数据恢复技术高职全套教学课件

储存介质全套可编辑PPT课件什么是数据随着全球信息化的飞速发展，数据已经成为企业的一项最重要的资产，数据存储的可用性、完整性和安全性已不再是单纯的技术问题，更是企业生存力和竞争力的重要体现。信息时代的核心是信息技术，而信息技术的核心则是数据的处理和存储。什么是数据本课程所指的数据是指计算机数据，包含计算机文件系统或数据库系统中存储的各种数据、文字、图形、图像、声音等各种形式的多媒体数据文件、软件或各种文档资料，也包括存放或管理这些数据的硬件信息。什么是数据备份数据备份是数据安全的基础，是指为防止系统出现操作失误或系统故障导致数据丢失，而将全部或部分数据集合从应用主机的硬盘或阵列复制到其它的存储介质的过程。什么是数据恢复数据恢复是指将受到破坏，或者是硬件缺陷导致不可访问、不可获取，或者是由于误操作、计算机病毒等各种原因导致数据丢失还原成为可访问的正常数据。本课程的作用《数据备份与恢复》是信息安全或相关专业的一门专业必修核心课程，通过本门课程的学习，要求同学们掌握数据备份与恢复的核心技能，理解数据备份与恢复的基本知识和方法，为成为一个合格的数据安全领域的高技能人才打下良好的基础。一、本单元的主要内容1.识别常见的存储介质2.掌握硬盘的物理结构【教学重点】识别常见的存储介质，掌握硬盘的物理结构，识别硬盘型号【教学难点】掌握硬盘的物理结构，识别硬盘型号一、常见的存储介质存储介质是指存储数据的载体

计算机的存储介质可以分为内存储器和外存储器。一、常见的存储介质内存储器内存储器（即内存）直接和计算机的CPU相连，其存取速度要求能和CPU速度相匹配，其存取速度快，成本也较高，通常由半导体存储芯片构成，容量较小。一、常见的存储介质外存储器外存储器又分为：在线存储器，如硬盘、磁盘阵列近线存储器，如光盘机、光盘库离线存储器，如磁带机、磁带库

一、常见的存储介质对于一般的个人用户，使用硬盘、软盘和光盘等存储介质就可以满足要求，但对商业用户或安全性要求较高的信息系统，磁带机、磁盘阵列、磁带库为必不可少的存储设备。一、常见的存储介质根据使用材料和存储原理的不同，存储介质可分为：电存储介质、光存储介质、磁存储介质三大类。

二、电存储介质电存储介质市面上常见的存储介质有CF卡、SD卡、记忆棒（MemoryStick）、TF卡和固态硬盘和U盘。电存储介质是指半导体存储器，其采用超大规模集成电路工艺制成存储芯片，每个芯片包含相当数量的存储单元，再由相当数量的芯片构成存储器。

二、电存储介质U盘U盘的称呼最早来源于朗科公司生产的一种新型电存储设备，名曰“优盘”，使用USB接口进行连接。其最大的特点就是：小巧便于携带、存储容量大、价格便宜。是移动存储设备之一二、电存储介质CF卡CF卡重量只有14g，仅纸板火柴般大小（43mmx36mxm3.3mm），是一种固态产品，也就是工作时没有运动部件。CF卡采用闪存（flash）技术，是一种稳定的存储解决方案，不需要电池来维持其中存储的数据。二、电存储介质SD卡SD卡大小犹如一张邮票的SD记忆卡，重量只有2克，但却拥有高记忆容量、快速数据传输率、极大的移动灵活性以及很好的安全性，而且它是一体化固体介质，没有任何移动部分，所以不用担心机械运动的损坏。二、电存储介质TF卡(microSD)TF卡又称T-Flash卡，全名：TransFLash，又名：MicroSD，由摩托罗拉与SANDISK共同研发，在2004年推出。是一种超小型卡（11*15*1MM），约为SD卡的1/4，可以算目前最小的储存卡了。二、电存储介质记忆棒记忆棒全称MemoryStick，它是由日本索尼（SONY）公司最先研发出来的移动存储媒体。记忆棒它用在SONY的PMP，PSX系列游戏机，数码相机，数码摄像机，索爱的手机，还有笔记本上，用于存储数据，相当于计算机的硬盘。二、电存储介质固态硬盘固态硬盘就是用固态电子存储芯片阵列而制成的硬盘，固态硬盘的接口规范和定义、功能及使用方法上与普通硬盘的相同，在产品外形和尺寸上也与普通硬盘一致。高速传输-比7200RPM硬盘快10倍；高质量尺寸69.8mmx100.1mmx7mm三、磁存储介质磁存储介质常见的磁存介质主要有硬盘、磁带。硬盘是目前最主要的磁存储介质类型，主要有三种类型：3.5寸台式机硬盘；2.5寸笔记本硬盘；1.8寸微型硬盘。硬盘的接口主要有：IDE、SATA、SCSI、光纤通道接口。三、磁存储介质磁存储介质主要是指磁表面存储器其存储原理是指用非磁性金属或塑料做基体，在其表面上电镀一层很薄的磁面，用磁面的两种剩磁状态记录信息“0”或“1”。基体和磁面合称为磁记录存储介质。三、磁存储介质常见的磁存介质主要有硬盘、磁带。硬盘是目前最主要的磁存储介质类型，主要有三种类型：3.5寸台式机硬盘；2.5寸笔记本硬盘；1.8寸微型硬盘。四、光存储介质是将用于记录的薄层涂敷在基体上构成记录介质记录薄层有非磁性材料与磁性材料两种，前者构成光盘介质，后者构成磁光盘介质。其存储容量大且盘片易更换。缺点是存储速度比硬盘低一个数量级。五、硬盘的外部物理结构硬盘的物理结构(1)硬盘接口硬盘接口包括电源接口插座和数据接口插座两部分，其中电源插座就是与主机电源相连接，为硬盘正常工作提供电力保证。数据接口插座则是硬盘数据与主板控制芯片之间进行数据传输交换的通道

五、硬盘的物理结构控制电路板主控制芯片数据传输芯片、高速数据缓存芯片五、硬盘的物理结构固定面板

右图是硬盘正面的面板，它与底板结合成一个密封的整体，保证了硬盘盘片和机构的稳定运行。在面板上面印着产品型号、产品序列号、产品、生产日期等信息。除此，还有一个透气孔，它的作用就是使硬盘内部气压与大气气压保持一致。六、硬盘型号识别西部数据硬盘500GSATA6Gb/s7200转16M(WD5000AAKX)！六、硬盘型号识别希捷硬盘希捷(seagate)ST320LT012320G5400转16MSATA3Gb/秒六、硬盘型号识别日立硬盘：日立(HGST)500GSATA6Gb/s7200转32M(HTS725050A7E630)六、硬盘型号识别三星硬盘ST320LM001320G5400转8MSATA3Gb/秒六、硬盘内部的物理结构硬盘内部结构硬盘内部结构由磁头、盘片、主轴、电机及其它附件组成，其中磁头盘片组件是构成硬盘的核心，包括有浮动磁头组件、磁头驱动机构、盘片、主轴驱动装置及前置读写控制电路这几个部分。六、硬盘内部的物理结构硬盘内部结构六、硬盘内部的物理结构硬盘磁头及附属组件六、硬盘内部的物理结构磁头驱动机构硬盘的寻道是靠磁头径向移动实现，而径向移动磁头则需要磁头驱动机构驱动实现。磁头驱动机构由电磁线圈电机、磁头驱动小车、防震动装置构成，高精度的轻型磁头驱动机构能够对磁头进行正确的驱动和定位，并能在很短的时间内精确定位系统指令指定的磁道。六、硬盘内部的物理结构磁盘片盘片是硬盘存储数据的载体，现在硬盘盘片大多采用金属薄膜材料，这种金属薄膜较软盘的不连续颗粒载体具有更高的存储密度、高剩磁及高矫顽力等优点。六、硬盘内部的物理结构主轴组件主轴组件包括主轴部件如轴承和驱动电机等。随着硬盘容量的扩大和速度的提高，主轴电机的速度也在不断提升，有厂商开始采用精密机械工业的液态轴承电机技术（FDB）。采用FDB电机不仅可以使硬盘的工作噪音降低许多，而且还可以增加硬盘的工作稳定性六、硬盘内部的物理结构前置控制电路前置电路控制磁头感应的信号、主轴电机调速、磁头驱动和伺服定位等，由于磁头读取的信号微弱，将放大电路密封在腔体内可减少外来信号的干扰，提高操作指令的准确性。

七、任务总结本次课主要讲述了存储介质的识别及硬盘的物理结构。硬盘物理结构什么是数据随着全球信息化的飞速发展，数据已经成为企业的一项最重要的资产，数据存储的可用性、完整性和安全性已不再是单纯的技术问题，更是企业生存力和竞争力的重要体现。信息时代的核心是信息技术，而信息技术的核心则是数据的处理和存储。什么是数据本课程所指的数据是指计算机数据，包含计算机文件系统或数据库系统中存储的各种数据、文字、图形、图像、声音等各种形式的多媒体数据文件、软件或各种文档资料，也包括存放或管理这些数据的硬件信息。什么是数据备份数据备份是数据安全的基础，是指为防止系统出现操作失误或系统故障导致数据丢失，而将全部或部分数据集合从应用主机的硬盘或阵列复制到其它的存储介质的过程。什么是数据恢复数据恢复是指将受到破坏，或者是硬件缺陷导致不可访问、不可获取，或者是由于误操作、计算机病毒等各种原因导致数据丢失还原成为可访问的正常数据。本课程的作用《数据备份与恢复》是信息安全或相关专业的一门专业必修核心课程，通过本门课程的学习，要求同学们掌握数据备份与恢复的核心技能，理解数据备份与恢复的基本知识和方法，为成为一个合格的数据安全领域的高技能人才打下良好的基础。一、本单元的主要内容1.识别常见的存储介质2.掌握硬盘的物理结构【教学重点】识别常见的存储介质，掌握硬盘的物理结构，识别硬盘型号【教学难点】掌握硬盘的物理结构，识别硬盘型号一、常见的存储介质存储介质是指存储数据的载体

计算机的存储介质可以分为内存储器和外存储器。一、常见的存储介质内存储器内存储器（即内存）直接和计算机的CPU相连，其存取速度要求能和CPU速度相匹配，其存取速度快，成本也较高，通常由半导体存储芯片构成，容量较小。一、常见的存储介质外存储器外存储器又分为：在线存储器，如硬盘、磁盘阵列近线存储器，如光盘机、光盘库离线存储器，如磁带机、磁带库

一、常见的存储介质对于一般的个人用户，使用硬盘、软盘和光盘等存储介质就可以满足要求，但对商业用户或安全性要求较高的信息系统，磁带机、磁盘阵列、磁带库为必不可少的存储设备。一、常见的存储介质根据使用材料和存储原理的不同，存储介质可分为：电存储介质、光存储介质、磁存储介质三大类。

二、电存储介质电存储介质市面上常见的存储介质有CF卡、SD卡、记忆棒（MemoryStick）、TF卡和固态硬盘和U盘。电存储介质是指半导体存储器，其采用超大规模集成电路工艺制成存储芯片，每个芯片包含相当数量的存储单元，再由相当数量的芯片构成存储器。

二、电存储介质U盘U盘的称呼最早来源于朗科公司生产的一种新型电存储设备，名曰“优盘”，使用USB接口进行连接。其最大的特点就是：小巧便于携带、存储容量大、价格便宜。是移动存储设备之一二、电存储介质CF卡CF卡重量只有14g，仅纸板火柴般大小（43mmx36mxm3.3mm），是一种固态产品，也就是工作时没有运动部件。CF卡采用闪存（flash）技术，是一种稳定的存储解决方案，不需要电池来维持其中存储的数据。二、电存储介质SD卡SD卡大小犹如一张邮票的SD记忆卡，重量只有2克，但却拥有高记忆容量、快速数据传输率、极大的移动灵活性以及很好的安全性，而且它是一体化固体介质，没有任何移动部分，所以不用担心机械运动的损坏。二、电存储介质TF卡(microSD)TF卡又称T-Flash卡，全名：TransFLash，又名：MicroSD，由摩托罗拉与SANDISK共同研发，在2004年推出。是一种超小型卡（11*15*1MM），约为SD卡的1/4，可以算目前最小的储存卡了。二、电存储介质记忆棒记忆棒全称MemoryStick，它是由日本索尼（SONY）公司最先研发出来的移动存储媒体。记忆棒它用在SONY的PMP，PSX系列游戏机，数码相机，数码摄像机，索爱的手机，还有笔记本上，用于存储数据，相当于计算机的硬盘。二、电存储介质固态硬盘固态硬盘就是用固态电子存储芯片阵列而制成的硬盘，固态硬盘的接口规范和定义、功能及使用方法上与普通硬盘的相同，在产品外形和尺寸上也与普通硬盘一致。高速传输-比7200RPM硬盘快10倍；高质量尺寸69.8mmx100.1mmx7mm三、磁存储介质磁存储介质常见的磁存介质主要有硬盘、磁带。硬盘是目前最主要的磁存储介质类型，主要有三种类型：3.5寸台式机硬盘；2.5寸笔记本硬盘；1.8寸微型硬盘。硬盘的接口主要有：IDE、SATA、SCSI、光纤通道接口。三、磁存储介质磁存储介质主要是指磁表面存储器其存储原理是指用非磁性金属或塑料做基体，在其表面上电镀一层很薄的磁面，用磁面的两种剩磁状态记录信息“0”或“1”。基体和磁面合称为磁记录存储介质。三、磁存储介质常见的磁存介质主要有硬盘、磁带。硬盘是目前最主要的磁存储介质类型，主要有三种类型：3.5寸台式机硬盘；2.5寸笔记本硬盘；1.8寸微型硬盘。四、光存储介质是将用于记录的薄层涂敷在基体上构成记录介质记录薄层有非磁性材料与磁性材料两种，前者构成光盘介质，后者构成磁光盘介质。其存储容量大且盘片易更换。缺点是存储速度比硬盘低一个数量级。五、硬盘的外部物理结构硬盘的物理结构(1)硬盘接口硬盘接口包括电源接口插座和数据接口插座两部分，其中电源插座就是与主机电源相连接，为硬盘正常工作提供电力保证。数据接口插座则是硬盘数据与主板控制芯片之间进行数据传输交换的通道

五、硬盘的物理结构控制电路板主控制芯片数据传输芯片、高速数据缓存芯片五、硬盘的物理结构固定面板

右图是硬盘正面的面板，它与底板结合成一个密封的整体，保证了硬盘盘片和机构的稳定运行。在面板上面印着产品型号、产品序列号、产品、生产日期等信息。除此，还有一个透气孔，它的作用就是使硬盘内部气压与大气气压保持一致。六、硬盘型号识别西部数据硬盘500GSATA6Gb/s7200转16M(WD5000AAKX)！六、硬盘型号识别希捷硬盘希捷(seagate)ST320LT012320G5400转16MSATA3Gb/秒六、硬盘型号识别日立硬盘：日立(HGST)500GSATA6Gb/s7200转32M(HTS725050A7E630)六、硬盘型号识别三星硬盘ST320LM001320G5400转8MSATA3Gb/秒六、硬盘内部的物理结构硬盘内部结构硬盘内部结构由磁头、盘片、主轴、电机及其它附件组成，其中磁头盘片组件是构成硬盘的核心，包括有浮动磁头组件、磁头驱动机构、盘片、主轴驱动装置及前置读写控制电路这几个部分。六、硬盘内部的物理结构硬盘内部结构六、硬盘内部的物理结构硬盘磁头及附属组件六、硬盘内部的物理结构磁头驱动机构硬盘的寻道是靠磁头径向移动实现，而径向移动磁头则需要磁头驱动机构驱动实现。磁头驱动机构由电磁线圈电机、磁头驱动小车、防震动装置构成，高精度的轻型磁头驱动机构能够对磁头进行正确的驱动和定位，并能在很短的时间内精确定位系统指令指定的磁道。六、硬盘内部的物理结构磁盘片盘片是硬盘存储数据的载体，现在硬盘盘片大多采用金属薄膜材料，这种金属薄膜较软盘的不连续颗粒载体具有更高的存储密度、高剩磁及高矫顽力等优点。六、硬盘内部的物理结构主轴组件主轴组件包括主轴部件如轴承和驱动电机等。随着硬盘容量的扩大和速度的提高，主轴电机的速度也在不断提升，有厂商开始采用精密机械工业的液态轴承电机技术（FDB）。采用FDB电机不仅可以使硬盘的工作噪音降低许多，而且还可以增加硬盘的工作稳定性六、硬盘内部的物理结构前置控制电路前置电路控制磁头感应的信号、主轴电机调速、磁头驱动和伺服定位等，由于磁头读取的信号微弱，将放大电路密封在腔体内可减少外来信号的干扰，提高操作指令的准确性。

七、任务总结本次课主要讲述了存储介质的识别及硬盘的物理结构。硬盘性能指标一、本讲主要内容1.掌握硬盘的逻辑结构2.了解硬盘的接口类型3.了解硬盘性能指标4.掌握硬盘寻址方式【教学重点】掌握硬盘的逻辑结构,掌握硬盘寻址方式【教学难点】掌握硬盘的逻辑结构,掌握硬盘寻址方式四、硬盘性能指标(1)主轴转速

(2)寻道时间(5)硬盘表面温度

(6)道至道时间

(7)高速缓存

(8)全程访问时间(9)最大内部数据传输率

(10)连续无故障时间(MTBF)(11)外部数据传输率

四、硬盘性能指标（１）硬盘的主轴转速硬盘的主轴转速是决定硬盘内部数据传输率的决定因素之一，它在很大程度上决定了硬盘的速度，同时也是区别硬盘档次的重要标志四、硬盘性能指标(2)寻道时间该指标是指硬盘磁头移动到数据所在磁道而所用的时间，单位为毫秒(ms)四、硬盘性能指标（３）硬盘表面温度该指标表示硬盘工作时产生的温度使硬盘密封壳温度上升的情况四、硬盘性能指标（４）道至道时间该指标表示磁头从一个磁道转移至另一磁道的时间，单位为毫秒(ms)。

四、硬盘性能指标（５）高速缓存该指标指在硬盘内部的高速存储器。目前硬盘的高速缓存一般为512KB～2MB，SCSI硬盘的更大。购买时应尽量选取缓存为2MB的硬盘四、硬盘性能指标（６）全程访问时间该指标指磁头开始移动直到最后找到所需要的数据块所用的全部时间，单位为毫秒。

四、硬盘性能指标（７）最大内部数据传输率该指标名称也叫持续数据传输率(sustainedtransferrate)，单位为MB/s。它是指磁头至硬盘缓存间的最大数据传输率，一般取决于硬盘的盘片转速和盘片线密度(指同一磁道上的数据容量)。

四、硬盘性能指标（８）连续无故障时间（MTBF）：该指标是指硬盘从开始运行到出现故障的最长时间，单位是小时。一般硬盘的MTBF至少在30000小时以上四、硬盘性能指标（９）外部数据传输率该指标也称为突发数据传输率，它是指从硬盘缓冲区读取数据的速率五、总结通过本次课的讲述，学习了硬盘的逻辑结构,硬盘的接口类型,硬盘性能指标,硬盘寻址方式。硬盘逻辑结构一、本讲主要内容1.掌握硬盘的逻辑结构2.了解硬盘的接口类型3.了解硬盘性能指标4.掌握硬盘寻址方式【教学重点】掌握硬盘的逻辑结构,掌握硬盘寻址方式【教学难点】掌握硬盘的逻辑结构,掌握硬盘寻址方式二、硬盘逻辑结构硬盘的逻辑结构：盘片磁道柱面扇区容量寻址方式二、硬盘逻辑结构盘片盘片是硬盘中承载数据存储的介质，硬盘是由多个盘片叠加在一起，互相之间由垫圈隔开。硬盘盘片是以坚固耐用的材料为盘基，其上在附着磁性物质，表面被加工的相当平滑。二、硬盘逻辑结构磁道

磁盘在格式化时被分成许多同心圆，这些同心圆轨迹叫做磁道（track).磁道从外向内自0开始顺序编号。硬盘的每一个盘面有300~~1024个磁道，新式大容量硬盘每面的磁道数就更多了。二、硬盘逻辑结构柱面

所有盘面上的同一磁道构成一个圆柱，通常称作柱面。每个圆柱上的磁头，由上而下从“0”开始编号。数据的读写是按柱面进行的。即磁头在读写数据时首先在同一柱面内从“0”磁头开始进行操作，依次向下在同一柱面的不同盘面即磁头上进行操作。二、硬盘逻辑结构扇区

所操作系统是以扇区形式将信息存储在硬盘上。每个扇区包括512字节的数据和一些其他信息。二、硬盘逻辑结构容量硬盘的容量由盘面数（磁头数）、柱面数、和扇区数决定，其计算公式为：硬盘容量=盘面数*柱面数*扇区数*512字节常用的容量单位有：KB、MB、GB、TB。柱面数：38913，磁头数：255扇区/磁道:63,求容量二、硬盘逻辑结构寻址方式硬盘存取、读取数据，首先要做的就是寻址，即定位到数据所在的物理地址，在硬盘上就要找到对应的柱面、磁头以及对应的扇区，那么怎么寻址呢？有两种方式：CHS和LBA

二、硬盘逻辑结构CHS模式

就是C/H/S(Cylinder/Head/Sector)寻址模式，也称为三维地址模式，这是硬盘最早采用的寻址模式。当时硬盘的容量还非常小，硬盘盘片的每一条磁道都具有相同的扇区数，由此产生了所谓的3D参数(DiskGeometry)，即磁头数(Heads)、柱面数(Cylinders)、扇区数(Sectors)，以及相应的寻址方式。

二、相关知识点–硬盘逻辑结构LBA在LBA方式下，系统把所有的物理扇区都按照某种方式或规则看作是一个线性编号的扇区，即从0开始到某个最大值排列，把LBA作为一个整体看待，而不是具体的C/H/S值现在的硬盘控制器内部都有一个地址译码器，由它负责将C/H/S参数转换成LBA地址。

三、硬盘接口IDE的本意实际上是指把控制器与盘体集成在一起的硬盘驱动器。ATAATA-1ATA-2ATA-3SCSI（小型计算机系统接口）三、硬盘接口三、硬盘接口SAS接口SAS(SerialAttachedSCSI)即串行连接SCSI，是新一代的SCSI技术，和现在流行的SerialATA(SATA)硬盘相同，都是采用串行技术以获得更高的传输速度，并通过缩短连结线改善内部空间等。SAS是并行SCSI接口之后开发出的全新接口。此接口的设计是为了改善存储系统的效能、可用性和扩充性，并且提供与SATA硬盘的兼容性。

三、硬盘接口光纤通道接口光纤通道技术具有数据传输速率高、数据传输距离远以及可简化大型存储系统设计的优点。目前，光纤通道支持每秒200MB的数据传输速率，可以在一个环路上容纳多达127个驱动器，局域电缆可在25米范围内运行，远程电缆可在10公里范围内运行。

四、硬盘性能指标(1)主轴转速

(2)寻道时间(5)硬盘表面温度

(6)道至道时间

(7)高速缓存

(8)全程访问时间(9)最大内部数据传输率

(10)连续无故障时间(MTBF)(11)外部数据传输率

四、硬盘性能指标（１）硬盘的主轴转速硬盘的主轴转速是决定硬盘内部数据传输率的决定因素之一，它在很大程度上决定了硬盘的速度，同时也是区别硬盘档次的重要标志四、硬盘性能指标(2)寻道时间该指标是指硬盘磁头移动到数据所在磁道而所用的时间，单位为毫秒(ms)四、硬盘性能指标（３）硬盘表面温度该指标表示硬盘工作时产生的温度使硬盘密封壳温度上升的情况四、硬盘性能指标（４）道至道时间该指标表示磁头从一个磁道转移至另一磁道的时间，单位为毫秒(ms)。

四、硬盘性能指标（５）高速缓存该指标指在硬盘内部的高速存储器。目前硬盘的高速缓存一般为512KB～2MB，SCSI硬盘的更大。购买时应尽量选取缓存为2MB的硬盘四、硬盘性能指标（６）全程访问时间该指标指磁头开始移动直到最后找到所需要的数据块所用的全部时间，单位为毫秒。

四、硬盘性能指标（７）最大内部数据传输率该指标名称也叫持续数据传输率(sustainedtransferrate)，单位为MB/s。它是指磁头至硬盘缓存间的最大数据传输率，一般取决于硬盘的盘片转速和盘片线密度(指同一磁道上的数据容量)。

四、硬盘性能指标（８）连续无故障时间（MTBF）：该指标是指硬盘从开始运行到出现故障的最长时间，单位是小时。一般硬盘的MTBF至少在30000小时以上四、硬盘性能指标（９）外部数据传输率该指标也称为突发数据传输率，它是指从硬盘缓冲区读取数据的速率五、总结通过本次课的讲述，学习了硬盘的逻辑结构,硬盘的接口类型,硬盘性能指标,硬盘寻址方式。硬盘分区与格式化一、任务描述与分析四BIOS只能表示当前硬盘能够被检测到，要在硬盘中写入数据，必须得对硬盘做低级格式化、分区、高级格式化这三个步骤。低级格式化是在硬盘的盘片上刻划磁道的过程，这个过程一般在出厂时已经由厂商完成。分区则是标明硬盘中数据存储的有效区域，只有确定了有效区域后，才能找到数据存储的空间地址。高级格式是指在存储区域上设置某种“管理模式”，如现在常见的FAT32文件系统，NTFS文件系统等。二、操作方法与步骤初始的硬盘上没有任何数据，只能在能正常运行的计算机系统上进行此操作。若硬盘没有固定到计算机内部，我们可以直接将此硬盘挂载到正常运行的硬盘上，作为从盘，通常计算机系统进行分区。具体步骤是：在“我的电脑”上右键单击，选择“管理”，然后进入磁盘管理选项如图所示。二、操作方法与步骤在新添加的磁盘上右键单击，然后选择“新建简单卷”就可以进入到如图所示的新建简单卷向导中。二、操作方法与步骤点击“下一步”就可以为分区选择大小如图所示，分区的大小单位一般是MB。二、操作方法与步骤接着会为分区分配卷标如图所示，此时的卷标只是在当前计算机系统中的显示，若将此硬盘转移到另外的系统可能会导致卷标相应的更改。二、操作方法与步骤确定了分区的大小及卷标后，就需要格式化分区。此处的格式化一般指的是高级格式化，即指定此分区的文件系统的过程，如图所示。二、操作方法与步骤所有的选择完成后，就可看到如图所示的完成界面。经过这些操作后，硬盘就能正常使用了。三、任务总结本次课主要给学习了:硬盘分区与格式化的操作方法与步骤。安装和使用虚拟机一、虚拟机的介绍四VMwareworkstation是VMWARE公司开发的一款功能强大的虚拟机软件，它为用户提供了在单一的操作系统中同时运行不同的操作系统的功能。它可以虚拟不同的计算机硬件配置、操作系统及网络环境等。在数据恢复方面，我们可以利用其虚拟硬盘，然后在虚拟的硬盘上执行数据破坏及恢复操作。通过这样的方法，我们可以全面了解数据恢复方法而又不担心真实数据的丢失。二、安装虚拟机下载或者拷贝VMware的安装程序到计算机中，如果是压缩包，则先进行解压。然后进行如下操作：双击exe安装程序，进入安装初始化界面二、安装虚拟机加载VM安装程序

选择安装类型二、安装虚拟机更改VM默认安装路径

选择安装路径

二、安装虚拟机创建快捷方式

注册信息二、安装虚拟机安装完成，要求重启计算机三、VMware全局网络设置VMware的启动界面如图所示，顶部是菜单栏，菜单栏下面是工具图标栏，主界面左边是收藏栏，记录常用的虚拟客户系统列表，右边是虚拟客户系统的显示界面。在菜单“编辑→参数”中可以对VMware的全局参数做设置，其中包括虚拟机默认保存位置、默认硬件兼容性、热键设置、显示方式设置、保留内存设置、进程优先级设置、以及自动更新等，这些参数一般来说使用默认值即可，这里不一一详述。在操作虚拟机的时候要记住几个常用的热键：Ctrl+Alt：从虚拟客户系统释放鼠标指针。当鼠标在虚拟机中点击的时候，虚拟机才能获取焦点，捕捉鼠标和键盘输入的信息，如果想把焦点从虚拟机中移出，首先就要释放鼠标指针。Ctrl+Alt+Enter：使虚拟客户系统在全屏和窗口模式下切换。Ctrl+Alt+Insert：用来代替向虚拟客户系统发送Ctrl+Alt+Delete指令。在初次运行VMware的时候，有必要配置好网络参数。点击“编辑→编辑虚拟网络”可打开虚拟网络编辑器，VMware会自动分配网络地址（分配后也可以手动修改），如图所示。四、虚拟机设置每个虚拟客户系统都可以选择自己的网络连接方式，以及其他硬件配置和虚拟机选项。当选中某个虚拟客户系统的时候，右边主界面就会显示该系统的相关配置信息，该系统会进入准备状态（此时还没启动），如图所示。四、虚拟机设置此时可以编辑该虚拟机设置，点击“编辑虚拟机设置”，可以打开虚拟机设置对话框，此处可以添加或者移除虚拟机硬件，也可以对已有的硬件做设置，如图所示。四、相关知识点–

扩展分区大部分的设置都可以采用默认值，大部分设置在关机状态下才能调节，比如说内存。对于WindowsXP系统来说，根据任务需求设置为256MB～1024MB比较合适。Windows2003Server系统设置为512MB～2048MB比较合适，如果是Windows7或者Windows2008Server、Linux2.6内核的系统，则内存设置再翻一倍。

在网络适配器设置中，可以选择前面提到的三种网络连接方式，而且在客户虚拟系统开机状态下也可以修改，如图2-15所示。需要注意的是，“已连接”选项框在虚拟客户系统启动后才能勾选，而且必须勾选了以后才相当于给虚拟机插上了网线。四、任务总结本次课主要给学习了:安装和使用虚拟机WinWex配置与使用一、WinHex的介绍四Winhex是一款以通用的16进制编辑器为核心的磁盘编辑工具，它以16进制的形式显示了磁盘的底层数据。它可以用来检查和恢复各种文件、它也可以让用户看到其他程序隐藏起来的文件和数据，它能够编辑任何一种文件类型的二进制内容，对于任意一个磁盘而言，每一个扇区对它都是透明的。总体来说，它拥有强大的系统效用，是手工恢复数据的首先工具软件。二、WinWex配置与使用程序本身是英文版的，但是鉴于有很多的用户不熟悉英文，所以winhex软件也提供了快速地中英文转换功能，只需要单击菜单“Help”然后选择“Setup->Chinese，please!”（如图2-19所示）。但是需要注意的是，winhex只为注册版提供了汉化功能。Winhex默认的初始界面为一个空的程序界面，若想对某对象进行编辑，必须先“打开”此对象。对象一般分为两种：一是磁盘，如硬盘，U盘或某个分区；二是文件，即是以二进制的形式打开某个固定格式的文件（如WORD文档等）。打开文件使用菜单“File->OpenFile”或者单击工具栏中的

按钮；打开磁盘使用菜单“Tools->OpenDisk”命令，也可单击工具栏中的

按钮或者按快捷键F9。现在以打开磁盘为例，按快捷键F9后，弹出“编辑磁盘”对话框。上面的一组显示为“LogicalVolumes”，表示逻辑磁盘，所谓的“逻辑”磁盘可以理解为人为划分出来的磁盘，指的就是在“我的电脑”界面中看到的各个分区。它们看上去是独立的，但是其实他们共存于真实的硬盘中。所以我们称整个硬盘为“物理磁盘”，即图中的“PhysicalMedia”通过在右键单击桌面“我的电脑”图标，然后选择“管理->磁盘管理”，可以看到如图所示，整个硬盘表示物理磁盘，每一个分区表示逻辑分区。打开物理磁盘“

”，可看到Winhex的完整界面，如图所示。三、任务总结本次课主要给学习了:WinWex配置与使用硬盘数据结构一、硬盘主引导扇区四目前所有的硬盘都默认0柱面、0磁头、1扇区为引导扇区，这个扇区叫硬盘主引导记录，也叫硬盘主引导扇区。它主要有两个功能：第一，完成系统主板BIOS向硬盘操作系统交接的操作；第二，记录每个分区的详细信息。硬盘主引导扇区不属于任何操作系统，它只是负责管理整个硬盘的结构。二、主引导扇区的结构与作用主引导扇区主要由三部分组成：主引导记录、主分区表、结束标记。框选部分为主分区表，前面为主引导记录，最后的两个字节“55AA”为结束标记主引导记录：计算机启动后，经由BIOS自检然后交控制权交给硬盘的第一个扇区（这就是主引导扇区）。主引导记录位于整个扇区的最前方，它接管系统的控制权后负责对其他代码信息进行检查，并进一步引导系统。因为主引导记录是磁盘上最先装入内存并执行的代码，所以很多引导型病毒会将它作为攻击的目标。

主分区表：描述磁盘的具体分区情况（包括每一个分区的起止位置和类型等信息）。

结束标记：也可称为扇区的“有效标志”，它用于通知系统本扇区是否有效。若某引导扇区前面两部分正常，而丢失了最后的“55AA”，本磁盘会显示为“未初始化”。三、主引导记录主引导记录可以理解为是引导程序，它非常地重要，计算机开机经过自检后，第一时间将这段代码装入内存，然后执行，后期的所有系统控制权全部都在它的手上。所以很多引导型病毒就把自己嵌入到磁盘的引导代码中，从而达到最先运行的目的。这段代码会因操作系统的不同而不同。很多用户需要在同一台计算机上安装多个操作系统，然后在计算机启动时根据不同的需要进入不同的系统中。这其实就可以通过改变MBR的引导代码来实现。将不同的系统安装到不同的分区，然后利用引导代码，向用户呈现出一个操作系统的选择列表，由用户选择从哪个分区进行引导。四、注意如果用户安装了多个系统中有Windows操作系统，那么他可以不用修改MBR引导程序，微软在Windows系统的启动分区中设置了多重引导程序，以供用户选择相应的操作系统。MBR中的主引导程序固定为加载激活分区的操作系统引导代码，然后由Windows引导代码给用户提供操作系统选择界面。如果引导代码出了问题，我们可以通过重写MBR的方式来进行恢复。五、任务总结本次课主要给学习了:硬盘数据结构分区表结构

M4-4

硬盘主引导记录的恢复任务描述一相关知识二任务实施三四任务总结四二、工作任务本次课的任务为:掌握硬盘分区表的结构掌握分区表项的含义了解常见分区类型掌握扩展分区分区表的结构掌握分区表的遍历【教学重点】掌握硬盘分区表的结构，掌握分区表项的含义，掌握扩展分区分区表的结构，掌握分区表的遍历【教学难点】掌握掌握分区表项的含义，掌握扩展分区分区表的结构，掌握分区表的遍历二、相关知识点–分区表结构磁盘分区表位于主引导扇区的偏移1BEH处，占64个字节，分为4项，每项16字节，用于标识一个主分区。DPT只有4项，最多只能标识4个主分区，如果想增加分区数，就必须使用扩展分区。一般情况下使用微软系统时分区表只用了两项，即一个主分区加扩展分区。四、相关知识点–

分区表结构偏移长度字段名及含义01字节激活分区标志，用于引导操作系统，值为80H表示激活。11字节起始磁头号（分区表中仍习惯使用最大255磁头，63扇区）。21字节起始扇区号（只用了0～5位，第6、7位作为柱面号高位）。31字节起始柱面号（共10位，1024个柱面）。41字节分区类型标志。51字节结束磁头号（CHS共参数用了24位，只能管理8GB空间）。61字节结束扇区号。71字节结束柱面号。84字节起始LBA号（当硬盘大于8GB空间时，则采用LBA寻址方式）。124字节占用LBA扇区数（存储数字时是低位在前，高位在后存放的）。四、相关知识点–

常见分区类型标志值类型说明标志值类型说明01FAT12（FD）0FExtended（LBA）04FAT16（<32MB）17HiddenNTFS05Extended1BHiddenFAT3206FAT1665NovellNetware07HPFS/NTFS82LinuxSwap/Solaris0BFAT3283LinuxExt20CFAT32（LBA）85LinuxExtended0EFAT16（VFAT）A6OpenBSD四、相关知识点–

扩展分区扩展分区内部由若干个逻辑分区组成，它们之间通过链表方式管理，每个分区的前面都有一个虚拟的分区表，这个扇区称为虚拟MBR。虚拟MBR通常位于某柱面0磁头1扇区（标准分区法），其后的第63扇区（1磁头1扇区）为该分区的引导扇区。虚拟MBR的引导记录部分全为0，只有分区表和结束标识，且分区表只有两项，其中第一项指向当前分区，第二项指向下一分区的虚拟MBR。二、相关知识点–扩展分区组织图C盘D盘E盘F盘本分区下一分区未用未用本分区下一分区未用未用本分区未用未用未用扩展分区中的虚拟MBR链表DEFMBR扇区62个保留扇区三、任务实施-遍历分区表启动虚拟机，配置XP系统，新创建并增加一块工作盘，确保它有有块硬盘。启动系统，将工作盘重新分区并格式化（按照1主分区1扩展分区2逻辑分区的形式）准备工作做好后，将要手工遍历分区表，掌握它的组织结构。观察主引导扇区中的DPT,应该有两项，第一项为主分区，第二项为扩展分区。通常分区一的起始扇区加下占用的扇区数就是分区二的起始位置，请检查是否正确。转到分区二（扩展分区）的起始位置，这里是一个EBR，观察扩展分区表，只有两项，第一项指第一个逻辑分区，第二项指向下一个逻辑分区。逻辑分区一的起始位置加上大小，刚好等于扩展分区表中逻辑分区二的起始位置。逻辑分区中位置描述通常是以扩展分区为起始位置的。下面转到逻辑分区二，这里的扩展分区表的只有一项，因为它是最后一个逻辑分区。分区遍历完了，将逻辑分区一的大小加逻辑分区二的大小，再加上每个逻辑分区前面的保留扇区数63，应当等于扩展分区大小。四、任务总结本次课主要给学习了:硬盘分区表的结构，分区表项的含义，常见分区类型，扩展分区分区表的结构，分区表的遍历GPT分区结构一、分区的结构四在MBR分区格式的硬盘中，硬盘的主引导记录及分区信息直接存储在主引导记录中。但在GPT硬盘中，分区信息储存在GPT头中。出于兼容性的考虑，硬盘的第一个扇区仍然用作MBR，之后才是GPT头，其结构如图所示。如图所示的GPT分区格式

磁盘的MBR如图所示MBR的主分区表中只有一个表项数值若用主分区表项的结构对其进行解释，可得结论：本分区类型为EE，起始位置为1扇区，总扇区数为最大大小（整个硬盘大小）。这个MBR的作用就是避免某些计算机不能识别GPT分区从而对硬盘再次进行格式化操作。MBR之后（即1扇区）一般是GPT头，GPT头包括EFI的信息和本磁盘各部分的具体的扇区号（如：分区的头部、分区表项的头部等）。GPT头一般以“EFIPART”开始。GPT头是为了说明分区表的位置和大小，其具体各部分的意义如图所示GPT分区表一般都是从2扇区开始的，每分区表项128字节。一扇区一般512字节，也就是说1扇区一般可以装4个分区表项（如图2-87所示）。每个分区表项偏移为20～27的数值表示当前分区的起始LBA地址，偏移为28～2F的数值表示当前分区的结束LBA地址。图2-87所示的三个分区的起始LBA地址和结束LBA地址分别为：分区1：起始位置：2200000000000000结束位置：210001000000000034扇区65569扇区分区2：起始位置：8000010000000000结束位置：7E4007000000000065664扇区475263扇区分区3：起始位置：8040070000000000结束位置：7F800D0000000000475264扇区884863扇区若磁盘还有其他分区，则继续向后添加分区表项。图2-87GPT分区表项四、任务总结本次课主要给学习了:GPT分区结构FAT32分区结构M5-2本单元主要内容FAT32分区结构一分析引导扇区二簇的概念三四修复引导扇区四计算数据区位置五M5-2本单元重难点重点FAT32文件系统结构及主要参数簇的概念修复DBR扇区难点重要的BPB参数含义计算数据区起始位置一、FAT32分区结构FAT文件系统是一种用于个人计算机小型操作系统的文件管理方案，最初由IBM公司用于DOS操作系统。FAT文件系统结构较简单，管理方便，但不具备用于商业系统的安全性、容错性、保密性等特点。FAT12用于软盘，FAT16用于早期操作系统，FAT32用于现代操作系统及大容量硬盘。一、FAT32分区结构在FAT32分区内部，由保留扇区、FAT表和数据区三个部分组成。引导扇区，也称DBR扇区，该扇区是最重要的一个扇区，系统访问该分区时首先访问它。FAT1FAT2根目录数据区引导扇区保留区FAT32分区一、FAT32分区结构保留扇区是指分区内FAT表之前的扇区，也包括引导扇区。在硬盘中FAT有两份，系统在写入信息时会同时写入两份FAT，但只会读取第一份的内容。格式化程序会创建文件系统，也就是划分该分区的各部分的位置，并写入适当的参数。同时，格式化后首先会创建根目录，由于目录也被当做文件处理，因此根目录通常位于数据区的起始位置。二、分析引导扇区引导扇区，也称DBR扇区，它由BPB（BIOS参数块）、DBR（磁盘引导记录）、以及引导扇区结束标志（55AA）组成。BPB中记录了该分区的各项参数信息，因此至关重要，如果BPB部分被破坏，此分区将不可用。DBR在安装系统的时候写入，这是一段系统引导代码，如果这部分缺失或被破坏，则该分区不可用于启动系统。引导扇区结束标志用于引导程序判断该扇区是否为引导扇区。二、分析引导扇区跳转指令，跳至引导程序处BPB记录了该分区的参数信息DBR负责执行系统引导功能引导扇区结束标志55HAAH二、分析引导扇区偏移长度描述0H3B跳转指令，跳至后面引导记录开始处（FAT32从5AH处开始）3H8B文件系统和版本的OEM标志（MSDOS5.0或MSWIN4.1）0BH2B每扇区字节数（通常为200H）0DH1B每簇扇区数（值为2的N次方，通常小于64）*0EH2B保留扇区数（本分区中FAT表之前的扇区总数，通常FAT16为1，FAT32为20H或24H）*10H1BFAT表个数（通常为2）11H2BFAT16系统为根目录最大项，FAT32系统为013H2B小卷（<32MB）的分区扇区总数，大硬盘为015H1B介质描述，恒为F816H2B在小卷中为每FAT占用扇区数，大硬盘为018H2B每磁道扇区数（通常为3FH，63）1AH2B磁头数（通常为FFH，255）1CH4B隐含扇区数（本分区前的扇区总数，也就是本分区的起始逻辑扇区号）20H4B大卷的本分区占用扇区数*24H4B大卷的每FAT占用扇区数*28H2B延迟标记（通常为0）二、分析引导扇区偏移长度描述2AH2B版本（通常为0）2CH4B根目录起始簇号（通常为02）30H2BFS信息扇区，即BOOT扇区占用扇区数（通常为1）32H2B备份引导扇区的位置34H12B保留未用（全为0）40H1B磁片的BIOS驱动信息（软盘从0开始，硬盘从80H开始）41H1B未用42H1B扩展引导标记（通常为29H）43H4B卷序列号（由格式化程序随机产生）47H12B卷标（如果没有设定卷标，则为“NONAME”）52H8B文件系统名称的文本标识，如：FAT325AH420BDBR引导程序（FAT32通常从此处开始）1FEH2B结束标识“55HAAH”注：带星号的是重要字段三、簇的概念FAT分区的数据区用于存储文件数据，存储文件的基本单位是簇。一个簇由1～128个扇区组成，但必须是2的n次方倍。一个分区中的簇大小是固定的，在格式化的时候决定，其大小在引导扇区的BPB中给出。如果簇设置得大些，则会造成浪费空间较多，如果簇空间过小，则会造成FAT项增大，使得链表加长，增加管理成本，而且使访问速度降低。簇大小一般由格式化程序自动指定，在32位系统中一般为4KB～16KB。四、修复引导扇区在BPB参数中有一个参数是备份引导扇区位置，通常位于6号扇区。如果主引导扇区受到破坏，可以使用这个备份引导扇区进行修复。演示通过备份引导扇区修复分区的实验过程。准备好故障分区的演示环境，如虚拟机、Winhex等。演示故障分区的访问出错情况。用Winhex复制备份的引导扇区进行修复。检查修复结果。五、计算数据区起始位置在PBP中唯一没有直接给出的值就是数据区的起始扇区位置，它可以通过计算得来。FAT32文件系统没有专门的根目录区，数据区的起始位置也就是首簇地址，因此数据区的起始扇区位置为：保留扇区数+FAT表扇区数×2五、计算数据区起始位置如果连备份引导扇区也被破坏，则只有从其他容量相近的FAT32分区复制引导扇区，但复制后需要对BPB的关键参数信息进行修改。演示对BPB关键参数的逆推算过程。搜寻FAT和数据区的起始位置。根据得到的数据算出每FAT占用扇区数。将保留扇区数、每FAT占用扇区数、每簇占用扇区数写入到BPB中对应的位置。检查分区访问是否正常。总结1.FAT32分区的组成结构2.引导扇区中的重要BPB参数3.计算数据区起始扇区位置作业请在自己的计算机上寻找一个FAT分区（虚拟机系统也可），仔细观察并写出BPB的重点字段，然后计算出数据区的起始扇区号。文件分配表FAT一、FAT表结构四当一个分区刚被格式化为FAT32后，跳入到此分区的FAT1扇区，会出现如图所示结构。FAT32文件系统中的FAT表，每四个字节就表示一项，对应着数据区中的一簇。FAT表中的0簇和1簇是保留簇，有特殊的用途，故FAT表的前8个字节为保留值。向分区中写入文件，大致上经历了三个大的步骤：第一、查询FAT表哪些位置有空闲空间；第二，在用户数据区中找到与FAT表对应的地址，写入文件；第三、修改FAT表，将此空间的标记为“已占”。为了描述文件的头及所占用的簇，FAT表的标记分为三种类型：图3-44初始FAT表及数据区（1）本簇已被占用，且此簇是本文件的最后一簇（值为FFFFFF0F）（2）本簇已被占用，此文件还有下一簇（值为下一簇的簇号）（3）本簇未被占用（值为00000000）初始状况下，除了0簇和1簇，其他簇都未被使用，如图所示。注意：FAT表中的第0簇项和1簇项用做起始标记，所以FAT表中的簇是从2开始记数。但数据区中并不会浪费掉2个簇的空间，所以FAT表中的2簇对应数据区的0簇，3簇对应数据区的1簇，以此类推。若数据区某簇已被某文件占用，则此簇相对应的FAT表的单元格被标记为“已占用”。如某文件（暂时称其为文件1）被放置到4簇，则在FAT表4簇的对应位置上写入“FFFFFFFF”，如图3-45所示。另一文件（暂时称其为文件2）被放置到5，7，8簇，则在FAT表5簇对应的位置写入值“7”，7簇对应的位置写入值“8”，8簇对应的位置写入“FFFFFFFF”，如图3-46所示。文件1建立后的FAT表及用户数据区文件2建立后的FAT表及用户数据区FAT32文件系统的数据是从2簇开始的。2簇是整个分区的根目录项，里面装的是FAT32文件系统中根目录下每一个文件的属性（最起始处装的是本分区的卷标等信息，所以即使本分区没有任何用户数据，2簇也仍然是显示被占用），而真正的用户文件则从3簇开始。若3簇后某一簇被一文件占用，则在此簇对应的FAT表项中做相应的标识（若某文件不止占一个簇的空间，则这个表项中装着下一簇的簇号，若文件到此簇结尾了，则装入结束标志FFFFFF0F）。四、任务总结本次课主要给学习了:文件分配表FAT恢复FAT32分区文件一、恢复误删除的文件四步骤1：创建新文件在分区根目录中，创建一个文件，名为“TEST07.txt”，在里面写入一些内容。步骤2：彻底删除此文件步骤3：从文件名的长度上分析此文件所对应的目录项有无长文件名目录项文件名一共六个字符。所以完全可以用一个短文件名目录记录，所以此文件所对应的目录项应该只有一个短文件名。步骤4：然后在Winhex软件菜单“查看—字符数值表—十六进制/ANSIASCII”中找到“TEST07”所对应的ASCII码。短文件名的文件名编码为ASCII，且其文件名是目录项的第一个字节处开始。删除此文件后，会将其其ASCII码的第一个字节修改为“E5”。即“E54553543037”。步骤5：在WinHex中进入到本分区的根目录，搜索特征值首先进入到根目录，然后点击“搜索-搜索十六进制数值”，会出现“搜索”对话框。在对话框中写入图所示的值。点击“确定”按钮，WinHex主界面中的光标就会自动跳到搜索到的数值处。此时，所示框选部分的起始簇为：26。总字节数为：500步骤6：跳至文件头部，标记“选块开始”通过“位置-跳至扇区”，然后在“跳至扇区”对话框中输入簇为26（如图3-81），就可以直接跳到26簇的第一个字节处，即此文件的头部。在此处右键单击，选择“选块起始位置”（如图3-82）。图3-81图3-82步骤7：通过总字节数，跳至文件尾部从图3-83已知本文件的总字节数。此时光标仍然位于文件头部，点击“位置-转到偏移量”，在“转到偏移量”对话框中设置如图3-84所示的值。点击“确定”后，光标会跳入到本扇区某个位置，再将光标向该位置的前一个字节处移动（思考：为什么？），然后右键单击，选择“选块尾部”，文件的所有内容就会自动地被选中。图3-83图3-84步骤8：恢复文件在被选中的数据部分右键单击，然后选择“编辑-复制选块-至新文件”（如图3-85所示），然后将其存储到除被恢复分区之外的分区中。保存的文件名即为此文件的原始文件名即可。图3-85二、恢复误格式化分区被格式化了的FAT32分区，其实只是将它的FAT表及根目录清空了，其数据区（除了2簇）的数据还是存在的。这就为数据恢复提供了方便。根目录（2簇）记录的是本分区根目录下的文件及目录的属性，包括文件名、数据所在簇等信息。而根目录下的子目录里面有本目录下的文件的属性，也就是说，格式化了的分区，只有根目录下的文件及目录属性才会被丢失，子目录下的所有数据都是完整的。步骤1：新建虚拟磁盘使用WINdows7自带工具创建一个虚拟磁盘，大小为1G。然后将其格式化为FAT32文件系统，再在其根目录下复制入一些文件和目录，要求目录下还有文件或子目录，如图所示接着，将本分区再次格式化为FAT32文件系统。此时双击打开此分区时，应该看不见任何的文件，可是关键问题是我们现在需要将格式化之前的文件恢复回来。步骤2：在WINHEX中打开本分区因为我们想要看到本分区格式化之前的数据，所以我们打开此分区，然后在更新快照的时候，勾选“依据文件系统搜索并恢复目录及文件”，如图3-87所示。默认的打开磁盘或更新快照只是将FAT表和根目录下的目录项一一列举，然后将与它们对应的文件显示在“目录浏览器”中，勾选此项设置可以在更新的时候，让软件自动去搜索数据区的数据（如图3-88所示），搜索的速度比较快，一般10G大小的分区只需要几分钟的时间。搜索结束后，软件就会按照后面数据区的格式扫描其他未在FAT表或根目录下记录的文件或目录。图3-87更新快照设置

图3-88更新快照后搜索数据区数据

如图3-89所示，软件会在“目录浏览器”中显示一个“未知路径”的文件夹，里面装的就是搜索到的不在根目录下的文件及目录。我们可以双击打开此目录，然后就会看到如图3-90所示的内容。它是按簇号排序的目录，因为根目录下的文件的目录项存放在根目录下的，而在格式化的时候，根目录会自动清零，所以此时看不到原根目录下的文件的信息。而根目录下的目录内部装入了一个“.”和一个“..”目录项，“.”目录项会指向本身，而“..”目录项会自动指向本目录的上级目录项，所以可以在“目录浏览器”中看到

图3-90未知目录下的内容图3-89搜索到的根目录之外的数据步骤3：恢复文件及目录既然已经可以看到文件，此时我们可以在需要恢复的文件上右键单击，然后选择“查看器->相关联的程序”（如图3-91所示），这样就可以打开文件查看其内容是否正确了。若是想将所有的文件全部恢复出来，就在文件所在的文件夹上右键单击，然后选择“恢复/复制”（如图3-92所示），然后在弹出来的“选择目标文件夹”对话框设置保存的位置即可（如图3-93所示）。图3-91查看被格式化了的文件内容图3-92恢复文件及目录图3-93“选择目标文件夹”对话框按前面的步骤基本能恢复根目录下的子目录中的文件及目录，但是根目录下的文件却无法通过这种方式恢复了。每一种文件都有自己固定的格式，如WORD2007文档的头部如图3-94所示，AVI视频文档的头部如图3-95所示，JPG文档的头部如图3-96所示。图3-94DOCX文档的头部图3-95AVI格式文档的头部图3-96JPG格式文档的头三、任务总结本次课主要给学习了:恢复FAT32分区文件分析NTFS分区结构M6-1本单元主要内容NTFS分区结构一主控文件表与元文件二引导扇区结构三四修复引导扇区四M6-1本单元重难点重点NTFS分区概述NTFS引导扇区分析恢复NTFS引导扇区的方法NTFS元文件介绍难点NTFS引导扇区BPB参数NTFS元文件的概念和作用一、NTFS分区结构微软公司自推出WindowsNT服务器操作系统以来，就开发了一种与之对应的，可靠性和安全性都很强的，可用于服务器操作系统的文件系统，即NTFS。它与FAT文件系统相比有许多优点：可恢复性、安全性、保密性、数据容错、文件压缩、磁盘配额管理等。一、NTFS分区结构在NTFS分区中，引入了卷概念。卷可以看成是分区的升级版，是为了解决某些分区限制而提出的概念，卷的操作和使用和分区是一样的。卷分为简单卷和动态卷两种，简单卷就是一个普通分区，而动态卷则可以实现一些高级功能，比如可以将多个分区或者磁盘组织成一个卷，能够动态增长容量等，使其可以支持服务器存储所需的海量存储空间。一、NTFS分区结构NTFS仍然使用簇来分配文件存储，簇又叫卷因子，在分区中通常每个簇包含8个扇区，从0开始编号，这个簇号叫做逻辑簇号（LCN）。在存储文件的时候，NTFS采用了索引存储方式：即把文件按照逻辑簇大小划分为多个区块，称为虚拟簇（VCN），在主控文件表中有一张索引表，记录了VCN和LCN的对应关系，因此可以快速地访问文件任意一个部分的内容，而且簇到扇区的转换也非常简单。VCN123456LCN101102106107108221一、NTFS分区结构NTFS分区不再设管理控制区域，分区的0扇区便是0簇，全部空间都是数据区域。分区中承担管理控制信息的数据块被组织成文件，灵活地存放在任意一个位置。只有BOOT区域比较特殊，由于0扇区仍是引导扇区，因此BOOT区域始终位于分区前端。二、主控文件表与元文件在NTFS分区中，最重要的就是主控文件表（MFT），它记载了所有文件的属性信息，甚至包括数据，有点类似于FAT分区的文件目录表。为了防止遭到破坏，NTFS分区将MFT的位置移到了分区的中间，并在引导扇区中给出了它的簇号。我们在恢复数据的时候，就是依靠MFT来完成的。二、主控文件表与元文件在NTFS中承担管理控制信息的数据称为元数据，用于记载文件属性信息、簇分配信息、以及加密、配额、日志等。这些元数据分别被组织成文件，称为元文件。前面所提到的BOOT区域和MFT区域，也分别被组织为两个重要的元文件：$Boot和$MFT。NTFS中有16个元文件，每个元文件都以美元符号起头，以标示其特殊身份。这些元文件记录了分区底层的结构信息，因此非常特殊而重要，被系统保护起来，用户和应用程序不能访问它们。二、主控文件表与元文件编号元数据文件功能或内容0$MFT主控文件表本身1$MFTMirr主控文件表的部分备份（通常为前4项）2$LogFile日志文件，实现了NTFS的可恢复性和安全性3$Volume卷文件，标识卷名，是否格式化，是否需要修复等信息4$AttrDef属性定义列表文件5$Root根目录，存放目录和文件的索引，表示文件的逻辑层次关系6$Bitmap位图元文件，记录了卷中簇的分配情况7$Boot引导元文件，恒为0簇起始8$BadClus坏簇列表元文件9$Secure安全元文件，存储访问控制表（在NTFS4及以前为磁盘配额信息）10$UpCase大小写字符转换表元文件11$ExtMD扩展元数据目录（Extendedmetadatadirectory）12~15$Extended\扩展元数据，分别为重解析点、加密日志、配额管理、对象ID16~23为以后扩展而保留24~?用户文件和目录的记录编号三、引导扇区结构NTFS分区的0扇区是引导扇区，也叫DBR扇区，它和后面的15个扇区（NTLDR区域）合起来构成BOOT区域，也就是$Boot元文件。$Boot元文件恒定从0簇起始，占16个扇区。NTFS分区的引导扇区同FAT分区的引导扇区在结构上非常相似，同样包含BPB，DBR和结束标志三个部分，只是在BPB参数上有部分不同。由于所有的结构信息都以元文件方式组织，因此在BPB中只包含几个重要的参数。三、引导扇区结构NTFS的BPBNTFS的DBR三、引导扇区结构偏移长度描述00H3B跳转指令（EBH52H90H），跳至54H处DBR部分03H8B文件系统和版本的OEM标志（NTFS）0BH2B每扇区字节数（通常为200H）0DH1B每簇扇区数（值为2的N次方，通常为8）15H1B介质描述，恒为F818H2B每磁道扇区数（通常为3FH，63）1AH2B磁头数（通常为FFH，255）1CH4B隐含扇区数（本分区前的扇区总数，也就是本分区的起始逻辑扇区号）24H4BNTFS未使用，总为80H00H80H00H28H8B扇区总数30H8B$MFT的起始逻辑簇号38H8B$MFTMirr的起始逻辑簇号40H4B每MFT记录簇数44H4B每索引簇数48H8B分区的逻辑序列号，格式化的时候随机产生50H4B校验和三、引导扇区结构演示对NTFS分区引导扇区的BPB的分析过程。准备好NTFS分区的演示环境，如虚拟机、Winhex等。分析引导扇区BPB参数。指出重要的参数信息如$MFT簇号。四、修复引导扇区NTFS的引导扇区如果遭到破坏，同样可以使用备份的引导扇区记录来恢复，只是NTFS的备份引导扇区存于分区末尾处，这样对于普通的破坏攻击有较好的保护作用。它存放的形式很巧妙：假设在分区表中标识了该分区大小为N，则在格式化为NTFS分区的时候，在引导扇区的BPB里面给出本分区占用扇区数为N-1，这样在分区表容量和分区内标注的容量间就有1个扇区的空隙，这个扇区既不会被本分区操作访问到，也不会被分区工具破坏。四、修复引导扇区演示使用备份的引导扇区实现对NTFS分区的引导扇区的恢复。在NTFS分区中定位某个NTFS分区的备份引导扇区。修复引导扇区。检查修复工作是否正常。总结1.NTFS分区结构与特点。2.MFT和元文件的概念。3.使用备份扇区修复引导扇区。作业请在自己的计算机（或虚拟机）上选择一个NTFS分区，找到它的备份引导扇区位置，然后将其复制到引导扇区位置。NTFS引导扇区结构一、引导扇区结构四NTFS分区的引导扇区和FAT分区有些相似，同样都是由BPB和DBR组成，扇区末尾也是由“55AA”结束，表给出了引导扇区内部的定义。字节偏移大小含义00H3B跳转指令（EBH52H90H），跳至54H处DBR部分03H8BOEM名（明文“NTFS”）0BH2B每扇区字节数（通常为200H）0DH1B每簇扇区数（值为2的N此方，通常为8）0EH2B保留扇区数（Microsoft要求置为0）10H5B未使用（Microsoft要求置为0）15H1B介质描述符，硬盘为F816H2B未使用（Microsoft要求置为0）18H2B每磁道扇区数（通常为3F）字节偏移大小含义1AH2B每柱面磁头数（通常为FF）1CH4B隐含扇区数（本分区前的扇区总数）20H4B未使用（Microsoft要求置为0）24H4B未使用（总是为“80008000”）28H8B分区扇区总数（此值比分区表描述扇区数小1）30H8B$MFT起始簇号3