第17讲-误删除文件的恢复

任务2FAT32文件系统数据恢复---4.2.1FAT32分区误删除文件恢复一、教学分析任务名称任务4.2.1FAT32分区误删除文件恢复课程名称数据备份与恢复课程性质专业核心课专业名称信息安全管理课程类型理实一体先修课程信息安全技术与实施后续课程计算机取证技术与应用授课方式线上线下混合、工单任务、虚拟仿真、小组合作授课学时2学时授课时间2022.4.25、2022.4.26授课地点理实一体化教室4103、4405、15-201授课班级信安2002、信安2003、信安2004、信安2005授课教师高灵霞、廖艳授课教材国家“十二五”规划教材《数据恢复技术》、1+X证书制度试点教学用书《数据备份与恢复》内容分析本次课的内容为项目四任务2FAT32文件系统数据恢复、子任务4.2.1FAT32分区误删除文件恢复。在FAT32分区中，文件分配表（FAT）记录了位于数据区的簇的使用情况，同时也记录了文件分配簇的位置，因此地位格外重要，FAT分区因此而得名。利用所学文件目录项和DBR扇区参数信息，分析文件存储原理，通过FAT表遍历文件所在的簇，提取文件数据进行恢复或采用文件删除原理恢复文件初始状态。提高学生FAT分区文件删除恢复的综合技能。学情分析知识技能基础1.通过任务1FAT32文件系统结构分析的学习，学生已经掌握了FAT32分区结构，了解了分区结构，对误删除文件恢复提供了一定的理论基础2.通过学情调研测试，发现有2名学生对误删除文件恢复方法相关问题回答错误，说明对误删除文件恢复方法相关知识学习有待进一步提高项目四任务1通过人数项目四任务1通过人数认知实践能力1.通过子任务4.1.3的学习，学生能够识别不同的分区类型，熟悉FAT32分区结构，了解了误删除文件恢复方法和原理。2.通过课前调研了解了误删除文件恢复方法。但是测试显示，学生对误删除文件恢复的学习有待提高学习特点1.学生喜欢借助手机APP、微课、动画、仿真软件等信息化手段学习2.学生实操欲望较强，具有一定的自主学习能力，喜欢挑战任务，通过完成任务来获得成就感教学目标素质目标注重工作流程和操作规范良好的职业道德教育学生能立足专业，遵守数据恢复工程师职业操守和注意事项知识目标学生掌握FAT32分区中FAT表的结构信息。学生能够熟悉文件删除的原理。学生能够掌握文件恢复的方法。能力目标学生能够根据文件目录项和分析FAT表，读取文件数据进行恢复。学生能够依据系统删除文件原理，编辑文件目录表和FAT区数据，进行文件还原恢复。学生通过文件恢复，全面提升分析、计划、实施和监控数据备份与恢复任务的能力教学重点及解决措施教学重点：系统文件删除原理，通过读取文件数据或编辑文件信息进行删除文件的恢复。解决措施：1.课前布置任务，学生查阅资料，了解误删除文件恢复相关知识课中教师引导，构建虚拟仿真环境，小组合作，指定解决方案，进行仿真验证课后要求学生仿真结构，强化技能，并安排学生到数据恢复与计算机取证研究中心进行实战，拓展能力教学难点及解决方案教学难点：误删除文件目录项的定位、所在簇位置信息的分析解决措施：课前将误删除文件恢复资料，发放到学生电脑，学生能提前熟悉难点知识点在仿真实验中，课中通过仿真实验分析强调误删除文件恢复方法和原理课后要求学生仿真结构，来强化误删除文件恢复方法的原理二、教学策略教学资源中国大学MOOC学习网址：/learn/preview/cqcet-1002526030?tid=1463444550课程资源（微课、PPT、动画、作业、测试、讨论）自主学习，个性化学习中国大学慕课堂慕课堂二维码：全程教学管理、实时采集数据，记录学生的学习行为，学生成绩评定和调整教学策略。动画课件辅助学习，帮助理解，攻克教学难点。企业案例工学结合，以工单任务，引出本次课的任务，提高学习兴趣。虚拟仿真通过虚拟结构磁盘验证数据恢复的效果，降低实训成本,优化设计方案。企业级实训基地通过数据恢复与计算机取证研究中心，推动产教融合，提供技术交流服务。技术论坛技术论坛“硬盘基地”：/；学习数据备份与恢复的新技术,新应用，拓展视野。QQ群师生交流，答疑解惑，企业导师分享案例与经验。教学策略课程以“德技并修”为逻辑起点，秉承“学生为主体、教师为主导”的育人理念，以项目为驱动，实施“德育”与“专业”双线育人模式，“博学、审问、慎思、明辨、笃行”为学生学习的阶梯线，“模-诊-练-验-战”为课堂实施的教学线，双线并举，以传统文化之魂，探数据备份与恢复之魄，涵养学生新时代精神，实现知识目标和价值目标的协调统一，尽职履责捍卫国家数据安全，护航国家迈入数字经济蓝海。三、教学整体设计项目四：析结构、找文件任务2：FAT32文件系统数据恢复4.2.1FAT32分区误删除文件恢复项目四：析结构、找文件任务2：FAT32文件系统数据恢复4.2.1FAT32分区误删除文件恢复四、教学实施.课前准备环节（用时）内容教师活动学生活动设计意图测学情模场境【检测学情】查阅资料，了解FAT32分区结构课程教学平台，自主探究FAT32误删除文件恢复在慕课堂完成课前测、在线讨论【模拟场境】通过虚拟磁盘技术模拟FAT32误删除文件恢复训练场境1.查资料：慕课堂推送学习资料，布置资料查询任务。2.答疑惑：慕课堂平台讨论区答疑，聚焦学生疑点。3.课前测：慕课堂平台推送课前检测题单。4.模场景：依据教学内容，学情分析，通过虚拟磁盘技术模拟训练场环境。1.析任务：登录慕课堂，下载学习资料，查看课前和课中任务。2.互合作：小组协作，完成课前查询资料，上传慕课堂。3.勤自学：在中国大学MOOC平台，自主分析文件目录表结构。4.先预习：完成课前测题单，在讨论区师生、生生交流。1.教师以“模”为策略，引出课堂任务。2.学生通过查阅资料，线上自主探究FAT32误删除文件恢复，恢复方法，结合课前测，完成专业知识考核，引导学生“博学”。3.教师通过课前测过程性评价结果。依据教学目标、结合学情，模拟训练场境，确定教学重难点给出解决方案。课中探究环节（用时）内容教师活动学生活动设计意图析任务（10分钟）【分析任务】引出工单任务分析工单任务内容1.发任务：任务工单发放学生2.现场景：赵老师在整理工作资料的时候，删除了一批文件，不小心把一份不久前才写的工作文档误删除了，于是请工程师小王来帮忙进行恢复。因为客户记得文件的名字和具体位置，小王决定试下手工恢复。发生这种情况，建议对误删除文件的分区做保护，禁止再往里面写入文件，通过对文件系统结构信息的掌握，能够把删除文件的数据内容复制出来。由于这个文档占用了不止一个簇，而且很有可能是非连续存放，因此要仔细分析。3.提问题：FAT32分区结构组成？文件目录项中长文件目录和短文件目录的区别1.看需求：学生接收任务工单，查看任务需求，回顾FAT32分区结构，文件目录项的特点。2，熟要求：根据教师任务引导，熟悉任务工单要求3.析思路：理解分析解决问题的思路4.答问题：以小组为单位回答FAT32文件系统结构。以小组为单位回答长文件目录和短文件目录的区别和联系。1.通过故障展示，理解FAT32误删除文件的现象2.“诊”知识要点，体会数据恢复的重要性，明确任务需求。探真知（20分钟）【探索真知】教师提问巩固FAT32分区结构知识引导学生完成工单任务固知识：1.固结构：FAT32分区结构（提问方式巩固知识）2.目录项：文件目录项结构------通过指导学生使用Winhex工具查看文件目录项，实现知识技能培养短文件目录项：3.分配表：文件分配表结构（教师引导，学生归纳）重提醒：重点提醒：FAT系统采用链表存储结构FAT32，即每个FAT项占用字节数为4字节。在目录表中给出了该文件的起始簇号FAT表中该簇项记录着链表中下一簇的簇号，一直到结束标志为止。FAT表簇的使用标记1）未用的空簇（可分配）000000002）坏簇0FFFFFF73）最后一个簇：0FFFFFFF4）第0项和第1项为FAT起始标记F8FFFF0FFFFFFFFF培技能：技能培养引导学生完成任务工单中的任务一：FAT表的遍历与计算4.删原理：文件删除原理（教师演示讲授）系统在删除一个文件时，只做了三件事：1）在文件目录表中，将该文件的文件名的首字节改为“E5”。2）在FAT中，将该文件所分配的簇号清零。3）另外，在FAT32分区中，系统还会将文件目录表中起始簇号的高16位清零。4）文件的数据并没有修改，这也是数据能够恢复的原因和契机。5.复方法：恢复已删除文件的方法方法一：修改文件系统结构使文件恢复到删除前的状态。方法二：读取数据内容恢复文件。培技能：技能培养引导学生完成任务工单中的任务二：恢复已经删除的文件1.记知识：（1）学生回顾FAT32分区结构，掌握由保留区和FAT区以及数据区组成。（2）学生熟悉记录文件目录项结构，熟悉短文件目录记录文件大部分熟悉，长文件目录记载文件名信息。通过打开FAT1，熟悉FAT表结构知识2.理原理：通过删除文件，理解系统删除文件原理理解文件恢复的方法掌技能：技能掌握学生根据文件目录项，快速记录文件所在的起始簇号，文件大小信息。学生能够根据FAT分区结构，定位FAT1扇区，查看FAT表结构，理解记录信息。学生掌握“shift+Delele”彻底删除文件后，文件目录项和FAT表信息的变化。掌握删除文件恢复的思路，多个文件合并的方法。记重点：理解文件删除后，不要再写入其他文件，防止数据被覆盖，则无法恢复数据。1.引导学生“审问”，理解重难点知识。2.小组活动，教师引导共同探究FAT32误删除文件恢复方案。3.掌握数据恢复技术及注意事项，便于优化方案，合理设计实施计划。练技术（40分钟）【演练技术】指导学生完成FAT32误删除文件恢复1.做指导：指导学生完成任务一：文件FAT结构分析2.做要求：要求学生记录文件的起始簇号、文件大小、文件所在的簇号。3.引恢复：引导学生完成任务二：已删除文件的恢复4.提知识：提示学生首先通过分析文件目录表中的起始簇号，文件大小，以及簇的大小。然后分析文件所占的簇、最后簇的扇区的个数、最后1个扇区的字节数。最后分析FAT表中所占的簇号。进行文件数据的提取，和文件的合并恢复操作。在任务二中，通过系统文件删除的原理，利用前面文件数据的提取分析，恢复文件系统结构，指导学生进行恢复文件。5.守规范：在指导过程提醒学生尊重操作规范，发扬大国工匠精神，精益求精。习近平总书记强调：“我国经济要靠实体经济作支撑，这就需要大量专业技术人才，需要大批大国工匠。6.查情况：查看学生完成情况，必要时给与总体技能传授1.搭环境：学生完成搭建实验环境，定位文件目录表，查找每个文件的短文件目录项，记录文件大小、起始簇号、以及簇的大小。并修改文件数据，分析修改文件的大小，所在簇号，归纳文件系统存储原理。完成任务一通知教师检查。2.恢数据：将“数据恢复技术.txt”文件彻底删除后分析文件所在的簇号，进行文件提取、合并恢复后通知教师检查，说明文件恢复思路。3.恢文件：完成任务二中文件系统结构恢复文件，通知教师检查。4.记结果：根据真实实验过程，记录详细步骤，并上传至平台。【育人案例】2017年9月8日，广西南宁约80用户2/3/4G所有业务的无法使用，实际原因是华为技术人员在进行工程割接升级时因为人为误操作，导致用户数据丢失，影响了这部分用户语音和数据业务1.教师加强指导，学生“慎思”，寻找问题解决方法。2.课中“练”，通过仿真实践，锻炼学生通过FAT32误删除文件恢复操作系统使用的技能。3.教师过程性评价学生完成情况，在实践中引导学生耐心专注，逐步养成热爱劳动的良好习惯，达自立。验成效（20分钟）【检验成果】检验学生成效，总结经验划重点：写出FAT文件分配表的作用：数据区簇的使用情况以及文件分配簇的情况。写出系统删除文件的原理：文件目录项第1个字节是E5，起始簇号高16位清0，文件所占簇的信息清零为空闲。恢复已删除文件的方法及过程（4）实验中出现的问题及解决方案做总结:写出FAT文件分配表的作用写出系统删除文件的原理恢复已删除文件的方法及过程实验中出现的问题及解决方案文件删除后，不用再向分区中存放文件，防止恢复数据被破坏。1.师生共“验”，展示成果，分享经验，促进小组之间相互学习，取长补短，达成共同进步。2.提高学生表达能力，增加自信，通过“明辨”，拓展思路，学习其他同学好的想法。3.教师引导学生梳理知识点，巩固知识和技能，提高学生总结概括能力。3.课后拓展环节（用时）内容教师活动学生活动设计意图仿结构【模仿结构】做仿真，模拟FAT32分区误删除文件恢复，进行分析1.布任务：协助学生模拟FAT32分区误删除文件恢复仿真。2.做改进：学生任务工单，分析学情完善教学策略1.小组活动，通过虚拟磁盘技术模拟FAT32分区误删除文件恢复，进行仿真恢复。2.完善任务工单，上传学习通1.教师和学生遵守“耐心专注”的职业素养。2.通过仿真，模拟磁盘故障，拓展技能，“笃行”。3.通过数据恢复与计算机取证研究中心进行数据恢复训练提升能力，强化实“战”。4.形成终结性评价考核结果，以小组互评，教师评价的方式，达成课程培养目标。强实战【强化实战】到数据恢复与计算机取证研究中心进行数据恢复实战组织学生到数据恢复与计算机取证研究中心，观摩学习或参与磁盘恢复实战协同数据恢复大赛指导教练对学生进行现场指导。学生小组活动，认真观摩学习磁盘恢复技术、积极参与实战。积极参加数据恢复大赛学生团队，争取通过选拔。五、考核评价评价方式采用专业教师、小组互评、自评、平台考核等多元评价方式，学生成绩客观、公正、透明、真实。课程评价标准与方式：（1）课前测：根据中国大学慕课堂平台记录的学习数据成绩。（2）模块测：依据学生完成效果，授课教师评阅，学习通平台记录测试成绩。（3）工单任务：由考勤记录（30%分）、课堂表现（20%）、实施成效（50%）三方面平时考勤：迟到早退各扣1分，旷课扣2分，提前10分钟激励1分。以平均分达到满分，按比例打分。（扣分超过10，总评0）课堂表现：课程中的案例、思考、练习，鼓励学生主动参与讨论、分享思路、帮助同学，表现突出的，当场记录加1~2分，若有影响课堂学习的（如：睡觉、玩手机）当场记录扣2分。总评以最高分达到满分，按比例打分。实施成效：依据完成工单任务成效每次得分1-2分，总评以最高分达到满分，按比例打分（4）实战拓展：以提交学习通中工单任务报告，采用教师评价，学生互评方式，学习通平台记录成绩。（5）期终考评：线上采用中国大学MOOC成绩，线下由教学团队统一规划出题考试教学效果1.学生通过课前查阅资料，了解FAT32分区误删除文件恢复原理。2.通过师生共同探究，掌握FAT32分区误删除文件恢复方法。3.通过课中仿真实验与恢复成效展示，学会了使用磁盘编辑工具Winhex、虚拟磁盘工具。特色创新1.利用磁盘编辑工具文件底层数据提取方法和原理，培养学生“立足专业”分析文件存储结构，能“自立”完成任务。2.采用虚拟磁盘技术，仿真实验环境，节约成本3.采用工单任务，工学结合，模拟职场情境，提高学生综合职业技能。反思改进1.通过课前测，有95%学生掌握知识技能，5%左右学生知识不牢固，提出预警差异指导对应学生。2.通过课堂师生交流，知识讲授与技能培养掌握情况良好，要加强操作技能检查，改进教学策略。3.通过工单任务完成情况以及学生自我评价，改进工单任务内容。工单任务任务名称FAT32分区误删除文件恢复学时2班级学生姓名小组成员小组任务成绩个人任务成绩使用工具Winhex,磁盘管理工具学习场地实训机房日期任务需求：赵老师在整理工作资料的时候，删除了一批文件，不小心把一份不久前才写的工作文档误删除了，于是请工程师小王来帮忙进行恢复。因为客户记得文件的名字和具体位置，小王决定试下手工恢复。发生这种情况，建议对误删除文件的分区做保护，禁止再往里面写入文件，通过对文件系统结构信息的掌握，能够把删除文件的数据内容复制出来。由于这个文档占用了不止一个簇，而且很有可能是非连续存放，因此要仔细分析。任务目的：学生能分析FAT文件分配表学生能够能编辑文件系统信息恢复文件能读取文件数据恢复文件学生通过文件数据，全面提升分析、计划、实施和监控数据备份与恢复任务的能力查阅资料：查阅资料，了解FAT32分区结构，自主探究FAT32分区误删除文件恢复计划与决策根据任务需求，提供采用提供可行的解决方案。学生能够创建虚拟磁盘划分分区，模拟实验环境，检验是否与真实相符学生根据文件目录项和文件分配表信息，系统删除文件原理，具有手工恢复文件数据的能力。任务实施；知识链接（1）文件分配表信息FAT系统采用链表存储结构FAT32，即每个FAT项占用字节数为4字节。在文件目录表中给出了该文件的起始簇号FAT表中该簇项记录着链表中下一簇的簇号，一直到结束标志为止。FAT表簇的使用标记未用的空簇（可分配）00000000坏簇0FFFFFF7最后一个簇：0FFFFFFF第0项和第1项为FAT起始标记F8FFFF0FFFFFFFFF（2）文件删除原理系统在删除一个文件时，只做了三件事：1）在文件目录表中，将该文件的文件名的首字节改为“E5”。2）在FAT中，将该文件所分配的簇号清零。3）另外，在FAT32分区中，系统还会将文件目录表中起始簇号的高16位清零。4）文件的数据并没有修改，这也是数据能够恢复的原因和契机。（3）文件恢复的方法方法一：修改文件系统结构使文件恢复到删除前的状态。方法二：读取数据内容恢复文件。2．任务实施步骤任务一：FAT表的遍历与计算（1）创建1个虚拟磁盘4G，格式化一个FAT32分区（2）向该分区中拷贝3个文件（提示为简化操作按顺序拷贝文件）分析以上三个文件所在的起始簇号，文件大小，以及占用哪几个簇文件名起始簇号文件大小占用哪几个簇TEST_文件名.txt数据恢