数据恢复基础知识要点.ppt

扫描完成后出现下图对话框，从中查找所需文件选择保存路径恢复存即可。 其中左边的项目分别表示： 1、“Root Directory”：正常根目录 2、“Deleted Directory”：从根目录删除的目录集合(只在“快速扫描”后可用) 3、“Deleted Files”：从根目录删除的文件集合(只在“快速扫描”后可用) 4、“Lost Directory”：只有在“完整扫描”后找到的目录将会被显示在这里。由于已经被部分覆盖或者破坏，所以“快速扫描”不能发现这些目录。如果根目录由于格式化或者病毒等引起破坏，FinalData就会把发现和恢复的信息放到“丢失的目录”中。(只在“完整扫描”后可用) 5、“Lost Files”：被严重破坏的文件，如果数据部分依然完好，可以从“丢失的文件”中恢复。在“快速扫描”过后，FinalData将执行“完整扫描”以查找被破坏的文件并将列表显示在“丢失的文件”中。(只在“完整扫描”后可用) 2、Boot Sector简介 Boot Sector也就是硬盘的第一个扇区，它由 MBR(Master Boot Record)，DPT (Disk Partition Table)和Boot Record ID三部分组成。 主引导记录MBR占用Boot Sector的前446个字节( 0 to 0x1BD )，存放系统主引导程序(它负责从活动分区中装载并运行系统引导程序)。 DPT 即主分区表占用64个字节 (0x1BE to 0x1FD)，记录了磁盘的基本分区信息，主分区表分为四个分区项，每项16字节，分别记录了每个主分区的信息(因此最多可以有四个主分区)。 Boot Record ID 即引导区标记占用两个字节(0x1FE and 0x1FF)，对于合法引导区，它等于0xAA55，这是判别引导区是否合法的标志。 BOOTSECTOR的具体结构如下图所示 Boot Sector图示 3、分区表结构 分区表由四个分区项构成，每一项长度为16个字节，分区表结构如下图所示： 4.硬盘分区类型 00 未使用分区项 01 DOS12一种fat表为12位的分区主要用于早期小硬盘和部分软盘 05 EXTEND扩展分区的一种 06 BIGDOS即FAT16分区分区表为16位，每簇最大为32K，最大分区为2G 07 NTFS分区 0B FAT32分区分区表为32位 0C FAT32X分区与FAT32基本相同 0E BIGDOSX即FAT16分区扩展分区表为16位，每簇最大可以超过32K 0F EXTENDX扩展分区的一种 82 Linux主分区 83 Linux交换分区 DBR（63扇）示意图 FAT FDT 由于MBR中的主分区表项中最多只能记录4个分区的信息，因此我们的分区表采用的是链式结构进行标注，一般每个逻辑分区记录两个分区表项，一项标注本逻辑分区的信息，第二项标注下一个扩展分区的信息，如此链接下去直至最后一个分区。具体如图所示： NTFS文件系统结构 NTFS是新技术文件系统（New Technology File System),与FAT文件系统相比NTFS具有许多新的特性，比如容错性、安全性、文件压缩和磁盘配额等。 相对于FAT，NTFS所具有的特性： 容错性：NTFS可以自动修复磁盘错误而不会显示出错误信息。 安全性：NTFS有许多安全性能方面的选项，可以在本机上和通过远程的方法保护文件、目录，可以组织未经授权的用户访问文件。 通过EFS加密提高数据安全性 文件压缩：NTFS文件系统支持文件压缩功能，可以压缩单个文件或整个文件夹。 磁盘限额：所谓磁盘限额就是管理员可以对本域中的每个用户进行磁盘使用空间的限制。 NTFS的分区结构 NTFS文件系统中文件同样是按簇进行分配 NTFS文件系统并不去关心什么是扇区，也不会关心扇区有多大 文件通过主文件表MFT确定文件在磁盘上的存储位置，NTFS卷中的每一个文件都有自己的一个唯一标识，称为文件引用号。 NTFSF分区结构示意图 MFT 元数据 存储在卷上支持文件系统管理的数据。只为系统服务，不能被应用程序访问。 不管簇的大小是多少，MFT中的记录大小一般是固定的，占用1k空间。这些记录从零开始编号。MFT仅供系统本身进行文件管理使用（MFT本身也是元数据）。在MFT的前16条记录是非常重要的操作系统使用的元数据文件，这些元数据文件的名字都是以“$”开头，是系统管理卷不可缺少的。 NTFS中的前10个元文件 $MFT:$MFT中的第一条记录即是$MFT自 身。 $MFTMirr:由于MFT自身的重要性，系统专门为它的起始部分建立的镜像文件。 $LogFile:该文件