数据在硬盘中的存放技术.pdf

数据在硬盘中的存放w术硬盘是用来存放数据信息的。为了使用和管理上的 方便，这些数据信息又是以文件的形式存放在磁盘 上。要对硬盘进行有效的管理和数据维护就要求用 户必须深入了解数据文件在硬盘上是如何存放的。我们主要介绍在PC机上使用最为广泛的操作系统DOS/Windows 所支持的FAT（FAT16、FAT32和NTFS）文件管理系统对硬盘数据信息 的组织方式以及硬盘上的系统信息结构。硬盘数据的组织与存储方式硬盘的磁盘片经格式化后被划分成物理扇区，知道 磁面、磁道、扇区3个参数就能确定磁盘的物理位 置。但是在进行数据存取的时候操作系统不仅要确 定将数据存放在磁盘的物理位置，而且还要确定它 们的逻辑存放位置。文件管理系统把存储空间组织 成物理位置并提供一种机制对存放于这些位置上的 数据进行索弓。同时，建立按层次安排的索引关系,将磁盘的物理扇区转换成逻辑扇，再把数据分配到 逻辑扇区位置。在FAT文件系统的管理下磁盘数据的存储方式有磁 盘数据的物理存储和磁盘数据的逻辑存储之分。1.磁盘数据的物理存储 通过格式化操作，系统将磁盘片划分成磁面、磁道和扇区。每 个磁面上含有相同的磁道数，每个磁道上亦含有相同数目的扇 区数，每个扇区都包含512字节数据信息。一个或若干个扇区被组织成一个“簇”(Cluster)o 扇区是存储信息的最小单位，簇是文件数据读写操作的最小单 位。在硬盘中每簇所含的扇区数与逻辑盘的容量有关。常用软盘的每簇扇区数为 1360KB软盘：2扇区每簇12MB软盘:扇区每簇，二1.44MB软盘：1扇区每簇2.逻辑扇区及物理扇产我们可以用“磁面、磁道、扇区”3个参数 来表示磁盘上的某一个区域，用这种表示方-法标示的磁盘扇区我们称之为物理扇区。二为了文件操作上的方便，磁盘在进行数据读 写操作的时候，操作系统并不是直接使用物 理扇区进行分配的。它是用一个数字来表示 分配的扇区，这个数字称为逻辑扇区数。逻辑扇区编号原则是尽量减少磁头移动次数。硬盘的物理扇区与逻辑扇区 柱面(Cylinder)由于硬盘的盘体是由多个盘片重叠在一起构 成，每个盘片的每个面都被划分成不同半径 的同心园磁道，整个盘体中所有磁面的半径二相同的同心磁道就称为“柱面”。二 逻辑盘容量划分时用柱面数而不用磁面数。硬盘的物理扇区与逻辑扇区 磁头(Head)硬盘的盘体是由多个盘片重叠在一起构成的。硬盘“磁面”的概念是指一个盘片的两个面，其编号方 式为：第一个盘片的第一面为0,下一面为1；第 二个盘片的第一面为2,下一面为3；其余依次类 推。在硬盘中一个磁面对应一个读写磁头。所以一 般来说在对硬盘进行读写操作时，不再称磁面0、磁面、磁面2而是称其为磁头0、磁头1、磁头2。硬盘的物理扇区与逻辑扇区 老式硬盘是每个磁道扇区数相等，造成数据浪费。等密度结构硬盘是指由于硬盘外圈磁道的扇区比内 圈磁道多。采用这种结构后硬盘不再具有实际的3D（柱面、磁头、扇区）参数，寻址方式也改为线性 寻址即以逻辑扇区为单位进行。为了与使用3D寻址的老软件兼容，在硬盘控制器 内部安装了一个地址翻译器由它负责将老式3D参数 翻译成新的线性参数。这也是为什么现在硬盘的3D 参数可以有多种选择的原因（不同的工作模式，对 应不同的3D参数。例如LBA、LARGE、和 NORMAL）o物理扇区与逻辑扇区的对应关系使用逻辑扇区的原因有两个:其一是逻辑扇区的概念可在硬盘读写操作时脱离柱 面、磁头和扇区的3D硬件参数的概念。DOS/Windows操作系统假设硬盘的全部存储区域都由 一系列的扇区组成，每个扇区固定地包含512个字 节。另一个原因是在硬盘中每4、8、16个或更多的扇 区组成一个簇，在对一个具体的簇进行读写操作时,操作系统划分一个一维数据的逻辑扇区号要比指出“簇200”在“柱面40、磁头2、扇区5-12”要简 单一些。如果一个簇的扇区跨越在两个盘面即两个磁 头之间用“柱面、磁头、扇区”的表示方法就更复杂 To物理扇区与逻辑扇区的对应关系 我们以一个具有4磁头、每道17个扇区的硬盘为例，来说 明逻辑扇区的编号方式：柱面0、磁头0、扇区1为硬盘的主引导扇区（MBR,这部分区域是操作系统不可存取的。逻辑扇区从DOS分区空间的起始处（例如柱面0、磁头1、扇区1 开始编号，该磁道上的1 17扇区的逻辑扇区号 为0 16。然后DOS移到柱面0、磁头2、扇区1开始编号，该磁道 上的1 17扇区的逻辑扇区号为17 33。然后再移到柱面1、磁头0,继续编号过程，直到硬盘最 后一个柱面（盘体的最内圈）的最后一个磁头（该例是磁 头3）的最后一个扇区。4磁头、17扇区FAT16结构的硬盘物 理扇区和逻辑扇区编号对照表柱面磁头扇区比再用B刎勺001主引导记录（MBR 扇区001 7空闲扇区1，|/口，刁刁 E_0110扇区（DBR 0 一1 12 17第1 16扇区o 一2 1 17 第17 33扇区0Q1 17 第R4 50扇区vjt v J w J 1 J/Xi 1/、/I Q 1 vx vx 1-1o151扇区vJ 1/刁力|八,簇及簇大小的确定 如果逐个扇区地存储数据文件并保存文件位置信 息，则效率太低。在实际使用中FAT文件系统将 磁盘上一个或若干个扇区组织成一个“簇”(Cluster),簇是文件系统进行数据读写操作 的最小单位。也就是说数据文件在磁盘上是以簇为单位，而不 是以扇区为单位存放的。一个文件可占用一个或多个簇但至少占用一个簇。例如若有一个长度为100字节的文件存放在2扇 区/簇的磁盘，上则此文件将占用1024字节的磁 盘空间，而不是仅占用100字节的磁盘空间。硬盘物理地址及逻辑地址之间的转换从物理地址计算逻辑地址：逻辑扇区=NH xNS x(C-C1)+NS x(H-H1)+(S-S1)其中：符号C、H、S表示硬盘的柱面、磁头和扇区;C1=第一个逻辑扇区的柱面数H1=第一个逻辑扇区的磁头数S1=第一个逻辑扇区的扇区数NS=每磁道的扇区数NH=硬盘的磁头数例如设有一个4磁头，每磁道17个扇区的硬 盘，其中有一个逻辑硬盘D:,它的第一个扇区在 硬盘的柱面120、磁头1、扇区1上，即C1=120H1=1S1=1NS=17NH=4则柱面160、磁头3、扇区6的逻辑扇区号为：逻辑扇区=4 x17 x(160-120)+17 x(3-1)+(6-1)=2759,即逻辑扇区号为2759。从逻辑地址计算物理吵址C=(LS div NS)div NH)+C1 H=(LS div NS)mod NH)+H1 S=(LS mod NS)+S1逻辑地址逻辑扇区号(用LS表示)(div作除法后取整mod作整除后取余数例如 仍然假设有一个4磁头，每磁道17个扇区的硬盘，其中的一个逻 辑硬盘D,它的第一个扇区在硬盘的柱面120、磁头1、扇区1 上，即 C1=120 H1=1 S1=1 NS=17 NH=4 现在要求出D盘上逻辑扇区2757即LS=2757的物理地址，计 算如下 C=(2757 div 17)div 4+120=160 H=(2757 div 17)mod 4)+1+3 S=(2757 mod 17)+1=4 即逻辑扇区2757的物理地址是柱面160、磁头3、扇区4。硬盘的数据结构 刚刚从厂商处购来的新硬盘是所谓的“盲盘”，既 无任何数据，也不可能写入任何数据，必须先进行 低级（物理）格式化、FDISK分区、FORMAT高 级格式化后方可使用。而在分区和高级格式化的过程中，就建立起了相应文件系统的组织结构。一个完整硬盘的数据应该包括五部分：MBR,DBR,FAT,DIR区和DATA区。其中只有主引导 扇区是唯一的，其它的随你的分区数的增加而增加。硬盘的数据结构 低级格式化对硬盘划分磁道和扇区，在扇区的 地址域上标注地址信息，并剔出坏磁道。FDISKFDISK分区的作用是将一个物理盘划 分一个主分区和一个扩展分区，然后再将扩展分区 划分成一个或多个逻辑盘。在硬盘上建立分区表的 同时，FDISK把主引导记录MBR写到硬盘的主引 导扇区（柱面0、磁头0、扇区1）,并激活一个 用户指定的分区。硬盘中的数据组织 FORMAT在DOS分区空间划分逻辑扇区、生 成DOS引导扇区（即逻辑0扇区）DBR,文件分 配表（FAT）和根文件目录表（FDT）o 硬盘在DOS/Windows的管理下，数据信息由 MBR、DBR、FAT、FDT和数据区5个部分组 成。硬盘上各数据区结构示意图 硬飘T16文件系统的数据组织结构MBR DBR FATi FAT2根目录FDT数据区“I 扁1扇区开始从逻辑喝区开始。在、。头、1扇区硬盘FAT32文件系统微翻织结构而 DBR皿蝠1本保留扇区FATI FAT2根目录FD”数据区1,|从逻辑6扇区开始从逻辑32扇区开始从逻辑喝区开始。柱、。头、1扇区硬盘主引导记录MBR 主引导扇区位于整个硬盘的0磁道0柱面1扇区（俗称“零磁道”位置），包括硬盘主引导记录MBR Main Boot Record 和 分区表DPT Disk Partition Table,该记录占用512个字 节。主引导记录的作用 就是检查分区表是否正确以及确定哪个分区为引导分区，并在 程序结束时把该分区的启动程序（也就是操作系统引导扇区）调入卤存加以就行。分区表DPT,以80H或Q0H为开始标志，以55AAH为结束标 志，共61字节，位宇本扇区6勺最东端。MBR是由分区程序（例如DOS的Fdisk.exe 产生的，不同的 操作系统可能这个扇区是不尽相同。为什么能实现多系统启动？为什么出现引导区病毒？MBR的读取硬盘的引导记录MBR是不属于任何一个操作系统，也不能用操作系 统提供的磁盘操作命令来读取它。但我们可以用ROM-BIOS中提供 的INT 13H的2号功能来读出该扇区的内容。也可用Norton中的 DISKEDIT.EXE等工具软件来读取。用I NT 1 3H的读磁盘扇区功能的调用参数如下 入口参数AH=2指定功能号 人1,=要读取的扇区数 DL=磁盘号0、1 软盘；8081硬盘 DH=磁头号 CL高2位+CH=柱面号 CL低6位=扇区号 CS:BX=存放读取数据的内存缓冲区地址 出口参数CS:BX=读取数据存放地址 错误信息如果出错CF=1,AH=错误代码用DEBUG读取位于硬盘0柱面、0磁头、1扇区的操作 A DEBUG/-A 100/汇编一段小程序 1BD4:0100 B80102 MOV AX 0201/读 1 个扇区 1BD4:0103 BB0010 MOV BX 0000/置内存缓冲区为 CS:0000 1BD4:0106 B90100 MOV CX 0001/读0 柱面 1 扇区 1 BD4:01 09 BA8000 MOV DX 0080/指定第一物理盘的0 磁头 1BD4:010C CD13 I NT 13/1BD4:010E CC INT3/程序结束 1BD4:010F/-G=100/执行以上程序段-D 0000 01 FF/显示512字节的MBR内容MBR的组成结构图ooooMaster Boot Record主引导程序-r 主弓导 程序0088 008901BD01BOlCO 01C011)0 owe01ED 01BE01FD01FE01FF出错信息数据区分区攻1416字节）分区攻2 a个节）分区 3(istr分区m4416字节55 AA图2 5 MBR的组成结构图分区表结束标志MBR的组成结构图MBR程序代码分区表标志位446 bytes16 bytes 2 bytes活动开始的CHS数分K类，结束的.CHS数分区前的娟区总数分区拘城区总数1 byte3 bytes1 byte3 bytes4 bytes4 bytes106C：0100106C：0103106C：0106106C：0109mov ax,0201 mov bx,0200106C：010C106C：010Emov mov int intex,0001dxj 00801320106C：0110-g.ogram terminated normally-d 200 3ff106C:0200106C：021033 COBF IB106C：0220106C：0230106C:0240106C：0250106C：0260106C：0270106C：0280106C：0290106C:02A0106C：02B0106C：02C0106C：02D0106C：02E038 EE 3C962C83008E 06 7CC6 74DO 500910BC 57 7549106C：02F0106C：0300106C：0310106C：0320106C：0330106C:0340106C：0350106C：0360 106C：0370 106C：0380 106C：0390 106C：03A0 106C：03B0 106C：03C0 106C：03D0106C：03E01O6C：O3FO8A 46FA BB3A C4 7541 CD 13OB 8A EOOA 00 25 03AA 74 8A 98B84E042B588801025A 8391D5 4F 7456 33 50 52OA 40 6E 76 20 74 64 69 79 73 65 72000000000000014100000000000000E7F6B8756161 6E7461 0000000000 00OBIB52 E456 00 01 6C62 67 6574 00 008B 00 00 00 FEB4 如 72 56 02 CD00 B9 15 74 07 06 C6 16 24 8B 13EF 059933564242696C206D690000FC000000037C FB-50 E5 01-F3 83 C6-10 16 38-2C 00 B4-0E 3C OE-74 46 25-06 81 FB-55 C7 06-Al DC 33-C9 72 29-BE 7F DA-85 46 08-13CO CD 13-EB 52 50 06-53 8A 56 24-CD 80 C7 O2-E2 64 20 70-61 65 00 45-72 6F 70 65-72006E0000IE0000007F E6FE BF 654D 69-7367 20-73 00 00-00 00 00-0057 8B-F5 00 00-00 00 00-00。0 00一0。3F 00-00 27 61-7707 A4 E2 74 CD 117550 CB F5 F6 10 B4 24IF FCBE BECD 18BE 10EB F2OB 3CBE 078B 07IB Bl14 4E7C 04 8B AC89 46 25OCAA 75068346F656B85113F77272617379 00 00 CB 00 00 00 00 00EBEB AA 55 10 F6 Cl IE 88 66FF 05 7F 0307 81 3E 75 83 BE OA E8 1200 00 80BE 10 005A 58 8DF8 5E C3 74 69 74 6F 72 20746973000000000000E869 6E6E 6774 6500 0000 0000 0000 0000 00FE 2700455664EB69 6C6720 6D 00 00 00 00 00745001048B7D0705 B4 74 BF 4E 55 EB5A EB418B 10 7410 F472 496F 6E6F 6120 736F 7000000000000000000000000000 00 00 80 0160 77 00 00 00BF 21 IF 00 00 0081 66 OF FE FF FF 06 82-96 00 15 ID CC 01 00 00 00 00 00 00 00 00 00 00-00 00 00 00 00 00 55 AA3.|.P8 J.u.p.I.It.8,t.N.tF.t.F%.U.Ot.3.u.V.Z.EA.V3.WRP.SQV.PR.B.V$.u.B.ZX.d.r.tlnvalid partition table.Error loa ding operating s ystem.Missing op erating system.W,QA.e aw.wU.MBR的组成主引导程序（偏移地址0000H0088H 检查分区表是否正确并且在系统硬件完成自检以后引导具有活 动标志 80H 的分区上的操作系统，并将控制权交给活动盘 上的操作系统的启动程序。出错信息数据区（偏移地址0089H00E1H 为出错信息，10E2H 10BDH全为0字节。分区表（DPT,Disk Partition Table。含4个分区项（偏移地址01BEH01FDH,每个分区 表项长16个字节，共64字节为分区项1、分区项2、分区项3、分区项4）o 16个字节含义详见下表 结束标志字（偏移地址01 FEH 01FFH 2个字节值为结束标志55AA,如果该标志错误系统就不能启动。分区的入口位置四个分区的入口位置2偏移量.，内容说明大小2OOOhp执行代码（启动计算机用）卡446 Bytes1BEh第一个分区入口C 二16 Bytes-1CEh.第二个分区入口，16 Bytes-IDEM第三个分区入口16 Bytes1EEhp第四个分区入口16 Bytes-1FEhpMBR分区标志 55h AAh2 BytesMBR中的分区表信息结构（16个字节含义）存贮字节位内容及含义第1字节引导标志。若值为80H表示活动分区，若值为00H表示为非活动分区。第2、3、4字节本分区的起始破头号、扇区号，柱面号.其中碱头号一第2字节，扇区号一第3字节的低6位：柱面号一为第3字节高2位+第4字节8位.第5字节分区类型符.00H 表示读分区未用即没有指定）：06H FAT 16基本分区10B1IFAT32基本分区105H 扩展分区：07H-NTFS 分区OFH XLBA模式）扩展分区 83H为Linux分区等）.第6,7,8字节本分区的结束磁头号、扇区号、柱面号；其中：磁头号一第6字节扇区号一第7字节的低6位柱面号一第7字节高2位十第8字节8位.第9、10,H,12字节本分区之前已用了的扇区数第 13,14,IS,16 字节本分区的总扇区数常用分区类型如下所示2数值内容说明一OOhc未知类型或不用01h12BIT的FAT格式.04h/16BIT_FAT表，磁盘空间小于32M,05h-扩展MS_DOS分区。06h16BIT空间大于32MBeOBM使用32BIT.FAT表，磁盘空间最大2GBeOChp使用32BIT_FAT表，采用LBA模式，调用INT13扩展中断OEh，使用16BIT_FAT表，调用INT13扩展中断OFh扩展MS_DOS分区，采用LBA模式，调用INT13扩展中断。07%NTFS 分区(New Techno logy File System)r82hLinux分区2831VLinux交换分区一分析硬盘分区表的内容定义 其中从地址地03BE处的80开始到地址03FD处结尾，其间就是所谓的硬盘分区表，共64个字节，每个分区占16 个字节。也就是说不管硬盘有多大，最多也只能有四个主 分区（扩展分区也是一个主分区）。我们通常在Wl N98下使用FDISK分区工具分区时，只分了一个活动分区和一个扩展分区。从上面的分区表的内容我们可以看出，这个硬盘一共有3个主分区，两个0B分区（其中一个是隐含的，即在 WIN98和其他操作系统中是不可见）和一个0F扩展分区。分区表中的“80 01 01 00 OB FE 7F E6 3F 00-0000 E8 60 77 00”这一段内容就表示第一个主分区参数。分析硬盘分区表的内容定义 偏移地址BEH：80表示当前分区为活动状态(如果该块硬盘不只有一个主分区，那么该位置的80H也可能是00H)偏移地址BF C1H：01 01 00表示起始的磁头1柱面1,扇区数0 偏移地址C2H：0B表示该分区是FAT32磁盘格式 偏移地址C3HC5H：FE 7F E6 表示结束的磁头254D柱面486D 扇区数63D 偏移地址C6HC9H：3F 00 00 00表示该硬盘有0000003FH(63D)个隐含扇区(也就是硬盘主引导区所在的0道。面的全部扇区)偏移地址CAHCDH：E8 60 77 00表示该分区的全部扇区数(7760E8H=7823592D)注意：1)界区表中的内容全部是十六进制，并且高位在前，低位在后。2)偏移地址C2H表示的分区类型常用的，04,05,06,OB,0C,0F,07等，如果把其前面的0改为1即，14,15,16,1B,1C,1F,17就表示该 分区为隐含分区。MBR的主要功能及工作流程 启动PC机时，系统首先对硬件设备进行测试，测试成 功后进入自举程序。然后读系统磁盘0柱面、0磁头、1扇区的主引导记录MBR内容到内存指定单元 0:7C00首址开始的区域，并执行MBR程序段。硬盘的引导记录MBR是不属于任何一个操作系统的，它先于所有的操作系统而被调入内存并发挥作用，然后 将控制权交给主分区活动分区内的操作系统，并让主 分区信息表来管理硬盘。所以病毒常常破坏这部分重要 数据。MBR程序段的主要功能如下：检查硬盘分区表是否完好；在分区表中寻找可引导的活动分区；将活动分区的第一逻辑扇区内容装入内存在DOS/Windows 分区中此扇区内容称为DOS引导记录DBR。关于硬盘逻辑锁的讨 1.硬盘逻辑锁加锁的原理 2.硬盘逻辑锁加锁的方法 3.造成硬盘被锁的原因 4.解锁的原理 5.解锁方法硬盘逻辑锁加锁的原理 一个完整的硬盘锁程序，就是人为的改写0柱面0磁头1扇区的 引导程序，并将分区表破坏，并故意制造一个循环分区表，而 将真正的硬盘分区表参数和引导程序放在其它隐藏扇区并保护 起来。在从自身启动时校验口令是否正确，如果口令不正确则 无法启动电脑；如果口令正确，则把硬盘分区的内容改为正常 值读入内存，这时系统就可以顺利启动。对于加锁的硬盘，即 使我们把它放到别的机子也是不能启动的。没有密码您无法读 取硬盘中的信息和数据，这对于保护硬盘中的数据是一种非常 好的办法。但是如果想更安全，就必须把硬盘分区表中的内容 进行加密存储，那时即时您使用这里介绍的方法启动电脑了，也无法正确读取硬盘分区表中的内容。要想读取就必须了解程 序的加密原理，然后解密。硬盘逻辑锁加锁的方法 1）如果“55AA”的内容丢失，计算机不能从硬 盘启动，系统提示：“DISK BOOT FAILURE,INSERT SYSTEM DISK AND PRESS ENTER二 但是我们即使从软盘启动，也没有 硬盘，用FDISK/STATUS命令显示硬盘未使用。还有，如果硬盘分区表中的活动标志都为“00H”时，这时硬盘也是不能启动的，但是由 其他盘启动后，可以正常读取硬盘文件。硬盘逻辑锁加锁的方法 2）如果将硬盘分区参数全部变为0,这 时由于没有分区参数存在，从硬盘是没法 启动系统，这时从软盘启动后也无法认硬 盘，这时系统认为硬盘是新的。当你敲入 盘符C：并回车，将出现提示“Invalid driver specification。不过，我们还能 够启动我们的计算机。硬盘逻辑锁加锁的方法 3）如果将硬盘分区表参数改成一个循环链，即将D 分区起始柱面，扇区数，磁道数指向C分区开始的 起始柱面，磁道数，扇区数。当计算机启动时，主 引导程序分析硬盘分区表时就进入死循环状态，计 算机无休止的读取分区信息。这时无论我们是从硬 盘启动还是从软盘启动，到检测硬盘那一步就死机。具体表现为当出现Update DMI data”后，计算 机只有光标闪烁，没有其他任何反应。但是这种做 法如果想恢复硬盘数据时也比较麻烦，在操作前必 须对硬盘的主引导区数备份。这种方法只是部分硬盘能够被锁住。硬盘逻辑锁加锁的方法 4 通常的硬盘逻辑锁是将硬盘0柱面0磁头1扇区的1BF 处改为01H改为00H,这就是把第一个主分区C盘的起 始磁头数改为00,表示C盘从0面0道0区开始，这时计 算机在启动时便进入死循环状态。这种加锁硬盘的好处 时，可以方便的改回正常状态。这种方法只要一改过存锁后重启计算机后肯定锁上，大 多数逻辑锁都采用这种方法，恢复也很简单，只要把 00H改为01H,再才巴05H改为0BH或0CH就可以了。有的加锁程序如恢复精灵和硬盘锁等程序不但把1 BF处 的01H改为00H,还同时把1C2处的值改为05H（该处 的值一般为0BH或0CH 硬盘逻辑锁加锁的方法 5）如果某个主分区的06-09表示该分区之前的 扇区总数不等于前面分区的扇区总数加上隐含 扇区总数，这时硬盘从自身可以启动，但不能:从软驱，光驱启动，也不能挂在别的硬盘启动。这种故障产生的原因是在计算机工作过程中，因为外界的强脉冲干扰或意外的掉电可能会造 成硬盘分区表中的数据改变。这种锁法只对部 分硬盘有效，有的硬盘改过后不影响正常使用，可以照常读写。硬盘逻辑锁加锁的方法 6）我们也可以把磁盘空间大于2G的FAT32 格式的硬盘设置为FAT1 6的04,05,06格式,=人为的造成硬盘错误。-7）我们也可以把硬盘的终止扇区号，柱面 号，磁头号改为其他分区的终止扇区号，柱 面号，磁头号。8）将扩展分区表中的某个分区的首尾指针重新指向其前面的分区的首尾指针。造成暨被锁的原因 1）使用硬盘加密软件后，忘记进入密码。I 口 2）接收了具有恶意破坏功能的电子邮件。：口 3）病毒感染。1 4）使用硬盘分区工具软件时意外掉电或关|机或死机。解锁的原理 在WIN98中只有一个IO.SYS,而在MS DOS中有IO.SYS和 MSDOS.SYS。IO.SYS文件是输入输出管理文件(Input and Output)，它包含LOADER、101、102、103西个模块,其中101中包含有一个很关键的程序Syslnt I,它在启动中很 固执，非要去读分区表，而且不把分区表读完誓不罢休。如果 碰上分区表是循环的，它就只有死机了，这是MS DOS的脆弱 性和不完备性。DOS为了获得硬盘使用权必需读分区表参数，而且DOS还约定驱动器号不能超过26,这是系统的设计者没有 考虑到此等循环分区表的严重后果。注：如果我们把加锁的硬盘挂在WINDOWS 2000系统下就可 以正常启动，并可以通过WINDOWS 2000的磁盘工具将有问 题的分区表进行修复。如果在计算机从软盘启动过程中，我们人为的改动系统文件，不允许系统在启动过程中读取硬盘分区表中的内容也就是跳过 正常的硬盘检测功能，这时我们可以启动计算机了。解锁方法 1）用DEBUG制作特殊的启动软盘 2）直接修改MSD0S622或者WIN98的IO.SYS 文件制作特殊的启动盘-3）利用DEBUG的来查看和改写硬盘主引导区 的内容-4）利用KV3000等硬盘盘工具来查看和修改 二硬盘的主引导区的内容 5）利用磁盘低级工具来修改解锁方法 6）对于被加锁的硬盘，可以把其挂在WIN2K的系统 中，因WIN2K的启动原理与WIN98不同，不会影响系 统启动，只是启动后，会认为被锁的硬盘是一个会被分 区的新硬盘。你重新分区即可，不过盘上的数据将会全 部丢失。7）使疝DM等具有低级格式化功能的软件，同时 CMOS中将被锁硬盘的端口设为NONE,启动系统后进 入DM选低格找到该硬盘，对其硬盘前面进行低格即可。不过你的数据会无法保留。有的硬盘如此操作系统会找 不到你需要的硬盘，这时你必须热拔插才行。8）有的网站上介绍用上述的16或32进制编辑器，在 IO.SYS文件中查找“55AA”，然后将其改为“0000”后，用该文件做系统盘即可正常启动启动，但是硬盘的 文件无法读取。引导记录DBR及其功能 经由FORMAT高级格式化写到该扇区的内容称为DOS引导记 录DBR,其主要功能是完成DOS/Windows系统的自举。通常位于硬盘的0磁道1柱面1扇区（这是对于DOS来说的，对 于那些以多重引导方式启动的系统则位于相应的主分区/扩展分 区的第一个扇区）DBR程序段所要完成的主要任务如下；重新设置引导驱动器；将根目录的第一个扇区（即根目录FDT中的前16个文件项）装载到内存；检查FDT中的前两个文件是否DOS的两个系统隐藏文件将其中一个系统隐藏文件IO.SYS装载到内存；将控制权交给该系统隐藏文件IO.SYS；文件分配表FAT FAT(File Allocation Table)一即文件分配表，是DOS/Win9x系统的文件寻址系统，一 用来给每个文件分配磁盘物理空间的表格，它告诉操作 系统文件存放在磁盘的什么地方。,为了数据安全起见，FAT一般做两个，第二FAT为第一 FAT的备份，FAT区紧接在DBR之后，其大小由本分区的一 大小及文件分配单元的大小决定。一 Microsoft的DOS及Windows采用我们所熟悉的 FAT12、FAT16和FAT32格式，但除此以外并非没有其 它格式的FAT,Windows NT OS/2、UNIX/Linux、Novell等都有自己的文件管理方式。FAT表的大小及位置 FAT在磁盘上是安排在紧接DOS引导扇区DBR 之后的。在FAT16系统中它总是从磁盘的逻辑1 扇区开始。在磁盘上共有FAT表的两个拷贝（一个是基本FAT 表“FAT1”另一个是FAT表的备份FAT2”），两 者在磁盘上前后紧排在一起，其大小根据分区的大 小不同而变化。FAT表之后紧接着是根目录，根目录之后是数据区。FAT表和数据的存储原则文件的簇号链FAT表项：该磁盘文件所占据的逻辑空间:，斩鹰.Bn2t该磁盘文件所占据的物理空间：第M谖文件所占据的物理空间 不一定迩腰.4 n31图29 FAT表中的文件簇标对应关系示意图nluMun3匚热2文件分配表中每个簇号可取的表项值 及其含义_H-U、_Jx、，AzTrn4H d 0 AM入；工rh彳41 A AtTrn 4 Q 0 彳，箴:描1术彳三目冷Vnnni-innnni-innnnnnnni-in指生麻陆田、nm H-FFFHOOD1HFFFFHnnnnnnm H一个簇号（日占用）u u 1 n 厂匚厂口u u u 1 n 厂厂匚厂口u u u u u u u 1 nI n矢勺 一L n m 7 FFFFFFEFHFFO H FF6 HFFFOH FFF6HFFFFFFFOH保留1 1 w 1 1 1 1 V/1 11 1 1 w 1 1 1 1 1 w 1 11 1 1 1 1 1 1 w 1 1不出匚匚匚匚匚匚匚公LJFF7HFFF/HFFFFFFF/H坏簇71/J7vFFRH-FFFHCCCOLI FFFFHFFFFFFFRHFOF（十件幺吉甫簇）1 1 0 1 1 1 1 1 1 11 1 1 0 1 1 1 1 1 1 1 11 1 1 1 1 1 1 0 1 1匚o厂 i 乂 I十土口木年1 FFFFFFFFHFAT表登记项与文件的簇链关系 以FAT1 6文件系统的16位登记项为例，文件寻找簇链的计算步 骤为 假如我们已经从文件目录表FDT中查得该文件的起始簇号；将该起始簇号换算为10进制数a,a即为查找下一簇号的本簇号;aX2（若是12位FAT项，贝gX1.5的乘积取整）即得到FAT 中的相对位移b,该位置即存放文件簇链的下一簇号；从该相对位移b开始取一个字（低位在前，高位在后。如果是12 位的FAT项则，按以下原则：若本簇号a为偶数，则保留该字低 12位，否则保留高12位）；重复以上簇链的查找过程，直至找到其值为FFF8H FFFFH FAT16 文件系统或FF8H FFFH FAT12文件系统）的簇号。I文件目录表FDT用FORMAT命令对磁盘或逻辑盘进行格式 化的时候，就已经为整个磁盘建立了一个根 目录FDT o口在根目录下，用户可以用DOS命令MD再 创建不同的各个子目录，以及子目录下的子二目录。根目录以及各级子目录中都有自己的FDT。FDT中的目录项FAT16文件日城项内客及含义表1 字节位置_内 容 及 含 义_1 第0、7字节_表示文件名_i 第8、10字节_衣示文件的扩展名_B1 第”字节表 示 文 件 属 性00H读写01H只读02H 04H系统08H（卷标_I0H 子目录_ J20H归f j-只要完成了写操作并已关闭，则该位置口第1221字节_保留未用_第2223字节_友示文件的创建时间_1苣第2425字节_表示文件的创建日期_I第2627字节_表示文件的起始装号首族号_J1 第2831字节_我示文件的字节数_子目录FDT中的目录项 当前目录为子目录时，在使用DOS命令DIR列文件目录清单时，通常可以看到前两项特殊文件：表示当前子目录“表示上一级目录 这两项同其它子目录一样也没有长度。项所报告的首簇号是 子目录FDT第一个扇区所在的簇，所报告的首簇号是上一级 目录的开始簇号。如果上一级目录是根目录，则该簇号值被置成 0 o系统利用此结构来实现目录之间的双向联系。只有当文件需要时，系统才给文件分配数据区空间。存放数据的 空间是按每次一个簇的方式来分配的。分配的时候，系统跳过已 分配的簇，第一个遇到的空簇就是下一个将要分配的簇，此时系 统并不考虑簇在磁盘上的物理位置。同时文件已被删除后空出来 的簇也可以分配给新的文件，这样做可使磁盘空间得到有效的利 用。FAT文件系统对长文件名的支持我们知道除一些磁盘工具软件之外，大多数 应用程序都不是直接访问磁盘，而是通过操 作系统获得文件或目录名。止匕外，如果设置 文件属性为OFH,DOS和Windows 3.x 就会忽略该目录登记项。Windows 9x正 是基于这两点来解决长文件名与DOS和 Windows 3.x的兼容问题的。长文件名兼容的处理办法在Windows 9x中，文件或目录实际存储 着两个名字，一个长文件名和一个长文件名 的别名（短文件名）。其中，作为别名的短 文件名存储在8.3格式的32字节的目录登 记项中；长文件名则存储在属性标志为OFH 的32字节目录登记项中。每个这样的目录 登记项存储13个字符，每个文件名需要若 干个这样的目录登记项，当需要的时候 Windows 9x会把它们重薪组成会文件名。32字节的长文件名格式目录登记项 不意图文件名8字节）种类 1字节总是0 0 钝：网界引 315曲未用（液0 附：lAUNM 7位：未用（联0 校验和（1字节）长文件名魄个字符（俘节）长文件名搬个字符 12科）文件工钟，总为耐好/皿.长文件名的旅个字符 10字节）NTFS文件系统 NTFS是在1993年随着Windows NT的 第一个版本推出的的一个性能优良的文件系 统，主要用在Windows NT/2000系统中。该文件系统是基于可恢复文件结构而设计的,它大大地减少了用户数据文件丢失或毁坏的 危险，适用于一些要求安全性较高的特大型 文件的处理。在同一个硬盘中我们可以根据 需要将不同的逻辑分区分别设置成FAT1 6、FAT32或者NTFS文件系统。NTFS文件系统的主要特点 NTFS是一个坚固耐用的、安全的文件管理系统。它可以较好地平衡两个互相冲突的文件访问要求,既允许用户访问它们所需的一切，同时又不允许 它们访问除此之外的任何文件。这是通过将所有 的文件和目录都作为对象，并为它们设置许可权 实现的。在必要的情况下可以在每一个文件和用 户级的层次上进行访问控制，而且这样还有助于 系统具有的开放性。每一个能够正确登录到系统 中的用户都可以获得它的资源。NTFS具有审核能力。该功能的设计与所有 Windows NT审核功能相似，具有安全特性，而非统计特性。NTFS在用户文件管理方面具有以下 几个特性 可通过文件或文件夹的NTFS权限限制用户Z或组对资源的访问；可通过数据压缩减少数据所占用的磁盘空间;可通过磁盘限额控制不同用户对磁盘空间的三使用大小；-可通过EFS加密进一步保护用户的私人文件 夹的安全。NTFS的数据组织结构 1.NTFS 卷 在NTFS文件系统中，使用“卷”这个术语 来表示一个逻辑磁盘驱动器。卷可以是