数据恢复的背景.docxVIP

元数据为描述/view/38752.htm数据的数据（data about data），主要是描述数据/view/77730.htm属性（property）的/view/1527.htm信息，用来支持如指示存储位置、/view/8081.htm历史数据、/view/8439.htm资源查找、文件记录等功能。磁盘映像是指复制到不同的装置或数据格式，主要用于数据/view/235162.htm备份文件雕复文件雕复可以定义为不依赖文件系统的元信息,从一个磁盘映像中按适当的顺序把所有属于同一个文件的字节序列拷贝出来的过程,是一种深度的数据恢复方法。早期最经典的文件雕复算法是基于文件头/文件尾雕复方法。而后,数据恢复领域的专家们提出了许多的雕复方法,如文件头/最大长度雕复基于文件结构的雕复、基于块内容的雕复、基于图论的雕复、基于映射函数的雕复、原地文件雕复、二分片雕复、零存储雕复和Smart雕复等方法。然而这些雕复方法其实可以大致分为两类:一类是基于文件结构的雕复方法,另一类是基于文件内容的雕复方法。数据恢复的背景目前，人类已经进入信息化社会，很多信息都在肉眼看不到的比特流中进行传播。凝结着人类智慧结晶的计算机也开始步入人们的家庭，为人们的生活提供了方便快捷的工具。对于普通用户而言，数据保护意识薄弱，因为误操作而清除了磁盘上的文件或者认为该数据无用而删除文件而事后又需要使用，等等原因造成的数据丢失的事情频繁发生。因此，为了用户能更好的使用计算机，减少用户损失，数据恢复的一些相关技术得以成熟和发展。数据恢复的意义对于普通用户而言，防止数据丢失的一个很重要且有效的方法就是使用备份。但是，对于大多数用户而言，一般对备份这个问题没有充分的认识，对数据的保护意识也比较模糊。在无数据备份的情况下，或者更糟糕的情况下，比如连备份数据也遭到破坏，那么，数据恢复无疑成了最后一根救命稻草。另外，除了对于用户数据的恢复问题，数据恢复同时也是计算机取证中的一种关键技术手段。现在，犯罪现场不单纯的停留在现实生活中的环境，网络、计算机也成为犯罪现场的重要客体。随着《中华人民共和国计算机信息系统安全保护条例》、《计算机信息网络国际联网安全保护管理办法》等法津法规的不断完善，电子科技大学硕士学位论文反计算机犯罪的进程不断加强，通过司法程序合理的取得犯罪证据使得计算机取证技术成了当前一个热门技术。本论文也是在此背景下完成的。作为挽救因数据丢失而造成损失的最后一道屏障，本文的目标是尽可能减少损失，最大程度的保障用户数据。因此，数据恢复技术对于保证计算机系统的数据安全有着非常重要的意义：1.为普通用户减少不必要的损失，保障用户数据完整性；2.拯救政府及一些相关单位涉密数据，减少数据灾难造成的经济损失；不同文件系统的文件分配策略FAT：FAT16支持的分区最大为2GB。计算机将信息保存在硬盘上称为“簇”的区域内。使用的簇越小，保存信息的效率就越高。在FAT16的情况下，分区越大簇就相应的要大，存储效率就越低，势必造成存储空间的浪费。文件系统FAT32。同FAT16相比，FAT32主要具有以下特点：同FAT16相比FAT32最大的优点是可以支持的磁盘大小达到32GB，但是不能支持小于512MB的分区。基于FAT32的Win2000可以支持分区最大为32GB；而基于 FAT16的Win2000支持的分区最大为4GB。由于采用了更小的簇，FAT32文件系统可以更有效率地保存信息。如两个分区大小都为2GB，一个分区采用了FAT16文件系统，另一个分区采用了FAT32文件系统。采用FAT16的分区的簇大小为32KB，而FAT32分区的簇只有4KB的大小。这样FAT32就比FAT16的存储效率要高很多，通常情况下可以提高15%。NTFS：NTFS文件系统是一个基于安全性的文件系统，是Windows NT所采用的独特的文件系统结构，它是建立在保护文件和目录数据基础上，同时照顾节省存储资源、减少磁盘占用量的一种先进的文件系统。NTFS可以支持的分区大小可以达到2TB。而Win 2000中的FAT32支持分区的大小最大为32GB。NTFS是一个可恢复的文件系统。在NTFS分区上用户很少需要运行磁盘修复程序。NTFS通过使用标准的事物处理日志和恢复技术来保证分区的一致性。发生系统失败事件时，NTFS使用日志文件和检查点信息自动恢复文件系统的一致性。文件删除原理根据文件系统的不一样,文件删除分为两类：在FAT文件系统下,文件的删除分为两步:首先把文件或者目录所在的目录项的第一字节修改为OxE5,然后根据目录项中的首簇信息找到文件分配表的相应位置把该文件所占用的簇标记为未占用。在NTFS文件系统下,删除文件可以分为三个步骤:首先修改被删除文件或目录所对应的MFIX主文件表项头偏移16H处得一个字节,