读读写指令令等工作作。硬盘的物物理结构构硬盘的物物理结构构IDE硬盘的接接口硬盘的物物理结构构SATA硬盘接接口硬盘的的物理理结构构SCSI硬盘的的接口口对于SATA接口的的硬盘盘，其其内部部结构构与PATA内部结结构是是一样样的。。只是是它们们的对对外接接口不不一样样。硬盘内内部结结构硬盘内内部结结构由由固定定面板板、控控制电电路板板、磁磁头、、盘片片、主主轴、、电机机、接接口及及其它它附件件组成成，其其中磁磁头盘盘片组组件是是构成成硬盘盘的核核心，，它封封装在在盘的的净化化腔体体内，，包括括有浮浮动磁磁头组组件、、磁头头驱动动机构构、盘盘片、、主轴轴驱动动装置置及前前置读读写控控制电电路这这几个个部份份。如如下图图：硬盘的的物理理结构构细看硬硬盘内内部结结构硬盘的的物理理结构构硬盘磁磁头及及附属属组件件硬盘的的物理理结构构五硬硬盘的的逻辑辑结构构硬盘的的逻辑辑结构构：分区磁道柱面扇区容量硬盘的的逻辑辑结构构硬盘分分区形象的的比喻喻就是是硬盘盘犹如如一个个大柜柜子，，要在在这个个柜子子中存存放各各种文文件，，有很多多种方方法。。但是是为了了便于于管理理和使使用，，一般般都会会把大大柜子子分成成一个个一个个的相对对独立立的““间隔隔”或或抽屉屉“，，绝不不会就就把一一个大大柜子子当作作一个个抽屉屉来用用。常见的的硬盘盘分区区流程程：1，主分分区2，扩展展分区区3，逻辑辑分区区硬盘的的逻辑辑结构构硬盘分分区硬盘的的逻辑辑结构构磁道(Track)磁盘在在格式式化时时被分分成许许多同同心圆圆，这这些同同心圆圆轨迹迹叫做做磁道道（track).磁道从从外向向内自自0开始顺序编编号。硬盘盘的每一个个盘面有300~~1024个磁道，新新式大容量量硬盘每面面的磁道数数就更多了了。这些磁道用肉眼眼是根本看看不到的，，因为它们们仅是盘面面上以特殊殊方式磁化化了的一些磁磁化区，磁磁盘上的信信息便是沿沿着这样的的轨道存放放的。相邻邻磁道之间并并不是紧挨挨着的，这这是因为磁磁化单元相相隔太近时时磁性会相相互产生影响响，同时也也为磁头的的读写带来来困难。一一张1.44MB的3.5英寸软盘，一面面有80个磁道，而而硬盘上的的磁道密度度则远远大大于此值，，通常一面有成成千上万个个磁道。硬盘的逻辑辑结构柱面（Cylinder）所有盘面上上的同一磁磁道构成一一个圆柱，，通常称作作柱面。每每个圆柱上上的磁头，由上而而下从“0”开始编号。。数据的读读写是按柱柱面进行的的。即磁头头在读写数据时首先先在同一柱柱面内从““0”磁头开始进进行操作，，依次向下下在同一柱柱面的不同盘面即即磁头上进进行操作。。只在同一一柱面所有有的磁头全全部读写完完毕后才移移动磁头转移移到下一柱柱面。硬盘的逻辑辑结构扇区（sector）操作系统是是以扇区形形式将信息息存储在硬硬盘上。每每个扇区包包括512字节的数据据和一些其其他信息。。一个扇区区有两个主主要部分：：存储数据地地点的标识识符存储数据的的数据段如下图所示示：硬盘基础知知识硬盘的逻辑辑结构容量硬盘的容量量由盘面数数（磁头数数）、柱面面数、和扇扇区数决定定，其计算算公式为：硬盘容容量=盘面数*柱柱面数*扇扇区数*512字节常用的容量量单位有：：KB、MB、GB、TB、PB、EB注：为什么么一块40G的硬盘，显显示的时候候，却只有有37G呢？这是是因为由于于表示方法不标标准造成的的。硬盘的逻辑辑结构总结:磁道（Track）磁盘在格式式化时被划划分成许多多同心圆，，这些同心心圆轨迹叫叫磁道（Track）。磁道从从外向内从从0开始顺序编编号。柱面(Cylinder)所有盘面上上的同一磁磁道构成的的一个圆柱柱，通常称称做柱面（（Cylinder）,每个柱面上上的磁头由由上而下从从“0”开始编号。。扇区(Sector)硬盘文件以以扇区（Sector）形式将信信息存储在在硬盘上，，每个扇区区包括512个字节的数数据和一些些其他信息息。硬盘的逻辑辑结构硬盘的逻辑辑结构这些通常用用来表示硬硬盘的物理理地址，现现在随着硬硬盘容量增增大我们用用逻辑地址址即线性地地址（LBA）。因此我我们需要了了解CHS与LBA之间的转换换。硬盘的逻辑辑结构磁道,柱面和扇区区用来定位位硬盘的物物理地址，，现在随着着硬盘容量量增大我们们用逻辑地地址即线性性地址（LBA）来来表表示示.C/H/S与LBA地址址的的对对应应关关系系：：假设设用用C表示示当当前前柱柱面面号号，，H表示示当当前前磁磁头头号号，，Cs表示示起起始始柱柱面面号号，，Hs表示示起起始始磁磁头头号号，，Ss表示示起起始始扇扇区区号号，，PS表示示每每磁磁道道有有多多少少个个扇扇区区，，PH表示示每每柱柱面面有有多多少少个个磁磁道道，，则则有有以以下下对对应应关关系系：：LBA=（C-Cs）*PH*PS+（H-Hs）*PS+（S-Ss）注意意:一般般情情况况下下，，CS=0、HS=0、SS=1、PS=63、PH=255计算算:0/0/1(LBA)=?0/0/63(LBA)=?0/1/1(LBA)=?220/156/18(LBA)=?硬盘盘的的逻逻辑辑结结构构硬盘盘数数据据存存储储区区域域MBR区：：主主引引导导记记录录DBR区：：操操作作系系统统引引导导记记录录区区FAT区：：文文件件分分配配表表DIR区：：文文件件目目录录表表DATA区：：数数据据MBR（63）DBR（32）FAT(1)FAT(2)DIR（32）DATA这5个区区域域在在硬硬盘盘逻逻辑辑分分区区上上的的排排列列如如下下：：逻辑辑磁磁盘盘中中系系统统对对文文件件的的管管理理链链（（FAT文件件系系统统下下））MBRDBR保留扇区FAT1FAT2FDT=32DATA剩余扇区定位起始扇区逻辑驱动器根据FAT链指示，文件结束根据FAT链指示，找到下一簇确定首簇位置和FAT中簇链起点MBR(masterbootrecord)扇区区：：MBR不随随操操作作系系统统的的不不同同而而不不同同，，意意即即不不同同的的操操作作系系统统可可能能会会存存在在相相同同的的MBR，即即使使不不同同，，MBR也不不会会夹夹带带操操作作系系统统的的性性质质。。具具有有公公共共引引导导的的特特性性。。硬盘盘的的逻逻辑辑结结构构MBRMBR中中的的DPT信信息息DOS逻辑盘盘与分区表链链的关系求使用未使用描述剩余空间定义C盘表项1表项2表项4表项3C：盘分区表D：盘分区表E：盘分区表F：盘分区表求使用未使用描述虚拟MBR定义D盘求使用未使用描述虚拟MBR定义E盘求使用未使用未使用定义F盘DBR区DBR（DOSBootRecord），操作系统统引导记录区区。通常位于于硬盘0柱1面1扇区，是操作作系统可以直直接访问的第第一个扇区。。它包括一个个引导程序和和一个被称为为BPB（BIOSParameterBlock）的本分区参参数记录表。。引导程序的的主要任务是是，当MBR将系统控制权权交给它时，，判断本分区区根目录前两两个文件是不不是操作系统统的引导文件件。以DOS为例，即是IO.SYS和MSDOS.SYS。低版本的DOS要求这两个文文件必须是前前两个文件，，即位于根目目录的起始处处，占用最初初的两个目录录项，高版本本的已没有这这个限制。另另外，Windows与DOS是一个家族，，所以，Windows也沿用这种管管理方式，只只是文件名不不一样。如果果确定存在，，就把IO.SYS读入内存，并并把控制权交交给IO.SYS。BPB参数块记录着着本分区的起起始扇区、结结束扇区、文文件存储格式式、硬盘介质质描述符、根根目录大小和和FAT个数，分配单单元的大小等等重要参数。