硬盘数据恢复知识.pdf

1、 系统工作机理的简单介绍（本节由 lowpower 缩写） 这一部分在原作中是最重要的一章，考虑到篇幅关系，进行了大量的删节。 ①、 DOS （DOS 兼容系统）硬盘数据的构成 DOS 磁盘系统，可以按照逻辑分区的概念管理物理空间，不同分区可以装载不同的 OS 系统。 示意如下： 硬盘空间 第一扇区|分区 1 |分区 2 |分区 3 |分区 4 主引导扇区|引导扇区|引导扇区|引导扇区|引导扇区| 各分区公用|各个分区相对独立，可安装不同操作系统。 对 FAT 结构的分区每一分区都有独立的引导记录，FDT 表，FAT 表等。同时，系统还有一个最为重要的 主引导记录。在 0 柱 0 面 1 扇区，今后我们用 CYL 代表柱、SIDE 代表面，SEC 代表扇区。以下一个 FAT 结构分区的简图。 保留区- 磁盘参数表、DOS 引导记录 控制区-FAT 表 1、FAT 表 2 根目录区 数据区-数据区 以下简单介绍一下重要的部分： 主引导记录又称主分区表、MBR 等等：MBR 占一个扇区，在CYL 0、SIDE 0、SEC 1，由代码区和 数据区构成。其中代码区是一端标准的程序，完成 BIOS 自举到OS BOOT 之间的工作，为 OS 启动做最 后的准备。标准代码区可以由 FDISK/MBR 重建，但对于多系统引导的不标准 MBR，将被这一操作破坏。 MBR 的数据区记录了分区情况。 系统扇区：CYL 0、SIDE 0 、SEC 1-CYL 0、SIDE 0 、SEC 63，共 62 个扇 区引导区又称 BOOT 区：CYL 0、SIDE 1 、SEC 1 这是我们过去称的 DOS 引 导区。也占一个扇区。 文件分配表又称 FAT：是记录文件占用簇的情况和连接关系的地方。一般有两个 FAT 表，起到备份的作用。 FAT12、FAT16 的第一 FAT 表一般均在 0-1-2，FAT32 的第一 FAT 表在 0-1-33 。由于 FAT 表记录文件占 用扇区连接的地方，如果两个 FAT 表都坏了，后果不堪设想。 由于FAT 表的长度与当前分区的大小有关所以 FAT2 的地址是需要计算的。根目录区（ROOT、FDT）： 这里记录了根目录里的目录文件项等，ROOT 区跟在 FAT2 后面。 数据区：跟在 ROOT 区后面，这才是数据内容。其实， MBR、隐含扇区、BOOT 区，重建都比较容易。 数据恢复的关键在于恢复数据文件。由于 FAT 表记录了文件在硬盘上占用扇区的链表，如果 2 个 FAT 表 都完全损坏了。那么恢复文件，特别是占用多个不连续扇区文件就相当困难了。 ②、 主引导记录简单说明： 主引导记录是硬盘引导的起点，关于代码区不多说了，其数据区，比较重要的是 2 个标志，80H 和 55AA， 80H 一般在偏移 1BE 处，80 是分区激活的标志的标记表示系统可引导，且整个分区表只能有一个 80 标记。 另一个就是结尾的 55 AA 标记，用来表示主引导记录是一个有效的记录。另外，各个分区自身的引导记 录，也是以 55AA 结束，这是我们查找分区的标志。我们后面在介绍如何主引导记录中，给出了一个完整 的分区表的例子，大家可对照查看。数据区中，用 10H 字节表示一个分区，最多可表示 4 个分区，分别从 1BE、1CE、1DE、1EE 开始，我们后面给出了分区表项对应地址的含义。大家可以对应分析一下以下分 区的情况。 80 01 01 00 0B FE BF FC 3F 00-00 00 7E 86 BB 00 1 ① ② ③ ④ ⑤ ⑥ ①：激活标记，80 表示可引导分区 ②：分区开始的磁头号为 01、开始的扇区号为 01、开始的柱面号为 00，由于开始的扇区号为 2 进制 6 位， 而开始的柱面号为 2 进制 10 位，因此扇区号所用字节的高两位要加在柱面号高两位。 ③：分区的系统类型 FAT32 （0B ），01 是 FAT12，04 为 FAT16，06 为 BIGDOS，07 为 NTFS， 其他参见分区类型表