NTFS文件系统的DBR恢复研究与实践.docVIP

NTFS文件系统的DBR恢复研究与实践-精品资料 本文档格式为WORD,感谢你的阅读。 最新最全的 学术论文 期刊文献 年终总结 年终报告 工作总结 个人总结 述职报告 实习报告 单位总结 　　摘要：NTFS文件系统的DBR扇区存储着文件系统的重要信息，由于病毒、断电、误操作等各种原因引起DBR损坏，出现未格式化现象。通过分析NTFS文件系统结构，提出了一种通过寻找MFT表和计算DBR中BPB重要参数的方法，利用磁盘编辑工具WinHex对NTFS文件系统的DBR信息损坏进行恢复实践，实践证明该方法可行。 　　关键词关键词：NTFS文件系统；DOS引导记录（DBR）；MFT主文件表；Wihex；文件恢复技术 　　TP3932013）011014604 　　0引言 　　随着信息化建设的推进，计算机存储日益重要，但由于病毒、断电、误操作、振动等原因会导致硬盘中NTFS文件系统分区中的DBR扇区信息被损坏、硬盘分区出现未格式化故障现象，从而无法访问分区中的数据和信息，如果重新进行格式化分区，可能会导致此分区的数据被破坏，难以完整恢复出分区中的数据。本文提出了通过重写BPB中的重要参数来重建DBR的方法，利用磁盘编辑工具Winhex针对不同的情况采用不同的方法来重建DBR扇区信息，从而访问NTFS分区中的数据。 　　1NTFS文件系统 　　NTFS（NT File System）是Microsoft推出的一种新型文件系统，已是Windows类操作系统中的主力分区格式了，主要目的是将其作为Windows NT/2000/XP和服务器版本的默认文件系统，获得可靠性、高效性、稳定性和安全性，在使用中不易产生文件碎片，对用户权限有非常严格的限制，每个用户只能按系统赋予的权限进行操作，同时还提供了容错结构日志，可以将用户的操作全部记录下来，从而保护了系统的安全。NTFS设计上能够快速实现标准的文件操作，例如读写和查询，甚至实现了在超大容量硬盘上的文件系统恢复操作。本文主要针对NTFS在DBR出现损坏而导致系统崩溃或磁盘出现未格式化故障现象时，如何安全地恢复NTFS文件系统的DBR，从而访问分区内数据。 　　NTFS是一个具备错误预警的文件系统。由于NTFS对关键文件系统的系统信息采用了冗余存储，故当磁盘上某个扇区损坏时，NTFS仍可以访问卷上的关键数据。NTFS分区最开始的16个扇区是分区引导扇区，用以保存分区引导代码，然后是主文件表（MFT），如果MFT所在的磁盘扇区出现损坏，NTFS文件系统会将MFT转移到硬盘其他扇区，这样保证了NTFS文件系统和Windows操作系统的正常运行。 　　NTFS文件系统一般包括引导区、MFT、MFT备份区、数据区和DBR备份扇区几个部分，NTFS将所有数据都视为文件，其文件系统大致结构如图1所示。各部分含义如下： 　　（1）引导扇区。引导区部分包括DBR和引导代码，一般系统为其分配16个扇区，未完全使用。 　　（2）MFT区。MFT是一个连续的簇空间，除非其他空间已全部被分配使用，否则不会在此空间中存储用户文件或目录。在WINXP下创建的NTFS，其MFT通常距离引导扇区较远，但在WIN2000下创建的NTFS，其MFT通常起始于4号簇位置。 　　（3）MFT备份区。由于MFT备份的重要性，在文件系统的中部为其保存了一个备份，不过这个备份很小，只是MFT前几项的备份。 　　（4）引导扇区备份扇区。在卷的最后一个扇区，保存了一份DBR扇区的备份。这个扇区包含在分区表（Disk Partition Table，DPT）描述的该分区大小中，但却不在DBR描述的文件系统大小范围之内。DBR描述文件系统大小时，总是比分区表描述的扇区数小1个扇区。图1NTFS文件系统结构 　　2NTFS文件系统结构分析 　　2.1NTFS文件系统的DBR数据结构 　　NTFS文件系统的DOS引导记录（DOS Boot Record，DBR），位于柱面0，磁头1，扇区1，即逻辑0号扇区。DBR分为两部分：DOS引导程序和BIOS参数块（BIOS Parameter Block，BPB）。其中DOS引导程序完成DOS系统文件（IO.SYS，MSDOS.SYS）的定位与装载，而BPB用来描述本DOS分区的磁盘信息，BPB从DBR的偏移OBH开始，到偏移53H结束，此部分参数记录着整个NTFS分区的许多重要信息，其具体内容如表1所示。它包含逻辑格式化时使用的参数，可供DOS计算磁盘上的文件分配表，目录区和数据区的起始地址，引导程序或设备驱动程序根据这些信息将磁盘逻辑地址（DOS扇区号）