数据恢复实验报告

1、 题目： 数据恢复解析 姓 名： 夏金启 学号： 20101003933院（系）： 计算机学院 专业： 信 息 安 全 指导教师：_ 职称： 副教授 评 阅 人： 职称： 2013年 1月 目录摘要3第一章 引言41.1 数据恢复的意义1.2 数据恢复的应用第二章 磁盘的逻辑结构52.1 硬盘原理慨述2.2硬盘数据结构。2.21.MBR区52.22. DBR区72.23. FAT区72.24 .DIR区82.25.据（DATA）区8第三章 NTFS元件83.1 NTFS概念3.11MTF83.12 NTFS属性93.2 NTFS引导结构3.3 NTFS元文件3.31 NTFS结构图103.32

2、 DBR的数据结构11第四章 数据恢复技术的实现124.1 常见数据恢复4.11 NTFS格式化恢复124.2 手工定位NTFS文件系统下的文件第五章 常见数据恢复软件235.1数据恢复软件5.1.1 winhex235.1.2 easyrecovery235.1.3 finaldata255.1.4 易我数据恢复向导265.2 几款数据恢复软件恢复效果比较二 易我数据恢复软件27三 finaldata27第六章 总结28摘要本文首先介绍了硬盘的基本结构，让我们对硬盘有最基本的认识和了解。接着介绍了FAT和NTFS文件的基本组成，重点介绍了数据恢复技术的实现。最后分析了了目前市场上流行软件的优

3、缺点。关键字：FAT，NTFS文件，硬盘，数据恢复软件，数据恢复技术。第一章 引言1.1 数据恢复的意义社会发展和进步，大家每个人的数据资源都在日复一日的膨胀着，而硬盘作为数据存储中心，其高精密的结构和高度的使用频率，在复杂的应用环境中，故障发生率也在与日俱增。几乎每个计算机使用者都会遇到一些数据损坏或丢失的事情，而随着各种应用软件、操作系统、病毒木马等各种因素的增加，数据丢失和损坏的程度也在逐渐变的严重。一旦重要的数据丢失，其所带来的直接和间接的损失都是很惊人的，而通常大家在费尽心思到处找解决方法的同时，也进一步彻底摧毁了这些数据恢复的可能性。NTFS是随着Windows NT操作系统而产生

4、的，全称为“NT File System”，中文意为NT文件系统，如今已是windows类操作系统中的主力分区格式了。它的优点是安全性和稳定性极其出色，在使用中不易产生文件碎片，NTFS分区对用户权限作出了非常严格的限制，每个用户都只能按着系统赋予的权限进行操作，任何试图越权的操作都将被系统禁止，同时它还提供了容错结构日志，可以将用户的操作全部记录下来，从而保护了系统的安全。本文主要论述的就是NTFS在系统崩溃或磁盘出现故障后如何安全的恢复文件系统。1.2 数据恢复的应用目前社会上针对数据恢复的公司有很多，有关的软件也很多。而对于普通的用户，想自己动手简单恢复数据的朋友，很少有系统的方法和对软

5、件的选择上有些茫目。本文旨在通过研究硬盘数据恢复的原理，分析硬盘数据丢失的原因，进而比较现今比较流行的方法和有关的软件，提出对不同的数据丢失情况下的一些建议，并提出手动备份硬盘分区结构和其它重要数据的方法及通过手工恢复硬盘全盘结构的方法。本文可作为个人数据丢失时情况不是很严重时个人自己动手恢复数据的一个参考。 第二章 磁盘的逻辑结构2.1 硬盘原理慨述 硬盘存储数据是根据电、磁转换原理实现的。硬盘由一个或几个表面镀有磁性物质的金属或玻璃等物质盘片以及盘片两面所安装的磁头和相应的控制电路组成，其中盘片和磁头密封在无尘的金属壳中。硬盘工作时，盘片以设计转速高速旋转，设置在盘片表面的磁头则在电路控制

6、下径向移动到指定位置然后将数据存储或读取出来。当系统向硬盘写入数据时，磁头中 “写数据”电流产生磁场使盘片表面磁性物质状态发生改变，并在写电流磁1场消失后仍能保持，这样数据就存储下来了；当系统从硬盘中读数据时，磁头经过盘片指定区域，盘片表面磁场使磁头产生感应电流或线圈阻抗产生变化，经相关电路处理后还原成数据。2.2硬盘数据结构。硬盘上的数据按照其不同的特点和作用大致可分为5部分：MBR区、DBR区、FAT区、DIR区和DATA区。2.21.MBR区MBR（Main Boot Record）,按其字面上的理解即为主引导记录区，位于整个硬盘的0磁道0柱面1扇区。不过，在总共512字节的主引导扇区中

7、，MBR只占用了其中的446个字节（偏移0-偏移1BDH），另外的64个字节（偏移1BEH-偏移1FDH）交给了DPT(Disk Partition Table硬盘分区表),最后两个字节55，AA（偏移1FEH- 偏移1FFH）是分区的结束标志。这个整体构成了硬盘的主引导扇区。大致的结构如图1图1硬盘的主引导扇区结构图主引导记录中包含了硬盘的一系列参数和一段引导程序。其中的硬盘引导程序的主要作用是检查分区表是否正确并且在系统硬件完成自检以后引导具有激活标志的分区上的操作系统，并将控制权交给启动程序。MBR是由分区程序（如F）所产生的，它不依赖任何操作系统，而且硬盘引导程序也是可

8、以改变的，从而实现多系统共存。DPT及各字节的意义。硬盘分区表偏移长度所表达的意义01字节分区状态0-非活动区80- 活动分区11字节该分区起始磁头（HEAD）22字节该分区起始扇区和起始柱面41字节该分区类型：如82- Linux Native分区83- Linux Swap 分区51字节该分区终止头（HEAD）62字节该分区终止扇区和终止柱面84字节该分区起始绝对扇区C4字节该分区扇区数2.22. DBR区DBR（Dos Boot Record）是操作系统引导记录区的意思。它通常位于硬盘的0磁道1磁头1扇区，是操作系统可以直接访问的第一个扇区，它包括一个引导程序和一个被称为BPB（Bios

9、 Parameter Block）的本分区参数记录表。引导程序的主要任务是当MBR将系统控制权交给它时，判断本分区跟目录前两个文件是不是操作系统的引导文件（以DOS为例，即是Io.sys和Msdos.sys）。如果确定存在，就把其读入内存，并把控制权交给该文件。BPB参数块记录着本分区的起始扇区、结束扇区、文件存储格式、硬盘介质描述符、根目录大小、FAT个数，分配单元的大小等重要参数。2.23. FAT区在DBR之后的是我们比较熟悉的FAT（File Allocation Table文件分配表）区。在解释文件分配表的概念之前，我们先来谈谈簇（cluster）的概念。文件占用磁盘空间时，基本单位

10、不是字节而是簇。簇的大小与磁盘的规格有关，一般情况下，软盘每簇是1个扇区，硬盘每簇的扇区数与硬盘的总容量大小有关，可能是4、8、16、32、64。通过上文我们已经知道，同一个文件的数据并不一定完整地存放在磁盘的一个连续的区域内，而往往会分成若干段，像一条链子一样存放。这种存储方式称为文件的链式存储。硬盘上的文件常常要进行创建、删除、增长、缩短等操作。这样操作做的越多，盘上的文件就可能被分得越零碎（每段至少是1簇）。但是，由于硬盘上保存着段与段之间的连接信息（即FAT），操作系统在读取文件时，总是能够准确地找到各段的位置并正确读出。2.24 .DIR区DIR（Directory）是根目录区，紧接

11、着第二FAT表（即备份的FAT表）之后，记录着根目录下每个文件（目录）的起始单元，文件的属性等。定位文件位置时，操作系统根据DIR中的起始单元，结合FAT表就可以知道文件在硬盘中的具体位置和大小了。 2.25.据（DATA）区数据区是真正意义上的数据存储的地方，位于DIR区之后，占据硬盘上的大部分数据空间。 第三章 NTFS元件3.1 NTFS概念 3.11MTFMTF，即主文件分配表的简称，它是NTFS文件系统的核心。MFT由一个或几个MFT项（文件记录）组成，每个MFT项占用1024字节的空间。每个MFT项的前部几十个字节有着固定的头结构，用来描述本MFT项的相关信息。后面的字节用于存放“

12、属性”。每个文件和目录的信息都包含在MFT中，每个文件和目录在表中至少有有一个MFT项。初引导扇区外，访问其他任何一个前都要先访问MFT，在MFT中找到该文件的MFT项，根据MFT项中的记录的信息找到内容并对其进行访问。3.12 NTFS属性 在NTFS中，所有与数据相关的信息都称为“属性”，NTFS与其他文件系统最大的不同之处在于，大多数文件系统是对文件的内容进行读写，而NTFS则是对包含文件内容的属性进行读写。在数据结构中，属性又可以分为长驻属性和非常驻属性长驻属性。有的属性其属性内容很小，它的MFT项可以容纳下它的全部内容，为了节约空间，系统会直接将其存放在MFT项中，而不再为其另外分配

13、簇空间，这样的属性称为长驻属性非常驻属性。非常驻属性是指那些内容较大，无法完全存放在其MFT项中的属性。如文件的数据属性，通常内容很大，需要在MFT之外另为其分配足够的簇空间进行存储，这样的属性就是非长驻属性。 3.2 NTFS引导结构一个NTFS文件系统大致上可以分为引导区、MFT、MFT备份区、数据区和DBR备份扇区几个部分。因为NTFS将所有的数据都视为文件，理论上除引导扇区必须位于第一个扇区外，NTFS卷可以在任意位置存放任意文件，但通常情况下会遵循一定的习惯布局。在XP系统下NTFS卷大致布局如下图：DBR引导区用户数据MFT区用户数据MFT部分记录备份用户数据DBR备份通常为16个

14、扇 占用一个扇区。1) 引导扇区。引导区部分包括DBR和引导代码，一般系统为其分配16个扇区，未完全使用。2) MFT区。文件系统中出现一个“MFT”区，这个“MFT区”是一个连续的簇空间，除非其他空间已全部被分配使用，否则不会在此空间中存储用户文件或目录。在WINXP下创建的NTFS，其MFT通常距离引导扇区较远，但在WIN2000下创建的NTFS，其MFT通常起始于4号簇位置。3) MFT备份区。由于MFT备份的重要性，在文件系统的中部为其保存了一个备份，不过这个备份很小，只是MFT前几个项的备份。4) 引导扇区备份扇区。在卷的最后一个扇区，保存了一份扇区的备份。这个扇区包含在分区表描述的

15、该分区大小中，但却不在DB描述的文件系统大小范围之内。描述文件系统大小时，总是比分区表描述的扇区数小个扇区。3.3 NTFS元文件3.31 NTFS结构图NTFS的引导扇区也位于文件系统的0号扇区，这是它与FAT文件系统在布局 上的唯一相同之处。数据结构如下图，此图为本硬盘DBR：3.32 DBR的数据结构字节偏移（十六进制）字节数含义00-023跳转指令03-0A8OEM名（“明文NTFS”）0B-0C2每扇区字节数0D1每簇扇区数0E-0F2保留扇区数151介质描述符18-192每磁道扇区数（不检查此项）1A-1B2每柱面磁头数（不检查此项）1C-1F4隐含扇区数（不检查此项）24-274

16、总是80008000（不检查此项）28-2F8文件系统扇区总和30-378MFT起始簇号38-3F8MFT备份的起始簇号401每MFT项大小41-433未使用441每个索引的簇数45-473未使用48-4F8序列号50-534校验和54-1FD426引导代码1FE-1FF2签名55AA标记以上引导扇区最为关键的字节数是0B-0C（每扇区字节数） 0B-0C（每扇区字节数） 0D（每簇扇区数）28-2F（文件系统扇区总和） 30-37（MFT起始簇号）38-3F（MFT备份的起始簇号） 40（每MFT项大小）44（每个索引的簇数），但数据发生不可预料的损坏时，可以根据以上信息重建分区表，定位数据

17、区，恢复MFT，重建DBR，这些关键字节码的用处不言而。 第四章 数据恢复技术的实现4.1 常见数据恢复4.11 NTFS格式化恢复 数据丢失的具体故障为：盘分了三个区在一次意外死机后磁盘提示（前两个区是正常的）提示未格式化（其实大多数朋友知道这时的问题简单得多也许重建DBR后整个盘里面的数据都在，这里暂且就不谈这种问题的解决方法了），要命的是这时已经鬼使神差地点击了格式化了，结果大家当然就知道了，数据肯定是没有了 。据转到我这里的那同行说他用各种搜索软件对整个区搜了好几遍（这也是大多数所谓专业的数据恢复商所用的恢复方法了），当然也搜到了很多数据，尽管很乱但还能正常打开。最后客户确认搜出来数据

18、大部份正常，但最重要的的一个压缩文件损坏了，大家知道压缩文件损坏了是很难很难修复的了。首先我用WINHEX把他搜出来的那个压缩文件打开分析了下，文件头乱了，中间的数据也不正常。无法修复，只好从原盘着手了。竟然搜索软件搜出来的是损坏的，那就只有用手工来做了，当然用手工做这种格式化了的数据很费时，且计算量也很大，只能针对像这样的个别特重要的数据。对原盘的那个格式化掉的分区做完镜像后，用WINHEX打开镜像，设置镜像文件为磁盘。如下图所示：分区是NTFS格式的，整个分区大小为25.4G。对NTFS分区格式研究过的朋友会知道，在NTFS文件系统中，文件亦是按簇进行分配的， 文件通过主文件表MFT（Ma

19、ster File Table）来确定其在磁盘上的存储位置、大小、属性等信息。相当于FAT系统下的FAT+FDT的功能。每文件都有一个文件记录。其中第一个记录就是MFT自己本身。我们转到第一个文件记录也就是MFT了直接点可以看到如下图所示：通过第一个文件记录往下观察发现格式化了后对文件记录没有产生破坏。那么这时我们就可以有一个恢复的思路了：找到所说的那个压缩文件的在MFT中的记录，再通过对文件记录的分析来确定文件在磁盘中的位置及大小，就可以直接从中提出文件了。想到做到，只知道一个压缩文件的压缩文件名为：源文件与素材。那好，我们可以新建一个文本记事本只输入压缩文件名源文件与素材！保存，再用WIN

20、HEX打开可以看到如下图：然后再转回来，直接从第一个文件记录往下开始搜索十六进制数值90 6E 87 65 F6 4E 0E 4E 20 7D 50 67搜索到了一个地方停下来了，看看是不是那个压缩文件的记录呢看下图：根据观察可以看出正是客户要的那个压缩文件的记录，那么我们又如何来确定这个压缩文件在磁盘上的那一个扇区？占用了多少的扇区呢？这个就需要对NTFS格式有所了解了。NTFS将文件作为属性、属性值集合来处理，这一点其他文件系统不一样。可以看到在MFT中用了不同颜色的段来区分， 如上图所标记的，第一个为文件记录头，第二个10H表示标准属性，第三个30H表示文件名属性，最后一个80H表示数据

21、流属性也就是关键所在了。这里我们只分析数据流属性，其它属性就不一一分析了，可以查看相关资料。每一个属性都为两部份：属性头和内容。先来分析数据流属性的属性头：从第1第4四个字节表示属性的类型，第5第8四个字节这里的值是48 00 00 00表示属性的长度（包括属性头和内容）为72个字节。从17到24共8个字节表示起始的VCN即虚拟簇号，第25到32共8个字节表示结束的VCN此处为2D7FH也就是 这个压缩文件占用了11648个簇。再往下分析从33到40共8个字节表示数据运行的偏移。此处为40H也就是从第64个字节开始了。我们就直接来分析数据运行也只有这一个运行32 80 2D D5 58 17所

22、以起始的LCN即逻辑簇号为1758D5H1530069，长度为2D80H11648。接下来我们转到1530069簇看，第一个字节右键选块开始，上面算出来这个文件的，如下图：大小为11648个簇，也就是1530069+116481541717再转到1541717簇，所在的扇区的上一扇区也就是文件的结尾了。最后一个字节右键选块结尾。再在所选块中右键编辑复制扇区到新文件即指点到路径保存。然后改扩展名为RAR。至此恢复完成。经检查没有一个损坏的。4.2 手工定位NTFS文件系统下的文件相信很多朋友在认真看完数据恢复书籍中，关于NTFS文件系统中讲述的一系列属性以后，或多或少还是有些范迷糊。确实，NTF

23、S文件系统结构比较复杂，且书中也没有讲到如何利用这些属性来定位文件，这对于初学者来说,无疑是一个缺憾.为弥补这一缺憾,我根据我个人对NTFS文件系统的理解，制作了本分析过程。申明，这只是本人的理解，难免会有错误的地方。仅供大家参考。现在我就以我电脑里的一个叫“MFT结构分析”的图片文件，其存储路径为E:教程数据恢复。接下来我们一层一层的去定位文件.以对所学的属性做一个融会贯通.或许有的朋友会说:在实际操作中,可以通过在MFT中搜索文件名的方式来做出定位,这样也是可以的。我制作本分析过程的初衷也就是给初学者对NTFS的理解提供一个思路。学过FAT文件系统的,一定知道如何定位分区以及DBR,那好,

24、我们就直接从DBR开始从DBR中得出，每簇扇区数为08H，（$MFT一下简称MFT）.MFT的起始簇为：00000C00H，转换为十六进制分别为8扇区和786432簇。现在跳转到786432簇，如下图：我们可以看到，这是MFT的第一个记录，记录的是它自己。，接下来我们跳转到MFT的关于根目录的记录，也就是第5号记录。根目录一般存储的文件以及文件夹比较多。所以，它是非常驻的，关于这些文件夹的信息记录在了其它的位置。而记录在什么位置是由索引分配属性来记录的，也就是A0属性，接下来着重看一下A0属性，如图：上图红色的标注的位置是运行（Data run）31H表示用三个字节描述的是索引的位置的起始LC

25、N（3E9002H），一个字节描述的是长度(02H)。下一个运行的位置描述的是00H表示到此结束，只有一个运行。（提示：如果下一个运行由内容，那么它描述的LCN加上前一个运行描述的LCN才是其真正的LCN，如果由三个运行，用第三个运行的LCN加上前两个的LCN就是第三个运行的真正的LCN，以此类推！）我们将其转换为10进制数值得到这样一个信息，索引项的起始位置为167998簇，乘以每簇扇区数8，等于1343984扇区，长度为2个簇，跳转到1343984扇区，如图：这个位置是根目录的索引项，可以看到里面索引的文件名为元数据。“教程”这个文件夹也存放在根目录里面，我们搜索该文件名，以找到相对应的索

26、引项，由于NTFS里面文件名是用Unincode字符来表示的，所以该文件名转换为16进制数值为59650B7A8765H，我们在根目录索引项里搜索此文件名：在1343994扇区找到了“教程”的索引项，（1343994-1343984=10，每簇扇区数为8，说明次索引项存放在第二簇里面）从上图可以看出，其文件记录存放在第6B3500H号扇区，转换为十六进制为13675号记录，一个MFT占用2个扇区，其文件记录的开始为，从MFT第一号记录向下数27350个扇区，就其文件记录存放的位置，计算方式为：6291456 +（13675*2）=6318806，跳转到6318806扇区，如图：图中描述的本MF

27、T号正是我们要找的，看下面的运行31011BEB01H，转换为16进制数值为：125723，再乘以每簇扇区数8等于1005784扇区，现在跳转到1005784扇区搜索“数据恢复”这个文件夹的十六进制数值70656E6362600D59H，结果没找到，难道是此文件夹没有记录？不可能。猜想，会不会是被驻留了。存放在MFT里面，跳回6318806扇区，搜索70656E6362600D59 ，在该MFT的第二个扇区里面找到了该文件夹的记录。跳转到文件的“数据恢复”文件MFT记录号：23A100000000H，十进制为41251号，乘以2加上6291456，等于6373958。如图：对NTFS多少有点了

28、解的人都会发现，这并不是MFT。为什么？看一下我的MFT的分布情况，如图：我的MFT是分三大块来存放的，（我自己的命名）接下来计算一下：第一块：MFT从786432簇开始,到796687结束用了10255个簇=82040扇区，每2个扇区为一个完整的MFT。第二块：MFT从397607开始到结束397686，用了79个簇632第三块：第一块MFT只用了10255个簇来记录，（我用簇为来但来计算）而我们要找的文件“数据恢复”存放在41251号，（41251*2/8= 10312.75簇）已经超出了第一块的记录范围，超出75.75个簇，经计算，在第二块里面才是存放的“数据恢复”的MFT。第二块的开始

29、位置为397607簇，加上75簇，等于397664簇，由于硬盘是从0开始记录数据的，所以，这个地方应该还要减去1。跳转到397663簇的四分之三（0.75）位置，也就是第6个扇区根据运行，得知其起始LCN为A08AH(35488*8=283904),占用一个簇。跳转到283904扇区：搜索文件名“MFT”结构分析4D0046005400D37E7E00H其文件MFT号为26A1H（41254号记录），根据前面的MFT记录块的计算，在“数据恢复”MFT记录向下数三个记录，就是“MFT结构分析”这个文件的MFT记录了。跳转到该位置其运行为3281000F8F00H，起始LCN为0F8F00（366

30、23*8=292984扇区），长度为8100H（129*8=1032扇区），那么结束位置为292984+1032=294016扇区跳转到文件的开始292984跳转到294016，选取上一个扇区的结尾编辑-复制-植入新文件-保存文件名为“MFT结构分析.jpg”。双击，能够正常打开。 第五章 常见数据恢复软件5.1数据恢复软件5.1.1 winhexWinhex是一很好的，功能很强大的磁盘，文件二进制数据查看，修改工具.使用它我们可以很方便的查看磁盘的数据，手动修改数据。WinHex以通用的 16 进制编辑器为核心，专门用来对付计算机取证、数据恢复、低级数据处理、以及 IT 安全性、各种日常紧急

31、情况的高级工具: 用来检查和修复各种文件、恢复删除文件、硬盘损坏等。得到 ZDNet Software Library 五星级最高评价，拥有强大的系统效用。功能（特点）如下: A 硬盘, 软盘, CD-ROM 和 DVD, ZIP, Smart Media, Compact Flash, 等磁盘编辑器. B 支持 FAT, NTFS, Ext2/3, ReiserFS, Reiser4, UFS, CDFS, UDF 文件系统 C 支持对磁盘阵列 RAID 系统和动态磁盘的重组、分析和数据恢复D 多种数据恢复技术,可分析 RAW 格式原始数据镜像文件中的完整目录结构，支持分段保存的镜像文件E

32、数据解释器, 已知 20 种数据类型,驱动器镜像和备份 (可选压缩或分割成 650 MB 的档案)5.1.2 easyrecovery界面如图3图3EasyRecovery软件主界面图EasyRecovery 是世界著名数据恢复公司 Ontrack 的技术杰作。其 Professioanl (专业) 版更是囊括了磁盘诊断、数据恢复、文件修复、E-mail 修复等全部 4 大类目 19 个项目的各种数据文件修复和磁盘诊断方案。其支持的数据恢复方案包括：高级恢复 使用高级选项自定义数据恢复 删除恢复 查找并恢复已删除的文件 格式化恢复 从格式化过的卷中恢复文件 Raw 恢复 忽略任何文件系统信息进

33、行恢复 继续恢复 继续一个保存的数据恢复进度 紧急启动盘 创建自引导紧急启动盘 其支持的磁盘诊断模式包括：驱动器测试 测试驱动器以寻找潜在的硬件问题 SMART 测试 监视并报告潜在的磁盘驱动器问题 空间管理器 磁盘驱动器空间情况的详细信息 跳线查看 查找 IDE/ATA 磁盘驱动器的跳线设置5.1.3 finaldata界面如图4图4FinalData主界面图FinalData能够对FAT、FAT32和NTFS三种文件系统中的文件进行恢复，而且它的界面风格和操作方法和Windows资源管理器非常接近，即使是非计算机专业人员的普通用户也可以在几分钟的时间里掌握基本的使用方法，完成大部分数据恢复工作。另外，快速高效则是FinalData的另一个显著特点，恢复单个丢失的文件只需要几秒钟的时间，而对于整个硬盘的恢复也可以在几十分钟内完成。5.1.4 易我数据恢复向导界面如图5图5易我数据恢复主只界面易我数据恢复向导是首款国内自主研发的数据恢复软件，是一款功能强大并且性价比非常高的数据恢复软件。本软件在WI