网络空间安全概论 实验8文件恢复 winhex文件恢复实验样例2

实验一文件系统取证

一、实验目的

1.通过使用WinHcx软件，熟悉磁盘信息，从而了解存储机制；

2.查看磁盘信息，及其使用状况；

3.能够恢复已删除的文件；

二、实验内容

1.查看计算机磁盘及U盘的信息，及相应的文件信息；

2.使用WinHes自动、手动恢复文件；

三、实验步骤

1.下载WinHex工具，打开文件夹中的WinHex.exe文件，熟悉工作界面；

2.打开相应的磁盘，查询信息，并进行相关的恢复操作；

四、文件系统格式

4.1FAT32文件系统

FAT文件系统主要有FAT12、FAT16和FAT32几种形式，其中FAT32是

FAT发展的最后形式。这里FAT32的意思是簇的编址采用32bit宽度的数，所

以FAT32文件系统最多能寻址2**32=4294967296个簇，其他FAT变种类

似。

FAT32文件系统由DBR及保留扇区，FAT1,FAT2和数据区组成：

DBR及保留扇区FAT1FAT2数据区

图FAT32结构

DBR及保留扇区：DBR的含义是DOS引导记录，也称为操作系统引导记

录，在DBR之后往往还会有一些保留扇区。

FAT1：FAT的含义是文件分配表，FAT32一般有两份FAT,FAT1是第一

份，也是主FAT。

FAT2：FAT2是FAT32的第二份文件分配表，也是FAT1的备份。

DATA：DATA也就是数据区，是FAT32文件系统的主要区域，其中包含

目录区域。

用WinHew打开一个FAT32格式的磁盘，其DBR如下，对内容进行简要

的表明。

Offset0123456789101112131415UTF-8

00000000站EB5893PD53444F53352E□SDOS5.0CE]B

0266650000^800OO3F00

AOFFBF03F93B00000000于°甘^推

00000000048□

00000000064附附,朋留北W黑舞明|•拓展©P©

00000000080FAT323Y0□

7B8EC1OEEBDUO7C8H4EO28A56

00000000096□(□veo

CD1373O5B9FFFF8AFV66OFB6C6

00000000112sen□□

B6D183O23FF7E286C1COEDO641

ED

00000000128C966F71668946F887E16OO75□?□□£□□

E3

000000001442AOO7728B461c683COOCBB□□Du8D

3666

00000000160AKw2fD□CO

O1OOE92BooE948O3OFA7DB47D

0000000017684CO74173cFF74O9B4OEBBO7OO}□

000000001927

EEAOF37DEBE5AOF9DEBEO98CD□□

00000000208CD

oF82；

00000000274666063100ofpnnfjnfpn

0000000024053660100807E0200sfhcnnco□□

AA558A

0000000025641BB85140o56mq曰MBf^B2ADveo□□

00000000272AAOFF6m利"4王，木)D□□□□□

56408B

00000000288428AF4CD13BOF966BO□□XfX

000000003046658E32A6633D266OFB74EfXD□NQfD

00000000320C28ACA668B□□CO-

0000000033656408AE8COven□/□□□

00000000352OF8254FF81□□□@ICXJ

000000003684E544C4452NTLDRBCCO

000000003840000030000

000000004000000030000

000000004160000030000□ntnrmcmRe

000000004326D6F766520movedisksorot

00000000448686572206Dhermedia.□is

000000004646B20657272

00000000480616E79206B

uuuuuuuo4yt>

图DBR

跳转指令将呈现执行流程跳转到引导程序处；

OEMID由厂商指定，这里是MSDOS5.0；

BPB记录文件系统相关的重要信息，由BPB和拓展BPB组成，具体参数

解释如下：

字节偏移字段长度（字节）对应取值名称和定义

OxOB20x0200扇区字节数

OxOD10x20每簇扇区数

OxOE2Ox080E保留扇区数

0x1010x02FAT数

0x1120x0000根目录项数

0x1320x0000小扇区数

0x1510xF8媒体描述符

0x162OxOOOO每FAT扇区数

(FAT32为0)

0x182OxOO3F每道扇区数

0x1A2OxOObF磁头数

OxlC40x()0()0()()60隐藏扇区数

0x2040x03BFFF0A总扇区数

0x2440x00G03BF9每FAT扇区数

0x282OxOOOO扩展标志

0x2A20x000()文件系统版本

0x2C40x00000002根目录簇号

0x3020x0001文件系统信息扇

区号

0x3420x0006备份引导扇区

0x361212字节均为0x00保留

拓展BPB参数如下:

字节偏移字段长度（字节）对应取值名称和定义

0x4010x00物理驱动器号

0x4110x00每保留

0x4210x29扩展引导标签

0x4340x5168c523分区序号

0x4711nNONAME"卷标

0x528nFAT32"系统ID

FAT32文件系统在DBR的保留扇区中还安排了一个文件系统信息扇区，

用以记录数据区中空闲簇的数量及下一个空闲簇的簇号，该扇区一般在分区的

1号扇区，也就是紧跟着DBR后的一个扇区，其内容如下图（其中字节值为零

的，都没有被使用）：

00000000512152526141|oo0000000000000000000000A：

oooooooo^^e00000000000000000000000000000000

,0000000000000000000000OU00000000

:00000000000000000000000000000000

0000000057600000000000000000000000000000000

0000000059200000000000000000000000000000000

00000000608000000000000co00000000000000co00

0000000062400000000000000000000000。0000co00

00000000640000000000000000。000000000000000。

0000000065600000000000000000000000000000000

0000000067200000000000000000000000000000000

00000000688000000000000co00000000000000co00

0000000070400000000000000000000000000000000

00000000720000000000000co00000000000000co00

0000000073600000000000000000000000000000000

00000000752000000000000co00000000000000co0G

000000007680000000000000000000000000000co00

0000000078400000000000000000000000000000000

00000000800000000000000co0C000000000000cooc

0000000081600000000000000000000000000000000

0000000083200000000000000000000000000000000空闲簇数

0000000084800000000000000000000000000000000

000000008640000uu000000co000000uu000000co

000000008800000000。0000000。00000000000000

00000000896000000000000000。000000000000少x

000000009120000000000000000000000000000//Do00「下一个空闲簇号

00000000928000000000000000000000000X0000

00000000944000000000000co000000000000cooo>

000000009600000000000000000000000少0000X结束标志

00000000000000000000OCL/000000产00

724161IAF©4OFIQ9。1□^OrrAaD□

08000000000000000000000000155AAI卜千•nnrmrinnnnrnt】n

图文件系统信息扇区

在DBR之后，就是FAT,文件分配表。FAT一般有两个，一个正常使用

称为FAT1,另一个是备份称为FAT2,FAT1和FAT2的内容完全一样。

FAT是一组与数据簇号对应的列表，表项的编号从0开始，但是编号0表

示FAT介质类型，编号1表示FAT文件系统错误标志，所以实际存储从2号

开始。大文件占用多个簇的话，则FAT项纪录下一个FAT项编号，依次类推

直到最后以“OFFFFFFF”表示文件末尾。文件至少占用一个簇，所以新建文件

的时候，即使只写入1字节的数据，它也会占用一个簇的空间。

00000000：读写

00000001：只读

OxB100000010：隐藏

00000100：系统

00001000：卷标

00010000：子目录

00100000：归档

OxC1系统保留

OxD1创建文件的1()亳秒位

OxE2文件创建时间

0x102文件创建日期

0x122文件最后访问时间

0x142文件起始簇号的高16位

0x162文件最近修改时间

0x182文件最近修改日期

OxlA2文件起始簇号的低16位

OxIC4文件长度

对长文件目录项(文件名＞8字节或后缀名＞3字节)，其字节有如下定

义：

字节偏移字节数定义

属性字节位意义：

7：保留未用

6：表示长文件最后的目

录项

0x015：保留未用

4：顺序号数值

3：顺序号数值

2：子顺序号数值

1：顺序号数值

0：顺序号数值

0x110长文件名Unicode531

OxB1长文件名目录标志

OxC1系统保留

OxD1校验值

OxE12长文件名Unicode程2

OxlA2文件起始簇号

OxlC4长文件名UnicodeR3

当需要找文件真正存储内容的时候，就可以根据上面目录项的起始簇号去

寻找文件内容。而每个文件所占用的簇信息，又在FAT表项中进行了标识，再

按照FAT的信息进行查找，即可找到相应文件的所有内容。

比较方便的是，WinHex还提供了簇号和扇区的转换，可以根据簇号来跳

转到相应的扇区。

跳至扇区X

(§)逻辑(L):扇区:32832

=梭

F确定(Q)I取消(A)

图WinHex簇号转换

4.2NTFS文件系统

NTFS文件系统(NewTecnologyFileSystem),是现在绝大多数电脑磁盘

分区使用的文件系统。NTFS文件系统具有安全性高、稳定性好、不易产生文

件碎片等优点。

NTFS文件系统大致结构如下：

DBR数据区MFT数据区部分MFT备份数据区DBR备份

图NTFS结构

DBR：由“跳转指令”、“OEM代号”、“BPB”、“引导程序”和“结束标志”组

成，这里和FAT32文件系统的DBR一样。

数据区：数据区分为三部分，这是真正存储文件内容的地方。

MFT：它由一个个表项构成，每一个表项是一个文件记录，大小一般为

1KB(两个扇区)，记录着卷中每一个目录和文件的信息，每个文件记录的结构都

是固定的，由文件记录头和若干属性构成。

部分MFT备份：用来备份MFT部分信息。

DBR备份：备份DBR。

NTFS中DBR的大致结构和FAT32相同，但部分字节的定义有差异。

；(16进制)|描述偏移《16进制)描述

00-02跳转指令03-0AOEM代号

OB-OC每扇区字节数0D-0D每簇扇区数

0E-14保留总是015-15介质描述符

16-17保用总是018-19每磁道扇区数

1A-1B每柱面磁头数1C-1F■含扇区数

20-23保留总是024-27保留总是80008000

282F文件系统扇区总数30-37MFT起始簇号

38-3FMFTMirr的起始簇号40-40每MFT项大小

(2r每个文件记录的艘数)

41-43保留44-44每个索引块大小簇数

45-47保留总为048-4F序列号

50-53校验和54-1FD引导代码

1FE-1FF签名标志"55AA”

图DBR字节定义

使用WinHex,并结合上图就可以理解各个字节的意思。

在NTFS的MFT文件中，会预先建立16个重要的文件(MFT记录的ID

编号固定为0・15)和8个保留文件(MFT记录的ID编号固定为16・23),这

24个文件是被称为元文件(Metafiles)或元数据(metadata)的系统文件、，

NTFS文件系统将这些数据都当做文件进行管理，这些文件用户是不能访问

的，它们的文件名的第一个字符都是"$”，表示该文件是隐臧的。而用户的文

件在MFT中的ID编号从24后开始排，用户每添加一个文件，ID号加1。

序号元文件功能

0$MFT主文件表本身

1SMFTMirr主文件表的部分镜像

2SLogFile日志文件

3$Volume卷文件

4SAttrDef属性定义列表

5$Root根目录

6$Bitmap位图文件

7$Boot引导文件

8$BadClus坏簇文件

9SSecure安全文件

10$UpCase大写文件

11$Extendmetadatadirectory扩展元数据目录

12$Extend\$Reparse重解析点文件

13$Extend\$UsnJrnl变更日志文件

14$Extend\$Quota配额管理文件

15$Extend\$Objld对象ID文件

16-23保留

23+用户文件和目录

图1.423MFT结构

上面是MFT的元文件及相应功能，元文件序号和数量不是不变的，随着操

作系统的变化，它的内容也会发生部分变化。

下来解析MFT中的用户文件记录部分。文件记录由两部分组成，一部分是

文件记录头，另一部分是属性列表，结尾是四个“FF”。一个完整的文件记录

如下图：

Offset0123456769ADCDEF

OOCOOOOOOO坐494c4530000322M0000OD00FILED...i*...........

Cl00010038即尸下项^己^:头0。040000

OOCOOOOOIO••••8.........................

)(

0000000020coDOooooooco?ooo^icHfT0^5o'oo00OD00•••••••■••••••a

000000003006DOFFFFOO0000001000000060000000--yy....................."一

OOCOOOOOIO00DO1800OOOO0000480000DO180000GO•••••••aH••••••

0000000050ec576811AD20D201OC576811AD20D201iwii.-O.iwh.-6

00000000606C576811AD20D20::":6811AD20D201IWh.-O.lWh.-0

OOCOOOOD7006DO0000000000GCu'JOUOODO00000000•••・・•••••••・•・

oocoooooeo00DO0000OO0100OO000000DO0000OD00••••••••••••••a

000000009000DO0000000000OO3000OODO6B000000....................0…h..

OOCOOOOOAOOODO1800000003OO4A00OODO18000100••••••••J••••••

oocoooooeo05DO00OG000005OOACC811AD20D201.....................IWh.-0

oocoooooeoef576811AD20D2(1、M£811AD20D201IWh.-6,IWk.-0

OOCOOOOODO8C576811AD20D2010040OO0000000000IWh.-0..1?...........

OOCOOOOOEOOO400000OD0000OO060000DO0000OO00.................................

OOCOOOOOEO040324004D0046OO5400OODO00000000.,S.M.F.T..............

OOCOOOOIOO60DO0000480000OO010040DO000001OO1...H............&….

OOCOOOOILO00DO0000OO0000003F0000DO0000OO00

00GQ

000000012040DO0000OOOO。。@....................................

00DO0400OD00喉肝04DO0000OD00

OOCOOOD130•••••••••••••••

002000014031400000OC00FFFFBO0000DOSO00OO001©....yy*...P..

000000015001DO40OOQO000500000000DO0000ODOO..9..............................

OOCOOOOI6O01DO0000OD00哈即国Mg00DO00000000••••••••••

毋快击

OOC000017000200000OD0000DO00000000•••••・•••••••・

OOCOOOOI8O08100000OO0000003101FFFFOB1101FF...................1•涉…

OOCOOOQ1900024CD0980FAFFFFFFFFFFFF00OGOD00.$l.iuyyyyyy...

图文件记录

文件记录头的字节定义如下图如下图:

偏移字节（16进制）描述

00-03签名"FILE"

04-05更新序列号的偏移

06-07更新序列号的个数

08-0F日志序列号

10-11序列号

12-13硬链接数

14-15第一个属性的偏移地址

16-17标志

0：删除的文件

1:正常的文件

2:删除的目录

3:正常的目录

18-1BMFT项的逻辑长度

1C-1FMFT项的物理长度

20-27基本文件记录的文件索即号，通常为0

28-29下一个属性ID

2A-2B保留

2C-2FMFT项的索引号

30-31更新序列号

32-33更新数组一

34-35更新数组二

图文件记录头字节定义

在属性列表中，每个MFT的属性分为两类常驻属性和非常驻属性。

常驻属性：直接在MFT项中记录属性体，例如10和30属性

•优点：直接在MFT项中记录属体，访问速度快

•缺点：只能记录少量的数据

非常驻属性：在MFT之外的区域记录属性体，例如80属性（当数据较小

时为常驻属性）

・优点：用簇流记录文件存储的数据区域，可以记录很大的数据

•缺点：访问速度较慢

对每个MFT的属性来说，它又分为两部分：属性头和属性休。

对常驻属性，它属性头的结构如下：

|偏移字节（16进制）描述

00-03属性类型

04-07屈性的总字讲数

08-080：常驻属性

1：非常驻属性

09-09属性名的长度（0衣示没限件名）

0A-0B属性名的偏移（相对r属性头）

OC-ODOOO1H:压缩：4000H:加理：BOOOH:稀质

0E-0F属性ID

10-13属性体的字计数

1415属性体偏移的字节数

16-16索引标志

17-17保尔

18-属性体

图1.426常驻属性的结构

对非常驻属性，它属性头的结构如下：

|偏移字节（16进制）描述

00-03属性类型

04-07属性的总字节数

08-080：常驻属性

1：非常驻属性

09-09属性名的长度（0表示没有属性名）

0A-0B属性名相对属性头的偏移

0C-0D0001H:压缩；4000H:加密；8000H:稀疏

0E-0F属性ID

10-17属性体的起始虚拟簇号

18-1F属性头的结束虚拟簇号

20-21簇流运行的偏移地址

22-23压缩的大小（0表示没有压缩）

24-27保留

28-2F属性体占用总空间（字节数）

30-37属性体实际占用的字节数_________________________

38-3F属性体的初始大小

40-簇流记录信息

图142.7非常驻属性的结构

对上面的00-03偏移字段，MFT中所有的属性类型表如下:

属性类型值描述

10标准信息

20属性列表：当一个文件需要多个记录时，用来描述文件的

属性列表

30文件名属性

40对象ID

50安全描述符

60卷名

70卷信息

80文件数据内容

90索引根属性

A0索引分配树节点

B0$MFT文件和索引的位图

C0重解析点

DO扩充属性信息

E0扩充属性

F0早期NTFS具有的属性

100EFS加密属性

图MFT属性类型表

下面，给出10、30和80属性体的结构。

偏移字节（16进制）|描述

00-07文件创建时间

08-0F最后修改时间

10-17MFT修改时间

18-1F最后访问时间

20-231H:只读；2H:隐藏；4H:系统；20H:存档；40H:设备；

80H:常规；100H:临时；200H:稀疏文件；400H:重解析点；

800H:压缩；1000H:脱机；2000H:未编入索引；4000H:加密

24-27最高版本号（0表示没有版本）

28-2B版本号（最高版本号为0,这里也为0）

2C-2F分类ID

30-33所有者ID

34-37安全ID

38-3F磁盘配额（0表示没有启用磁盘配额）

40-47更新序列号

图10属性体结构

偏移字节(16进制)描述

00-03父目录参考号

04-05保留

06-07父目录更新序列号

18-1F文件创建时间

20-27文件最后访问时间

28-2F文件分配大小

30-37文件实际大小

38-3B1H:只读；2H:隐藏；4H:系统；20H:存档；40H:设备；

80H:常规；100H:临时；200H:稀疏文件；400H:重解析点；

800H:压缩；1000H:脱机；2000H:未编入索引；4000H:力口密

3C-3F重解析点

40-40文件名长度

41-41文件名的命名方式

42-文件名(Unicode编码)

图30属性体结构

80