计算机病毒第二讲 磁盘格式与数据恢复.ppt

《计算机病毒分析与对抗》第二讲磁盘格式与数据恢复;引言;;课前我们应该思考的问题;本讲的内容提纲;;1.1硬盘外观;20GB的7200RPM高速西部数据硬盘 ;全球最小的HDD;1.2硬盘物理结构;1.2.1硬盘外部结构;1.2.1硬盘外部结构;1.2.1硬盘外部结构;1.2.2硬盘内部结构;1.2.2硬盘内部结构;1)磁头组件;;2)磁头驱动机构： ;3)磁盘片 ;4)主轴组件 ;5)前置控制电路 ;1.3硬盘逻辑结构;1.3硬盘逻辑结构;硬盘空间扩展;;2.1硬盘总体结构表;;2.2MBR;;2.3DPT（硬盘分区表）;DPT（硬盘分区表）示例;DPT分区项各字段含义;DPT的4个分区项;扩展分区表;扩展分区表;该硬盘详细结构;2.4DBR各字段含义;DBR各自段具体解释;FAT32下DBR各字段含义;NTFS下DBR; NTFS下BPB和扩展BPB中参数的含义 ;;3.1 FAT32分区结构;引导扇区 在前面已经论述，其中的BPB和扩展的BPB记录了分区的属性，即其它5个部分的属性。 保留扇区： FAT32中的保留扇区除了磁盘总第0扇区用作DBR，总第2扇区(win98 系统)或总第0xC扇区(win2000,winxp)用作OS引导代码扩展部分外，其余扇区都不参与操作系统管理与磁盘数据管理，通常情况下是不起作用的。 操作系统之所以在 FAT32 中设置保留扇区，是为了对DBR作备份或留待以后升级时用，比如引导程序以后的扩展，FAT32中DBR偏移0x34占2字节的数据指明了DBR备份扇区所在一般为0x06即第6扇区，当FAT32分区DBR扇区被破坏导致分区无法访问时可以用第6扇区的原备份替换第0扇区来找回数据。;FAT表(File Allocation Table 文件分配表)是Microsoft在FAT文件系统中用于磁盘数据(文件)索引和定位引进的一种链式结构。FAT表记录了磁盘数据文件的存储链表。 文件系统将磁盘空间按一定数目的扇区为单位进行划分，这样的单位称为簇。 通常情况下，每扇区512字节的原则是不变的。簇的大小一般是2n(n 为整数 )个扇区的大小，可以是512B、1KB、2KB、4KB、8KB、16KB、32KB、64KB。实际中通常不超过32K。;FAT表;根目录首簇 对于根目录的第一个簇，系统并不编号为第 0 簇或第 1 簇 ，而是编号为第 2 簇，也就是说数据区顺序上的第 1个簇也是编号上的第 2 簇。 ;FAT中将目录当文件进行处理。文件和目录都以32字节的目录项来进行索引，长文件名拥有多个目录项。;实际目录的目录项例子;实际文件的目录项例子;3.2文件存储与恢复原理;;NTFS文件系统总体结构图;NTFS引导分区;实际含义;MFT(Master File Table):组织结构示意表 ;MFT(Master File Table):主控文件表;File Record(FR);File Record组织结构示意表 ;实例：Serial.txt文件;FR头;属性;实例：数据可容纳在一个FR中的Serial.txt文件;数据无法容纳在一个FR中的例子：Setup.exe;;相关工具;;;课后作业