数据恢复透明解析.pdf

第1章 概述 一、 数据恢复的概念 什么是数据恢复？ 所谓数据恢复是指由于各种原因导致数据损失时把保留在介质上的数据重新恢复的 过程。 即使数据被删除或硬盘出现故障，只要在介质没有严重受损的情况下,数据就有可能 被完好无损地恢复。 格式化或误删除引起的数据损失的情况下，大部分数据仍未损坏，用软件重新恢复 连接环节的话，可以重读数据，如果硬盘因硬件损坏而无法访问时，更换发生故障的零件， 即可恢复数据。在介质严重受损或数据被覆盖情况，数据将无法恢复。 二、 数据恢复的简单介绍 数据备份是数据安全的第一条防线而数据恢复则是数据恢复的最后一道防线，数据恢 复并不是人们想象的那样深不可测，也不像一些人想象的那么简单，它是一门实实在在的， 有着自己特殊规律和理论支撑的技术学科，需要认真深入地进行研究，才可以逐补解决一些 关键技术问题，才能够真正发展这一学科。数据恢复不是能简单操作几个数据恢复软件就能 完成的，也许你会用软件可以恢复部分数据，但用户不会考虑数据存储结构也不会考虑数据 覆盖的问题，这会导致很多数据遭受到破坏，从而破坏数据恢复现场。现在普通用户主要用 的文件系统有 FAT32 和 NTFS 系统，现在在这里研究 FAT32 文件系统。 首先简单介绍下 FAT 文件系统，FAT32 实际上是文件分配表采取的一种行式，它 是相对 FAT16 而言的。众所周知，Dos 和 Windows95 采用的都是 FAT16 格式 。至 于 FAT32，准确地说是在 Windows95OSR2 中第一次出现的，之所以没有宣传是因 为当时该文件系统还不够成熟，尚处于试探阶段。那么为什么一定要推出 FAT32 呢？ 这主要是由其自身的优越性决定的 。 首先，它可以大大地节约磁盘空间 。文件在磁盘上是以簇的方式存放的，簇里存 放了一个文件就不能再存放另外的文件 。假如一个磁盘的分区大小为 512MB，基于 FAT16 的系统的簇的大小为 8KB，而 FAT32 系统的簇的大小仅是 4KB ，那么，现在 我们存放一个 3KB 的文件，FAT16 系统就会有 5KB 的空间被浪费，而 FAT32 的浪 费则会少一些。如果分区达到 1GB，FAT16 的簇为 16KB，而 FAT32 还是 4KB ，节 省的也就更多了。在推出 FAT32 文件系统之前，通常 PC 机使用的文件系统是 FAT16。 像基于 MS-DOS，Win 95 等系统都采用了 FAT16 文件系统。在 Win 9X 下，FAT16 支持的分区最大为 2GB 。我们知道计算机将信息保存在硬盘上称为“簇” 的区域内。使 用的簇越小，保存信息的效率就越高 。在 FAT16 的情况下，分区越大簇就相应的要 增大，存储效率就越低，势必造成存储空间的浪费。并且随着计算机硬件和应用的不 断提高，FAT16 文件系统已不能很好地适应系统的要求。在这种情况下，推出了增强 的文件系统 FAT32。 第 2 章 FAT32 组成结构 一．硬盘的组成结构 在此我们分析下在 FAT 文件下硬盘的组成结构： 把硬盘可以分成如下结构： MBR （主引导 DBR （引导记 FAT1 （文件分 FA2 （备份文 DIR(根目录) DATA （数据 记录） 录） 配表） 件分配表） 区） 二．MBR 分析 MBR 一般位于硬盘的 0 号扇区，由三大部分组成：引导码 （0x00-0x1BD ），分区表 (0x1BE-0x1FD)，结束标记 （55AA）.如下图： 在此介绍一款软件，WINHEX （十六进制编译器）下面是我硬盘数据 0 号扇区的截图，包括 以上信息。446 字节的主引导骂，包含一段指令，用以通知计算机如何访问分区表并定位操 作系统的位置，引导代码可以实现多系统引导，可用以下两种方法实现多系统的引导： 1,MBR 的主引导程序先加载WINDWOS 引导代码，然后由 WINDOWS 引导