数据恢复的文件系统的类型是raw选择

本书是国内第一本全面介绍Windows及非Windows文件系统的数据恢复技术书籍,不仅涵盖面广,内容也达到了足够的深度。本书不仅对常见的DOS分区体系及Windows的FAT文件系统、NTFS文件系统进行了详细的介绍,更涵盖了苹果机分区、BSD分区、SPRC平台的Sun Solaris分区、GPT分区等分区方式,以及Linux的Ext2/Ext3、Unix的UFS1/UFS2、MAC的HFS+等文件系统布局及详细数据结构的讲解,多数资料的详细程度是目前绝无仅有的。同时对常见RAID类型及包括HP内外双循环、RAID 1E、RAID6及RAID DP在内的异种或新型RAID类型进行了详细的分析和介绍。
出版社:清华大学出版社
出版日期:2009年4月
ISBN:978-7-302-19893-2
价:69.00元
免责声明:图书版权归出版社和作者所有,51CTO.com 仅提供试读
本书详细信息
随便说两句
可以匿名发言哦!
(点击进行更换)
作译者简介
马林&&马林,天津市电子技术研究所专业数据存储安全与数据灾难拯救研究员,首席数据恢复专家,天亚数据恢复技术总监。多年来致力于数据存储与文件系统的研究,时刻跟踪数据恢复技术的发展方向。
本作者其他图书
作者:杨传辉
&&本书是分布式系统领域的经典著作,由阿里巴巴高级技术专家“阿里日照”(OceanBase核心开发人员)撰写,阳振坤、章文
相关技术专题
            &&
51CTO旗下网站浅谈NTFS文件系统的数据恢复程序设计_百度文库
赠送免券下载特权
10W篇文档免费专享
部分付费文档8折起
每天抽奖多种福利
两大类热门资源免费畅读
续费一年阅读会员,立省24元!
浅谈NTFS文件系统的数据恢复程序设计
易发表网提供各学科期刊论文下载、毕业论文...|
总评分0.0|
试读已结束,如果需要继续阅读或下载,敬请购买
定制HR最喜欢的简历
你可能喜欢论文发表、论文指导
周一至周五
9:00&22:00
浅析Windows FAT32文件系统数据恢复
  摘要:在计算机的使用过程中,经常会遇到由于病毒或用户的误操作而造成硬盘数据丢失的情况,给用户带来很大损失。通过对硬盘数据丢失原因的分析,指出了数据恢复的可行性前提条件,同时还进一步分析了几个常用数据恢复工具软件的主要功能,并简介了用Winhex软件手动恢复硬盘数据恢复的操作过程。 中国论文网 /8/view-6937366.htm  关键词:数据丢失 数据恢复 数据恢复软件   中图分类号:TP393 文献标识码:A 文章编号:(0-00   1引言   在信息时代的今天,计算机被广泛应用于商业,军事,政治中。计算机中的数据显得格外重要。所谓数据,从广义上说,位于计算机存储介质上的信息都是数据。任何使这些信息发生非主观意愿之外的变化都可视为破坏。数据恢复就是一个把异常数据还原为正常数据的过程。[1]即使数据被删除或硬盘出现故障,只要存储介质没有严重受损,数据还是有可能被完全恢复的。随着科技的进步,现在许多单位在日常管理中都需要使用计算机,从而,渐渐地出现了一些利用计算机和网络进行犯罪的犯罪分子。他们进行网络诈骗,骇客攻击盗取商业机密,破坏企事业单位电脑中的重要数据等等。在司法取证,司法鉴定方面,数据恢复技术起着不容置疑的作用。如市面上出现了很多专业公司开发的数据恢复软件,为办案人员提供了方便。2012年刑诉法改写之后,电子数据又作为一个独立的证据出现。利用数据恢复软件,挖掘犯罪分子的作案证据,更好的为定罪量刑提供依据。   2 常见数据丢失原因及数据可恢复前提   在计算机使用过程中,数据丢失的原因最常见的就是病毒破坏。病毒的破坏可能造成资料被恶意删除,甚至硬盘被格式化。这种情况下,数据是可以被恢复的;有的时候,我们不小心将文件删除,并且清空了回收站,这样再找回来就比较难了,但是这种误删除文件也是可以恢复的;我们常常可能误使用了格式化命令,造成分区上的数据丢失,这种情况下,只要保护好现场,不再对硬盘进行写的操作,数据就可以恢复;硬盘分区操作失误或硬盘分区表破坏也会造成数据丢失,这种情况下,通常是可以恢复的。当然,一些犯罪分子为了掩盖罪行,会人为的将数据删除,因此,数据恢复对于我们警察也是一个重要的技术。   数据能够恢复的前提有以下几种:(1)丢失的数据没有被覆盖。在复制同名文件的时候,会有系统提示:是否要替换原同名文件。当我们选择是的时候,原来的文件讲被现有的文件替换,这个时候原来存储的文件将被覆盖,所以这个时候的文件是不能回复的。被覆盖了的文件是不能恢复的。有的时候,即使不是同名替换,删除文件后,原来存储这些文件的数据区,会因为要存储新的数据而替换这些已经被标记删除的文件数据。这样的话,存储文件的数据区一旦被覆盖,该文件将不能被恢复。(2)硬盘没有被低级格式化过。所谓的低级格式化,就是将硬盘中的每一个扇区、磁道以及柱面的信息进行编排,由于之前硬盘上这些信息上都曾记录着数据,因此经过低级格式化后,原来硬盘上的数据将完全被损坏是不可恢复的。低级格式化主要是在DOS环境下使用的DM软件或使用format的低级格式化命令来完成低级格式化;除此之外还有一个清零操作,指的是用特殊的软件或特殊的设备向硬盘中填充0,这项填充工作后将使硬盘上所有数据变为0,所以这也相当于清除了硬盘上所有的数据,这样的填充0的方法将使数据无法恢复。它类似于低级格式化。(3)硬盘盘片没有被划伤。被划伤的地方数据不可恢复。这属于物理损坏,存储介质本身损坏了,自然数据会丢失,并且无法恢复。综上所述,可恢复的前提大概有三,一是数据没被覆盖,二是数据没有被清零被低级格式化,三是没有物理损伤。   3硬盘的数据结构简介   说到数据恢复,就不得不提到硬盘的数据结构,这是数据恢复的根本依据。一块新的硬盘再买回来之后,必须首先分区,再用Format对相应的分区实行格式化,这样我们才能在这个硬盘上存储数据。一般硬盘主要分成主引导扇区(MBR)、操作系统引导扇区(OBR)、文件分配表(FAT)、目录区(DIR)和数据区(DATA)等五部分。通常所说的主引导扇区MBR在一个硬盘中是唯一的,MBR区只有在硬盘启动时才读取其内容,然后驻留内存。   (1)主引导扇区(MBR)。位于整个硬盘的0磁道0柱面1扇区,包括硬盘主引导记录MBR和分区表DPT。主引导记录的作用就是检查分区表是否正确以及判别哪个分区为可引导分区,并在程序结束时把此分区的启动程序调入内存加以执行。分区表以80H或00H为开始标志,每个分区占用16个字节,一个硬盘最多只能分成四个主分区,其中扩展分区也是一个主分区。[2]   (2)操作系统引导扇区(OBR)。通常位于硬盘的0磁道1柱面1扇区,是操作系统可直接访问的第一个扇区,包括一个引导程序和一个被称为 BPB 的本分区参数记录表。其实每个逻辑分区都有一个OBR,其参数视分区的大小、操作系统的类别而有所不同。   引导程序的主要任务是在根目录中寻找系统启动的文件,如果存在,就将其读入内存,并移交控制权给该文件。   (3)文件分配表(FAT)。是DOS/Windows系统的文件寻址系统。为了防止意外损坏,FAT一般做两个,第二FAT为第一FAT的备份。FAT区紧接在OBR之后,其大小由这个分区的空间大小及文件分配单元的大小决定。FAT32采用4个字节来表示簇的位置,分区最大容量32GB,与FAT16相比,其有效的节约了硬盘空间。   (4)目录区(DIR)。Directory即根目录区的简写,在FAT12和FAT16格式中,DIR紧接在第二FAT表之后,而在FAT32格式中,根目录区的位置可以在分区中的任意位置,其起始位置是由引导扇区给出的。单有FAT表还不能确定文件在硬盘中的具体位置,只有FAT表和DIR区配合使用,才能准确定位文件的确切位置。   DIR记录着每个文件的文件名、扩展名、是否支持长文件名、起始单元、文件的属性、大小、创建日期、修改日期等内容。
  (5)数据区(DATA)。在DIR区之后,才是真正意义上的数据存储区,即DATA区。 DATA虽然占据了硬盘的绝大部分空间,但没有了前面的各部分,对于我们来说,没有任何意义。   4 利用数据恢复软件实现数据恢复   4.1 FinalData与EasyRecovery数据恢复软件   EasyRecovery能够快速恢复丢失的数据以及重建文件系统。EasyRecovery不会向原始驱动器写入任何数据,它主要是在内存中重建文件分区表使数据能够安全地传输到其他驱动器中。可以从被病毒破坏或是已经格式化的硬盘中恢复数据。FinalData可恢复因删除、格式化等原因丢失的文件。在Windows环境下删除一个文件,只有目录信息从FAT或者MFT删除。这意味着文件数据仍然保留在硬盘上。FinalData就是通过这个机制来恢复丢失的数据的,在清空回收站以后也不例外。[3]   这类软件恢复数据操作简单,可按软件提示一步一步操作,即可完成数据恢复。但是其只可以进行一些简单的恢复删除文件,如txt文本文档,word文档,ppt等文件。而且经常会出现恢复出来的已删除无法打开或打开后文件损坏的情况。经过实验验证,当像一个存储空间被占了三分之二以上的硬盘中存入文件后再删除,用该软件恢复后便会出现文件损坏的情况。这种情况下就应该采用Winhex软件来实现手动恢复。   4.2 Winhex数据恢复软件   Winhex主要用于电子数据分析与处理,功能很强,作数据恢复只是它的一小部分功能。主要功能包括:分析和数据恢复、多种数据恢复功能,可对特定文件类型进行恢复、数据擦除功能,可彻底清楚存储介质中的残留数据、可从硬盘或镜像文件中收集残留空间、空余空间、分区空隙中的信息等等。可进行文件的手动恢复。[4]   打开Winhex软件,然后打开被删除文件的硬盘,接下来打开FDT表,FDT表中记录了文件的一些属性信息,其中也有文件存的起始簇号,即使文件被删除了,FDT中也仍会有文件的属性信息,首先要找到该文件在FDT中的记录,采用搜索关键字的方法来在FDT中找该记录,用Encase伴侣来查找对应文件名文本的Unicode编码,用Winhex来查找文件名的Unicode编码,这样就知道了该文件在硬盘中存的起始簇号。关闭FDT表,打开该硬盘,用转移到扇区的命令直接跳转到该簇。这时已找到了该文件在硬盘中存储的起始块,选择起始块,再估计下被删除文件的大小,计算该文件占用了多少个扇区,然后再跳转到存该文件的最后一个扇区,选择结束块,右键鼠标,选择置入新文件,这样该文件就被手动恢复了。这里有个问题,Winhex的手动恢复文件,只能恢复连续存放的文件,对不连续存放的文件,目前为止还不能恢复。   参考文献   [1]戴士剑,涂彦晖 著.《数字恢复技术》.电子工业出版社,2005年,第338.   [2]华师傅资讯 著.《数据备份与恢复实用宝典》.中国铁道出版社,2008年,第236-239.   [3]旋动数据 著.《数据存储、备份与恢复完全解析》.中国铁道出版社,2009年,第326.334页。   [4]汤艳君 著.《电子物证检验与分析》.清华大学出版社,2014年,第62.   收稿日期:   作者简介:邹柏林(1990―),男,吉林长春人,研究生在读,研究方向:计算机物证检验。
转载请注明来源。原文地址:
【xzbu】郑重声明:本网站资源、信息来源于网络,完全免费共享,仅供学习和研究使用,版权和著作权归原作者所有,如有不愿意被转载的情况,请通知我们删除已转载的信息。
xzbu发布此信息目的在于传播更多信息,与本网站立场无关。xzbu不保证该信息(包括但不限于文字、数据及图表)准确性、真实性、完整性等。XFS文件系统数据恢复技术揭秘
 作者: 黎斯丽 编辑:
  近几年,国内的数据恢复行业的竞争相当激烈,已经进入了实实在在的技术水平竞争的局面,各家数据恢复公司都会强调资深的数据恢复技术技术实力高超。实际上,丰富的实战经验才是衡量数据恢复公司的技术实力最客观的标准。日,达思科技接到了北京某游戏公司信息主管王工送来的一台,据王工介绍,自己负责运维工作以来,第一次遇到大型故障,但选择一家专业的数据恢复公司并非易事。经过一整天的深入技术沟通,王工最终选择达思数据恢复中心。王工说,自己从事技术工作已经7,8年的时间了,对存储技术非常精通。在选择有哪家来做数据恢复操作这件事上,王工有一套自己的方法。实际上,在王工一整天都在打电话,给对方详细描述了磁盘阵列丢失数据的全过程后,主要是听对方给的解决方案。通过对数据恢复解决方案、工期、报价、服务等多环节的深入分析和权衡,最终,王工决定选择达思数据恢复中心。▲&     图一:达思科技是最早掌握XFS文件系统数据恢复技术的公司之一  达思科技XFS文件系统数据恢复技术尖峰时刻  下面上我们来看看游戏公司磁盘阵列数据恢复的案例  磁盘阵列型号:DELL PowerVault MD3000i iSCSI SAN  存储信息:1TB SATA接口 希捷  运行:Linux  采用文件系统:XFS  &客户描述故障:15块硬盘做的磁盘阵列,其中14块盘做成RAID5,1块硬盘预留作热备盘,但是实际配置时并没有设置热备盘,因此,热备盘不起作用。据王工描述,2号盘(硬盘在磁盘阵列中的编号是1-15)出现坏道,3号盘作为热备硬盘顶替15号盘,然后做Rebuild,不过Rebuild操作没有完成。至今文件系统无法mount上。  客户采取措施:客户一开始并没想做数据恢复,而是把2号硬盘的数据镜像到一块型号一样的新盘上,然后把新硬盘插回2号盘的位置。重新启动磁盘阵列,发现新盘状态在Raid5中显示为&Not Use&,磁盘阵列控制器并不能识别到该硬盘。后来经过技术论证,通过这种方法更换硬盘是行不通的,因为RAID信息中包含有每块硬盘的型号、SN号等信息,这种单纯更换镜像硬盘的方式前后硬盘 SN号不一致,阵列卡不会直接识别到新镜像的硬盘的RAID信息。  数据恢复过程:达思科技的数据恢复专家通过对15块硬盘的底层分析,发现1号硬盘是在出问题之前更换过的硬盘,硬盘内的RAID信息跟磁盘阵列RAID5里的其他硬盘内容不匹配、不同步,必须要剔除掉。检测发现3号硬盘内容前半部分和15号硬盘的前半部分是一样的,可以断定3号硬盘替换15号硬盘后,Rebuild操作的确还没有完成。  这个磁盘阵列总共有15块硬盘,剔除了1号盘和3号盘,还剩下13块盘。达思数据恢复专家分析后确认,这个磁盘阵列的RAID5是由14块硬盘组成的,在理论上缺失一块硬盘数据恢复是没有问题的。工程师使用达思自主研发的RAID数据恢复工具D-Recovery for RAID达思RAID智能数据恢复软件进行智能分析,重组出的数据。组合完成后,成功恢复了XFS文件系统下的90GB的数据。  数据恢复结果:100%成功  本案例总结:本案例中磁盘阵列中的1号盘并没有参与RAID5磁盘阵列组合,15号硬盘已经被剔除出RAID5磁盘阵列中,磁盘阵列的状态停留在Rebuild的过程中,并且已经进行了10%,只能确定正在进行Rebuild3号盘,但是拿1号盘参与3号盘,一旦Rebuild操作完成,那么数据将会受到致命的损伤。XFS文件系统在企业级数据中占有一定的比例,虽然并不像EXT3那么普及。达思科技早在2008年就已经攻破了XFS文件系统的数据恢复技术,并且开发了不少针对XFS文件系统数据恢复的实用工具。▲&      图二:达思科技数据恢复技术研发基地 科研硕果累累  达思科技是一家真正掌握数据恢复技术核心的技术型企业,达思数据恢复研发中心近期科研成果展示如下:  D-Recovery Standard达思数据恢复软件标准版(针对桌面级PC的数据恢复,已发布)  D-Recovery For MS SQL Server达思SQL数据库修复软件(针对SQL数据库修复,已发布)  D-Recovery For exFAT 达思exFAT数据恢复软件(exFAT文件系统数据恢复,已发布)  D-Recovery For Linux达思Linux数据恢复软件(支持linux数据恢复,已发布)  D-Recovery for RAID达思RAID智能数据恢复软件(即将发布)  D-Recovery For Mac达思苹果Mac数据恢复软件(即将发布)  D-Recovery For UNIX达思UNIX数据恢复软件(即将发布)  D-Recovery For AIX JFS2达思AIX JFS2数据恢复软件(定制发布,每套20万起)  D-Recovery For UFS达思UFS数据恢复软件(定制发布)  D-Recovery For ReiserFS 达思ReiserFS数据恢复软件(定制发布)  D-Recovery For XFS达思XFS文件系统数据恢复软件(定制发布)  D-Recovery For Vmware达思Vmware虚拟机数据恢复软件(定制发布)等等。  关于达思科技  达思科技的全称是达思凯瑞技术(北京)有限公司,是数据恢复行业的著名品牌,在全国乃至整个亚洲地区有着较高的知名度。达思科技是一家真正掌握数据恢复核心技术的企业,公司的数据恢复技术研发中心堪称数据恢复技术输出基地,不但承担公司自主知识产权数据恢复软件的研发任务,还为众多大型企事业单位担当数据安全顾问的角色。达思科技对数据恢复技术的深入研究,尤其在Unix及Linux大型存储设备的数据恢复方面(包括EXT3文件系统删除数据、UFS文件系统数据恢复、XFS文件系统数据恢复技术、IBM-AIX JFS2文件系统数据恢复高端技术、Vmware虚拟机数据恢复技术等)独树一帜,在同行业中具有较为明显的优势,达思科技承接的其他公司无法恢复的疑难案例不计其数。  为了打破国外数据恢复软件的垄断地位以及解决国外数据恢复软件成功率低等问题,达思科技数据恢复技术研发中心陆续发布了多款自主软件产品。日,达思科技推出了第一款自主知识产权的数据恢复软件D-Recovery Standard;第一款支持exFAT文件系统的数据恢复软件D-Recovery For exFAT;国内第一款真正意义的企业级SQL数据库修复软件D-Recovery For MS SQL Server;中国第一款支持Linux操作系统的数据恢复软件D-Recovery For Linux;这些数据恢复软件,达思科技具有自主知识产权,是多位专家评测后极推荐为迄今为止效果最好的数据恢复软件。  达思科技具有强大的数据恢复工程师团队和售后服务团队,在数据恢复服务外包方面取得了全国第一的市场份额。达思科技为众多世界五百强企业提供数据恢复外包服务,比如中国惠普、埃森哲、西门子、中国石油、巴斯夫、中国工商银行、百度公司、瑞星公司等。数据恢复外包的服务内容包括硬盘数据恢复、数据恢复、数据库修复等,达思科技数据恢复外包服务得到了众多客户的一致认可。  达思科技是多家涉密单位和科研机构数据恢复实验室建设的指定单位,达思科技具备大型、中型和小型数据恢复实验室设计与建设的能力,最近的典型成功案例有天津市国家保密局数据恢复实验室项目、总装备部装甲兵工程学院数据恢复实验室项目、总参谋部某研究中心数据恢复实验室项目等。达思科技数据恢复实验室建设团队将以最专业的作风为每个客户服务。达思科技还代理了国际上众多知名的数据恢复软件、工具、设备以及电子取证产品,如Finaldata、EasyRecovery、R-Studio、UFS Explorer、PC3000、HRT、HD Duplicator、Winhex等。  达思科技与瑞星公司联合开办的瑞星数据恢复培训标准班、达思中级数据恢复技术培训、达思高级数据恢复技术培训等在国内的数据恢复培训市场领先。达思科技数据恢复培训是国内首先提出了对数据恢复培训效果负责。对于中高级数据恢复技术培训的学员来说,达思科技还提供了品牌加盟、创业指导等全方位服务。  达思科技 数据恢复真专家 您的明智之选!  达思数据恢复中心联系方式:010-&&   达思数据恢复软件官方网站:010-&&& &   瑞星数据恢复中心联系方式:400-779-0239&&
  达思数据恢复中心全国上门服务监督电话:  专家温馨提醒如何选择数据恢复公司?  达思科技数据恢复专家团队郑重提醒您,做数据恢复找对公司最重要,重要数据丢失时不要慌乱,更不能随便找个服务商进行数据恢复操作。最好的办法是找可靠的且懂相关技术的人协助寻找数据恢复公司,否则,打电话多咨询几家数据恢复公司问问,尤其是一些数据恢复技术的细节,正规的数据恢复公司会在细节方面非常有经验。达思科技数据恢复专家提醒,数据恢复公司的选择要一步到位,找到最专业的公司,数据恢复才更安全!&
IT168企业级当前位置: →
→ FAT16文件系统手工数据恢复分析
FAT16文件系统手工数据恢复分析
& 作者及来源: 大姚 - 博客园 &
&收藏到→_→:
摘要: FAT16文件系统手工数据恢复分析
"FAT16文件系统手工数据恢复分析"::
根目录项(root entries)为512,每个目录项占用32字节,所以fdt(file directory table)共占用512*32/512=32个扇区。这512个目录项是根目录下所有登记项的总和,包括卷标、子目录和文件。 公式 精确方法:fat扇区数 = (扇区总数+2*每簇扇区数 – 32 – 保留扇区数)/(256*每簇扇区数) 例:fat扇区数 = (-32)/(256*64)= 238.25=239扇区 粗略方法:fat扇区数:fat用两个字节记录一个簇。 例:fat扇区数= 总簇数*2/512 = ()/256 = 238.25 = 239扇区 fat16文件
一个文件或子目录在磁盘上的存储位置(逻辑扇区号)为: 1+2*fat扇区数+fdt扇区数+(起始簇号-2)*每簇扇区数 解释:“1”代表dbr扇区,“起始簇号-2”代表用户文件从2号簇开始计算的。这样的话,第一个文件的起点(第2簇)紧随fdt。 dbr引导 dbr与分区的位置关系 每个分区的dbr都位于此分区的第一个扇区。主分区dbr由mbr来制定,扩展分区由虚拟mbr指定。 dbr与分区表的位置关系 第一个主分区的dbr一般距离mbr的扇区个数为62个(mbr=0, dbr=63),由于每个扩展分区都有一个虚拟mbr,所以每个扩展分区dbr都距离虚拟mbr 62个扇区。 这里再回忆下分区表链的读取方法:主分区直接由mbr表项中的“本分区之前扇区数”来定此文来自: 马开东博客
转载请注明出处 网址:
位; 扩展分区要加上一个偏移,即mbr中制定的 “扩展分区之前扇区数”,而且此偏移在所有的虚拟mbr中都不变(这点有点与想当然不一样~),记住就可以了。 fat(file associate table) fat紧接着dbr扇区存放。磁盘上的每个簇在fat中有且只有一个登记项,表项值有三个状态:占用、空闲或坏簇。fat的位数有12、16和32。12位表项值可表示4096个簇,16位表示65536个簇(一般每簇不多于64个扇区(32kb),这样,fat16最多管理32*65536=2gb)。fat32即使每簇4kb大,也可以管理16tb的分区。 fat文件定位 由fat+fdt来定位。fdt每32个字节表示一个文件。其中最重要的是偏移1a-1b两字节,表示此文件的开始簇号(此簇号有两个用处,一是定位文件的data,二是在fat中找文件的下一簇)。 例子如图:我们找“winhex教程.pdf”,先搜索ascii来到fdt
fat1起始偏移为0x200,文件长度0x86a0f3,因此我们要定位的偏移为0x16b2
我们继续走,发现簇链都是连着的,貌似没有碎片!
ok,winhex教程.pdf的簇范围为:0xa59~0xb66 (2649 ~ 2918簇)
文件长度0xf3a08600,由 可知,每簇64扇区。0,0x86a0f3 mod 0xf3,即最后一簇占用了0x20f3字节。
最后一簇开头截图 0x5b5fe00+0x20f3 = 0x5b61ef3
hash下,发现一模一样。这就对了。 搜索此文相关文章:此文来自: 马开东博客
网址: 站长QQ
FAT16文件系统手工数据恢复分析_博客园相关文章
博客园_总排行榜
博客园_最新
博客园_月排行榜
博客园_周排行榜
博客园_日排行榜

我要回帖

更多关于 linux的文件系统 的文章

 

随机推荐