数据恢复实战 NTFS文件系统DBR分析 NTFS文件系统DBR分析.ppt

《数据恢复实战》课程 Data Recovery Practical 主讲教师 刘俊 移动通信技术专业教学资源库 深圳信息职业技术学院电子与通信学院 NTFS文件系统DBR 目录 01 NTFS文件系统基本介绍 02 NTFS文件系统结构总览 03 NTFS文件系统DBR分析 1.NTFS文件系统基本介绍 EDITED BY LIUJUN * 数据恢复实战 NTFS文件系统是随着Windows NT操作系统的诞生而产生的，它的优点是安全性和稳定性及其出色；同时它还提供了容错结构日志，可以将用户的操作全部记录下来，从而保护了系统的安全性 NTFS文件系统数据具体特点有：1.安全性、2.可恢复性、3.文件压缩、4.磁盘配额、5.B+树的文件管理 将硬盘的一个分区格式化为NTFS分区时，就建立了一个NTFS文件系统结构 NTFS分区也被称为NTFS卷，卷上簇的大小，又称为卷因子，其大小是用户在创建NTFS卷时确定的。 2.NTFS文件系统结构总览 EDITED BY LIUJUN * 数据恢复实战 $MFT文件 $Boot文件 某元文件 $MFTMirr文件 $Boot第一个扇区（即DBR）的备份 某元文件 NTFS文件系统的一个扇区为引导扇区，即DBR扇区（因为$BOOT的第一个扇区是引导扇区，结构与FAT文件系统的DBR类似，所以习惯上也称该扇区为DBR扇区） NTFS文件系统的主文件表中还记录了一些非常重要的系统数据，就是元文件，其中包括了用于文件定位和恢复的数据结构等作用 元文件在途中只体现了一部分，没有画完整，并且除了$BOOT元文件以外，其他元文件的位置不是固定的 3.NTFS文件系统DBR分析 数据恢复实战 EDITED BY LIUJUN * NTFS文件系统的DBR扇区与FAT文件系统的结构一样，也包括跳转指令、OEM代号、BPB参数、引导程序和结束标志 跳转指令 OEM代号 （1）跳转指令 跳转指令本身占用2字节，它将程序执行流程跳转到引导程序处 （2）OEM代号 这部分占8个字节，其内容由创建该文件系统的OEM厂商具体安排 NTFS文件系统DBR分析 （3）结束标志 DBR的结束标志与MBR、EBR的结束标志都相同，为“55AA” （4）引导程序 NTFS的DBR引导程序占用426字节，其负责完成将系统文件NTLDR装入 引导程序 BPB 结束标志 数据恢复实战 * EDITED BY LIUJUN （5）BPB BPB是BIOS参数块，BPB从DBR的第十二个字节开始，到偏移53H结束，占用73个字节，记录了有关该文件系统的重要信息 NTFS文件系统DBR分析 BPB 数据恢复实战 * EDITED BY LIUJUN NTFS文件系统DBR分析 BPB （5）BPB BPB是BIOS参数块，BPB从DBR的第十二个字节开始，到偏移53H结束，占用73个字节，记录了有关该文件系统的重要信息 数据恢复实战 * EDITED BY LIUJUN 总结 1.NTFS文件系统对比与传统的文件系统有哪些优点？ 2.NTFS的DBR有哪些重要参数？ 3.如果NTFS的DBR被破坏，会造成什么现象？ 数据恢复实战 * EDITED BY LIUJUN 谢 谢 主讲教师 刘俊 移动通信技术专业教学资源库 深圳信息职业技术学院电子与通信学院