單擊此處添加副標(biāo)題內(nèi)容數(shù)據(jù)恢復(fù)基礎(chǔ)知識(shí)單擊此處輸入你的正文，文字是您思想的提煉，為了最終演示發(fā)布的良好效果，請(qǐng)盡量言簡意賅的闡述觀點(diǎn)。數(shù)據(jù)恢復(fù)基礎(chǔ)知識(shí)單擊此處添加副標(biāo)題內(nèi)容數(shù)據(jù)恢復(fù)基礎(chǔ)知識(shí)單擊此處輸入你的正文，文字是您思想的提煉，為了最終演示發(fā)布的良好效果，請(qǐng)盡量言簡意賅的闡述觀點(diǎn)。數(shù)據(jù)存儲(chǔ)與恢復(fù)技術(shù)一、數(shù)據(jù)恢復(fù)基礎(chǔ)知識(shí)一、數(shù)據(jù)恢復(fù)的概念與研究范圍愛情單擊此處添加副標(biāo)題內(nèi)容數(shù)據(jù)恢復(fù)基礎(chǔ)知識(shí)單擊此處輸入你的正文，1數(shù)據(jù)存儲(chǔ)與恢復(fù)技術(shù)

數(shù)據(jù)存儲(chǔ)與恢復(fù)技術(shù)一、數(shù)據(jù)恢復(fù)基礎(chǔ)知識(shí)一、數(shù)據(jù)恢復(fù)的概念與研究范圍一、數(shù)據(jù)恢復(fù)基礎(chǔ)知識(shí)一、數(shù)據(jù)恢復(fù)的概念與研究范圍1、數(shù)據(jù)：不僅包括計(jì)算機(jī)文件系統(tǒng)或數(shù)據(jù)庫系統(tǒng)中存儲(chǔ)的各種數(shù)據(jù)、正文、圖形、圖像、聲音等形式的多媒體數(shù)據(jù)文件、軟件或各種文檔資料，也包括存放或管理這些信息的硬件信息，如計(jì)算機(jī)硬件及其網(wǎng)絡(luò)地址、網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)服務(wù)等。1、數(shù)據(jù)：42、數(shù)據(jù)恢復(fù)：數(shù)據(jù)恢復(fù)就是把遭受破壞、這種破壞可能是由硬件缺陷導(dǎo)致不可訪問或不可獲得、或由于誤操作等各種原因?qū)е聛G失的數(shù)據(jù)還原成正常數(shù)據(jù)。注：數(shù)據(jù)恢復(fù)不同于數(shù)據(jù)備份，不是所有的情況都可以恢復(fù)3、數(shù)據(jù)丟失的原因：造成數(shù)據(jù)丟失的原因有很多，包括軟硬件故障、異常斷電、死機(jī)、病毒破壞、黑客入侵、誤操作、磁盤陣列損壞、口令丟失、文件結(jié)構(gòu)損壞等，均屬于數(shù)據(jù)修復(fù)的范疇。

2、數(shù)據(jù)恢復(fù)：5數(shù)據(jù)災(zāi)難分類1、邏輯問題：存儲(chǔ)介質(zhì)硬件本身沒有問題，由于邏輯節(jié)點(diǎn)出現(xiàn)錯(cuò)誤導(dǎo)致的數(shù)據(jù)不可訪問，相應(yīng)的數(shù)據(jù)恢復(fù)稱為“邏輯恢復(fù)”。如誤刪除、誤格式化等。2、物理問題：存儲(chǔ)介質(zhì)硬件損壞或失效造成的數(shù)據(jù)丟失，相應(yīng)的數(shù)據(jù)恢復(fù)稱為：“物理恢復(fù)”數(shù)據(jù)災(zāi)難分類1、邏輯問題：6幾種數(shù)據(jù)丟失的現(xiàn)象1、不能進(jìn)入系統(tǒng)2、磁盤出現(xiàn)壞道3、分區(qū)丟失4、文件丟失5、密碼丟失6、文檔無法打開或打開后是亂碼幾種數(shù)據(jù)丟失的現(xiàn)象1、不能進(jìn)入系統(tǒng)7數(shù)據(jù)存儲(chǔ)技術(shù)1、數(shù)據(jù)存儲(chǔ)介質(zhì)：僅有兩種穩(wěn)定的物理狀態(tài)，能方便的檢測出屬于哪種穩(wěn)定狀態(tài)，兩種穩(wěn)定狀態(tài)又容易相互轉(zhuǎn)換的物質(zhì)或元器件，都可以用來記憶二進(jìn)制代碼“0”和“1”，稱這樣的物質(zhì)或元器件為存儲(chǔ)介質(zhì)或記錄介質(zhì)。存儲(chǔ)介質(zhì)不同，存儲(chǔ)信息的機(jī)理也不同。數(shù)據(jù)存儲(chǔ)技術(shù)1、數(shù)據(jù)存儲(chǔ)介質(zhì)：82、存儲(chǔ)技術(shù)的分類（1）、電存儲(chǔ)技術(shù)電存儲(chǔ)技術(shù)主要指半導(dǎo)體存儲(chǔ)器SCM（SemiconductorMemory)。常見的存儲(chǔ)介質(zhì)包括內(nèi)存、閃存等2、存儲(chǔ)技術(shù)的分類（1）、電存儲(chǔ)技術(shù)9（2）、磁存儲(chǔ)技術(shù)

磁存儲(chǔ)技術(shù)主要指磁表面存儲(chǔ)器MSM(MagneticSurfaceMemory)磁表面存儲(chǔ)器是用非磁性金屬或塑料做基體，在其表涂敷、電鍍、沉積或?yàn)R射一層很薄的高導(dǎo)磁率、硬矩磁材料的磁面，用磁層的兩種剩磁狀態(tài)記錄信息“0”和“1”?；w和磁層和稱為磁記錄介質(zhì)。長見存儲(chǔ)介質(zhì)如：硬盤、軟盤、磁帶等。（2）、磁存儲(chǔ)技術(shù)磁存儲(chǔ)技術(shù)主要指磁表面存儲(chǔ)器MSM10（3）、光存儲(chǔ)技術(shù)

光盤存儲(chǔ)器是目前輔存中記錄密度最高的存儲(chǔ)器.常見的光存儲(chǔ)設(shè)備有：CD-ROM、CD-R、CD-RW、DVD-ROM、DVD-RW等（3）、光存儲(chǔ)技術(shù)光盤存儲(chǔ)器是目前輔存中記錄密度最高的11

二、磁盤結(jié)構(gòu)

一、磁盤物理結(jié)構(gòu)二、磁盤結(jié)構(gòu)一、磁盤物理結(jié)構(gòu)（1）、接口：接口包括電源接口和數(shù)據(jù)接口兩部分（2）、控制電路板：采用貼片式焊接，包括主軸調(diào)速電路、磁頭驅(qū)動(dòng)伺服電路、讀寫電路、控制與接口電路等。（3）、固定面板：硬盤正面的面板，它與底板結(jié)合成一個(gè)密封的整體，保證了硬盤盤片和機(jī)構(gòu)的穩(wěn)定運(yùn)行。（1）、接口：13磁盤外部結(jié)構(gòu)圖示磁盤外部結(jié)構(gòu)圖示14硬盤的數(shù)據(jù)接口根據(jù)聯(lián)接方式的差異，分為EIDE接口、SCSI接口和SATA串口。EIDE接口多用在桌面硬盤，經(jīng)常聽說的40針、80芯的接口電纜指的就是這類數(shù)據(jù)線硬盤的數(shù)據(jù)接口根據(jù)聯(lián)接方式的差異，分為EIDE接口、SCSI15IDE磁盤接口示意圖磁盤接口示意圖16有些硬盤的電路板上會(huì)附加有一層保護(hù)層，使用海綿或金屬板有些硬盤的電路板上會(huì)附加有一層保護(hù)層，使用海綿或金屬板17SATASATA18IDE硬盤與SATA硬盤數(shù)據(jù)線對(duì)比IDE硬盤與SATA硬盤數(shù)據(jù)線對(duì)比19SATA硬盤采用串行傳輸，每次傳輸數(shù)據(jù)為一位，有效避免了信號(hào)的串?dāng)_問題。從而可以在理論上無限提高串行傳輸?shù)墓ぷ黝l率。采用了比并行接口更低的電壓標(biāo)準(zhǔn)，減小能耗。采用點(diǎn)對(duì)點(diǎn)協(xié)議，不存在并行ATA的主/從問題，省去了跳線設(shè)置工作。SCSI硬盤具有更高的數(shù)據(jù)傳輸速率。更低的CPU占用率。運(yùn)轉(zhuǎn)穩(wěn)定SATA硬盤20SCSI硬盤外觀及接口SCSI硬盤外觀及接口21SCSI硬盤的背面板SCSI硬盤的背面板22磁盤內(nèi)部結(jié)構(gòu)（1）磁頭組件：這是硬盤中最精密的部位之一，它由讀寫磁頭、轉(zhuǎn)動(dòng)手臂、轉(zhuǎn)動(dòng)軸三部分組成。磁頭是硬盤技術(shù)中最重要和關(guān)鍵的一環(huán)，實(shí)際上是集成工藝制成的多個(gè)磁頭的組合，采用非接觸式頭、盤結(jié)構(gòu)，加電后在高速旋轉(zhuǎn)的磁盤表面移動(dòng)，與盤片之間的間隙只有0.1～0.3μm，這樣可以獲得很好的數(shù)據(jù)傳輸率。磁盤內(nèi)部結(jié)構(gòu)（1）磁頭組件：這23磁頭及其附件結(jié)構(gòu)磁頭及其附件結(jié)構(gòu)24（2）磁頭驅(qū)動(dòng)機(jī)構(gòu)：用于實(shí)現(xiàn)磁頭的移動(dòng)來完成硬盤的尋道。（3）主軸組件：包括主軸部件如軸承和驅(qū)動(dòng)電機(jī)等。（4）前置控制電路：用于控制磁頭感應(yīng)的信號(hào)、主軸電機(jī)調(diào)速、磁頭驅(qū)動(dòng)和伺服定位等。（5）磁盤片：硬盤存儲(chǔ)數(shù)據(jù)的載體。（2）磁頭驅(qū)動(dòng)機(jī)構(gòu)：用于實(shí)現(xiàn)磁頭的移動(dòng)來完成硬盤的尋道。25磁盤內(nèi)部結(jié)構(gòu)圖示磁盤內(nèi)部結(jié)構(gòu)圖示26目前，微機(jī)上安裝的硬盤幾乎都是采用溫徹斯特（Winchester）技術(shù)制造的硬盤，這種硬盤也被稱為溫盤。這種結(jié)構(gòu)的特點(diǎn)為：（1）磁頭、盤片及運(yùn)動(dòng)機(jī)構(gòu)密封在盤體內(nèi)；（2）磁頭在啟動(dòng)、停止時(shí)與盤片接觸，而在工作時(shí)因盤片高速旋轉(zhuǎn)，從而帶動(dòng)磁頭“懸浮”在盤片上面呈飛行狀態(tài)（空氣動(dòng)力學(xué)原理），這個(gè)“懸浮”的高度約為0.1微米～0.3微米，這個(gè)高度是非常小的。目前，微機(jī)上安裝的硬盤幾乎都是采用溫徹斯特（Winchest27

磁頭高度對(duì)比圖磁頭高28SCSI硬盤內(nèi)部結(jié)構(gòu)SCSI硬盤內(nèi)部結(jié)構(gòu)29

硬盤的尋道每個(gè)盤片的每個(gè)面都有一個(gè)讀寫磁頭，與磁頭接觸的表面靠近主軸，即線速度最小的地方，是一個(gè)特殊的區(qū)域，它不存放任何數(shù)據(jù)，稱為啟停區(qū)或著陸區(qū)，啟停區(qū)外就是數(shù)據(jù)區(qū)。在最外圈，離主軸最遠(yuǎn)的地方是“0”磁道，而硬盤數(shù)據(jù)的存放就是從最外圈開始的。硬盤的尋道每個(gè)盤片的每個(gè)面都30盤片區(qū)域分配示意圖盤片區(qū)域分配示意圖31磁頭的拆卸與安裝1、首先卸掉背面電路版上的所有螺絲，拆下電路版磁頭的拆卸與安裝1、首先卸掉背面電路版上的所有螺32拆下電路版后我們看到背面有兩顆螺絲，此螺絲是固定磁頭的，暫時(shí)不要?jiǎng)?。拆下電路版后我們看到背面有兩顆螺絲，此螺絲是固定磁頭的，暫時(shí)332、揭開標(biāo)簽，卸掉硬盤正面版上的螺絲。2、揭開標(biāo)簽，卸掉硬盤正面版上的螺絲。343、揭開正面版3、揭開正面版35

4、卸掉上面的強(qiáng)力磁鐵4、卸掉上面的強(qiáng)力磁鐵365、卸掉硬盤背面的2顆螺絲與前置控制電路的固定螺絲后磁頭即可取下5、卸掉硬盤背面的2顆螺絲與前置控制電路的固定螺絲后磁頭即可37拆下的磁頭與空硬盤

38重新安裝磁頭重新安裝磁頭39二、磁盤邏輯結(jié)構(gòu)1、磁頭（Head）:硬盤的盤體是由多個(gè)盤片重疊在一起構(gòu)成的。硬盤“磁面”的概念與軟盤類似，它是指一個(gè)盤片的兩個(gè)面，每個(gè)盤片有上下兩個(gè)磁面。在硬盤中，一個(gè)磁面對(duì)應(yīng)一個(gè)讀寫磁頭，所以，一般來說在對(duì)硬盤進(jìn)行讀寫操作時(shí)，不再稱磁面0、磁面1、磁面2，而是稱磁頭0、磁頭1、磁頭2。

二、磁盤邏輯結(jié)構(gòu)1、磁頭（Head）:402、磁道（Track）：磁盤在格式化時(shí)會(huì)劃分成許多同心圓，其同心圓軌跡稱為磁道。3、柱面(Cylinder):由于硬盤的盤體是由多個(gè)盤片重疊在一起構(gòu)成，每個(gè)盤片的每個(gè)面都被劃分成不同半徑的同心圓磁道，整個(gè)盤體中所有磁面的半徑相同的同心磁道就稱為“柱面”。4、扇區(qū)(Sector):如果將每一個(gè)磁道視為一個(gè)圓環(huán)，再把該圓環(huán)等分成若干個(gè)扇形小區(qū)，該等分的小區(qū)就是磁盤存取數(shù)據(jù)的最基本的單位“扇區(qū)”。磁盤的“磁頭”與“柱面”編號(hào)從0計(jì)起，而“扇區(qū)”則從1計(jì)起。2、磁道（Track）：磁盤在格式化時(shí)會(huì)劃分成許多同心圓，其41磁盤組織結(jié)構(gòu)磁盤組織結(jié)構(gòu)42硬盤在存儲(chǔ)數(shù)據(jù)之前，一般需經(jīng)過低級(jí)格式化、分區(qū)、高級(jí)格式化這三個(gè)步驟之后才能使用。其作用是在物理硬盤上建立一定的數(shù)據(jù)邏輯結(jié)構(gòu)。低級(jí)格式化的主要功能：它的作用是檢測硬盤磁介質(zhì)，劃分磁道，為每個(gè)磁道劃分扇區(qū)，并根據(jù)用戶選定的交叉因子安排扇區(qū)在磁道中的排列順序等。硬盤在存儲(chǔ)數(shù)據(jù)之前，一般需經(jīng)過低級(jí)格式化、分區(qū)、高級(jí)格式化這43分區(qū)的作用一塊硬盤，就是所有容量都劃分給一個(gè)分區(qū)，也要顯式的進(jìn)行這個(gè)操作來指定。所以，對(duì)硬盤做完低級(jí)格式化后，必須進(jìn)行分區(qū)操作，通過分區(qū)來完成主引導(dǎo)記錄的寫入。也正是這個(gè)原因，很多獨(dú)立發(fā)行的低級(jí)格式化軟件，也同時(shí)是一個(gè)分區(qū)軟件，可以完成硬盤分區(qū)功能。分區(qū)的作用一塊硬盤，就是所有容量都劃分給一個(gè)分區(qū)，也要顯式的44基本分區(qū)與擴(kuò)展分區(qū)1、基本分區(qū)：基本分區(qū)（主分區(qū)）是物理磁盤中可以被標(biāo)記為激活，并且被系統(tǒng)用來啟動(dòng)計(jì)算機(jī)的磁盤分區(qū)。每塊物理磁盤最多可以有4個(gè)基本分區(qū)。2、擴(kuò)展分區(qū)：擴(kuò)展分區(qū)是為了突破一個(gè)硬盤上只能有4個(gè)分區(qū)的限制而制定的，一個(gè)硬盤只能有一個(gè)擴(kuò)展分區(qū)。基本分區(qū)與擴(kuò)展分區(qū)1、基本分區(qū)：45卷集的概念卷集是將一個(gè)或多個(gè)物理硬盤上的未格式化的自由空間組合成一個(gè)邏輯卷，做為一個(gè)整體來訪問，為其分配一個(gè)盤符，就像一個(gè)單獨(dú)的分區(qū)一樣來格式化和存儲(chǔ)數(shù)據(jù)。卷集的概念卷集是將一個(gè)或多個(gè)物理硬盤上的未格式化的自由46磁盤分區(qū)結(jié)構(gòu)1、硬盤分區(qū)由五部分構(gòu)成（FAT文件系統(tǒng)）：（1）、MBR－主引導(dǎo)記錄（MainBootRecord）（2）、DBR－系統(tǒng)引導(dǎo)記錄（DosBootRecord）（3）、FAT－文件分配表（FileAllocationTable）（4）、FDT－文件目錄表（FileDirectoryTable）（5）、DATA－數(shù)據(jù)區(qū)磁盤分區(qū)結(jié)構(gòu)1、硬盤分區(qū)由五部分構(gòu)成（FAT文件系統(tǒng)）：47MBR稱為硬盤主引導(dǎo)記錄，它是由FDISK建立在柱面0、磁頭0，扇區(qū)1的磁盤引導(dǎo)記錄數(shù)據(jù)區(qū)，它不屬于任何操作系統(tǒng)。用于硬盤啟動(dòng)時(shí)將系統(tǒng)控制權(quán)轉(zhuǎn)給用戶指定的，并在分區(qū)表中登記了的某個(gè)操作系統(tǒng)區(qū)。一個(gè)物理硬盤只有一個(gè)MBR。MBR稱為硬盤主引導(dǎo)記錄，它是由FDISK建立在柱面48DBR是經(jīng)由FORMAT高級(jí)格式化寫到磁盤邏輯0扇區(qū)上的，主要功能是完成DOS系統(tǒng)的自舉。硬盤上的每一個(gè)邏輯磁盤都有自己的DBR。DBR中記錄了本分區(qū)的扇區(qū)總數(shù)、FAT表個(gè)數(shù)等信息。DBR是經(jīng)由FORMAT高級(jí)格式化寫到磁盤邏輯0扇區(qū)上49FDT表和FAT表是FAT文件系統(tǒng)組織結(jié)構(gòu)的兩個(gè)組成部分，F(xiàn)DT中記錄了文件的名字、起始地址等信息，F(xiàn)AT記錄了文件在磁盤上的具體位置。系統(tǒng)就是通過這兩個(gè)表上的文件簇鏈關(guān)系來存取文件的。FDT表和FAT表是FAT文件系統(tǒng)組織結(jié)構(gòu)的兩個(gè)組成部50硬盤分區(qū)結(jié)構(gòu)示意圖硬盤分區(qū)結(jié)構(gòu)示意圖512、BootSector簡介BootSector也就是硬盤的第一個(gè)扇區(qū)，它由MBR(MasterBootRecord)，DPT(DiskPartitionTable)和BootRecordID三部分組成。主引導(dǎo)記錄MBR占用BootSector的前446個(gè)字節(jié)(0to0x1BD)，存放系統(tǒng)主引導(dǎo)程序(它負(fù)責(zé)從活動(dòng)分區(qū)中裝載并運(yùn)行系統(tǒng)引導(dǎo)程序)。DPT即主分區(qū)表占用64個(gè)字節(jié)(0x1BEto0x1FD)，記錄了磁盤的基本分區(qū)信息，主分區(qū)表分為四個(gè)分區(qū)項(xiàng)，每項(xiàng)16字節(jié)，分別記錄了每個(gè)主分區(qū)的信息(因此最多可以有四個(gè)主分區(qū))。BootRecordID即引導(dǎo)區(qū)標(biāo)記占用兩個(gè)字節(jié)(0x1FEand0x1FF)，對(duì)于合法引導(dǎo)區(qū)，它等于0xAA55，這是判別引導(dǎo)區(qū)是否合法的標(biāo)志。2、BootSector簡介BootSector也就是硬52BOOTSECTOR的具體結(jié)構(gòu)如下圖所示BOOTSECTOR的具體結(jié)構(gòu)如下圖所示53BootSector圖示BootSector543、分區(qū)表結(jié)構(gòu)分區(qū)表由四個(gè)分區(qū)項(xiàng)構(gòu)成，每一項(xiàng)長度為16個(gè)字節(jié)，分區(qū)表結(jié)構(gòu)如下圖所示：3、分區(qū)表結(jié)構(gòu)分區(qū)表由四個(gè)分區(qū)項(xiàng)構(gòu)成，每一項(xiàng)長度為1554.硬盤分區(qū)類型00未使用分區(qū)項(xiàng)01DOS12一種fat表為12位的分區(qū)主要用于早期小硬盤和部分軟盤05EXTEND擴(kuò)展分區(qū)的一種06BIGDOS即FAT16分區(qū)分區(qū)表為16位，每簇最大為32K，最大分區(qū)為2G07NTFS分區(qū)0BFAT32分區(qū)分區(qū)表為32位0CFAT32X分區(qū)與FAT32基本相同0EBIGDOSX即FAT16分區(qū)擴(kuò)展分區(qū)表為16位，每簇最大可以超過32K0FEXTENDX擴(kuò)展分區(qū)的一種82Linux主分區(qū)83Linux交換分區(qū)4.硬盤分區(qū)類型00未使用分區(qū)項(xiàng)56DBR（63扇）示意圖DBR（63扇）示意圖57FATFAT58FDTFDT59由于MBR中的主分區(qū)表項(xiàng)中最多只能記錄4個(gè)分區(qū)的信息，因此我們的分區(qū)表采用的是鏈?zhǔn)浇Y(jié)構(gòu)進(jìn)行標(biāo)注，一般每個(gè)邏輯分區(qū)記錄兩個(gè)分區(qū)表項(xiàng)，一項(xiàng)標(biāo)注本邏輯分區(qū)的信息，第二項(xiàng)標(biāo)注下一個(gè)擴(kuò)展分區(qū)的信息，如此鏈接下去直至最后一個(gè)分區(qū)。具體如圖所示：由于MBR中的主分區(qū)表項(xiàng)中最多只能記錄4個(gè)分區(qū)的信息，因此我60數(shù)據(jù)恢復(fù)基礎(chǔ)知識(shí)課件61NTFS文件系統(tǒng)結(jié)構(gòu)NTFS是新技術(shù)文件系統(tǒng)（NewTechnologyFileSystem),與FAT文件系統(tǒng)相比NTFS具有許多新的特性，比如容錯(cuò)性、安全性、文件壓縮和磁盤配額等。NTFS文件系統(tǒng)結(jié)構(gòu)NTFS是新技術(shù)文件系統(tǒng)（New62相對(duì)于FAT，NTFS所具有的特性：容錯(cuò)性：NTFS可以自動(dòng)修復(fù)磁盤錯(cuò)誤而不會(huì)顯示出錯(cuò)誤信息。安全性：NTFS有許多安全性能方面的選項(xiàng)，可以在本機(jī)上和通過遠(yuǎn)程的方法保護(hù)文件、目錄，可以組織未經(jīng)授權(quán)的用戶訪問文件。通過EFS加密提高數(shù)據(jù)安全性文件壓縮：NTFS文件系統(tǒng)支持文件壓縮功能，可以壓縮單個(gè)文件或整個(gè)文件夾。磁盤限額：所謂磁盤限額就是管理員可以對(duì)本域中的每個(gè)用戶進(jìn)行磁盤使用空間的限制。相對(duì)于FAT，NTFS所具有的特性：容錯(cuò)性：NTFS可以自動(dòng)63NTFS的分區(qū)結(jié)構(gòu)NTFS文件系統(tǒng)中文件同樣是按簇進(jìn)行分配NTFS文件系統(tǒng)并不去關(guān)心什么是扇區(qū)，也不會(huì)關(guān)心扇區(qū)有多大文件通過主文件表MFT確定文件在磁盤上的存儲(chǔ)位置，NTFS卷中的每一個(gè)文件都有自己的一個(gè)唯一標(biāo)識(shí)，稱為文件引用號(hào)。NTFS的分區(qū)結(jié)構(gòu)NTFS文件系統(tǒng)中文件同樣是按簇進(jìn)行分配64NTFSF分區(qū)結(jié)構(gòu)示意圖NTFSF分區(qū)結(jié)構(gòu)示意圖65MFT元數(shù)據(jù)存儲(chǔ)在卷上支持文件系統(tǒng)管理的數(shù)據(jù)。只為系統(tǒng)服務(wù)，不能被應(yīng)用程序訪問。不管簇的大小是多少，MFT中的記錄大小一般是固定的，占用1k空間。這些記錄從零開始編號(hào)。MFT僅供系統(tǒng)本身進(jìn)行文件管理使用（MFT本身也是元數(shù)據(jù)）。在MFT的前16條記錄是非常重要的操作系統(tǒng)使用的元數(shù)據(jù)文件，這些元數(shù)據(jù)文件的名字都是以“$”開頭，是系統(tǒng)管理卷不可缺少的。MFT元數(shù)據(jù)66NTFS中的前10個(gè)元文件$MFT:$MFT中的第一條記錄即是$MFT自身。$MFTMirr:由于MFT自身的重要性，系統(tǒng)專門為它的起始部分建立的鏡像文件。$LogFile:該文件是NTFS為實(shí)現(xiàn)可恢復(fù)性和安全性而設(shè)計(jì)的。NTFS會(huì)在系統(tǒng)運(yùn)行時(shí)將所有影響NTFS卷結(jié)構(gòu)的操作記錄在日志文件中，以便在系統(tǒng)失敗時(shí)恢復(fù)NTFS卷。NTFS中的前10個(gè)元文件$MFT:$MFT中的第一條記錄即67$Volume(卷文件）：其中包含NTFS版本、卷名等信息。$AttrDef(屬性定義表）：其中存放著卷所支持的全部屬性信息。$Root(根目錄）：保存著該卷根目錄下所有文件的索引。在訪問一個(gè)文件后，ntfs就保留該文件的MFT引用，第二次就能直接訪問該文件。$Volume(卷文件）：其中包含NTFS版本、卷名等信息。68$Bitmap（位圖文件）：標(biāo)志NTFS卷中所有簇的占用情況，其中的每一位代表一個(gè)簇是空閑還是已分配。$Boot(引導(dǎo)文件）：存放著操作系統(tǒng)的引導(dǎo)程序代碼。$BadClus(壞簇文件）:記錄著該卷中所有壞簇的簇號(hào)。$Secure(安全文件）：存儲(chǔ)整個(gè)卷的安全描述符數(shù)據(jù)庫$Bitmap（位圖文件）：標(biāo)志NTFS卷中所有簇的占用情況69三、數(shù)據(jù)恢復(fù)軟件一、EasyRecovery三、數(shù)據(jù)恢復(fù)軟件一、EasyRecoveryEasyRecovery是一款功能非常強(qiáng)大的數(shù)據(jù)恢復(fù)軟件，可以恢復(fù)由于病毒破壞、誤刪除或誤格式化甚至分區(qū)損壞等造成的數(shù)據(jù)丟失，使用EasyRecovery可以修復(fù)主引導(dǎo)扇區(qū)（MBR）、BIOS參數(shù)塊（BPB）、分區(qū)表、文件分配表（FAT）或目錄及文件。當(dāng)你從計(jì)算機(jī)中刪除文件時(shí)，它們并未真正被刪除，文件的結(jié)構(gòu)信息仍然保留在硬盤上，除非新的數(shù)據(jù)將之覆蓋了。能用EasyRecovery找回?cái)?shù)據(jù)、文件的前提就是硬盤中還保留有文件的信息和數(shù)據(jù)塊。但在你刪除文件、格式化硬盤等操作后，再在對(duì)應(yīng)分區(qū)內(nèi)寫入大量新信息時(shí)，這些需要恢復(fù)的數(shù)據(jù)就很有可能被覆蓋了！這時(shí)，無論如何都是找不回想要的數(shù)據(jù)了。

EasyRecovery是一款功能非常強(qiáng)大的數(shù)據(jù)恢復(fù)軟件，可71EasyRecovery啟動(dòng)后的界面如圖所示：EasyRecovery啟動(dòng)后的界面如圖所示：72在數(shù)據(jù)恢復(fù)過程中我們使用最多的是其中“數(shù)據(jù)修復(fù)”模塊中的AdvancedRecovery和RawRecovery。AdvancedRecovery為高級(jí)選項(xiàng)自定義數(shù)據(jù)恢復(fù)，主要對(duì)付那些分區(qū)或目錄結(jié)構(gòu)損壞的不是太嚴(yán)重的情況，比如說格式化、文件被誤刪除或分區(qū)表損壞等，它可以完全依照恢復(fù)分區(qū)的文件系統(tǒng)，通過文件分配表和文件目錄表搜索出相應(yīng)的目錄樹結(jié)構(gòu)，即使完整的目錄樹結(jié)構(gòu)被破壞，它也可以找出其中的子目錄。在數(shù)據(jù)恢復(fù)過程中我們使用最多的是其中“數(shù)據(jù)修復(fù)”模塊中的Ad73有些情況下分區(qū)信息被破壞的比較嚴(yán)重，AdvancedRecovery已經(jīng)無法自動(dòng)識(shí)別分區(qū)類型，顯示為“無相法識(shí)別”空間，這時(shí)我們可以啟動(dòng)高級(jí)選項(xiàng)，從中選擇應(yīng)文件系統(tǒng)，如圖：

有些情況下分區(qū)信息被破壞的比較嚴(yán)重，Advanc74AdvancedRecovery可以掃描未分配空間中是否存在我們制定的文件系統(tǒng)的記錄，重新加載一個(gè)文件系統(tǒng)，如圖：AdvancedRecovery可以掃描未分配75在相應(yīng)的文件系統(tǒng)下繼續(xù)掃描仍然有可能恢復(fù)出完整的目錄結(jié)構(gòu)和相應(yīng)數(shù)據(jù)。掃描結(jié)束后點(diǎn)擊“下一步”選擇相應(yīng)的保存路徑保存即可。在相應(yīng)的文件系統(tǒng)下繼續(xù)掃描仍然有可能恢復(fù)出完整的目錄結(jié)構(gòu)和相76RawRecoveryRawRecovery是脫離開任何文件系統(tǒng)，按照簇的方式進(jìn)行掃描，此模式將對(duì)整個(gè)分區(qū)的扇區(qū)一個(gè)個(gè)地進(jìn)行掃描。該掃描模式可以找回保存在一個(gè)簇中的小文件或連續(xù)存放的大文件。也就是說通過這種方式恢復(fù)數(shù)據(jù)時(shí)文件越大，能成功恢復(fù)的概率就越低。RawRecoveryRawRecovery是脫離開77RawRecovery同樣可以對(duì)未分配空間進(jìn)行掃描，其操作界面如圖（8）所示

RawRecovery同樣可以對(duì)未分配空間進(jìn)行掃描，其操作界78從中選擇要掃描的硬盤空間，在“文件類型”中構(gòu)選你所需要的文件類型。注意，這里的文件類型包括常見的大多數(shù)數(shù)據(jù)類型，但不包括一些特殊軟件自己的特有數(shù)據(jù)類型，比如說一些財(cái)務(wù)軟件的數(shù)據(jù)庫等，這種情況下我們還可以通過添加數(shù)據(jù)類型來解決，但前提是手上需要擁有一定量的相同數(shù)據(jù)類型的文件樣本從中選擇要掃描的硬盤空間，在“文件類型”中構(gòu)選你所需要的文件79在“文件類型”對(duì)話框中點(diǎn)擊添加，彈出圖（9）的對(duì)話框，使用Ultraedit讀出樣本文件的16進(jìn)制編碼，從中找出8字節(jié)的特征碼（一般為文件頭的前8字節(jié)）寫入“新的文件標(biāo)識(shí)”對(duì)話框，然后填入相應(yīng)的偏移量、擴(kuò)展名和描述即可。在“文件類型”對(duì)話框中點(diǎn)擊添加，彈出圖（9）的對(duì)80二、FinalDataFinalData也是一款我們常用的數(shù)據(jù)恢復(fù)軟件，其數(shù)據(jù)恢復(fù)功能與EasyRecovery類似，界面如圖：二、FinalDataFinalDa81選擇界面左上角的“文件”、“打開”，從“選擇驅(qū)動(dòng)器”對(duì)話框中選擇想要恢復(fù)的文件所在的驅(qū)動(dòng)器。這里我們選擇“驅(qū)動(dòng)器D”然后單擊“OK”開始掃描。選擇界面左上角的“文件”、“打開”，從“選擇驅(qū)動(dòng)器”對(duì)話框中82首先掃描根目錄（又稱做“快速掃描”），其次進(jìn)行簇掃描（又稱“完整掃描”），如圖首先掃描根目錄（又稱做“快速掃描”），其次進(jìn)行簇掃描（又稱“83掃描完成后出現(xiàn)下圖對(duì)話框，從中查找所需文件選擇保存路徑恢復(fù)存即可。掃描完成后出現(xiàn)下圖對(duì)話框，從中查找所需文件選擇保存路徑恢復(fù)存84其中左邊的項(xiàng)目分別表示：1、“RootDirectory”：正常根目錄2、“DeletedDirectory”：從根目錄刪除的目錄集合(只在“快速掃描”后可用)3、“DeletedFiles”：從根目錄刪除的文件集合(只在“快速掃描”后可用)4、“LostDirectory”：只有在“完整掃描”后找到的目錄將會(huì)被顯示在這里。由于已經(jīng)被部分覆蓋或者破壞，所以“快速掃描”不能發(fā)現(xiàn)這些目錄。如果根目錄由于格式化或者病毒等引起破壞，F(xiàn)inalData就會(huì)把發(fā)現(xiàn)和恢復(fù)的信息放到“丟失的目錄”中。(只在“完整掃描”后可用)5、“LostFiles”：被嚴(yán)重破壞的文件，如果數(shù)據(jù)部分依然完好，可以從“丟失的文件”中恢復(fù)。在“快速掃描”過后，F(xiàn)inalData將執(zhí)行“完整掃描”以查找被破壞的文件并將列表顯示在“丟失的文件”中。(只在“完整掃描”后可用)其中左邊的項(xiàng)目分別表示：856、“RecentlyDeletedfiles”：當(dāng)FinalData安裝后，“文件刪除管理器”功能自動(dòng)將被刪除文件的信息加入到“最近刪除的文件”中。因?yàn)镕inalData將這些文件信息保存在一個(gè)特殊的硬盤位置，大多數(shù)情況下可以完整地恢復(fù)出現(xiàn)(安裝程序時(shí)會(huì)指定一定的硬盤空間用來存放這些信息)。7、“SearchedFiles”：這些就是所有硬盤上面被刪除的文件，以后可以按照文件名、簇號(hào)和日期對(duì)掃描到的文件進(jìn)行查找。另外FinalData對(duì)于查找分區(qū)結(jié)構(gòu)和文件系統(tǒng)的功能非常強(qiáng)大，因此在很多時(shí)候也會(huì)作為恢復(fù)分區(qū)的輔助工具使用。數(shù)據(jù)恢復(fù)基礎(chǔ)知識(shí)課件86三、AdvancedEFSdatarecovery

AdvancedEFSdatarecovery是一個(gè)可以從WindowsNTFS分區(qū)里解密用EFS加密的文件的工具。AdvancedEFSdatarecovery啟動(dòng)后的界面如圖所示：三、AdvancedEFSdatarecovery87若要對(duì)NTFS分區(qū)里的EFS加密文件進(jìn)行解密，點(diǎn)擊“scan－scanforkeys”，首先隊(duì)硬盤中的分區(qū)進(jìn)行密鑰掃描，在彈出下圖窗口時(shí)點(diǎn)擊“startscan”開始掃描。若要對(duì)NTFS分區(qū)里的EFS加密文件進(jìn)行解密，點(diǎn)擊“scan88下圖顯示出的即為掃描到的密鑰信息：

下圖顯示出的即為掃描到的密鑰信息：89對(duì)密鑰掃描完成后，我們點(diǎn)擊“Encryptedfiles”掃描加密的文件，如圖。進(jìn)入“Encryptedfiles”選項(xiàng)卡后點(diǎn)擊“scanforencryptedfiles”開始掃描

對(duì)密鑰掃描完成后，我們點(diǎn)擊“Encryptedfiles”90下圖為掃描出來的整個(gè)分區(qū)中做了EFS加密的文件，我們將其中需要恢復(fù)的文件前面構(gòu)選然后點(diǎn)擊“decrypt”保存出相應(yīng)的文件即可。

下圖為掃描出來的整個(gè)分區(qū)中做了EFS加密的文件，我們將其中需91保存完畢，恢復(fù)工作完成。保存完畢，恢復(fù)工作完成。92RAID技術(shù)詳解及其數(shù)據(jù)恢復(fù)一、RAID簡介RAID技術(shù)詳解及其數(shù)據(jù)恢復(fù)一、RAID簡介RAID直譯為“獨(dú)立冗余磁盤陣列”，可以把RAID理解成一種使用磁盤驅(qū)動(dòng)器的方法，就是指用兩個(gè)以上的物理硬盤進(jìn)行協(xié)作，邏輯上作為一個(gè)磁盤驅(qū)動(dòng)器來使用，但能提供數(shù)據(jù)冗余容錯(cuò)協(xié)同工作能力，以此來全面提升磁盤子系統(tǒng)的性能。RAID直譯為“獨(dú)立冗余磁盤陣列”，可以把RAID理解成一種94

為確保網(wǎng)絡(luò)系統(tǒng)可靠地保存數(shù)據(jù)，使系統(tǒng)正常運(yùn)行，磁盤陣列已成為高可靠性網(wǎng)絡(luò)系統(tǒng)解決方案中不可缺少的存儲(chǔ)設(shè)備。磁盤陣列由磁盤陣列控制器及若干性能近似的、按一定要求排列的硬盤組成。該類設(shè)備具有高速度、大容量、安全可靠等特點(diǎn)，通過冗余糾錯(cuò)技術(shù)、鏡像數(shù)據(jù)或數(shù)據(jù)分割及奇偶校驗(yàn)等技術(shù)來保證設(shè)備及數(shù)據(jù)可靠，并實(shí)現(xiàn)容錯(cuò)要求，是一種具有較高容錯(cuò)能力的智能化磁盤集合，具有較高的安全性和可靠性。RAID在現(xiàn)代網(wǎng)絡(luò)系統(tǒng)中作為海量存儲(chǔ)器，廣泛應(yīng)用于磁盤服務(wù)器中。為確保網(wǎng)絡(luò)系統(tǒng)可靠地保存數(shù)據(jù)，使系統(tǒng)正常95二、RAID的優(yōu)點(diǎn)1、成本低，功耗小，傳輸速率高。2、可以提供容錯(cuò)功能。3、RAID與傳統(tǒng)的大直徑磁盤驅(qū)動(dòng)器相比，與可靠性與價(jià)格都很高的專用硬盤相比，在同樣的容量下，價(jià)格要低許多，性能與可靠性也不低于它們。二、RAID的優(yōu)點(diǎn)1、成本低，功耗小，傳輸速率高。96RAID技術(shù)－鏡像技術(shù)RAID技術(shù)－延展技術(shù)RAID技術(shù)－鏡像技術(shù)RAID技術(shù)－延展技術(shù)97三、RAID的分級(jí)1、RAID0RAID0級(jí)，無冗余無校驗(yàn)的磁盤陣列。從外表看是一個(gè)硬盤，但容量卻是兩個(gè)硬盤的總和。RAID0比一般單一硬盤的可靠度要差，只要一個(gè)硬盤損壞，整個(gè)陣列里的數(shù)據(jù)都會(huì)損失掉。但極佳的性能使RAID0仍然具有很大的吸引力。三、RAID的分級(jí)1、RAID098RAID0的兩種方式方式1：串聯(lián)在一起，形成一個(gè)獨(dú)立的邏輯驅(qū)動(dòng)器，當(dāng)一塊磁盤的空間用盡時(shí)，數(shù)據(jù)就會(huì)被自動(dòng)寫入到下一塊磁盤中，可靠性是單獨(dú)使用一塊硬盤的1/n方式2：是用n塊硬盤選擇合理的帶區(qū)大小創(chuàng)建帶區(qū)集，在電腦數(shù)據(jù)讀寫時(shí)同時(shí)向n塊磁盤讀寫數(shù)據(jù),速度提升n倍。提高系統(tǒng)的性能。RAID0的兩種方式方式1：串聯(lián)在一起，形成一個(gè)獨(dú)立的邏輯驅(qū)99RAID0使用了一種名為“數(shù)據(jù)串行”的機(jī)制。它將數(shù)據(jù)對(duì)應(yīng)儲(chǔ)存在一堆不同硬盤所組成的大硬盤中。數(shù)據(jù)是用連續(xù)“串行”的形式，以規(guī)定的大小儲(chǔ)存在實(shí)體硬盤上。這表示大于實(shí)際串行大小的文件將會(huì)被分散儲(chǔ)存在硬盤陣列中。因此單一文件中的不同串行可以平行處理。在這個(gè)清況下，RAID0陣列或“串行集合”的數(shù)據(jù)傳輸速率即為陣列中最低速硬盤的數(shù)據(jù)傳輸速率與該陣列硬盤數(shù)之乘積。若使用相同的硬盤，則數(shù)據(jù)傳輸帶寬恰好為單個(gè)硬盤傳輸速率的倍數(shù)。一個(gè)四塊硬盤的數(shù)據(jù)傳輸速率均為20MB/S的串行集合，其整體數(shù)據(jù)傳輸速率可達(dá)8OMB/S，因?yàn)閿?shù)據(jù)可以在這四個(gè)硬盤上做并行存取。RAID0使用了一種名為“數(shù)據(jù)串行”的機(jī)制。它將數(shù)100RAID0示意圖

101RAID1級(jí)是一種鏡象磁盤陣列。因?yàn)樗褪菍⒁粔K硬盤的內(nèi)容完全復(fù)制到另一塊上。一個(gè)兩塊硬盤所構(gòu)成的RAID陣列，其容量僅等于一塊硬盤的容量，因?yàn)榱硪粔K只是當(dāng)作數(shù)據(jù)“鏡像”。RAIDl顯然是最可靠的一種陣列，因?yàn)樗偸潜３忠环萃暾臄?shù)據(jù)備份。它的性能自然沒有RAID0那樣好，但其數(shù)據(jù)讀取確實(shí)較單一硬盤來得快，因?yàn)閿?shù)據(jù)會(huì)從兩塊硬盤中較快的一塊中讀出。RAID1的寫入速度通常較慢，因?yàn)閿?shù)據(jù)得分別寫入兩塊硬盤中并作比較。RAID1級(jí)是一種鏡象磁盤陣列。因?yàn)樗褪菍⒁粔K硬102RAID1示意圖R103RAID0＋1也有人稱之為RAIDLevel10，它是“零加一”，即兩組按一定的分割區(qū)域，連貫成不同的兩塊大容量的陣列硬盤，互相為“鏡像”。在每次寫入數(shù)據(jù)時(shí)，磁盤陣列控制器會(huì)將數(shù)據(jù)同時(shí)寫入兩組“大容量陣列硬盤組”內(nèi)。就像是由RAIDO和RAIDl組合而成，硬盤使用率只有50%。RAID0＋1也有人稱之為RAIDLevel10104RAID0+1示意圖RAID105RAID2級(jí)RAID2級(jí)，糾錯(cuò)海明碼磁盤陣列。磁盤驅(qū)動(dòng)器組中的第一個(gè)、第二個(gè)、第四個(gè)……第2n個(gè)磁盤驅(qū)動(dòng)器是專門的校驗(yàn)盤，用于校驗(yàn)和糾錯(cuò)，例如七個(gè)磁盤驅(qū)動(dòng)器的RAID2，第一、二、四個(gè)磁盤驅(qū)動(dòng)器是糾錯(cuò)盤，其余的用于存放數(shù)據(jù)。使用的磁盤驅(qū)動(dòng)器越多，校驗(yàn)盤在其中占的百分比越少。RAID2對(duì)大數(shù)據(jù)量的輸入輸出有很高的性能，但少量數(shù)據(jù)的輸入輸出性能不好。RAID2很少實(shí)際使用。RAID2級(jí)RAID2級(jí)，糾錯(cuò)海明碼磁盤陣列。磁盤驅(qū)動(dòng)器組中106RAID3奇校驗(yàn)或偶校驗(yàn)的磁盤陣列。RAID3也被稱為帶有專用奇偶位的條帶，每個(gè)條帶片上都有相當(dāng)于一“塊”那么大的空間用來有效存儲(chǔ)冗余信息，即奇偶位，奇偶位是數(shù)據(jù)編碼信息，如果某個(gè)磁盤發(fā)生故障，可以用來恢復(fù)數(shù)據(jù)。任何一個(gè)單獨(dú)的磁盤驅(qū)動(dòng)器損壞都可以恢復(fù)，但同時(shí)有2塊以上的硬盤驅(qū)動(dòng)器損壞時(shí)將無法有效的恢復(fù)數(shù)據(jù)。RAID3奇校驗(yàn)或偶校驗(yàn)的磁盤陣列。RAID3也被稱為帶107RAID3示意圖RAID3示意圖108RAID5級(jí)RAID5的工作方式是將各個(gè)磁盤生成的數(shù)據(jù)校驗(yàn)切成塊，分別存放到組成陣列的各個(gè)磁盤中去，在有N塊硬盤組成的RAID5陣列中，陣列總?cè)萘繛镹-1塊硬盤的容量之和。為了具有RAID5級(jí)的冗余度，需要最少由三個(gè)磁盤組成磁盤陣列。RAID5級(jí)RAID5的工作方式是將各個(gè)磁盤生成的數(shù)據(jù)校驗(yàn)109RAID5可以理解為是RAIDO和RAID1的折衷方案。RAID5可以為系統(tǒng)提供數(shù)據(jù)安全保障，但保障程度要比鏡像低而磁盤空間利用率要比鏡像高。RAID5具有和RAID0相近似的數(shù)據(jù)讀取速度，只是多了一個(gè)奇偶校驗(yàn)信息，寫入數(shù)據(jù)的速度比對(duì)單個(gè)磁盤進(jìn)行寫入操作稍慢。同時(shí)由于多個(gè)數(shù)據(jù)對(duì)應(yīng)一個(gè)奇偶校驗(yàn)信息，RAID5的磁盤空間利用率要比RAID1高，存儲(chǔ)成本相對(duì)較低。RAID5可以理解為是RAIDO和RAID1的110軟\硬RAIDRAID可以由硬件實(shí)現(xiàn),通過RAID卡或主板集成的RAID控制器組建的磁盤陣列即為硬RAID。另外也可以通過系統(tǒng)軟件實(shí)現(xiàn),稱為軟RAID。軟\硬RAIDRAID可以由硬件實(shí)現(xiàn),通過RAID卡或主板集111軟\硬RAID的比較1、性能2、價(jià)格3、穩(wěn)定性4、操作簡便性5、兼容性軟\硬RAID的比較1、性能112動(dòng)態(tài)磁盤相對(duì)于基本磁盤而言，動(dòng)態(tài)磁盤提供了更加靈活的管理和使用特性?？梢栽趧?dòng)態(tài)磁盤上實(shí)現(xiàn)數(shù)據(jù)的容錯(cuò)、高速的讀寫操做等，在基本磁盤中分區(qū)是不可跨越磁盤的，但通過使用動(dòng)態(tài)磁盤，可以將數(shù)塊磁盤中的剩余空間擴(kuò)展到同一個(gè)卷中增大卷的容量。動(dòng)態(tài)磁盤相對(duì)于基本磁盤而言，動(dòng)態(tài)磁盤提供了更加靈活的管理和使113動(dòng)態(tài)磁盤的卷的類型1、簡單卷：包含單一磁盤上的磁盤空間，和分區(qū)的功能一樣。2、跨區(qū)卷：組合多個(gè)磁盤上的空閑空間到一個(gè)卷3、帶區(qū)卷4、鏡像卷：單一卷的兩分相同的拷貝，每一份在一個(gè)硬盤上。5、RAID5卷動(dòng)態(tài)磁盤的卷的類型1、簡單卷：包含單一磁盤上的磁盤空間，和分114磁盤鏡像的制作制作磁盤鏡像的方式有很多，我們采用的是相對(duì)比較簡便快捷的方式——使用WinHex來制作。WinHex正如其名，是Windows下的十六進(jìn)制編輯軟件。能自動(dòng)的分析分區(qū)鏈和文件簇鏈，并能以不同的方式進(jìn)行不同程度的備份，直至克隆整個(gè)硬盤。磁盤鏡像的制作制作磁盤鏡像的方式有很多，我115磁盤鏡像具體的制作過程：1、首先啟動(dòng)WinHex,出現(xiàn)如下界面（圖1）：（圖1）由于是做硬盤鏡像，在此我們不需要打開任何磁盤。磁盤鏡像具體的制作過程：1、首先啟動(dòng)WinHex,出現(xiàn)如下界1162、關(guān)閉“啟動(dòng)中心”窗口后直接點(diǎn)擊【工具】—【磁盤工具】—【克隆磁盤】（圖2）（圖2）2、關(guān)閉“啟動(dòng)中心”窗口后直接點(diǎn)擊【工具】—【磁盤工具】—【1173、在彈出的“克隆磁盤（復(fù)制扇區(qū)）”對(duì)話框中設(shè)置好源盤、目的盤。（圖3）3、在彈出的“克隆磁盤（復(fù)制扇區(qū)）”對(duì)話框中設(shè)置好源盤、目的1184、全部設(shè)置完畢后點(diǎn)擊“確定”。此時(shí)會(huì)彈出以下兩個(gè)提示（圖5、圖6），我們不用理會(huì)，全部點(diǎn)擊“確定”開始復(fù)制扇區(qū)。4、全部設(shè)置完畢后點(diǎn)擊“確定”。此時(shí)會(huì)彈出以下兩個(gè)提示（圖51195、復(fù)制完畢后系統(tǒng)會(huì)彈出“扇區(qū)已復(fù)制”對(duì)話框，重新啟動(dòng)計(jì)算機(jī)，這樣就大功告成了。至此我們已經(jīng)將硬盤數(shù)據(jù)完全鏡像到了一塊正常的硬盤上面，這樣在對(duì)這塊鏡像的硬盤做恢復(fù)操作就不會(huì)再有壞道的干擾了（圖7）圖（7）5、復(fù)制完畢后系統(tǒng)會(huì)彈出“扇區(qū)已復(fù)制”對(duì)話框，重新啟動(dòng)計(jì)算機(jī)120單擊此處添加副標(biāo)題內(nèi)容數(shù)據(jù)恢復(fù)基礎(chǔ)知識(shí)單擊此處輸入你的正文，文字是您思想的提煉，為了最終演示發(fā)布的良好效果，請(qǐng)盡量言簡意賅的闡述觀點(diǎn)。數(shù)據(jù)恢復(fù)基礎(chǔ)知識(shí)單擊此處添加副標(biāo)題內(nèi)容數(shù)據(jù)恢復(fù)基礎(chǔ)知識(shí)單擊此處輸入你的正文，文字是您思想的提煉，為了最終演示發(fā)布的良好效果，請(qǐng)盡量言簡意賅的闡述觀點(diǎn)。數(shù)據(jù)存儲(chǔ)與恢復(fù)技術(shù)一、數(shù)據(jù)恢復(fù)基礎(chǔ)知識(shí)一、數(shù)據(jù)恢復(fù)的概念與研究范圍愛情單擊此處添加副標(biāo)題內(nèi)容數(shù)據(jù)恢復(fù)基礎(chǔ)知識(shí)單擊此處輸入你的正文，121數(shù)據(jù)存儲(chǔ)與恢復(fù)技術(shù)

數(shù)據(jù)存儲(chǔ)與恢復(fù)技術(shù)一、數(shù)據(jù)恢復(fù)基礎(chǔ)知識(shí)一、數(shù)據(jù)恢復(fù)的概念與研究范圍一、數(shù)據(jù)恢復(fù)基礎(chǔ)知識(shí)一、數(shù)據(jù)恢復(fù)的概念與研究范圍1、數(shù)據(jù)：不僅包括計(jì)算機(jī)文件系統(tǒng)或數(shù)據(jù)庫系統(tǒng)中存儲(chǔ)的各種數(shù)據(jù)、正文、圖形、圖像、聲音等形式的多媒體數(shù)據(jù)文件、軟件或各種文檔資料，也包括存放或管理這些信息的硬件信息，如計(jì)算機(jī)硬件及其網(wǎng)絡(luò)地址、網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)服務(wù)等。1、數(shù)據(jù)：1242、數(shù)據(jù)恢復(fù)：數(shù)據(jù)恢復(fù)就是把遭受破壞、這種破壞可能是由硬件缺陷導(dǎo)致不可訪問或不可獲得、或由于誤操作等各種原因?qū)е聛G失的數(shù)據(jù)還原成正常數(shù)據(jù)。注：數(shù)據(jù)恢復(fù)不同于數(shù)據(jù)備份，不是所有的情況都可以恢復(fù)3、數(shù)據(jù)丟失的原因：造成數(shù)據(jù)丟失的原因有很多，包括軟硬件故障、異常斷電、死機(jī)、病毒破壞、黑客入侵、誤操作、磁盤陣列損壞、口令丟失、文件結(jié)構(gòu)損壞等，均屬于數(shù)據(jù)修復(fù)的范疇。

2、數(shù)據(jù)恢復(fù)：125數(shù)據(jù)災(zāi)難分類1、邏輯問題：存儲(chǔ)介質(zhì)硬件本身沒有問題，由于邏輯節(jié)點(diǎn)出現(xiàn)錯(cuò)誤導(dǎo)致的數(shù)據(jù)不可訪問，相應(yīng)的數(shù)據(jù)恢復(fù)稱為“邏輯恢復(fù)”。如誤刪除、誤格式化等。2、物理問題：存儲(chǔ)介質(zhì)硬件損壞或失效造成的數(shù)據(jù)丟失，相應(yīng)的數(shù)據(jù)恢復(fù)稱為：“物理恢復(fù)”數(shù)據(jù)災(zāi)難分類1、邏輯問題：126幾種數(shù)據(jù)丟失的現(xiàn)象1、不能進(jìn)入系統(tǒng)2、磁盤出現(xiàn)壞道3、分區(qū)丟失4、文件丟失5、密碼丟失6、文檔無法打開或打開后是亂碼幾種數(shù)據(jù)丟失的現(xiàn)象1、不能進(jìn)入系統(tǒng)127數(shù)據(jù)存儲(chǔ)技術(shù)1、數(shù)據(jù)存儲(chǔ)介質(zhì)：僅有兩種穩(wěn)定的物理狀態(tài)，能方便的檢測出屬于哪種穩(wěn)定狀態(tài)，兩種穩(wěn)定狀態(tài)又容易相互轉(zhuǎn)換的物質(zhì)或元器件，都可以用來記憶二進(jìn)制代碼“0”和“1”，稱這樣的物質(zhì)或元器件為存儲(chǔ)介質(zhì)或記錄介質(zhì)。存儲(chǔ)介質(zhì)不同，存儲(chǔ)信息的機(jī)理也不同。數(shù)據(jù)存儲(chǔ)技術(shù)1、數(shù)據(jù)存儲(chǔ)介質(zhì)：1282、存儲(chǔ)技術(shù)的分類（1）、電存儲(chǔ)技術(shù)電存儲(chǔ)技術(shù)主要指半導(dǎo)體存儲(chǔ)器SCM（SemiconductorMemory)。常見的存儲(chǔ)介質(zhì)包括內(nèi)存、閃存等2、存儲(chǔ)技術(shù)的分類（1）、電存儲(chǔ)技術(shù)129（2）、磁存儲(chǔ)技術(shù)

磁存儲(chǔ)技術(shù)主要指磁表面存儲(chǔ)器MSM(MagneticSurfaceMemory)磁表面存儲(chǔ)器是用非磁性金屬或塑料做基體，在其表涂敷、電鍍、沉積或?yàn)R射一層很薄的高導(dǎo)磁率、硬矩磁材料的磁面，用磁層的兩種剩磁狀態(tài)記錄信息“0”和“1”?；w和磁層和稱為磁記錄介質(zhì)。長見存儲(chǔ)介質(zhì)如：硬盤、軟盤、磁帶等。（2）、磁存儲(chǔ)技術(shù)磁存儲(chǔ)技術(shù)主要指磁表面存儲(chǔ)器MSM130（3）、光存儲(chǔ)技術(shù)

光盤存儲(chǔ)器是目前輔存中記錄密度最高的存儲(chǔ)器.常見的光存儲(chǔ)設(shè)備有：CD-ROM、CD-R、CD-RW、DVD-ROM、DVD-RW等（3）、光存儲(chǔ)技術(shù)光盤存儲(chǔ)器是目前輔存中記錄密度最高的131

二、磁盤結(jié)構(gòu)

一、磁盤物理結(jié)構(gòu)二、磁盤結(jié)構(gòu)一、磁盤物理結(jié)構(gòu)（1）、接口：接口包括電源接口和數(shù)據(jù)接口兩部分（2）、控制電路板：采用貼片式焊接，包括主軸調(diào)速電路、磁頭驅(qū)動(dòng)伺服電路、讀寫電路、控制與接口電路等。（3）、固定面板：硬盤正面的面板，它與底板結(jié)合成一個(gè)密封的整體，保證了硬盤盤片和機(jī)構(gòu)的穩(wěn)定運(yùn)行。（1）、接口：133磁盤外部結(jié)構(gòu)圖示磁盤外部結(jié)構(gòu)圖示134硬盤的數(shù)據(jù)接口根據(jù)聯(lián)接方式的差異，分為EIDE接口、SCSI接口和SATA串口。EIDE接口多用在桌面硬盤，經(jīng)常聽說的40針、80芯的接口電纜指的就是這類數(shù)據(jù)線硬盤的數(shù)據(jù)接口根據(jù)聯(lián)接方式的差異，分為EIDE接口、SCSI135IDE磁盤接口示意圖磁盤接口示意圖136有些硬盤的電路板上會(huì)附加有一層保護(hù)層，使用海綿或金屬板有些硬盤的電路板上會(huì)附加有一層保護(hù)層，使用海綿或金屬板137SATASATA138IDE硬盤與SATA硬盤數(shù)據(jù)線對(duì)比IDE硬盤與SATA硬盤數(shù)據(jù)線對(duì)比139SATA硬盤采用串行傳輸，每次傳輸數(shù)據(jù)為一位，有效避免了信號(hào)的串?dāng)_問題。從而可以在理論上無限提高串行傳輸?shù)墓ぷ黝l率。采用了比并行接口更低的電壓標(biāo)準(zhǔn)，減小能耗。采用點(diǎn)對(duì)點(diǎn)協(xié)議，不存在并行ATA的主/從問題，省去了跳線設(shè)置工作。SCSI硬盤具有更高的數(shù)據(jù)傳輸速率。更低的CPU占用率。運(yùn)轉(zhuǎn)穩(wěn)定SATA硬盤140SCSI硬盤外觀及接口SCSI硬盤外觀及接口141SCSI硬盤的背面板SCSI硬盤的背面板142磁盤內(nèi)部結(jié)構(gòu)（1）磁頭組件：這是硬盤中最精密的部位之一，它由讀寫磁頭、轉(zhuǎn)動(dòng)手臂、轉(zhuǎn)動(dòng)軸三部分組成。磁頭是硬盤技術(shù)中最重要和關(guān)鍵的一環(huán)，實(shí)際上是集成工藝制成的多個(gè)磁頭的組合，采用非接觸式頭、盤結(jié)構(gòu)，加電后在高速旋轉(zhuǎn)的磁盤表面移動(dòng)，與盤片之間的間隙只有0.1～0.3μm，這樣可以獲得很好的數(shù)據(jù)傳輸率。磁盤內(nèi)部結(jié)構(gòu)（1）磁頭組件：這143磁頭及其附件結(jié)構(gòu)磁頭及其附件結(jié)構(gòu)144（2）磁頭驅(qū)動(dòng)機(jī)構(gòu)：用于實(shí)現(xiàn)磁頭的移動(dòng)來完成硬盤的尋道。（3）主軸組件：包括主軸部件如軸承和驅(qū)動(dòng)電機(jī)等。（4）前置控制電路：用于控制磁頭感應(yīng)的信號(hào)、主軸電機(jī)調(diào)速、磁頭驅(qū)動(dòng)和伺服定位等。（5）磁盤片：硬盤存儲(chǔ)數(shù)據(jù)的載體。（2）磁頭驅(qū)動(dòng)機(jī)構(gòu)：用于實(shí)現(xiàn)磁頭的移動(dòng)來完成硬盤的尋道。145磁盤內(nèi)部結(jié)構(gòu)圖示磁盤內(nèi)部結(jié)構(gòu)圖示146目前，微機(jī)上安裝的硬盤幾乎都是采用溫徹斯特（Winchester）技術(shù)制造的硬盤，這種硬盤也被稱為溫盤。這種結(jié)構(gòu)的特點(diǎn)為：（1）磁頭、盤片及運(yùn)動(dòng)機(jī)構(gòu)密封在盤體內(nèi)；（2）磁頭在啟動(dòng)、停止時(shí)與盤片接觸，而在工作時(shí)因盤片高速旋轉(zhuǎn)，從而帶動(dòng)磁頭“懸浮”在盤片上面呈飛行狀態(tài)（空氣動(dòng)力學(xué)原理），這個(gè)“懸浮”的高度約為0.1微米～0.3微米，這個(gè)高度是非常小的。目前，微機(jī)上安裝的硬盤幾乎都是采用溫徹斯特（Winchest147

磁頭高度對(duì)比圖磁頭高148SCSI硬盤內(nèi)部結(jié)構(gòu)SCSI硬盤內(nèi)部結(jié)構(gòu)149

硬盤的尋道每個(gè)盤片的每個(gè)面都有一個(gè)讀寫磁頭，與磁頭接觸的表面靠近主軸，即線速度最小的地方，是一個(gè)特殊的區(qū)域，它不存放任何數(shù)據(jù)，稱為啟停區(qū)或著陸區(qū)，啟停區(qū)外就是數(shù)據(jù)區(qū)。在最外圈，離主軸最遠(yuǎn)的地方是“0”磁道，而硬盤數(shù)據(jù)的存放就是從最外圈開始的。硬盤的尋道每個(gè)盤片的每個(gè)面都150盤片區(qū)域分配示意圖盤片區(qū)域分配示意圖151磁頭的拆卸與安裝1、首先卸掉背面電路版上的所有螺絲，拆下電路版磁頭的拆卸與安裝1、首先卸掉背面電路版上的所有螺152拆下電路版后我們看到背面有兩顆螺絲，此螺絲是固定磁頭的，暫時(shí)不要?jiǎng)?。拆下電路版后我們看到背面有兩顆螺絲，此螺絲是固定磁頭的，暫時(shí)1532、揭開標(biāo)簽，卸掉硬盤正面版上的螺絲。2、揭開標(biāo)簽，卸掉硬盤正面版上的螺絲。1543、揭開正面版3、揭開正面版155

4、卸掉上面的強(qiáng)力磁鐵4、卸掉上面的強(qiáng)力磁鐵1565、卸掉硬盤背面的2顆螺絲與前置控制電路的固定螺絲后磁頭即可取下5、卸掉硬盤背面的2顆螺絲與前置控制電路的固定螺絲后磁頭即可157拆下的磁頭與空硬盤

158重新安裝磁頭重新安裝磁頭159二、磁盤邏輯結(jié)構(gòu)1、磁頭（Head）:硬盤的盤體是由多個(gè)盤片重疊在一起構(gòu)成的。硬盤“磁面”的概念與軟盤類似，它是指一個(gè)盤片的兩個(gè)面，每個(gè)盤片有上下兩個(gè)磁面。在硬盤中，一個(gè)磁面對(duì)應(yīng)一個(gè)讀寫磁頭，所以，一般來說在對(duì)硬盤進(jìn)行讀寫操作時(shí)，不再稱磁面0、磁面1、磁面2，而是稱磁頭0、磁頭1、磁頭2。

二、磁盤邏輯結(jié)構(gòu)1、磁頭（Head）:1602、磁道（Track）：磁盤在格式化時(shí)會(huì)劃分成許多同心圓，其同心圓軌跡稱為磁道。3、柱面(Cylinder):由于硬盤的盤體是由多個(gè)盤片重疊在一起構(gòu)成，每個(gè)盤片的每個(gè)面都被劃分成不同半徑的同心圓磁道，整個(gè)盤體中所有磁面的半徑相同的同心磁道就稱為“柱面”。4、扇區(qū)(Sector):如果將每一個(gè)磁道視為一個(gè)圓環(huán)，再把該圓環(huán)等分成若干個(gè)扇形小區(qū)，該等分的小區(qū)就是磁盤存取數(shù)據(jù)的最基本的單位“扇區(qū)”。磁盤的“磁頭”與“柱面”編號(hào)從0計(jì)起，而“扇區(qū)”則從1計(jì)起。2、磁道（Track）：磁盤在格式化時(shí)會(huì)劃分成許多同心圓，其161磁盤組織結(jié)構(gòu)磁盤組織結(jié)構(gòu)162硬盤在存儲(chǔ)數(shù)據(jù)之前，一般需經(jīng)過低級(jí)格式化、分區(qū)、高級(jí)格式化這三個(gè)步驟之后才能使用。其作用是在物理硬盤上建立一定的數(shù)據(jù)邏輯結(jié)構(gòu)。低級(jí)格式化的主要功能：它的作用是檢測硬盤磁介質(zhì)，劃分磁道，為每個(gè)磁道劃分扇區(qū)，并根據(jù)用戶選定的交叉因子安排扇區(qū)在磁道中的排列順序等。硬盤在存儲(chǔ)數(shù)據(jù)之前，一般需經(jīng)過低級(jí)格式化、分區(qū)、高級(jí)格式化這163分區(qū)的作用一塊硬盤，就是所有容量都劃分給一個(gè)分區(qū)，也要顯式的進(jìn)行這個(gè)操作來指定。所以，對(duì)硬盤做完低級(jí)格式化后，必須進(jìn)行分區(qū)操作，通過分區(qū)來完成主引導(dǎo)記錄的寫入。也正是這個(gè)原因，很多獨(dú)立發(fā)行的低級(jí)格式化軟件，也同時(shí)是一個(gè)分區(qū)軟件，可以完成硬盤分區(qū)功能。分區(qū)的作用一塊硬盤，就是所有容量都劃分給一個(gè)分區(qū)，也要顯式的164基本分區(qū)與擴(kuò)展分區(qū)1、基本分區(qū)：基本分區(qū)（主分區(qū)）是物理磁盤中可以被標(biāo)記為激活，并且被系統(tǒng)用來啟動(dòng)計(jì)算機(jī)的磁盤分區(qū)。每塊物理磁盤最多可以有4個(gè)基本分區(qū)。2、擴(kuò)展分區(qū)：擴(kuò)展分區(qū)是為了突破一個(gè)硬盤上只能有4個(gè)分區(qū)的限制而制定的，一個(gè)硬盤只能有一個(gè)擴(kuò)展分區(qū)?；痉謪^(qū)與擴(kuò)展分區(qū)1、基本分區(qū)：165卷集的概念卷集是將一個(gè)或多個(gè)物理硬盤上的未格式化的自由空間組合成一個(gè)邏輯卷，做為一個(gè)整體來訪問，為其分配一個(gè)盤符，就像一個(gè)單獨(dú)的分區(qū)一樣來格式化和存儲(chǔ)數(shù)據(jù)。卷集的概念卷集是將一個(gè)或多個(gè)物理硬盤上的未格式化的自由166磁盤分區(qū)結(jié)構(gòu)1、硬盤分區(qū)由五部分構(gòu)成（FAT文件系統(tǒng)）：（1）、MBR－主引導(dǎo)記錄（MainBootRecord）（2）、DBR－系統(tǒng)引導(dǎo)記錄（DosBootRecord）（3）、FAT－文件分配表（FileAllocationTable）（4）、FDT－文件目錄表（FileDirectoryTable）（5）、DATA－數(shù)據(jù)區(qū)磁盤分區(qū)結(jié)構(gòu)1、硬盤分區(qū)由五部分構(gòu)成（FAT文件系統(tǒng)）：167MBR稱為硬盤主引導(dǎo)記錄，它是由FDISK建立在柱面0、磁頭0，扇區(qū)1的磁盤引導(dǎo)記錄數(shù)據(jù)區(qū)，它不屬于任何操作系統(tǒng)。用于硬盤啟動(dòng)時(shí)將系統(tǒng)控制權(quán)轉(zhuǎn)給用戶指定的，并在分區(qū)表中登記了的某個(gè)操作系統(tǒng)區(qū)。一個(gè)物理硬盤只有一個(gè)MBR。MBR稱為硬盤主引導(dǎo)記錄，它是由FDISK建立在柱面168DBR是經(jīng)由FORMAT高級(jí)格式化寫到磁盤邏輯0扇區(qū)上的，主要功能是完成DOS系統(tǒng)的自舉。硬盤上的每一個(gè)邏輯磁盤都有自己的DBR。DBR中記錄了本分區(qū)的扇區(qū)總數(shù)、FAT表個(gè)數(shù)等信息。DBR是經(jīng)由FORMAT高級(jí)格式化寫到磁盤邏輯0扇區(qū)上169FDT表和FAT表是FAT文件系統(tǒng)組織結(jié)構(gòu)的兩個(gè)組成部分，F(xiàn)DT中記錄了文件的名字、起始地址等信息，F(xiàn)AT記錄了文件在磁盤上的具體位置。系統(tǒng)就是通過這兩個(gè)表上的文件簇鏈關(guān)系來存取文件的。FDT表和FAT表是FAT文件系統(tǒng)組織結(jié)構(gòu)的兩個(gè)組成部170硬盤分區(qū)結(jié)構(gòu)示意圖硬盤分區(qū)結(jié)構(gòu)示意圖1712、BootSector簡介BootSector也就是硬盤的第一個(gè)扇區(qū)，它由MBR(MasterBootRecord)，DPT(DiskPartitionTable)和BootRecordID三部分組成。主引導(dǎo)記錄MBR占用BootSector的前446個(gè)字節(jié)(0to0x1BD)，存放系統(tǒng)主引導(dǎo)程序(它負(fù)責(zé)從活動(dòng)分區(qū)中裝載并運(yùn)行系統(tǒng)引導(dǎo)程序)。DPT即主分區(qū)表占用64個(gè)字節(jié)(0x1BEto0x1FD)，記錄了磁盤的基本分區(qū)信息，主分區(qū)表分為四個(gè)分區(qū)項(xiàng)，每項(xiàng)16字節(jié)，分別記錄了每個(gè)主分區(qū)的信息(因此最多可以有四個(gè)主分區(qū))。BootRecordID即引導(dǎo)區(qū)標(biāo)記占用兩個(gè)字節(jié)(0x1FEand0x1FF)，對(duì)于合法引導(dǎo)區(qū)，它等于0xAA55，這是判別引導(dǎo)區(qū)是否合法的標(biāo)志。2、BootSector簡介BootSector也就是硬172BOOTSECTOR的具體結(jié)構(gòu)如下圖所示BOOTSECTOR的具體結(jié)構(gòu)如下圖所示173BootSector圖示BootSector1743、分區(qū)表結(jié)構(gòu)分區(qū)表由四個(gè)分區(qū)項(xiàng)構(gòu)成，每一項(xiàng)長度為16個(gè)字節(jié)，分區(qū)表結(jié)構(gòu)如下圖所示：3、分區(qū)表結(jié)構(gòu)分區(qū)表由四個(gè)分區(qū)項(xiàng)構(gòu)成，每一項(xiàng)長度為11754.硬盤分區(qū)類型00未使用分區(qū)項(xiàng)01DOS12一種fat表為12位的分區(qū)主要用于早期小硬盤和部分軟盤05EXTEND擴(kuò)展分區(qū)的一種06BIGDOS即FAT16分區(qū)分區(qū)表為16位，每簇最大為32K，最大分區(qū)為2G07NTFS分區(qū)0BFAT32分區(qū)分區(qū)表為32位0CFAT32X分區(qū)與FAT32基本相同0EBIGDOSX即FAT16分區(qū)擴(kuò)展分區(qū)表為16位，每簇最大可以超過32K0FEXTENDX擴(kuò)展分區(qū)的一種82Linux主分區(qū)83Linux交換分區(qū)4.硬盤分區(qū)類型00未使用分區(qū)項(xiàng)176DBR（63扇）示意圖DBR（63扇）示意圖177FATFAT178FDTFDT179由于MBR中的主分區(qū)表項(xiàng)中最多只能記錄4個(gè)分區(qū)的信息，因此我們的分區(qū)表采用的是鏈?zhǔn)浇Y(jié)構(gòu)進(jìn)行標(biāo)注，一般每個(gè)邏輯分區(qū)記錄兩個(gè)分區(qū)表項(xiàng)，一項(xiàng)標(biāo)注本邏輯分區(qū)的信息，第二項(xiàng)標(biāo)注下一個(gè)擴(kuò)展分區(qū)的信息，如此鏈接下去直至最后一個(gè)分區(qū)。具體如圖所示：由于MBR中的主分區(qū)表項(xiàng)中最多只能記錄4個(gè)分區(qū)的信息，因此我180數(shù)據(jù)恢復(fù)基礎(chǔ)知識(shí)課件181NTFS文件系統(tǒng)結(jié)構(gòu)NTFS是新技術(shù)文件系統(tǒng)（NewTechnologyFileSystem),與FAT文件系統(tǒng)相比NTFS具有許多新的特性，比如容錯(cuò)性、安全性、文件壓縮和磁盤配額等。NTFS文件系統(tǒng)結(jié)構(gòu)NTFS是新技術(shù)文件系統(tǒng)（New182相對(duì)于FAT，NTFS所具有的特性：容錯(cuò)性：NTFS可以自動(dòng)修復(fù)磁盤錯(cuò)誤而不會(huì)顯示出錯(cuò)誤信息。安全性：NTFS有許多安全性能方面的選項(xiàng)，可以在本機(jī)上和通過遠(yuǎn)程的方法保護(hù)文件、目錄，可以組織未經(jīng)授權(quán)的用戶訪問文件。通過EFS加密提高數(shù)據(jù)安全性文件壓縮：NTFS文件系統(tǒng)支持文件壓縮功能，可以壓縮單個(gè)文件或整個(gè)文件夾。磁盤限額：所謂磁盤限額就是管理員可以對(duì)本域中的每個(gè)用戶進(jìn)行磁盤使用空間的限制。相對(duì)于FAT，NTFS所具有的特性：容錯(cuò)性：NTFS可以自動(dòng)183NTFS的分區(qū)結(jié)構(gòu)NTFS文件系統(tǒng)中文件同樣是按簇進(jìn)行分配NTFS文件系統(tǒng)并不去關(guān)心什么是扇區(qū)，也不會(huì)關(guān)心扇區(qū)有多大文件通過主文件表MFT確定文件在磁盤上的存儲(chǔ)位置，NTFS卷中的每一個(gè)文件都有自己的一個(gè)唯一標(biāo)識(shí)，稱為文件引用號(hào)。NTFS的分區(qū)結(jié)構(gòu)NTFS文件系統(tǒng)中文件同樣是按簇進(jìn)行分配184NTFSF分區(qū)結(jié)構(gòu)示意圖NTFSF分區(qū)結(jié)構(gòu)示意圖185MFT元數(shù)據(jù)存儲(chǔ)在卷上支持文件系統(tǒng)管理的數(shù)據(jù)。只為系統(tǒng)服務(wù)，不能被應(yīng)用程序訪問。不管簇的大小是多少，MFT中的記錄大小一般是固定的，占用1k空間。這些記錄從零開始編號(hào)。MFT僅供系統(tǒng)本身進(jìn)行文件管理使用（MFT本身也是元數(shù)據(jù)）。在MFT的前16條記錄是非常重要的操作系統(tǒng)使用的元數(shù)據(jù)文件，這些元數(shù)據(jù)文件的名字都是以“$”開頭，是系統(tǒng)管理卷不可缺少的。MFT元數(shù)據(jù)186NTFS中的前10個(gè)元文件$MFT:$MFT中的第一條記錄即是$MFT自身。$MFTMirr:由于MFT自身的重要性，系統(tǒng)專門為它的起始部分建立的鏡像文件。$LogFile:該文件是NTFS為實(shí)現(xiàn)可恢復(fù)性和安全性而設(shè)計(jì)的。NTFS會(huì)在系統(tǒng)運(yùn)行時(shí)將所有影響NTFS卷結(jié)構(gòu)的操作記錄在日志文件中，以便在系統(tǒng)失敗時(shí)恢復(fù)NTFS卷。NTFS中的前10個(gè)元文件$MFT:$MFT中的第一條記錄即187$Volume(卷文件）：其中包含NTFS版本、卷名等信息。$AttrDef(屬性定義表）：其中存放著卷所支持的全部屬性信息。$Root(根目錄）：保存著該卷根目錄下所有文件的索引。在訪問一個(gè)文件后，ntfs就保留該文件的MFT引用，第二次就能直接訪問該文件。$Volume(卷文件）：其中包含NTFS版本、卷名等信息。188$Bitmap（位圖文件）：標(biāo)志NTFS卷中所有簇的占用情況，其中的每一位代表一個(gè)簇是空閑還是已分配。$Boot(引導(dǎo)文件）：存放著操作系統(tǒng)的引導(dǎo)程序代碼。$BadClus(壞簇文件）:記錄著該卷中所有壞簇的簇號(hào)。$Secure(安全文件）：存儲(chǔ)整個(gè)卷的安全描述符數(shù)據(jù)庫$Bitmap（位圖文件）：標(biāo)志NTFS卷中所有簇的占用情況189三、數(shù)據(jù)恢復(fù)軟件一、EasyRecovery三、數(shù)據(jù)恢復(fù)軟件一、EasyRecoveryEasyRecovery是一款功能非常強(qiáng)大的數(shù)據(jù)恢復(fù)軟件，可以恢復(fù)由于病毒破壞、誤刪除或誤格式化甚至分區(qū)損壞等造成的數(shù)據(jù)丟失，使用EasyRecovery可以修復(fù)主引導(dǎo)扇區(qū)（MBR）、BIOS參數(shù)塊（BPB）、分區(qū)表、文件分配表（FAT）或目錄及文件。當(dāng)你從計(jì)算機(jī)中刪除文件時(shí)，它們并未真正被刪除，文件的結(jié)構(gòu)信息仍然保留在硬盤上，除非新的數(shù)據(jù)將之覆蓋了。能用EasyRecovery找回?cái)?shù)據(jù)、文件的前提就是硬盤中還保留有文件的信息和數(shù)據(jù)塊。但在你刪除文件、格式化硬盤等操作后，再在對(duì)應(yīng)分區(qū)內(nèi)寫入大量新信息時(shí)，這些需要恢復(fù)的數(shù)據(jù)就很有可能被覆蓋了！這時(shí)，無論如何都是找不回想要的數(shù)據(jù)了。

EasyRecovery是一款功能非常強(qiáng)大的數(shù)據(jù)恢復(fù)軟件，可191EasyRecovery啟動(dòng)后的界面如圖所示：EasyRecovery啟動(dòng)后的界面如圖所示：192在數(shù)據(jù)恢復(fù)過程中我們使用最多的是其中“數(shù)據(jù)修復(fù)”模塊中的AdvancedRecovery和RawRecovery。AdvancedRecovery為高級(jí)選項(xiàng)自定義數(shù)據(jù)恢復(fù)，主要對(duì)付那些分區(qū)或目錄結(jié)構(gòu)損壞的不是太嚴(yán)重的情況，比如說格式化、文件被誤刪除或分區(qū)表損壞等，它可以完全依照恢復(fù)分區(qū)的文件系統(tǒng)，通過文件分配表和文件目錄表搜索出相應(yīng)的目錄樹結(jié)構(gòu)，即使完整的目錄樹結(jié)構(gòu)被破壞，它也可以找出其中的子目錄。在數(shù)據(jù)恢復(fù)過程中我們使用最多的是其中“數(shù)據(jù)修復(fù)”模塊中的Ad193有些情況下分區(qū)信息被破壞的比較嚴(yán)重，AdvancedRecovery已經(jīng)無法自動(dòng)識(shí)別分區(qū)類型，顯示為“無相法識(shí)別”空間，這時(shí)我們可以啟動(dòng)高級(jí)選項(xiàng)，從中選擇應(yīng)文件系統(tǒng)，如圖：

有些情況下分區(qū)信息被破壞的比較嚴(yán)重，Advanc194AdvancedRecovery可以掃描未分配空間中是否存在我們制定的文件系統(tǒng)的記錄，重新加載一個(gè)文件系統(tǒng)，如圖：AdvancedRecovery可以掃描未分配195在相應(yīng)的文件系統(tǒng)下繼續(xù)掃描仍然有可能恢復(fù)出完整的目錄結(jié)構(gòu)和相應(yīng)數(shù)據(jù)。掃描結(jié)束后點(diǎn)擊“下一步”選擇相應(yīng)的保存路徑保存即可。在相應(yīng)的文件系統(tǒng)下繼續(xù)掃描仍然有可能恢復(fù)出完整的目錄結(jié)構(gòu)和相196RawRecoveryRawRecovery是脫離開任何文件系統(tǒng)，按照簇的方式進(jìn)行掃描，此模式將對(duì)整個(gè)分區(qū)的扇區(qū)一個(gè)個(gè)地進(jìn)行掃描。該掃描模式可以找回保存在一個(gè)簇中的小文件或連續(xù)存放的大文件。也就是說通過這種方式恢復(fù)數(shù)據(jù)時(shí)文件越大，能成功恢復(fù)的概率就越低。RawRecoveryRawRecovery是脫離開197RawRecovery同樣可以對(duì)未分配空間進(jìn)行掃描，其操作界面如圖（8）所示

RawRecovery同樣可以對(duì)未分配空間進(jìn)行掃描，其操作界198從中選擇要掃描的硬盤空間，在“文件類型”中構(gòu)選你所需要的文件類型。注意，這里的文件類型包括常見的大多數(shù)數(shù)據(jù)類型，但不包括一些特殊軟件自己的特有數(shù)據(jù)類型，比如說一些財(cái)務(wù)軟件的數(shù)據(jù)庫等，這種情況下我們還可以通過添加數(shù)據(jù)類型來解決，但前提是手上需要擁有一定量的相同數(shù)據(jù)類型的文件樣本從中選擇要掃描的硬盤空間，在“文件類型”中構(gòu)選你所需要的文件199在“文件類型”對(duì)話框中點(diǎn)擊添加，彈出圖（9）的對(duì)話框，使用Ultraedit讀出樣本文件的16進(jìn)制編碼，從中找出8字節(jié)的特征碼（一般為文件頭的前8字節(jié)）寫入“新的文件標(biāo)識(shí)”對(duì)話框，然后填入相應(yīng)的偏移量、擴(kuò)展名和描述即可。在“文件類型”對(duì)話框中點(diǎn)擊添加，彈出圖（9）的對(duì)200二、FinalDataFinalData也是一款我們常用的數(shù)據(jù)恢復(fù)軟件，其數(shù)據(jù)恢復(fù)功能與EasyRecovery類似，界面如圖：二、FinalDataFinalDa201選擇界面左上角的“文件”、“打開”，從“選擇驅(qū)動(dòng)器”對(duì)話框中選擇想要恢復(fù)的文件所在的驅(qū)動(dòng)器。這里我們選擇“驅(qū)動(dòng)器D”然后單擊“OK”開始掃描。選擇界面左上角的“文件”、“打開”，從“選擇驅(qū)動(dòng)器”對(duì)話框中202首先掃描根目錄（又稱做“快速掃描”），其次進(jìn)行簇掃描（又稱“完整掃描”），如圖首先掃描根目錄（又稱做“快速掃描”），其次進(jìn)行簇掃描（又稱“203掃描完成后出現(xiàn)下圖對(duì)話框，從中查找所需文件選擇保存路徑恢復(fù)存即可。掃描完成后出現(xiàn)下圖對(duì)話框，從中查找所需文件選擇保存路徑恢復(fù)存204其中左邊的項(xiàng)目分別表示：1、“RootDirectory”：正常根目錄2、“DeletedDirectory”：從根目錄刪除的目錄集合(只在“快速掃描”后可用)3、“DeletedFiles”：從根目錄刪除的文件集合(只在“快速掃描”后可用)4、“LostDirectory”：只有在“完整掃描”后找到的目錄將會(huì)被顯示在這里。由于已經(jīng)被部分覆蓋或者破壞，所以“快速掃描”不能發(fā)現(xiàn)這些目錄。如果根目錄由于格式化或者病毒等引起破壞，F(xiàn)inalData就會(huì)把發(fā)現(xiàn)和恢復(fù)的信息放到“丟失的目錄”中。(只在“完整掃描”后可用)5、“LostFiles”：被嚴(yán)重破壞的文件，如果數(shù)據(jù)部分依然完好，可以從“丟失的文件”中恢復(fù)。在“快速掃描”過后，F(xiàn)inalData將執(zhí)行“完整掃描”以查找被破壞的文件并將列表顯示在“丟失的文件”中。(只在“完整掃描”后可用)其中左邊的項(xiàng)目分別表示：2056、“RecentlyDeletedfiles”：當(dāng)FinalData安裝后，“文件刪除管理器”功能自動(dòng)將被刪除文件的信息加入到“最近刪除的文件”中。因?yàn)镕inalData將這些文件信息保存在一個(gè)特殊的硬盤位置，大多數(shù)情況下可以完整地恢復(fù)出現(xiàn)(安裝程序時(shí)會(huì)指定一定的硬盤空間用來存放這些信息)。7、“SearchedFiles”：這些就是所有硬盤上面被刪除的文件，以后可以按照文件名、簇號(hào)和日期對(duì)掃描到的文件進(jìn)行查找。另外FinalData對(duì)于查找分區(qū)結(jié)構(gòu)和文件系統(tǒng)的功能非常強(qiáng)大，因此在很多時(shí)候也會(huì)作為恢復(fù)分區(qū)的輔助工具使用。數(shù)據(jù)恢復(fù)基礎(chǔ)知識(shí)課件206三、AdvancedEFSdatarecovery

AdvancedEFSdatarecovery是一個(gè)可以從WindowsNTFS分區(qū)里解密用EFS加密的文件的工具。AdvancedEFSdatarecovery啟動(dòng)后的界面如圖所示：三、AdvancedEFSdatarecovery207若要對(duì)NTFS分區(qū)里的EFS加密文件進(jìn)行解密，點(diǎn)擊“scan－scanforkeys”，首先隊(duì)硬盤中的分區(qū)進(jìn)行密鑰掃描，在彈出下圖窗口時(shí)點(diǎn)擊“startscan”開始掃描。若要對(duì)NTFS分區(qū)里的EFS加密文件進(jìn)行解密，點(diǎn)擊“scan208下圖顯示出的即為掃描到的密鑰信息：

下圖顯示出的即為掃描到的密鑰信息：209對(duì)密鑰掃描完成后，我們點(diǎn)擊“Encryptedfiles”掃描加密的文件，如圖。進(jìn)入“Encryptedfiles”選項(xiàng)卡后點(diǎn)擊“scanforencryptedfiles”開始掃描

對(duì)密鑰掃描完成后，我們點(diǎn)擊“Encryptedfiles”210下圖為掃描出來的整個(gè)分區(qū)中做了EFS加密的文件，我們將其中需要恢復(fù)的文件前面構(gòu)選然后點(diǎn)擊“decrypt”保存出相應(yīng)的文件即可。

下圖為掃描出來的整個(gè)分區(qū)中做了EFS加密的文件，我們將其中需211保存完畢，恢復(fù)工作完成。保存完畢，恢復(fù)工作完成。212RAID技術(shù)詳解及其數(shù)據(jù)恢復(fù)一、RAID簡介RAID技術(shù)詳解及其數(shù)據(jù)恢復(fù)一、RAID簡介RAID直譯為“獨(dú)立冗余磁盤陣列”，可以把RAID理解成一種使用磁盤驅(qū)動(dòng)器的方法，就是指用兩個(gè)以上的物理硬盤進(jìn)行協(xié)作，邏輯上作為一個(gè)磁盤驅(qū)動(dòng)器來使用，但能提供數(shù)據(jù)冗余容錯(cuò)協(xié)同工作能力，以此來全面提升磁盤子系統(tǒng)的性能。RAID直譯為“獨(dú)立冗余磁盤陣列”，可以把RAID理解成一種214

為確保網(wǎng)絡(luò)系統(tǒng)可靠地保存數(shù)據(jù)，使系統(tǒng)正常運(yùn)行，磁盤陣列已成為高可靠性網(wǎng)絡(luò)系統(tǒng)解決方案中不可缺少的存儲(chǔ)設(shè)備。磁盤陣列由磁盤陣列控制器及若干性能近似的、按一定要求排列的硬盤組成。該類設(shè)備具有高速度、大容量、安全可靠等特點(diǎn)，通過冗余糾錯(cuò)技術(shù)、鏡像數(shù)據(jù)或數(shù)據(jù)分割及奇偶校驗(yàn)等技術(shù)來保證設(shè)備及數(shù)據(jù)可靠，并實(shí)現(xiàn)容錯(cuò)要求，是一種具有較高容錯(cuò)能力的智能化磁盤集合，具有較高的安全性和可靠性。RAID在現(xiàn)代網(wǎng)絡(luò)系統(tǒng)中作為海量存儲(chǔ)器，廣泛應(yīng)用于磁盤服務(wù)器中。為確保網(wǎng)絡(luò)系統(tǒng)可靠地保存數(shù)據(jù)，使系統(tǒng)正常215二、RAID的優(yōu)點(diǎn)1、成本低，功耗小，傳輸速率高。2、可以提供容錯(cuò)功能。3、RAID與傳統(tǒng)的大直徑磁盤驅(qū)動(dòng)器相比，與可靠性與價(jià)格都很高的專用硬盤相比，在同樣的容量下，價(jià)格要低許多，性能與可靠性也不低于它們。二、RAID的優(yōu)點(diǎn)1、成本低，功耗小，傳輸速率高。216RAID技術(shù)－鏡像技術(shù)RAID技術(shù)－延展技術(shù)RAID技術(shù)－鏡像技術(shù)RAID技術(shù)－延展技術(shù)217三、RAID的分級(jí)1、RAID0RAID0級(jí)，無冗余無校驗(yàn)的磁盤陣列。從外表看是一個(gè)硬盤，但容量卻是兩個(gè)硬盤的總和。RAID0比一般單一硬盤的可靠度要差，只要一個(gè)硬盤損壞，整個(gè)陣列里的數(shù)據(jù)都會(huì)損失掉。但極佳的性能使RAID0仍然具有很大的吸引力。三、RAID的分級(jí)1、RAID0218RAID0的兩種方式方式1：串聯(lián)在一起，形成一個(gè)獨(dú)立的邏輯驅(qū)動(dòng)器，當(dāng)一塊磁盤的空間用盡時(shí)，數(shù)據(jù)就會(huì)被自動(dòng)寫入到下一塊磁盤中，可靠性是單獨(dú)使用一塊硬盤的1/n方式2：是用n塊硬盤選擇合理的帶區(qū)大小創(chuàng)建帶區(qū)集，在電腦數(shù)據(jù)讀寫時(shí)同時(shí)向n塊磁盤讀寫數(shù)據(jù),速度提升n倍。提