第1章      基础知识<?xml:namespace prefix = o ns = "urn:schemas-microsoft-com:office:office" />

 

  1.1 硬盘基础知识
     <?xml:namespace prefix = st1 ns = "urn:schemas-microsoft-com:office:smarttags" />1.1.1 硬盘结构
     1.1.2 硬盘接口
     1.1.3 磁道、扇区、柱面
     1.1.4 硬盘的启动过程
     1.1.5 硬盘的性能指标
     1.1.6 寻址方式
  1.2 计算机基础知识
     1.2.1 基本概念
     1.2.2 计算机的启动过程
  1.3 数的基础知识
     1.3.1 数制
     1.3.2 数制间的转换
     1.3.3 取整与取余运算
     1.3.4 数的存储格式     
  1.4 工具软件简介
     1.4.1 虚拟磁盘软件 InsPro Disk
     1.4.2 十六进制编辑软件 Winhex
     1.4.3 硬盘检测软件 MHDD

 

第2 章 分区
2.1 概述
    2.1.1 分区与卷
    2.1.2 UNIX 下卷的使用
    2.1.3 扇区地址
    2.1.4 根据合理性判断分区信息的正确性
    2.1.5 数据恢复及电子取证
2.2  DOS 分区
    2.2.1 概述
2.2.2 主引导记录扇区 MBR
2.2.3 扩展引导记录扇区 EBR
    2.2.3 数据恢复及电子取证
2.3  Apple 分区     
    2.3.1 概述
    2.3.2. Apple 磁盘布局
    2.3.3 分区表项数据结构
    2.3.4 数据恢复及电子取证
 2.4  BSD 分区
    2.4.1  概述
    2.4.2 FreeBSD 分区
    2.4.3 NetBSD 和 OpenBSD 分区      
    2.4.4  磁盘标签数据结构
2.4.5   磁盘标签实例分析      
    2.4.6  总结  
 2.5  Sun Solaris 分区
    2.5.1  概述
    2.5.2 Sparc 平台下的 Sun Solaris 分区
    2.5.3 i386 平台下的 Sun Solaris 分区
    2.5.4  总结
 2.6  GPT 分区
    2.6.1  概述
    2.6.2 GPT 磁盘总体布局
    2.6.3  数据结构
    2.6.4  总结
　 2.7   移动介质分区

 

第3 章 FAT 文件系统

  3.1 文件系统总论
  3.2  FAT 文件系统概述
  3.3  FAT 文件系统整体布局
  3.4  FAT32 的保留区
      3.4.1 引导扇区
      3.4.2  引导代码
      3.4.3 FSINFO 信息扇区  
  3.5  FAT32 的 FAT 表
　　　 3.5.1  FAT 表概述
      3.5.2 FAT 表特性
      3.5.3 FAT 表的使用
      3.5.4  其他
  3.6  FAT32 的数据区
      3.6.1  根目录
      3.6.2  子目录
      3.6.3  目录项
            3.6.3.1  短文件名目录项
            3.6.3.2  长文件名目录项
            3.6.3.3 “ . ”目录项和“ .. ”目录项
            3.6.3.4  卷标目录项
            3.6.3.5  目录项中时间值的更新
  3.7  FAT12/16 文件系统
       3.7.1 FAT12/16 文件系统概述
       3.7.2  引导扇区
       3.7.3 FAT 表
       3.7.4  根目录与目录项
   3.8  分配策略
       3.8.1  簇的分配策略
       3.8.2  目录项的分配策略
   3.9   文件的建立与删除
   3.10  总结
       3.10.1  数据恢复分析
       3.10.2  取证分析

 

第4 章 NTFS 文件系统
4.1  NTFS 概述
     4.1.1 概述
     4.1.2 基本概念
    4.2  NTFS 文件系统整体布局
    4.3  引导扇区
    4.4  主文件表 MFT
        4.4.1 MFT 项概述
        4.4.2 Windows 2000 的 MFT 项
        4.4.3 Windows XP 的 MFT 项
    4.5   MFT 属性
        4.5.1 属性的结构
　　　　     4.5.1.1   属性头
　　　　     4.5.1.2   属性内容
　　　  4.5.2 常规属性类型
    　　　　4.5.2.1  标准信息属性
    　　　　4.5.2.2  文件名属性
            4.5.2.3  数据属性
            4.5.2.4  属性列表属性
            4.5.2.5  对象 ID 属性
            4.5.2.6  重解析点属性
            4.5.2.7  索引根属性
            4.5.2.8  索引分配属性
            4.5.2.9  位图属性
            4.5.2.10 安全属性
  4.5.2.11 安全描述符属性
            4.5.2.12 卷名属性
            4.5.2.13 卷信息属性
       4.5.3 其他属性   
4.6 文件系统元文件
       4.6.1  $MFT 文件
       4.6.2  $MFTMirr 文件
       4.6.3  $LogFile 文件
       4.6.4  $Volume 文件
       4.6.5  $AttrDef 文件
       4.6.6  $Root 文件
       4.6.7  $Bitmap 文件
       4.6.8  $Boot 文件
       4.6.9  $Secure 文件
       4.6.10 $UsnJrnl 文件
       4.6.11 $Quota 文件
       4.6.12 $ObjId 文件
4.7   分配策略
　　    4.7.1　簇空间分配策略
　　    4.7.2  MFT 项分配策略
　　    4.7.3  属性分配策略
4.8 　时间值的更新
4.9 　文件的建立与删除
       4.9.1 建立文件
       4.9.2 删除文件
4.10 总结
       4.10.1 分析注意事项
       4.10.2 数据恢复与取证分析

 

第5 章 EXTX 文件系统

5.1 　 ExtX 文件系统概述
5.2  ExtX 文件系统整体布局
5.3 　超级块
5.3.1 数据结构
5.3.2 超级块实例分析
5.4 块组描述符表和块组描述符
　　    5.4.1　块组描述符数据结构
　　    5.4.2  块组描述符实例分析
5.5 　块位图
     5.5.1. 块位图的工作方式
     5.5.2. 块位图实例分析
5.6 　 i- 节点位图
     5.6.1  i- 节点位图实例分析
     5.6.2  定位一个 i- 节点的位图
5.7 　 i- 节点表与 i- 节点
　　　 5.7.1   i-节点数据结构
　　　 5.7.2  i-节点实例分析
　　　 5.7.3  i-节点的属性
　 5.7.4   i- 节点中时间值的更新
5.8 扩展属性
     5.8.1 扩展属性的结构
     5.8.2 扩展属性实例分析
5.9 目录项
　　　 5.9.1　目录项数据结构
　　　 5.9.2　目录项的特性
5.9.3   目录项实例分析
5.10 　链接和挂载点
5.11 　 Hash 树
　　　 5.11.1　概述
　　　 5.11.2　数据结构
5.12 　 文件系统日志
　　　 5.12.1概述
　　　 5.12.2数据结构
5.12.2 .1  标准头结构
5.12.2 .2  日志超级块
5.12.2 .3  日志描述符块
5.12.2 .4  日志提交块
　　　 5.12.3　 实例分析

5.13  分配策略
　　　 5.13.1　块的分配策略
　　　 5.13.2　 i- 节点分配策略
　　　 5.13.3　文件名空间分配策略
5.14 　文件的建立与删除
　　　 5.14.1　建立文件　　　
5.14.2 　 删除文件
5.15 　总结
　　　 5.15.1　分析注意事项
　　　 5.15.2　数据恢复与取证分析　　　

 

第6章      UFS 文件系统

   6.1  UFS 文件系统概述
6.2  UFS 文件系统整体布局
6.3  超级块
                6.3.1  概述
                6.3.2  数据结构
                           6.3.2.1  UFS1超级块数据结构
                           6.3.2.2  UFS2超级块数据结构
6.4     柱面组摘要
6.5  柱面组描述符
                6.5.1概述
                6.5.2数据结构
                6.5.3位图
                        6.6  引导代码
            6.7  i-节点
                6.7.1  UFS1的i-节点
                        6.7.2 UFS2的i-节点
            6.8  目录项
                6.8.1数据结构
                6.8.2  实例分析
            6.9  分配策略
                6.9.1存储空间分配策略
                6.9.2  i-节点分配策略
                6.9.3  目录项分配策略
            6.10  文件的建立与删除
                6.10.1  建立文件
                6.10.2  删除文件
            6.11 总结
6.11.1 分析注意事项
6.11.2 数据恢复与取证分析

 

 

第7 章 HFS+ 文件系统
7.1  HFS 封装
     7.1.1 HFS 卷主目录块结构
     7.1.2  HFS 卷主目录块实例分析
7.2 概述
7.2.1  HFS+ 的改进
7.2.2   基本概念
7.2.3   主要数据结构类型
7.2.3   HFS+ 特性
7.3  HFS+ 文件系统整体布局
7.4   卷头
     7.4.1  数据结构
     7.4.2  实例分析
7.5   节点
     7.5.1  节点的种类
     7.5.2  节点的基本结构
     7.5.3  头节点
        7.5.3.1 头节点中的节点描述符
        7.5.3.2 头节点中的头档案
        7.5.3.3 头节点中的保留部分
        7.5.3.4 头节点中的档案起始偏移量列表
        7.5.3.5 头节点中的位图档案
     7.5.4  图节点
     7.5.5  索引节点
     7.5.6  叶节点
     7.5.7  节点的使用
     7.5.8  HFS+ 节点与 HFS 节点的区别
7.6   目录文件
     7.6.1  目录文件中档案项的 key 部分
     7.6.2  目录文件中档案项的数据部分
        7.6.2.1 文件夹档案项的数据部分
        7.6.2.2 文件档案项的数据部分
        7.6.2.3 链接档案项的数据部分    
7.7   域溢出文件
     7.7.1 域溢出文件中档案项的 key 部分
     7.7.2 域溢出文件中档案项的数据部分
  7.7.3 域溢出文件节点实例分析
     7.7.4 域溢出文件的使用
7.8   坏块文件
    7.9   分配文件        
7.10 属性文件         
　　     7.10.1 叉数据属性
　　     7.10.2 域属性

 

 

第8 章  多磁盘卷
8.1  RAID
        8.1.1  RAID 级别简介
        8.1.2  RAID 中的基本概念
        8.1.3  RAID0 阵列原理
8.1.4   RAID1 阵列原理
8.1.5   RAID4 阵列原理　
8.1.6   RAID5 阵列原理
8.1.7   RAID6 阵列原理
8.1.8   RAID1E 阵列原理
8.1.9   RAID DP 阵列原理
8.1.10   RAID 的实现
8.1.11   数据恢复及取证注意事项
8.2  磁盘跨区
8.2.1   概述
8.2.2   Linux MD
8.2.3   Linux LVM
8.2.4   Microsoft Windows LDM
        8.2.5  总结   

 

第9 章 数据恢复前的准备

      9.1 写在数据恢复之前的话

     9.2   检测磁盘
        9.2.1 用 MHDD 检测磁盘
        9.2.2 用 MHDD 清除主引导扇区“ 55AA ”标志
        9.2.3 用 PC-3000 检测磁盘
     9.3 坏道处理
     9.4 镜象磁盘
        9.4.1 什么是“镜象磁盘”
        9.4.2 什么情况下需要对磁盘进行镜象
        9.4.3 用 Media Tools 镜象磁盘
        9.4.4 用 HDD Clone 镜象磁盘
        9.4.5 用 Winhex 镜象磁盘

 

     9.5 分区及格式化对磁盘的写入
        9.5.1 Winhex “比较”功能的使用
        9.5.2 分区过程对磁盘的写入
        9.5.3 格式化过程对磁盘的写入

 

 

  第10 章 基本数据恢复
   10.1 分区恢复
       10.1.1 主分区表损坏恢复
           10.1.1.1 手工恢复
           10.1.1.2 使用 Winhex 恢复
       10.1.2  重新分区未格式化
       10.1.3  分区布局改变并进行了格式化
       10.1.4  使用 Finaldata 快速寻找分区
10.2  DBR 损坏后的恢复
       10.2.1  FAT 文件系统 DBR 损坏后的恢复
       10.2.2  NTFS 文件系统 DBR 损坏后的恢复
10.3  格式化恢复
       10.3.1  原 FAT32 格式化成 FAT32
       10.3.2  原 FAT32 格式化成 NTFS
       10.3.3  原 NTFS 格式化成 NTFS
       10.3.4  原 NTFS 格式化成 FAT32
    10.4 删除恢复
       10.4.1  FAT16 文件系统下的删除
       10.4.2  FAT32 文件系统下的删除
       10.4.3  NTFS 文件系统下的删除
    10.5 数据恢复软件的使用
       10.5.1  使用 R-Studio 恢复数据
       10.5.2  使用 Recover My Files 恢复数据

 

第11 章  RAID 数据恢复

   11.1  概述
   11.2  FAT 表在阵列恢复中的作用
      11.2.1 利用 FAT 表计算块大小
      11.2.2  利用 FAT 表判断数据块顺序
      11.2.3  利用 FAT 表寻找校验块
11.3  MFT 在阵列恢复中的作用
    11.3.1 利用 MFT 记录编号判断块大小及数据块顺序
    11.3.2 利用 MFT 寻找校验块
   11.4  RAID0 阵列恢复
      11.4.1 参数分析
      11.4.2 使用 Winhex 重组数据
      11.4.3 使用 R-Studio 重组数据   
   11.5  RAID5 阵列恢复
      11.5.1 循环方向的判断
      11.5.2 同步与异步的判断
      11.5.3 计算各个成员盘第一个校验块的位置
      11.5.4 利用 FAT 恢复演示
      11.5.5 利用 MFT 恢复演示
   11.6  HP 内外双循环阵列恢复
11.7  RAID1E 阵列恢复