第4章 数据恢复--手动恢复系统.ppt
《第4章 数据恢复--手动恢复系统.ppt》由会员分享,可在线阅读,更多相关《第4章 数据恢复--手动恢复系统.ppt(103页珍藏版)》请在得力文库 - 分享文档赚钱的网站上搜索。
1、Neusoft Institute of Information2005年4月20日IT Education&Training计算机网络教研室计算机网络教研室 王王 宏宏 2008年年10月月08日日Neusoft Institute of Information2005年4月20日IT Education&Training手动恢复文件系统手动恢复FAT16手动恢复FAT32手动恢复NTFSNeusoft Institute of Information2005年4月20日IT Education&Training1 手动恢复FAT16FAT16的原理FAT16下如何查找文件利用WinHex手
2、动恢复FAT16删除的文件 WinHex手动恢复FAT16的DBR Neusoft Institute of Information2005年4月20日IT Education&Training1.1 FAT16分区的原理分区的原理-各个区域的相互关系(1)FAT16(1)FAT16分区下的分区下的DBR:DBR:文件系统的参数都记录在文件系统的参数都记录在DBRDBR的的BPBBPB中中,系统依靠它来确定系统依靠它来确定FAT,FDTFAT,FDT和和DATADATA的位置的位置,如下图如下图:Neusoft Institute of Information2005年4月20日IT Educ
3、ation&Training Neusoft Institute of Information2005年4月20日IT Education&Training Neusoft Institute of Information2005年4月20日IT Education&Training1.1 FAT16分区的原理分区的原理-各个区域的相互关系(2)FAT16分区下的FAT文件分配表 FAT占用的扇区数量:(格式化时确定)Neusoft Institute of Information2005年4月20日IT Education&Training FAT占用的扇区数量的计算公式:(格式化时确定)N
4、eusoft Institute of Information2005年4月20日IT Education&Training1.2 FAT16下如何查找文件Neusoft Institute of Information2005年4月20日IT Education&Training1.2.1 FAT16根目录下文件的管理文件目录表的起始位置Neusoft Institute of Information2005年4月20日IT Education&TrainingFAT16下FDT项的含义 Neusoft Institute of Information2005年4月20日IT Educati
5、on&Training Neusoft Institute of Information2005年4月20日IT Education&Training1.2.1 FAT16根目录下文件的管理例子:在FAT16下 根目录下建立一个文件file.txt,来分析FAT16的FDT.参考 教材Neusoft Institute of Information2005年4月20日IT Education&Training Neusoft Institute of Information2005年4月20日IT Education&Training Neusoft Institute of Informat
6、ion2005年4月20日IT Education&Training Neusoft Institute of Information2005年4月20日IT Education&Training Neusoft Institute of Information2005年4月20日IT Education&Training Neusoft Institute of Information2005年4月20日IT Education&Training Neusoft Institute of Information2005年4月20日IT Education&Training1.3 利用WinH
7、ex手动恢复FAT16删除的文件实验Neusoft Institute of Information2005年4月20日IT Education&Training1.4 WinHex手动恢复FAT16的DBRNeusoft Institute of Information2005年4月20日IT Education&Training1.4 修改FAT16的DBR引导扇区中的参数FAT32分区被格式化后,在其第一个扇区(DBR中存储有FAT32分区的系统参数,如果这些参数被破坏,则FAT32分区仍然无法正常打开。在不同的FAT32分区中,DBR中的程序代码是不变的,只时参数不同而已。因此,如果要
8、修复DBR,只需要拷贝其他的FAT32的DBR覆盖,并修改关键参数即可。Neusoft Institute of Information2005年4月20日IT Education&Training 在菜单“视图”-“模版”中选择“启动扇区FAT32”列举了这些参数,其中我们需要修改的有:扇区数/簇:保留扇区数:隐藏扇区数:分区扇区数目 扇区数/FAT:根目录的第一个簇:Neusoft Institute of Information2005年4月20日IT Education&Training2.1 FAT32原理FAT32的组织结构数据空间的管理方式FAT与FDT的关系FDTNeusoft
9、 Institute of Information2005年4月20日IT Education&Training2.2 FAT32下如何查找文件Neusoft Institute of Information2005年4月20日IT Education&Training2.3 FAT32下恢复删除的文件文件删除的实质恢复被删除的文件Neusoft Institute of Information2005年4月20日IT Education&Training2.4 恢复FAT32的DBRNeusoft Institute of Information2005年4月20日IT Education&
10、Training2.3 修改FAT32的DBR引导扇区中的参数(续)(1)保留扇区数和 扇区数目/FAT:从分区开始到 FAT的扇区都属于保留扇区,而FAT是以F8 FF FF 0F 开始的 因此从分区开始往后可以搜索到两个 F8 FF FF 0F,这两位置相减即为 FAT的大小Neusoft Institute of Information2005年4月20日IT Education&Training3.3 修改FAT32的DBR引导扇区中的参数(续)(2)根据FAT的大小和分区的大小 计算 扇区数/簇:首先确定这个分区的大小,由于FAT32没有明确的结束标志,可以认为下一个分区的开始之前为
11、结束;因为FAT中的每四个字节对应管理一个簇,因此 FAT可以对应的簇的个数=FAT扇区数目*512/4 FAT对应管理的空间分区大小(单位:扇区)=簇的个数*N N=分区大小/簇的个数 且N为2的n次方 所以N就是需要计算的扇区数/簇 Neusoft Institute of Information2005年4月20日IT Education&Training3.3 修改FAT32的DBR引导扇区中的参数(续)(3)保留扇区数:一般表示虚拟MBR占用的扇区数,一般为63(4)根目录的第一个簇 一般为2,即根目录的第一个簇也是分区的第一个簇Neusoft Institute of Inform
12、ation2005年4月20日IT Education&Training2.1 修改FAT32的DBR引导扇区中的参数FAT32分区被格式化后,在其第一个扇区(DBR中存储有FAT32分区的系统参数,如果这些参数被破坏,则FAT32分区仍然无法正常打开。在不同的FAT32分区中,DBR中的程序代码是不变的,只时参数不同而已。因此,如果要修复DBR,只需要拷贝其他的FAT32的DBR覆盖,并修改关键参数即可。Neusoft Institute of Information2005年4月20日IT Education&Training 在菜单“视图”-“模版”中选择“启动扇区FAT32”列举了这些
13、参数,其中我们需要修改的有:扇区数/簇:保留扇区数:隐藏扇区数:分区扇区数目 扇区数/FAT:根目录的第一个簇:Neusoft Institute of Information2005年4月20日IT Education&Training2.2 修改FAT32的DBR引导扇区中的参数(续)(1)保留扇区数和 扇区数目/FAT:从分区开始到 FAT的扇区都属于保留扇区,而FAT是以F8 FF FF 0F 开始的 因此从分区开始往后可以搜索到两个 F8 FF FF 0F,这两位置相减即为 FAT的大小Neusoft Institute of Information2005年4月20日IT Educ
14、ation&Training2.3 修改FAT32的DBR引导扇区中的参数(续)(2)根据FAT的大小和分区的大小 计算 扇区数/簇:首先确定这个分区的大小,由于FAT32没有明确的结束标志,可以认为下一个分区的开始之前为结束;因为FAT中的每四个字节对应管理一个簇,因此 FAT可以对应的簇的个数=FAT扇区数目*512/4 FAT对应管理的空间分区大小(单位:扇区)=簇的个数*N N=分区大小/簇的个数 且N为2的n次方 所以N就是需要计算的扇区数/簇 Neusoft Institute of Information2005年4月20日IT Education&Training2.3 修改F
15、AT32的DBR引导扇区中的参数(续)(3)保留扇区数:一般表示虚拟MBR占用的扇区数,一般为63(4)根目录的第一个簇 一般为2,即根目录的第一个簇也是分区的第一个簇Neusoft Institute of Information2005年4月20日IT Education&Training3 手动恢复NTFSNTFS的原理NTFS下如何查找文件利用WinHex手动恢复NTFS删除的文件 WinHex手动恢复NTFS的DBR Neusoft Institute of Information2005年4月20日IT Education&Training3.1 NTFS的原理NTFS的组织结构元
16、文件$MFT$BOOTNeusoft Institute of Information2005年4月20日IT Education&Training3.1 NTFS 文件系统结构分析NTFS是 新技术文件系统(NEW TECHNOLOGY FILE SYSTEM)的缩写NTFS卷在文件系统层面同NTFS系统是一致的Neusoft Institute of Information2005年4月20日IT Education&Training3.1 NTFS 的DBR对于基本分区和简单卷,NTFS的引导扇区与FAT32的引导扇区作用是相同的.Neusoft Institute of Informa
17、tion2005年4月20日IT Education&Training NTFS的引导扇区Neusoft Institute of Information2005年4月20日IT Education&Training NTFS的DBRNeusoft Institute of Information2005年4月20日IT Education&Training NTFS的DBR参数Neusoft Institute of Information2005年4月20日IT Education&Training3.1 NTFS 的元文件NTFS仍然是按簇来划分和管理磁盘空间的NTFS文件系统分区的区域
18、划分NTFS是由一系列的元文件来组织磁盘空间的Neusoft Institute of Information2005年4月20日IT Education&Training按簇来划分和管理磁盘空间 Neusoft Institute of Information2005年4月20日IT Education&TrainingNTFS文件系统分区的区域划分 Neusoft Institute of Information2005年4月20日IT Education&TrainingNTFS是由一系列的元文件来组织磁盘空间的 Neusoft Institute of Information2005年
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 第4章 数据恢复-手动恢复系统 数据 恢复 手动 系统
限制150内