数据类技术粗解

 数据技术粗解

 

数据恢复是基于数据保护以及系统保护完全失效的情况下的特殊手段。

 

数据恢复技术分成三个层面

第一是软件恢复技术

（高层逻辑级）

第二是固件级技术

（底层逻辑级）

第三是硬件级技术

 

基础原理：

1．分区表

在主引导区中，从地址BE开始，到FD结束为止的64个字节中的内容就是通常所说的分区表。系统中建立逻辑磁盘，在主引导扇区中通过一个扩展分区的参数就可以逐个找到每一个逻辑磁盘。由于主分区之后的各个分区是通过一种单向链表的结构来实现链接的，因此，若单向链表发生问题，将导致逻辑磁盘的丢失。

2.目录区与数据区

目录区DIR:是Directory即根目录区的简写，在FAT12和FAT16格式中，DIR紧接在第二FAT表之后，而在FAT32格式中，根目录区的位置可以在分区中的任意位置，其起始位置是由引导扇区给出的。单有FAT表还不能确定文件在磁盘中的具体位置，只有FAT表和DIR区配合使用，才能准确定位文件的确切位置。

数据区（DATA）在DIR区之后，才是真正意义上的数据存储区，即DATA区。

3.引导扇区与分配表操作系统引导扇区（OBR）

OBR（OS Boot Record）即操作系统引导扇区，通常位于硬盘的0磁道1柱面1扇区（这是对于DOS来说的，对于那些以多重引导方式启动的系统则位于相应的主分区/扩展分区的第一个扇区），是操作系统可直接访问的第一个扇区，它也包括一个引导程序和一个被称为BPB（BIOS Parameter Block）的本分区参数记录表。文件分配表（FAT）

4.Fat文件系统（fat文件系统：fileallocation table，文件分配表）

硬盘在经历低级格式化和分区操作之后还不能提供给用户使用，因为硬盘分区当中还没有能用于对数据进行存储的管理机构，即文件系统。

文件是一种具有符号名的相关联元素的有序集合，是一种基础的逻辑单元。

5.MBR分区表：分区工具软件对硬盘进行分区操作之后，将在硬盘当中的第一个扇区写上MBR信息。该扇区也叫主引导记录扇区，或者叫0号扇区。（即LBA为0或者c，h，s，分别为0，0，1的扇区。

当计算机启动之后，将由CPU指向主板上的bios中的自检程序（power-on self test）来完成硬件设备的检查任务，然后运行一个bios当中的中断程序“INT 19H”（硬件级最后的程序）来查找启动介质上的LBA为0的扇区（即MBR扇区，如果没有该扇区将会导致停机），并且检查该扇区是否存在结束标志“55AA“（同理，如果不存在或者存在其他的信息，同样会导致停机发生。随后开始运行MBA的程序（引导记录）来检查以下的信息，最后运行DBR相关信息，并运行操作系统。

如果MBR程序部分有损坏，可以利用软件进行修复，将通用的MBR进行全部替换。DTP（分区表），如果有所损坏，可以利用扫描进行修复。

 

数据恢复工作需要理解三个概念

 

1.         文件是如何存储在磁盘上

2.         如何管理磁盘的文件区域和空闲区域

3.         观察数据的存储体的磁头这些物理设备的地方是否需要更换，是否出现划伤痕迹等多种物理因素。

 

数据丢失原因

一、软件故障是指硬盘的物理性能完好，因以下原因造成数据不能读取：分区表丢失或破坏、（格式化、分区、克隆误导操作）、文件被删除、被病毒破坏、文件或目录莫名其妙地丢失或者变得杂乱无序、硬盘逻辑锁（逻辑硬盘锁很少见，一般出现于勒索病毒这些场景，要么就是误导操作造成）、操作时断电等。

软件现象一般表现为无操作系统、读盘错误、文件找不到、打不开、乱码、报告无分区、无法格式化等。

二、硬件故障：硬件故障是指硬盘存在物理方面的损坏

 1、硬盘出现坏道的情况 ，使得电脑启动很慢或不能启动，即使启动成功以后也会发现文件不能拷贝。

 2、磁头组件或马达坏，使得硬盘参数检测不到或盘片不转、硬盘异响等磁盘划伤、磁组变形、芯片及其它原器件烧坏。

硬件故障一般表现为硬盘不识别，BIOS无法识别硬盘参数。常有一种“咔嚓咔嚓”的磁组撞击声或电机不转、通电后无任何声音等现象。

 

 

如果需要深入了解数据恢复的知识，那么对于各大操作系统的文件系统也是需要进行深入了解的。

 

Windows的文件系统常见：

 

 

NTFS文件格式

支持单个分区大于2G

支持磁盘配额

支持文件压缩（系统）

支持EFS文件加密系统

产生的磁盘碎片较少

适合于大磁盘分区 支持WindowsNT

 

FAT32文件格式

支持单个分区大于2G

不支持磁盘配额

不支持文件压缩（系统

不支持EFS

产生的磁盘碎片适中 支持9x，不支持NT4.0

FAT16文件格式

单个分区小于2G

不支持磁盘配额

不支持文件压缩（系统）

不支持EFS

产生的磁盘碎片较多

适合于小与2G的磁盘分区

不支持Win2000,支持NT,9x

 

 

苹果的文件系统：

1.    HFS

2.    HFS+

 

 

HFS构成方式：

（1）.卷的逻辑块0和1是启动块，它包含了系统启动信息。例如，启动时载入的系统名称和壳（通常是Finder）文件。

（2）.逻辑块2包含主目录块（MasterDirectory Block，简称MDB）。

（3）.逻辑块3是卷位图（VolumeBitmap）的启动块，它追踪分配块使用状态。

（4）.总目录文件（Catalog File）是一个包含所有文件的记录和储存在卷中目录的B*-tree。

（5）.扩展溢出文件（ExtentOverflow File）是当最初总目录文件中三个扩展占用后，另外一个包含额外扩展记录的分配块对应信息的B*-tree。

HFS+的构成信息：

1.分配文件（Allocation File）

分配文件的作用是描述文件系统中的块是空闲的还是已被占用，它相当于NTFS文件系统中的位图文件。

2.盘区溢出文件（Extents ）

HFS+文件系统的“盘区”是为“分支”分配的一系列连续的块，并用“起始块号”和“块数”描述“盘区”的所在地址。对于一个用户文件，每个分支前8个盘区信息保存在宗卷的编录文件中，如果文件的分支大于8个盘区，超出的盘区信息存放在“盘区溢出文件”中，文件系统只要通过跟踪“分支”的“盘区”就能确定块的具体归属了。

另外，盘区溢出文件也可以为元文件保存除盘区溢出文件自身以外的其他附加盘区信息，不过有一个元文件例外，这个例外就是启动元文件。如果启动文件需要的盘区数量大于在卷头中所描述的8个，也因此而需要用盘区溢出文件来保存的话，系统对它的访问就会变得很困难，也就无法达到快速启动的目的。所以，在实际中启动文件将单独保存，这样就不需要在盘区溢出文件中保存它的额外盘区信息了。

3.编录文件（Catalog File）

编录文件用来描述文件系统内的文件和目录的层次结构，该文件内存存储着文件系统中所有文件和目录的重要信息。

编录文件用B—树的形式组织目录结构，B—树能够快速而有效地在一个层次很多的大目录中寻找目标文件。

4.属性文件（Attributes File）

属性文件的作用是保存文件及目录的附加信息，它的组织结构与编录文件一样，都采用B—树结构。

5.启动文件（Startup File）

启动文件是一个为了从HFS+宗卷上启动非Mac OS系统而设置的元文件。

另外，在HFS+文件系统中还有一个特殊的文件，用来管理文件系统中有缺陷的块地址，该文件被称为“坏块文件”。

Linux文件系统：http://blog.csdn.net/abcd1f2/article/details/51314629

 

1.    数据恢复期间，已确认损坏或者误删的数据区不可以进行写入数据的操作，避免将原有的损坏或者误操作的数据区进行覆盖。

2.    硬盘或者物理设备发生物理损坏之后，不可以进行反复的操作，避免损坏固件区或者磁头。

3.    软件级恢复：MiniTool Power Data Recovery，freefastrecovery，DiskGenius，easyrecovery等软件。