第4章 数据恢复--手动恢复文件系统.ppt

单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,*,Neusoft Institute of Information,2005,年,4,月,20,日,IT Education&Training,手动恢复文件系统,计算机网络教研室 王 宏,2008,年,10,月,08,日,手动恢复文件系统,手动恢复,FAT16,手动恢复,FAT32,手动恢复,NTFS,1,手动恢复,FAT16,FAT16,的原理,FAT16,下如何查找文件,利用,WinHex,手动恢复,FAT16,删除的文件,WinHex,手动恢复,FAT16,的,DBR,1.1,FAT16,分区的原理,-,各个区域的相互关系,(1)FAT16,分区下的,DBR:,文件系统的参数都记录在,DBR,的,BPB,中,系统依靠它来确定,FAT,FDT,和,DATA,的位置,如下图,:,1.1,FAT16,分区的原理,-,各个区域的相互关系,(2)FAT16,分区下的,FAT,文件分配表,FAT,占用的扇区数量,:(,格式化时确定,),FAT,占用的扇区数量的计算公式,:(,格式化时确定,),1.2 FAT16,下如何查找文件,1.2.1,FAT16,根目录下文件的管理,文件目录表的起始位置,FAT16,下,FDT,项的含义,1.2.1,FAT16,根目录下文件的管理,例子,:,在,FAT16,下 根目录下建立一个文件,file.txt,来分析,FAT16,的,FDT.,参考 教材,1.3,利用,WinHex,手动恢复,FAT16,删除的文件,实验,1.4,WinHex,手动恢复,FAT16,的,DBR,1.4,修改,FAT16,的,DBR,引导扇区中的参数,FAT32,分区被格式化后，在其第一个扇区（,DBR,中存储有,FAT32,分区的系统参数，如果这些参数被破坏，则,FAT32,分区仍然无法正常打开。在不同的,FAT32,分区中，,DBR,中的程序代码是不变的，只时参数不同而已。因此，如果要修复,DBR,，只需要拷贝其他的,FAT32,的,DBR,覆盖，并修改关键参数即可。,在菜单“视图”,-“,模版”中选择“启动扇区,FAT32”,列举了这些参数，其中我们需要修改的有：,扇区数,/,簇：,保留扇区数：,隐藏扇区数：,分区扇区数目,扇区数,/FAT,：,根目录的第一个簇：,2.1 FAT32,原理,FAT32,的组织结构,数据空间的管理方式,FAT,与,FDT,的关系,FDT,2.2 FAT32,下如何查找文件,2.3 FAT32,下恢复删除的文件,文件删除的实质,恢复被删除的文件,2.4,恢复,FAT32,的,DBR,2.3,修改,FAT32,的,DBR,引导扇区中的参数（续）,（,1,）保留扇区数和 扇区数目,/FAT,：,从分区开始到,FAT,的扇区都属于保留扇区，而,FAT,是以,F8 FF,FF,0F,开始的,因此从分区开始往后可以搜索到两个,F8 FF,FF,0F,，这两位置相减即为,FAT,的大小,3.3,修改,FAT32,的,DBR,引导扇区中的参数（续）,（,2,）,根据,FAT,的大小和分区的大小 计算 扇区数,/,簇,：,首先确定这个分区的大小，由于,FAT32,没有明确的结束标志，可以认为下一个分区的开始之前为结束；,因为,FAT,中的每四个字节对应管理一个簇，因此,FAT,可以对应的簇的个数,=FAT,扇区数目*,512/4,FAT,对应管理的空间,分区大小（单位：扇区）,=,簇的个数*,N,N=,分区大小,/,簇的个数 且,N,为,2,的,n,次方,所以,N,就是需要计算的扇区数,/,簇,3.3,修改,FAT32,的,DBR,引导扇区中的参数（续）,（,3,）保留扇区数：,一般表示虚拟,MBR,占用的扇区数，一般为,63,（,4,）根目录的第一个簇,一般为,2,，即根目录的第一个簇也是分区的第一个簇,2.1,修改,FAT32,的,DBR,引导扇区中的参数,FAT32,分区被格式化后，在其第一个扇区（,DBR,中存储有,FAT32,分区的系统参数，如果这些参数被破坏，则,FAT32,分区仍然无法正常打开。在不同的,FAT32,分区中，,DBR,中的程序代码是不变的，只时参数不同而已。因此，如果要修复,DBR,，只需要拷贝其他的,FAT32,的,DBR,覆盖，并修改关键参数即可。,在菜单“视图”,-“,模版”中选择“启动扇区,FAT32”,列举了这些参数，其中我们需要修改的有：,扇区数,/,簇：,保留扇区数：,隐藏扇区数：,分区扇区数目,扇区数,/FAT,：,根目录的第一个簇：,2.2,修改,FAT32,的,DBR,引导扇区中的参数（续）,（,1,）保留扇区数和 扇区数目,/FAT,：,从分区开始到,FAT,的扇区都属于保留扇区，而,FAT,是以,F8 FF,FF,0F,开始的,因此从分区开始往后可以搜索到两个,F8 FF,FF,0F,，这两位置相减即为,FAT,的大小,2.3,修改,FAT32,的,DBR,引导扇区中的参数（续）,（,2,）,根据,FAT,的大小和分区的大小 计算 扇区数,/,簇,：,首先确定这个分区的大小，由于,FAT32,没有明确的结束标志，可以认为下一个分区的开始之前为结束；,因为,FAT,中的每四个字节对应管理一个簇，因此,FAT,可以对应的簇的个数,=FAT,扇区数目*,512/4,FAT,对应管理的空间,分区大小（单位：扇区）,=,簇的个数*,N,N=,分区大小,/,簇的个数 且,N,为,2,的,n,次方,所以,N,就是需要计算的扇区数,/,簇,2.3,修改,FAT32,的,DBR,引导扇区中的参数（续）,（,3,）保留扇区数：,一般表示虚拟,MBR,占用的扇区数，一般为,63,（,4,）根目录的第一个簇,一般为,2,，即根目录的第一个簇也是分区的第一个簇,3,手动恢复,NTFS,NTFS,的原理,NTFS,下如何查找文件,利用,WinHex,手动恢复,NTFS,删除的文件,WinHex,手动恢复,NTFS,的,DBR,3.1 NTFS,的原理,NTFS,的组织结构,元文件,$MFT,$BOOT,3.1 NTFS,文件系统结构分析,NTFS,是 新技术文件系统,(NEW TECHNOLOGY FILE SYSTEM),的缩写,NTFS,卷在文件系统层面同,NTFS,系统是一致的,3.1 NTFS,的,DBR,对于基本分区和简单卷,NTFS,的引导扇区与,FAT32,的引导扇区作用是相同的,.,NTFS,的引导扇区,NTFS,的,DBR,NTFS,的,DBR,参数,3.1 NTFS,的元文件,NTFS,仍然是按簇来划分和管理磁盘空间的,NTFS,文件系统分区的区域划分,NTFS,是由一系列的元文件来组织磁盘空间的,按簇来划分和管理磁盘空间,NTFS,文件系统分区的区域划分,NTFS,是由一系列的元文件来组织磁盘空间的,3.1 NTFS,的元文件与,DBR,参数的关系,$MFT,元文件的起始簇号,-DBR,$,MFTMirr,元文件的起始簇号,$boot,沿文件占用,0-15,扇区,DBR,$boot,$MFT,15,扇区,0,扇区,$MFT,元文件的起始簇号,3.1 MFT,中的文件和文件夹记录,将文件作为属性,/,属性值的集合,将文件夹作为文件名和文件索引的集合,NTFS,的常用属性,3.1,常驻属性与非常驻属性,例,:,建立一个小文件,使其能数据属性存放在,MFT,中,目录属性,大的文件属性,大的目录属性,3.1$MFT,文件分析,$MFT,的首扇区,3.1$MFT,文件分析,文件记录头分析,3.1$MFT,文件分析,标准属性分析,标准属性的属性头结构,:,标准属性的属性结构,:,3.1$MFT,文件分析,文件名属性分析,文件名属性的属性头结构,文件名属性的属性结构,3.1$MFT,文件分析,数据流属性分析,数据流属性的属性头结构,数据流属性的属性结构,举例说明,$MFT,和,$SECURE,元文件的数据流属性,3.1$MFT,文件分析,位图属性分析,位图属性的属性头结构,3.1 NTFS,的其他元文件分析,$,MFTMirr,$,LOGFile,$Volume,$,AttrDel,根目录,$Bitmap,$Boot,$,BadClus,$Secure,$,UpCase,$Extend,$,Objid,$Quota,$Reparse,$,UsnJml,3.1 NTFS,的其他元文件分析,-,根目录,根目录属性,类型,描述,名称,0 x10,标准信息,标准属性,0 x30,文件名,.,0 x50,安全描述符,描述安全信息,0 x80,数据,$,MountMgrDatabase,0 x90,索引根,$I30,0 xA0,索引分配,$I30,0 xB0,位图,$I30,3.1 NTFS,的其他元文件分析,-$Bitmap,属性结构,类型,描述,名称,0 x10,标准信息,标准属性,0 x30,文件名,$Bitmap,0 x80,数据,3.1 NTFS,的其他元文件分析,-,根目录,根目录属性,类型,描述,名称,0 x10,标准信息,标准属性,0 x30,文件名,.,0 x50,安全描述符,描述安全信息,0 x80,数据,$,MountMgrDatabase,0 x90,索引根,$I30,0 xA0,索引分配,$I30,0 xB0,位图,$I30,3.1 NTFS,的其他元文件分析,-$Bitmap,属性结构,类型,描述,名称,0 x10,标准信息,标准属性,0 x30,文件名,$Bitmap,0 x80,数据,3.1 NTFS,属性分析,属性类型,名称,适合的操作系统,0X10,标准属性,0X20,属性列表,0X30,文件名,0X40,卷版本,WINDOWS NT,0X40,对象,ID,WINDOWS 2000,0X50,安全描述符,0X60,卷名,0X70,卷信息,0X80,数据,常用属性列表,属性类型,名称,适合的操作系统,0X90,索引根,0XA0,索引分配,0XB0,位图,0XC0,符号连接,WINDOWS NT,0XC0,重解析点,WINDOWS 2000,0XD0,扩展信息,0XE0,扩展,0XF0,特权设置,WINDOWS NT,0X100,日志流,WINDOWS 2000,常用属性列表,3.1 NTFS,属性分析,标准属性头,3.1 NTFS,属性分析,标准属性,$STANDARD_INFORMATION(0X10),3.1 NTFS,的索引记录与目录,根目录的文件索引结构,根目录在,$MFT,中的文件记录结构,分别分析,0X10,0X30,0X50,0X90,0XA0,0XB0,索引记录的结构,标准索引头,索引项,索引项,索引项,索引项的添加与删除,3.1,可恢复损坏文件的实现,日志文件服务,日志记录类型,:,更新记录和检查点记录,可恢复性实现,:,分析扫描 重做扫描 撤消扫描,日志文件,$LOGFILE,3.1,数据压缩,3.1 NTFS,坏簇恢复支持,3.1 NTFS,安全性支持,3.1 LDM,管理,(,略,),3.2 NTFS,下如何查找文件,3.3,利用,WinHex,手动恢复,NTFS,删除的文件,3.4,修改,NTFS,的,DBR,引导扇区中的参数,NTFS,分区被格式化后，在其第一个扇区（,DBR,中存储有,NTFS,分区的系统参数，如果这些参数被破坏，则,NTFS,分区仍然无法正常打开。,在不同的,NTFS,分区中，,DBR,中的程序代码也是基本不变的，只时参数不同而已。因此，如果要修复,DBR,，只需要拷贝其他的,NTFS,的,DBR,覆盖，并修改关键参数即可。,在菜单“视图”,-“,模版”中选择“启动扇区,NTFS”,列举了这些参数，其中我们需要修改的有：,扇区数,/,簇,$MFT,第一个簇,$,MFTMirr,第一个簇,分区大小（扇区数目）,簇数目,/,索引块,3.4,修改,NTFS,的,DBR,引导扇区中的参数（续）,（,1,）计算,$MFT,第一个簇、簇大小,因为,$MFT,中存储的是文件记录，是以,FILE0,开始的，且第一记录就是,$MFT,自身的文件记录。所以从分区开始搜索,FILE0,，找到,$MFT,的自身的文件记录,1,、文件记录头标志,2,、,$MFT,的文件名,4,、,$MFT,的第一个簇就是,6AAA,，大小,60,个簇。注意顺序，而且是十六进制,3,、,$MFT,的文件的大小，单位是字节,3.4,修改,NTFS,的,DBR,引导扇区中的参数（续）,从上图中的,1,、,2,中，我们可以确定,$MFT,的文件记录头,从上图中的,4,中，可以计算处,$MFT,的第一个簇,从上图中的,3,、,4,中，可以计算簇的大小，因为,3,、,4,中给处了,$MFT,的字节数和簇的个数。,3.4,修改,NTFS,的,DBR,引导扇区中的参数（续）,（,2,）确定,$,MFTMirr,第一个簇,采用类似确定,$MFT,第一个簇的方法,（,3,）确定,NTFS,分区的大小,NTFS,分区的结束扇区同,DBR,一样，可以通过搜索确定,（,4,）簇数目,/,索引块 一般为,2,的,n,次方，,n=1-3,$MFT,中的,5,号记录,即,$Root,元文件的文件记录中的,90,属性记录了索引块的大小,(,第,3,行的倒数第,4,个字节,),