U 盘数据恢复的研究与实现.docVIP

U 盘数据恢复的研究与实现 摘 要：作为新一代半导体存储器，flash 存储器在密度及访问速度方面有着优越的性能， 这使人们想到用它来制造文件存储器，从而克服磁盘在体积、耗电、抵抗恶劣环境方面的不 足。由于 flash 存储器特有的擦除块结构，使得对它进行数据恢复面临许多问题。本文通过 对U 盘进行实验研究，找出了一种通过读取 flash芯片进行数据恢复的方法。 关键词：flash存储器；U盘；数据恢复 0. 引言 “数据恢复”技术，顾名思义、就是面对计算机系统遭受误操作、病毒侵袭、硬件故障、黑客攻击等事件后，将用户的数据从各种“无法读取”的存储设备中拯救出来，从而将损失减到最小的技术。数据恢复作为信息安全领域一个研究课题，已经有十几年的发展历史了。国 外数据恢复的研究起步最早，现在已经有比较成熟的商用数据恢复软件和商用数据恢复机， 比如美国的Ontrack公司开发出了easyrecovery， 俄罗斯的硬盘实验室ACE开发出了PC3000 数据恢复机；国内的数据恢复研究起步较晚，但是发展很快，现在比较权威的是以戴士剑先 生为代表的军方研究所和以涂彦晖先生为代表的数据恢复公司。 目前计算机取证技术已经逐渐成为信息安全领域的一个热点。 而作为计算机取证当中比较重要的一个功能模块——数据恢复，在实际的取证过程中越来越体现出它的重要性。 随着技术的发展，FLASH闪存存储设备，比如U盘，现在越来越成为广大电脑用户存储数据、备份数据、编辑数据的重要数码载体。由于 FLASH 闪存的数据存储原理与传统硬盘完全不同、大相径庭，因此对于出现严重硬故障的 FLASH 闪存存储设备的数据恢复，一 直是困扰国内专业数据恢复机构的技术难题。 本文将分析 U 盘 flash 存储器的存储方法，通过实验研究找出一种通过读取 flash 芯片 来进行数据恢复的方法。 1. Flash存储器与U盘结构原理 1.1 Flash 存储器 闪存(flash memory)是一种常用的存储介质，它是一种非易失、防震、节能的存储设备。 通常，闪存由若干个闪存块组成，每个闪存块又分为若干个物理页。闪存块是擦除操作的最 小单位，而读和写都是以页为单位。 以本论文采用的芯片 K9K8G08U0A为例，是一款2Gx8 的NAND Flash，由 4096 个块 组成，每块 128页，每页4k+128 字节，其中的4k字节是数据存储区，附加的 128 字节是备用区， 用于保存一些页面信息及ECC校验数据等。 整个 flash被分为两个 plane， 分别有 2048个块，两个 plane可以同时读写，加快了读写速度。 与磁盘不同，闪存采取异地更新的策略，更新的数据会被放到别的物理页上，而不是覆 盖原来的数据。包含新版本数据的页被称为有效页，新版本数据被称为有效数据。包含旧版 本数据的页被称为无效页，或称为脏页，脏页经过擦除操作后成为空闲页，才可以重新写入 数据。 因为闪存是以块为单位执行擦除的， 因此需要将脏页所在块上的所有的物理页都擦除，在擦除之前需要检查此块上是否存在有效页，如果存在就必须先转移到其他块上。因为每个闪存块的擦除次数有限，一般是在 10 万次到 100 万次之间，只要有块的擦除次数达到了上限，闪存数据存储的性能下降。所以需要运用磨损均衡(wear2leveling)算法使擦除操作平均地发生在各个块上。 1.2 U盘结构 由于闪存采用异地更新的缘故，逻辑页与物理页的对应关系一直在改变，所以要正确存 取数据就必须建立一个物理页和逻辑页的映射表。这样，数据更新后只需改变映射表中物 理页的地址，并将原版本数据所在的物理页标示为无效。 为维护逻辑页与物理页映射表，U 盘使用一个主控芯片来控制 flash 芯片的读写，而主机 PC 通过 U 盘主控芯片进行数据的读写，并不直接对 flash 存储器进行操作。U 盘中逻辑页与物理页映射表由主控芯片自己维护与保存，一般也会写入部分信息到备用区，在主控芯片失效的情况下，只能从备用区中找寻相应的信息，以将物理数据按逻辑顺序重新组织，如果主控芯片不将相应内容写入备用区，则很难实现数据恢复。主控芯片是否会将相关信息写入flash芯片，可以通过对正常U盘的实验研究得知。 2. 实验数据设计与写入 2.1 FAT 文件系统结构 为了方便实现数据的移动使用，U 盘中普遍使用被各种操作系统广泛支持的 FAT 文件 系统，一个 FAT 文件系统包括四个不同的部分。 1 保留扇区（主激活区）。位于最开始的位置。第一个保留扇区是引导区（分区启动记 录）。它包括一个称为基本输入输出参数块的区域（包括一些基本的文件系统信息尤其是它 的类型和其它指向其它扇区的指针），通常包括操作系统的启动调用代码。保留扇区