硬盘恢复知识交流.ppt

数据恢复知识交流 本文档结构 序言篇：数据恢复的概念性知识 基础篇：数据恢复前预备知识 中级篇：数据恢复的基本手段 高级篇：数据恢复的扩展 序言篇 提纲 数据的概念 数据的潜在威胁 数据丢失的逻辑现象 数据保护的建议 一、数据的概念 狭义的数据概念 文本文件、文档等（TXT、DOC） 数据库中的记录或表 广义的数据概念 任何位于计算机存储介质上的信息都是数据，包括文档、数据库文件、多媒体文件等。 数据恢复的定义：把异常数据还原为正常数据的过程。 二、数据的潜在威胁 恶意程序破坏。 病毒、蠕虫、后门、木马、逻辑炸弹、流氓软件等。 恶意破坏。 只要拥有足够的权限，即使依靠系统正常的删除、移动、格式化等操作，也能对数据造成破坏。 误操作。 误删除，误格式化。 操作系统或应用软件的错误。 有些软件运行后能够删除计算机中的文件或分区。 加密和权限。 尽管加密和权限设置是保护数据的有效手段，但遗忘密码却会给自己带来伤害。 系统掉电。不仅仅使内存数据的丢失，也可能会造成磁盘数据的丢失，或导致系统无法正常启动。 内存溢出。导致内存溢出或者进程非法终止等低层错误的原因很多，就象掉电一样，会使你损失当前的工作。 系统升级。软件系统升级有时会带来一些问题。 硬件损坏和失窃。这是最严重的威胁之一，有时是不可恢复的。 三、数据丢失的逻辑现象 硬盘无法正常引导。 0磁道损坏 因物理故障造成的逻辑损坏、引导区故障、重要扇区崩溃等。 文件丢失。 有意破坏、误删除。 逻辑结构丢失。 目录、分区或卷。 文件无法正常打开。 病毒感染，加密，文件头损坏。 数据紊乱。 数据库中的信息，文本文件的内容面目全非。 四、数据保护的建议 选择良好的反病毒和系统维护产品。 加强安全措施。 采用UPS掉电保护。 提高计算机操作水平和安全意识。 形成系统的信息管理和备份制度。 。。。。。。 ? 防患于未然。如果能最大程度地减弱上述数据威胁，对每一种可预知的潜在威胁都有相应的预防和对策，我们的数据安全才会有最大的保障。 基础篇 提纲 硬盘物理结构 硬盘数据存取方式 硬盘的逻辑结构 文件系统 FAT32格式详解 数据恢复常用工具 一、硬盘物理结构 硬盘大致分为： 磁盘 （Media）， 读写头 （Read Write Head）， 马达（Spindle Motor Voice Coil Motor）， 底座（Base）， 电路板（PCBA）等几大项组合而成 从数据存储部件看，磁盘（Media）是最容易出问题。 磁盘（Media）是金属或玻璃材质制成，为达到高密度高稳定的质量，基板要求表面光滑平整，不可有任何暇疵，然后再将磁粉Coating（涂层） 溅渡到基板表面上，最后再涂上保护润滑层。 数据在硬盘上物理存储位置 内径为25mm，需扣掉最外及最内圈不保存Data的部分，实际只剩20mm 数据读写原理 例如： 当10MB Data进来时，第1个Head先写4096 Byte(视规格各异)，第2 Head写4096 Byte，依此类推，呈垂直读写，所以1 File是被分很多段存在各磁面上，读取时也是同理，如此多磁头同时读写可达到高速要求。 二、硬盘数据存取方式 传统的硬盘数据存取是按： 柱面（Cylinder）、 磁头（Ｈead）、 扇区(Sector) 　这样的三维方式来访问磁盘空间的。 硬盘的五种存取模式 Normal(CHS)模式 LBA模式 Large模式 扩展LBA模式 块存取模式 NORMAL(CHS)模式 支持的最大柱面数：1024 支持的最大磁头数：16 支持的最大扇区数：63 支持的硬盘最大容量：1024x16x63x512=504MB ?这是真正的硬盘物理数据存取模式，因为早期的磁盘基本上是由8个盘片，16个磁头组成的存取阵列。 LBA模式 支持的最大柱面数：1024 支持的最大磁头数：255 支持的最大扇区数：63 支持的硬盘最大容量：1024x255x63x512=8032MB(8GB) ?这就是为什么早期主板不能识别超过8G大硬盘的原因。 Large模式 当柱面数超过1024，而又不是LBA模式的时候使用，它有更多的磁头数，不过，该模式很少被采用。 ?事实上，计算机基本上都是通过采用扩展LBA模式来管理大硬盘的。 扩展LBA模式 支持的更大柱面数，最大磁头数和最大扇区数不变。 例：柱面数为9729的硬盘容量为：9729x255x63x512=80GB ?事实上，这仅仅是计算机为了兼容以前的LBA模式的做法，即传统的INT13H中断的硬盘访问模式。 块存取模式 因为硬盘的盘面是由一圈一圈的同心圆构成，每一个同心圆为一个柱面。每一个柱面又被划分为63段，每一段称为