《数据恢复》教案17

XXX教案

课程名称数据恢复授课时间第1周第1次

授课章节项目一排出硬盘常见的物理故障

掌握硬盘的基础知识、硬盘工作原理

知识目标理解硬盘的物理结构

教学目的掌握硬盘的逻辑结构

技能目标能够判断并排除计算机硬盘无法识别的故障

教学重点硬盘的逻辑结构

教学难点磁道、磁面、柱面与扇区的概念

教学方法讲解法

教具计算机，多媒体，硬盘

教学过程设计

(含时间分配)

(2学时)

1.案例导入

用户：你好，我的台式机开机后进不了操作系统了。

工作人员：不要着急，让我帮你看一下，请您耐心等待！

2.任务分析

电脑进不了操作系统的原因有很多，我们需要先观察故障现象再确定可能的原因。

3.硬盘的结构与工作原理

硬盘是一种外部存储器，具有容量大、数据存取快、单位容量成本低等优点，主

要用于存储计算机操作系统、应用软件、文件等数据。根据其位置可分为内置和外置

硬盘；内置硬盘根据其数据接口类型可分为并口(IDE)和串口硬盘(SATA),外置硬

盘可分为USB接口和eSATA接口；根据工作原理可将其分为固态硬盘(SSD)、机械硬盘

(HDD)、混合硬盘(HHD)三种。

(1)硬盘的物理结构

硬盘的外部由固定面板、控制电路板、接口三部分组成。硬盘内部主要有传动臂、

1

读写磁头、主轴（下方是轴承和马达电机）、永久磁铁、盘片、空气过滤片等组成。

（2）硬盘的逻辑结构

硬盘的逻辑结构包括磁面（Side）、磁道（Track）、柱面（Cylinder）与扇区（Sector）。

（3）硬盘的工作原理

4.硬盘的控制电路

图1-8硬盘电路组成框图.

在硬盘电路板中，三个芯片比较重要，它们分别是：硬盘主控芯片、硬盘驱动芯

片、硬盘缓存芯片。

5.硬盘的物理故障判步骤

心得

作业有条件的同学，可以拆开自己不用的磁盘，进行观看磁盘的结构

备注

2

XXX教案

课程名称数据恢复授课时间第1周第2次

授课章节实验一winhex的介绍及使用

1.熟悉winhex界面

知识目标

2.理解数据的存储形态

教学目的

会使用通用的数据恢复方法恢复简单的文件

技能目标

会创建虚拟磁盘

虚拟磁盘的创羽E和附加

教学重点通用的数据恢嚏之方法

数据的存储形不

教学难点通用的数据恢复方法

教学方法演示法，讲解法，任务驱动法

教具计算机

教学过程设计

（含时间分配）

（2学时）

1.winhex界面介绍

3

2.学生操作练习，熟悉winhex的界面

3.通过实例演示通用数据恢复方法，以及如何创建和附加虚拟磁盘

4.布置课堂练习，让学生自己创建和附加虚拟磁盘，并发放课堂练习，让学生动手操

作利用通用数据恢复方法恢复下发的磁盘文件。

5.方法：工具-磁盘工具-按文件类型恢复

gWinHex[硬盒I]----------------

♦文件(E)制目(E)透索⑸导航(N)百看M1^(专业工具(1)选项(Q)窗口他)悟助(W

的奥给\寓

KD).F9♦3匕3。彝

文件(D情福(D)

Ml|CtrUD

邠类型:MBR文件工艮⑴

阿览遢归月就日间文闻布富I鬲

、打开RAM(R)..

分区1Ait+F9件类型恢复⑴一20

一未分区空间20,967,42

外部程序(E)■新迸行磁盘快照

一起始崩区(I)

i+W«(O-

AH+F8初始化空余空间⑴-

十六进制转换伸)._

F8的始化残余空间(U-

ttSc(P)...初始化目录项一

oogoO00O

分析磁盘(I)F2

oooO01O打输丢失的分区(P).

oo2

oooO0O计算哈希值(M)...Ctr1+F2作为分区起始位置

ooGOoO03O姆8解释甥

oooooO04O蛤希库伸)._•*F12设置磁盘参数⑸...

oooooO05O8Bit(±):51

oooooO06O启动中心AtpFfl-t16Bit(±)1-16.333

oo(S)_

oogoO07OJfhfyvhh24Bit(±):-7,421,901

10B4428A56008BF4CD13|hhBIVUI

oooooO08O32Bit(±):-795,951.053

oooQ0gQ14B80102BB007C8AS600IIAI*,»|IV

oo卜

oooooO^AOIA6E03CD13666173ICFEIvINIstfa«

oooooO08O1060OF848A00B280EB64Nul~IIIH«l

oooooO9HOID135DEB9E813EFE7D55U2alV1Jel小｝U

oooooO0-O：89D007517FABODI£664•unyv6u

D61*8s'b|*yad«u

oooooO0EO2EB7C00BOFFE664E87S

oooooO0FOA6623CO753B6681FB544.»If#Au:fQT

ooogooO1OO■90201722C666807BB00CPAu2ar.fh»

oooO11O10666808000000665366fhH>fSf

oooooO12O1000006668007C000066SfUfhfhIf

oooooO13OA5A32F6EA007C0000CDah1Z28|1

lOB607EB03AOB50732E4

得

作业自己创建虚拟磁盘

备注

4

XXX教案

课程名称数据恢复授课时间第2周第1次

授课章节项目2使用数据恢复机恢复数据

1.掌握MBR磁盘分区表的数据结构

知识目标

2.掌握分区表结构中的08-0B,OC-OF所代表的含义

教学目的

技能目标会手工分析分区表

教学重点MBR磁盘分区表的数据结构

教学难点MBR磁盘分区表的数据结构

教学方法演示法，讲解法，案例演示法

教具计算机

教学过程设计

（含时间分配）

（2学时）

1.MBR硬盘

MBR硬盘的分区表也叫DOS分区表，0号扇区是主引导记录（MBR）,DOS分区体系

的硬盘用分区表记录每个分区的类型起始位置和分区的大小。其中分区表就在0号扇

区内，所以。号扇区如果损坏，那么这个硬盘就不能正确识别分区。

2.MBR结构图

5

3.分区表项结构

偏移（16进制:字节数描述

00-0010x00:不可引导；0x80:可引导（一般是系统盘）

01-033分区的起始CHS地址（由于CHS只能寻址到8G,

早己淘汰不用，可空）

04-041分区的类型

05-073结束CHS地址（可空）

08-0B4分区的起始扇区号

0C-0F4分区所包含的扇区数

08是指从E列开始0,Fl,ooo,08即第6歹h

（1）分区类型值的含义

类型值含义

0x07NTFS>ExFat

0x0C>0x0BFAT32

OxOF、0x05扩展分区表

OxEEGPT

4.MBR硬盘结构图

M

B分区1分区2分区3...分区n

R

由图可知，MBR硬盘的分区是连续的，一个紧挨着一个。所以我们在做数据恢复

时，往往找到一个分区时，很快就能找到所有的分区。

5.课堂案例演示如何获得每个分区的（类型、起始扇区号，总扇区数）

心得

作业手工分析分区表，并获取每个分区的（类型、起始扇区号，总扇区数）

备注

6

XXX教案

课程名称数据恢复授课时间第2周第2次

授课章节实验二修复主分区表----恢复误删的分区

知识目标理解MBR磁盘分区表的数据结构

教学目的

技能目标能够修复主分区表一一恢复误删的分区

教学重点

教学难点

教学方法

教具计算机，winhex

教学过程设计

（含时间分配）

（2学时）

1.回顾上节课的知识点；

2发.放本次课的实验模拟磁盘；

3.学生进行操作，恢复主分区表误删除的分区；

4.发放本次实验指导内容；

5.总结学生操作过程中遇到的问题并解答。

心得

作业

备注

7

XXX教案

课程名称数据恢复授课时间第3周第1次

授课章节项目2使用数据恢复机恢复数据

知识目标1.掌握扩展分区表的数据结构

教学目的

技能目标1.会修复扩展分区表一一分区误删

教学重点扩展分区表的数据结构

教学难点扩展分区表（EBR）的结构

教学方法案例演示法，任务驱动法

教具计算机，winhex

教学过程设计

（含时间分配）

（2学时）

1.EBR（ExtendedBootRecord）的概念

EBR即扩展分区引导记录。类似于主引导记录MBR。因为MBR的四条分区信息的限制，可以使

用EBR方便扩展。它的结构与MBR类似于，但是没有引导程序和磁盘签名，仅仅保留了

分区表和结束标志。

本来一块硬盘最多支持4个分区，但是由于发展4个分区已经不能满足要求，但

是为了在扩展你的前提下能够兼容以前的特性，因此采用了扩展分区的方式。

硬盘分区分布图

'I个I个I个

8

主分区I主分区2理辑分区I逻辑分区2

MBR

引导J＞区

--------VV

0.址------------育子扩展分区I-------------------------------子！T*分区2

息扩展分区

▲图0-21MBR、EBR.OBR位置关系

2.扩展分区表（EBR）的结构

第一个表项：分区起始扇区号（相对于本扩展分区表的位置）

第二个表项：下一个扩展分区表扇区号（相对于主扩展分区表）

3.课堂演示EBR扇区分析

000000017074696F6E207461626C65004572726F72tiontable)

0000000180206C6F6164696E67206F706572617469loadingop«

00000001906E672073797374656D004D697373696EngsystemM:

00000001A067206F7065726174696E672073797374goperating

00000001B0656D000000637B9AB8D5CB5600000020emc{I,0D

!曲:y

00000Q01C0210007FEFFFF000800000000710200FE

砂-

00000001D0FFFF07FEFFFF000871020080A90300FEy

yy砂-I

00000001E0FFFF07FEFFFF00881A060068FB0600FEy

yy种:6

00000001F0FFFF[0F>EFFFF00F0150D00086A1855AAyyy

a^t>E.uuxxuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuu

A2BE0012000000000000000000000000000000000

A2BE0013000000000000000000000000000000000

A2BE0014000000000000000000000000000000000

A2BE0015000000000000000000000000000000000

A2BE0016000000000000000000000000000000000

A2BE0017000000000000000000000000000000000

A2BE0018000000000000000000000000000000000

A2BE0019000000000000000000000000000000000

A2BE001A000000000000000000000000000000000

A2BE001B0000000000000000000000000000000FEP

A2BE001C0FFFF当FEFFn-000800000080A90300FEyybyy

A2BE001D0FFFF|更FEFFFF0088A90300801A060000yyi>yyi

A2BE001E00000jlj00000000000000000000000000

A2BE001F0000000000000000000000000000055AAu叁

图二

4.课堂案例讲解

如何手工分析磁盘镜像中的各个分区的类型起始扇区号和总扇区数

5.知识点小结：

・MBR中扇区的起始位置都是相对于0偏移的。

•EBR中第一个分区表项的表示的为逻辑磁盘时，起始位置都是相对于当前的扇区

的（也就是EBR所在的扇区）。

・EBR中的分区表项表示下一个扩展分区时，它的起始位置都是相对于EBR】的。

・EBRi+I中的扇区总数=£8艮中指向EBRi+1的分区表项的总扇区数。

心得

作业手工分析课后练习磁盘镜像中的各个分区的类型起始扇区号和总扇区数

备注

9

XXX教案

课程名称数据恢复授课时间第3周第2次

授课章节实验三修复扩展分区表一一分区误删

知识目标掌握扩展分区表的数据结构

教学目的

技能目标会修复扩展分区表一一分区误删

教学重点

教学难点

教学方法演示法，任务驱动法

教具计算机

教学过程设计

（含时间分配）

（2学时）

1.回顾上节课的知识点；

2.发放本次课的实验模拟磁盘；

3.学生进行操作，恢复主分区表误删除的分区；

4.总结学生操作过程中遇到的问题并解答。

5.提示：

删除扩展分区，由于扩展分区位于磁盘最后部分，先找到最后一个分区的备份DBR

（先跳到最后一个扇区，向上搜索eb5290）,即最后一个备份DBR的起始扇区（同时

记下该分区的逻辑磁盘大小）。

因为要找扩展分区（扩展分区没有eb5290,如果继续向上搜索，会找不到扩展分

区），扩展分区的结尾标记55AA,所以在最后一个备份DBR处开始向上查找55AA,然

后即可找到最后一个扩展分区的ebr所在扇区，记下关键数据，依次向上查找（55AA）。

DBR（eb5290）可以查看该逻辑磁盘大小

10

参考计算公式：

DBR3=备份DBR3所在扇区-3的逻辑磁盘的大小

子扩展分区3的总大小（扇区）：

=最后一备份DBR所在扇区-EBR3所在扇区

=DBR3-EBR3+3的逻辑磁盘的大小

心得

作业

备注

11

XXX教案

课程名称数据恢复授课时间第4周第1次

授课章节项目三修复FAT文件系统下的数据

1.理解什么是文件系统

2.掌握FAT32文件系统结构

知识目标

3.掌握FAT32DBR的数据结构

教学目的

4.了解FSINFO扇区数据结构

技能目标能够画出FAT32文件系统的结构图

教学重点FAT32文件系统结构

教学难点FAT32DBR的数据结构

教学方法讲解法

教具计算机，winhex

教学过程设计

（含时间分配）

（2课时）

1.初识文件系统

•文件系统就是对数据存储进行管理的一种机制；

•格式化的目的就是建立文件系统从而管理文件；

•我们平时看到的NTFS、FAT32、ExFat的分区格式都是文件系统，每种文件系

统都有不同的管理方式。

•NTFS、FAT32、Exfat文件系统的第一个扇区叫DBR系统引导扇区

2.FAT32文件系统结构

DBRUSB

•DBR及保留扇区：DBR的含义是DOS引导记录，也称为操作系统引导记录，在

DBR之后往往会有一些保留扇区。

12

•FAT1：FAT的含义是文件分配表，FAT32一般有两份FAT,FAT1是第一份，也

是主FATo

•FAT2：FAT2是FAT32的第二份文件分配表，也是FAT1的备份，即FAT2与FAT1

是一样的。

•DATA：DATA也就是数据区，是FAT32文件系统的主要区域，其中包含目录区域。

•FAT1起始扇区=DBR的扇区号+保留扇区数

•FAT2的起始扇区=FAT1的起始扇区+一个FAT的扇区数

3.FAT32DBR的数据结构

偏博《16进必)描述AH(16进推述

0(W)2的跳指令(EB5890)24-27FAT表的大小

03-0A文件系统版本28-29标记

OB-OC每阚区字节败2A-2B版本

0D每震房区数2C-2F根目录所在的^号

OE-OFFATift的起始南区号30-31DBR的大小

10FAT覆个数32-33D8R的各份崩区位

11-12保留34-3F保留

13-14保版40BIOS设备

15介质描述符41未使用

16-17保留42扩履引导标记

18-19每城道扇区数43-46卷序列号

1A-1B磁头数47-51卷标

1O1FR8含扇区(。到D6R的52-59文件系统格式

扇区)

20-23文件系钱的总康区数

3.1重要概念

•扇区：扇区是硬盘读写的基本单位，一般情况下每扇区的大小是512字节。在

硬盘中每个扇区都有自己的编号，从零开始编号。

•簇：文件系统中用簇来做数据存储的单位。

•簇大小是2的整数次嘉，最大是128扇区每簇

•FAT表：文件分配表(FileAllocationTable)用来描述文件系统内存储单

元的分配状态及文件内容的前后链接关系的表格

•根目录的起始簇号：也是数据区的开始位置(一般为2号簇)

3.2根据MBR分区查找方法，找到FAT32分区起始位置。找到起始位置的第一个扇

区(DBR)如下:

Offset0123456789ABCDEF

9E9800001EB58904D53444F532E30000220A4eXMSD0S5.0n

9E98000yT02000000QOF80000F0000COF4山

9E980啜000308B02AE28000000020000即1砧

微翻01000600000000000000000000

800029937410E84E4F204E4141.1

9E?8X)0p502020464154333220^^■33C98EDIBCF4

9E点陆碌07B8ECl8ED9BD007C884E028A5640B441|INIV@'A

9E9800070BBAA55CD13721081FB55AA750AF6Cl01rUU&udA

9E98000807405FE4602EB2D8A56B408CD137305t阿事■摩和S

9E9800090B9FFFF8AFl66OFB6C666OFB6DI80E2lyylnfTOf砧16

9E98000A03FF7E286CDCOED0641OFB7C966F7El

flFol~u？l~»w2

9E98O00B0668946F8837E160075837E2A007732

9E90OOOCO66RB46IC6683COOCrr：80B901「「iE82BfIFflA»116+

9E98000DO00E92C03A0FA7DB47DF0AC84CO74176,u}z}l6^IAt

9E98000EO3CFF7409B40EBB070010EBEEA0FB7D<yt»1eiu}

9E98000F0EBE5A0F97DEBE098CDCD196660807Ed}e6liifT

9E98001000200OF842000修邸噂曾：5006536668101fjfPSfh

9E9800110000100B4428ACD1366586658BIV@ldifXfX

9E980012066586658EB33663B46F87203F9EB2A66fXfXe3f;For€>e*f

9E980013033D266OFB74E1866F7FlFEC28ACA668B3df-N£+0阳

9E9800140D066ClEA10F7761A86D68A56408AE8CO-vIOIV@I^A

9E9800150E4060ACCB80102CD136661OF8275FF81aI,Ifaluy

9E9800160C300026640497594C3424F4F544D4752AfeIulABOOTMOR

9E9800170202020200000innn00■：nnn0000rn一「1

9E980018000000000000000000000000000000000

9E980019000000000000000000000000000000000

9E98O01A00000nr0000000000000000000D5265Re

9E98O01B06DUF76br2U■：1。9736B7.3JU6F72_u6F74movedisksorot

9E98O01C0686572206D656469612EFF0DOA446973hejmedia.yDis

9E98O01D06B206572726F72FFODOA507265737320,"谏萍齐也浒

9E98O01E0616E79206B657920746F207265737464[anykeytoresta

9E98001F072740D0A0000000000ACCBD8000055AArtrE0US

13

4.了解FSINFO扇区数据结构

在FAT32的保留区中除了DBR还有个FSINFO信息区，用来记录文件系统中空闲簇

数和下一个可用的簇号，该扇区一般在分区的1号扇区，也就是紧跟着DBR后的一个

扇区，其内容如下:

|偏移（16进制描述|偏移（16进制）|描述|

00-03扩展弓I导标志“RRaA”04-1E3未使用

1E4-1E7签名标志“「「Aa”1E8-1EB空闲簇数

1EC-1EF下个可用簇1F0-1FD未使用

1EE-1EF“55AA”标志

Offset0123456789ABcDEF

9E9800200525261410000000000000000000000DORRaA

9E98002100000000000000000nr00000000000000

9E980022000000000000000000000000000000000

9E980023000000000000000000000000000000000

9E980024000000000000000000000000000000000

9E9800250000000000000000000000000