NTFS分区上数据特殊恢复方法探讨.docVIP

NTFS分区上数据特殊恢复方法探讨 　　[摘要]介绍NTFS文件系统结构、MFTMirr的概念以及簇值的使用技巧，通过实验提出了巧妙利用簇值来对分区进行相同文件系统的高级格式化，再利用常规数据恢复工具就能有效提高数据恢复概率的思路，并针对因病毒破坏NTFS文件系统分区结构导致数据丢失的情况，进行最大概率的数据正常恢复。 　　[关键词]簇值 DBR MFT MFTMirr NTFS文件系统 　　中图分类号：TP3文献标识码：A 文章编号：1671－7597（2008）0410025－02 　　 　　一、引言 　　 　　NTFS文件系统是随着WINDOWS NT操作系统的诞生而产生出来的，并随着WINDOWS NT4进入主力文件系统。目前，大多数的企业和个人在使用WINDOWS 2000/XP/2003等NT核心的操作系统。NTFS文件系统有显著的优点，如稳定性极其出色、数据存储的安全性好，特别是文件数据的可恢复性很强等特点。所以，企业中大多数情况下使用NTFS文件系统来保存重要数据，如工作站、服务器等应用。 　　NTFS文件系统固然很优越，但是，随着当前计算机硬件及其网络技术的发展，特别是软件技术的发展，产生了数目众多的恶意以及病毒程序，使得任何文件系统存储的数据不得安逸，这导致了许多企业的重要数据被严重破坏和损失。一个典型的例子是，在NTFS文件系统下存储有重要数据，由于上网或使用不安全的软件而使得NTFS文件系统遭到某个（或某些）病毒的破坏，如DBR和MFT信息都被破坏，使得该分区不可用，要进入该分区时，将提示“需要高级格式化”这样的信息，直接导致了其数据不可见或丢失。 　　上面提到的例子，也是当前大量面临的典型案例。在这样的情况下，用户会使用一些数据恢复工具软件来进行数据的恢复，不过其恢复结果不太理想，恢复出来的数据要么不能用，要么只恢复了很少一部分，而其他的数据无法恢复而损失掉了。 　　针对这种类型的案例，通过实验法提出一种能有效提高数据恢复概率的简易方法，即是巧妙利用簇值并采用高级格式化法来恢复数据，再根据NTFS文件系统的原理来说明其合理性和实用性，从而可以推而广之，如可适用于分区被误高级格式化为相同类型文件系统的数据恢复等情况。 　　 　　二、关于NTFS文件系统 　　 　　（一）NTFS文件系统分区结构 　　在NT核心的操作系统中（WINDOWS 2000/XP/2003等），可以将硬盘的分区高级格式化为NTFS文件系统，这样就可用于数据的保存了。下图描述了一个NTFS文件系统分区的大致结构，如图1： 　　 　　图1 NTFS文件系统总体结构图 　　 　　NTFS文件系统结构中，区域BOOT、MFT和MFTMirr中的参数是操作系统管理文件（DATA区）的重要依据。如果他们出现错误，将导致文件数据不能被访问。 　　其中，BOOT区包含DBR和NTLDR扇区部分，DBR是该区中的第一个扇区，之后是NTLDR区域，共占用16个扇区，NTLDR是DBR中引导程序的一部分，用于引导程序用。DBR中有一组十分重要的参数放在BPB中，它的作用之一就是让操作系统能定位文件，如定位MFT、MFTMirr以及数据文件等。其中参数如“每簇扇区数”（即簇值）、“隐含扇区数”、“MFT的起始逻辑簇号”、“$MFTMirr的起始逻辑簇号”等等都是十分重要的。 　　DBR扇区的位置是由MBR和虚拟MBR扇区中的分区表参数来确定的。下图是NTFS的DBR扇区中的BPB信息，如图2： 　　 　　而在MFT区中（包括备份的MFTMirr区），存放有更为重要的数据，叫NTFS文件系统的元文件，一种特殊文件，共有16个元文件，如$MFT，$MFTMirr，$Boot，……。下图是MFT和MFTMirr元文件的部分信息，如图3： 　　 　　图3 MFT和MFTMirr元文件的部分信息 　　 　　（二）操作系统对MFT元文件的操作 　　在NTFS文件系统中，所有的数据都保存为文件，包含元文件。对于操作系统来说，所有的数据都是文件，这就使得文件系统能很容易定位和维护数据。其中，MFT（主控文件表）是NTFS文件系统的核心，操作系统将通过MFT来确定文件在磁盘上的位置以及文件的所有属性，它可以说是与文件相对应的文件属性数据库，它记录了除文件数据本身之外的所有属性（文件数据保存在DATA区中），不过，有一些小文件的数据本身也可能包含在MFT当中。可以看出，MFT是NTFS文件系统中最为重要的系统文件，它包含了NTFS分区中的所有文件信息。而MFTMirr区域是NTFS为了更安全而采用的一种保险措施，它把MFT中的前16个元文件数据进行了备份，而且它保存在DATA区的中间，也不易被破坏。 　　MFT和M