文件系统结构分析与数据恢复

最新推荐文章于 2022-12-05 10:28:56 发布
最新推荐文章于 2022-12-05 10:28:56 发布
阅读量1.6k 收藏 17
点赞数 2
分类专栏： 计算机病毒
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_45256499/article/details/117817497
版权

文件恢复是指由于各种原因（如病毒等）导致数据损失时把保留在介质上的数据重新恢复的过程。即使数据被删除或硬盘出现故障，只要在介质没有严重受损的情况下,数据就有可能被完好无损地恢复。

预备知识

一．硬盘数据存储区域

FAT16和FAT32文件系统硬盘上的数据按照其不同的特点和作用大致可分为5部分：MBR区、DBR区、FAT区、FDT区和DATA区。MBR由分区软件创建，DBR区、FAT区、FDT区和DATA区由高级格式化程序创建。文件系统写入数据时只是改写相应的FAT区、FDT区和DATA区。这5个区域共同作用才使整个硬盘的管理系统有条不紊。
1.MBR，主引导记录区
2.DBR，操作系统引导记录区
3.FAT，文件分配表
4.FDT，文件目录表
5.DATA，数据区
以上5个区域在硬盘逻辑分区上的排列如下所示。各区域在分区上的位置关系。
MBR（63）->DBR（32）->FAT1->FAT2->FDT（32）->DATA

二．文件分配表

文件分配表（FAT）是DOS文件管理系统用来记录每个文件的存储位置的表格，它以链的方式存放簇号。
磁盘格式化后，用户文件以簇为单位存放在数据区中，一个文件至少占用一个簇。当一个文件占用多个簇时，这些簇的簇号不一定是连续的，但这些簇号在存储该文件时就确定了顺序，即每个文件都有其特定的“簇号链”。磁盘上的每一个可用的簇在FAT中有且只有一个登记项，通过在对应簇号的登记项内填入“表项值”来表明数据区中的该簇是已占用、空闲或是坏簇三种状态之一。损坏的簇可以在格式化过程中，由Format命令发现并记录在FAT中。

三．文件目录表

用Format命令对磁盘进行高级格式化的时候，就已经为整个磁盘建立了一个根目录FDT。在根目录下，用户可以再创建不同的子目录或文件。根目录以及各个子目录都有自己的FDT。
根目录下的所有文件及其子目录在根目录的文件目录表中都有一个“目录登记项”。每个目录登记项占用32个字节，提供有关文件或子目录的信息。

手工恢复文件

1． 使用WinHex打开U盘查看各项参数

（1）格式化U盘：
选择“格式化”->在文件系统中选择“FAT32”->“开始”->“确定”，对U盘进行格式化。
（2）使用WinHex获取U盘快照：
打开WinHex。
单击“工具”->“打开磁盘”->在逻辑驱动器中选择磁盘->“确定”
获取新快照后可以看到驱动器中所包含的目录、文件、文件分配表的大小和起始位置等相关信息。
(本实验中选用U盘操作）

「注」 不要选择“不要再显示此提示信息”，如果选中了则不能获取新快照。可以通过“帮助”->“设置”->“初始化”来取消选择

打开后可以看到以下信息：
在这里插入图片描述
（3）查看FAT1
单击WinHex中U盘快照中文件列表中的FAT1即可查看FAT1。
单击FAT1中的数据可在左侧的参数框中看到数据所代表的簇号和簇的当前状态。
在这里插入图片描述
（4）计算FDT的起始位置
在文件列表中可以看到FAT1和FAT2的第1扇区位置，FAT2是FAT1的备份，所以大小相等内容相同。因此可以推算出它的大小为：FAT2的第1扇区位置－FAT1的第1扇区位置。FAT1的大小是： 8934-1484=7450 。

可读取到数据：
FAT1 1484
FAT2 8934

FDT的位置在FAT2之后，所以可以通过：FAT2的第1扇区位置＋FAT1的大小来得到FDT的起始位置。
FDT的起始位置的逻辑扇区编号是： 8934+7450=1638。
（5）跳转到FDT的起始地址
单击“位置”->“转到扇区”->在扇区输入框中输入FDT的起始位置的逻辑扇区编号->“确定”，即可跳转到FDT的起始地址。
（6）根据实验原理了解FDT表中的目录登记项的各部份含义。
在FDT中，每个目录登记项占用32个字节，分为8个区域，提供有关文件或子目录的信息。FAT32文件目录项的32 个字节表示的定义：

字节位置字节数内容及含义
0x0~0x78文件名
0x8~0xA3扩展名
0xB100000000（读写）
~~00000001（只读）
~~00000010（隐藏）
~~00000100（系统）
~~00001000（卷标）
~~00010000（子目录）
~~00100000（归档）
0xC1系统保留
0xD1创建时间的10毫秒位
0xE~0xF2文件创建时间
0x10~0x112文件创建日期
0x12~0x132文件最后访问日期
0x14~0x152文件起始簇号的高16位
0x16~0x172文件最近修改时间
0x18~0x192文件最近修改日期
0x1A~0x1B2文件起始簇号的低16位
0x1C~0x1F4表示文件的长度
2． 创建文本文件

在U盘根目录下新建文本文档“Hello.txt”，内容为“Hello World!”的文本文件。文件名和内容使用英文是为了便于查找。

3． 备份相关数据

（1）重新获取磁盘快照
此时弹出对话框提示“有快照可以重用”，单击“获取新快照”即可获得逻辑驱动器的当前快照。
（2）备份FDT中“Hello.txt”的目录登记项
根据FDT的起始位置的逻辑扇区编号跳转到FDT的起始地址。
在这里插入图片描述
找到文件“Hello.txt”的登记项。根据数据区右侧的明文找到倒数32个与文件“Hello.txt”相关的字节，即是文件的目录登记项。
在这里插入图片描述
按住鼠标左键拖动选中文件“Hello.txt”的目录登记项的32个字节。
右键单击被选中的数据块->“编辑”->“复制选块”->“置入新文件”->将新文件命名为“FDTH.dat”保存位置是C盘根目录下->“保存”。此时新文件会在WinHex中被打开。
根据实验原理中对目录登记项各部份的定义，文件“Hello.txt”的文件名在目录登记项中的十六进制代码的第1字节的值是 48。
文件的大小是 12 字节，在目录登记项中的十六进制代码是 00 00 00 0C 。
文件的首簇编号是 6 ，在目录登记项中的十六进制代码是 00 06 。
在这里插入图片描述
(3）备份FAT1中的相关数据
参考FDT数据的备份步骤，将FAT1中的有效数据备份到C盘根目录下，文件名为“FAT1H.dat”。
在这里插入图片描述
（4）查看DATA区域中文件“Hello.txt”的数据
单击“位置”->“转到扇区”->在簇输入框中输入文件“Hello.txt”的首簇号->“确定”，即可跳转到文件“Hello.txt”的起始地址。
在这里插入图片描述
在这里插入图片描述

4． 删除文件

在D盘根目录下选中文件“Hello.txt”
按“Shift+Delete”键将其删除。

5． 查看删除标记

（1）重新获取U盘快照。
（2）对比当前FDT中文件“Hello.txt”的目录登记项和FDTH.dat中的相关数据。
FDTH.dat中第一个字节是 48 。
当前FDT中文件“Hello.txt”的目录登记项的第一个字节是 E5 。
在这里插入图片描述
(3）对比FAT1中相关数据的变化。
FAT1H.dat中文件“Hello.txt”簇链相关位置的十六进制值是00 00 00 00 。
上述位置的值在当前FAT1中相同位置的值是FF FF FF 0F。
在这里插入图片描述
在这里插入图片描述
（4）查看DATA区域中文件“Hello.txt”的数据。
根据FDTH.dat记录的文件“Hello.txt”的首簇位置跳转相关簇并查看文件数据。文件数据是否有变化？
在这里插入图片描述

6． 根据备份数据恢复文件

（1）根据备份数据FDTH.dat和FAT1H.dat恢复FDT与FAT1中的相关数据。
在FDT与FAT1的数据部分，用鼠标单击要修改的数据，然后通过键盘输入数值。
按“Ctrl+S”键保存上述修改。出现提示信息，单击“确定”|“是”完成保存。
（2）刷新D盘根目录查看文件。文件是否被恢复？
答：是
文件名是 HELLO.txt 。
在这里插入图片描述

模糊恢复文件

1． 格式化U盘

（1）重新对U盘进行格式化。
（2）使用WinHex重新获取U盘快照。
（3）对比格式化前后FDT和FAT1中数据的变化。

格式化前;
在这里插入图片描述
在这里插入图片描述

格式化后：

在这里插入图片描述

2． 根据DATA区的数据内容恢复文件

（1）根据FDTH.dat中的记录跳转到文件“Hello.txt”首簇位置查看文件数据。文件数据是否有变化？
->没有变化。
在这里插入图片描述
（2）根据文件首簇位置和文件大小修改FDT和FAT1。
根据FDT的定义，文件“Hello.txt”的目录登记项中表示文件首簇位置的是 26至 27 字节。根据DATA区域中文件“Hello.txt”的相关内容，在这些位置中应填入 06 00 。
表示文件大小的是目录登记项中的第 28 至 31字节。根据DATA区域中的相关内容，在这些位置中应填入 0C 00 00 00 。
根据DATA区的数据内容修改FAT1。文件“Hello.txt”没有写满一个簇，因此找到文件“Hello.txt”在FAT1中的首簇位置写入FF FF FF 0F，表示文件结束。
（3）修改文件名。
表示文件名及其扩展名的是登记项中的第 0 至 7 字节。此时，假设只知道文件类型是文本文件而不知道文件名，则可以在相关字节中填入其它十六进制值，但是必须保证这些值符合文件名命名规则。0－7字节为文件名，可以全部填入十六进制值“46”；8－10字节为文件扩展名，填入十六进制值“54 58 54”。
按“Ctrl+S”键保存上述修改。
（4）刷新D盘根目录查看文件。文件是否被恢复？
答：是。
文件名是 FFFFFFFF.txt 。
在这里插入图片描述

安全擦除文件（文件粉碎）

将恢复的文件安全擦除
（1）安全擦除文件
单击“工具”->“文件工具”->“安全擦除…”->选择刚被恢复的文件|“删除”->在“用16进制数值填充”中输入数值->“确定”->“确定”，文件即被不可逆删除。为了便于查看可在“用16进制数值填充”中输入又特征的数值。例如“1234”。
（2）在DATA区查看文件数据
跳转到被安全擦除的文件的首簇位置查看被安全擦除的文件的数据。
文件被安全擦除后DATA区中的数据是否有变化？

文件被安全擦除后DATA区中的数据为刚刚填充的16进制的数值。

在这里插入图片描述

使用Rstudio进行文件恢复。

开始文件恢复：通过选择要恢复的磁盘，右键点击，打开驱动器文件，会自动扫描；左边是现在的文件，右边是可恢复的一些文件数据，绿色是恢复几率比较大的；勾选你要恢复的文件，然后点击上方的 恢复标记的恢复选项，输出文件夹自己设置；点击确定，恢复完成，在恢复文件夹找到已经恢复好的删除文件。

结果：文件有被恢复，但是内容是空的。

在这里插入图片描述

主引导扇区覆盖

利用changeboot.bin覆盖主引导扇区，虚拟机中实施。

在虚拟机中，用WinHex打开磁盘C，将changeboot.bin中的字节码全选复制到磁盘C的FDT中，保存后重启。

在这里插入图片描述

weixin_45256499
关注
  • 2
    点赞
  • 踩
  • 17
    收藏
    觉得还不错? 一键收藏
  • 3
    评论
专栏目录
NTFS文件系统结构分析（2006年）
03-21
针对NTFS的卷结构，目录与文件结构、日志文件系统、故障时数据恢复等方面进行 了研究。NTFS使用日志文件系统实现系统的数据故障恢复功能，对数据恢复过程及过程中日志文件系统的使用给出了详细 的说明。
服务器zfs文件系统故障数据恢复过程
beiya123的博客
03-04 970
一、服务器数据恢复环境部署介绍： 今天为大家介绍的数据恢复成功案例服务器型号为：ORACLE-SUN-ZFS7320。服务器内涉及硬盘32块，服务器操作采用的是Windows操作系统。 二、服务器数据恢复故障情况 服务器在正常运行的时候突然崩溃，没有断电、进水、异常操作、机房不稳定等外部因素。服务器管理员对设备进行重启后发现无法进入系统，需要对服务器内的数据进行恢复。 三、分析服务器磁盘底...
计算机维修与数据恢复论文,数据恢复技术论文(2)
weixin_42168230的博客
07-05 1412
数据恢复技术论文篇二综述计算机数据恢复技术[摘要]随着全球信息化的不断加剧，信息早已成为社会发展的重要资源，围绕这一资源展开的竞争也日益激烈。而数据是信息的重要载体，所以系统与数据恢复技术作为一种新技术就应运而生了。本文首先介绍了数据的存储结构原理，然后对计算机数据损害进行了分析，最后介绍了计算机数据损坏的相关类型及其相关数据恢复的方法。[关键词]计算机;信息安全;数据恢复[中图分类号]G71 [...
[操作系统]Fat32磁盘结构与数据恢复实验报告
网络安全知识分享
08-03 2904
Fat32磁盘结构与数据恢复 【实验目的】 通过本实验的学习，了解Windows磁盘结构，完成Fat32下文件删除的手动恢复。 【知识点】 磁盘结构，文件恢复，扇区 【实验原理】 磁盘的结构一般由主引导记录 (MBR)、基本分区和扩展分区组成。其中，主引导记录又可以称为主引导扇区，由引导程序和分区表组成，主引导扇区的最后两个字节为 0x55AA，代表着主引导扇区的结束。在 MBR 分区表中最多4个主分区或者 3 个主分区＋ 1 个扩展分区，也就是说扩展分区只能有一个，然后可以再细分为多个逻辑分区。Windo
【服务器数据恢复】Zfs文件系统误删除数据的数据恢复案例
beiya123的博客
12-05 578
一台zfs文件系统服务器，运维人员误操作删了服务器上的数据，用户联系到我们数据恢复中心要求恢复数据。
乐易佳视频数据恢复软件 v5.3.5.rar
07-14
2、提高视频结构分析算法。 乐易佳视频数据恢复软件的安装 把下载好的安装包解压到当前文件夹，之后双击【LYJ-DataRecovery-Video.exe】运行文件进行安装，打开的时候会出现安装框，依次开始安装，依照步骤点击...
WinHex 数据恢复 数据处理
08-18
具体来说，WinHex 是一款以通用的 16 进制编辑器为核心，专门用来对付计算机取证、数据恢复、低级数据处理、以及 IT 安全性、各种日常紧急情况的高级工具： 用来检查和修复各种文件、恢复删除文件、硬盘损坏、数码...
面向分布式文件存储系统的数据恢复策略
06-14
由此,提出了一种基于纠删码的存储系统数据恢复优化方法。通过对纠删码恢复算法的分析,证明了纠删码的恢复操作是可以并行的;设计了一种基于流水线的并行化数据恢复方案;通过分析现实中的网络拓扑结构,设计了一种可以...
SQL数据文件恢复工具 v1.0.zip
07-14
SQL数据文件恢复工具是一款专业的SQL数据文件恢复软件。软件主要针对的是被误删除而丢失的MDF文件，或从SQL数据文件中提取用户需要的表数据。软件界面美观简洁、简单全面、实用方便，无需培训，即可快速上手，...
JavaScript_构建您的第一个移动应用程序.zip
05-20
JavaScript
手机应用源码新浪微博Android客户端.rar
05-20
手机应用源码新浪微博Android客户端.rar
俄罗斯方块项目【尚学堂·百战程序员】.zip
05-20
# 俄罗斯方块项目【尚学堂·百战程序员】 俄罗斯方块是一款经典的益智游戏，最早由俄罗斯程序员阿列克谢·帕基特诺夫于1984年开发。本项目基于【尚学堂·百战程序员】的课程内容，详细介绍如何使用JavaScript、HTML5和CSS3从零开始开发一个完整的俄罗斯方块游戏。该项目旨在帮助学习者掌握前端开发的基础知识和技能，提升编程能力。 ## 项目概述 本项目实现了经典的俄罗斯方块游戏，主要包括以下功能模块： ### 1. 游戏界面 游戏界面采用HTML5的Canvas元素进行绘制，使用CSS3进行样式设计。界面包括游戏区域、得分显示、下一个方块预览和控制按钮。通过合理的布局和美观的设计，为玩家提供良好的游戏体验。 ### 2. 方块生成与控制 游戏随机生成不同形状的方块（I、O、T、L、J、S、Z），玩家可以通过键盘控制方块的移动和旋转。具体操作包括： - 左移：按左箭头键。 - 右移：按右箭头键。 - 下移：按下箭头键。 - 旋转：按上箭头键。 ### 3. 方块下落与碰撞检测 方块自动从上到下逐行下落，速度逐渐加快。通过碰撞检测算法，判断方块是否与其他方块或底部边界
如何打造一个新品牌tbb.pptx
05-20
如何打造一个新品牌tbb.pptx
node-v14.2.0-headers.tar.xz
05-20
Node.js，简称Node，是一个开源且跨平台的JavaScript运行时环境，它允许在浏览器外运行JavaScript代码。Node.js于2009年由Ryan Dahl创立，旨在创建高性能的Web服务器和网络应用程序。它基于Google Chrome的V8 JavaScript引擎，可以在Windows、Linux、Unix、Mac OS X等操作系统上运行。 Node.js的特点之一是事件驱动和非阻塞I/O模型，这使得它非常适合处理大量并发连接，从而在构建实时应用程序如在线游戏、聊天应用以及实时通讯服务时表现卓越。此外，Node.js使用了模块化的架构，通过npm（Node package manager，Node包管理器）,社区成员可以共享和复用代码，极大地促进了Node.js生态系统的发展和扩张。 Node.js不仅用于服务器端开发。随着技术的发展，它也被用于构建工具链、开发桌面应用程序、物联网设备等。Node.js能够处理文件系统、操作数据库、处理网络请求等，因此，开发者可以用JavaScript编写全栈应用程序，这一点大大提高了开发效率和便捷性。 在实践中，许多大型企业和组织已经采用Node.js作为其Web应用程序的开发平台，如Netflix、PayPal和Walmart等。它们利用Node.js提高了应用性能，简化了开发流程，并且能更快地响应市场需求。
基于java开发的声纹识别解锁系统，一款使用声纹加密Android APP的应用+源码（毕业设计&课程设计&项目开发）
05-20
基于java开发的声纹识别解锁系统，一款使用声纹加密Android APP的应用+源码，适合毕业设计、课程设计、项目开发。项目源码已经过严格测试，可以放心参考并在此基础上延申使用~ 基于java开发的声纹识别解锁系统，一款使用声纹加密Android APP的应用+源码，适合毕业设计、课程设计、项目开发。项目源码已经过严格测试，可以放心参考并在此基础上延申使用~ 基于java开发的声纹识别解锁系统，一款使用声纹加密Android APP的应用+源码，适合毕业设计、课程设计、项目开发。项目源码已经过严格测试，可以放心参考并在此基础上延申使用~ 基于java开发的声纹识别解锁系统，一款使用声纹加密Android APP的应用+源码，适合毕业设计、课程设计、项目开发。项目源码已经过严格测试，可以放心参考并在此基础上延申使用~
JavaScript_标志性的SVG字体和CSS工具包.zip
05-20
JavaScript
node-v19.7.0-headers.tar.xz
最新发布
05-20
Node.js，简称Node，是一个开源且跨平台的JavaScript运行时环境，它允许在浏览器外运行JavaScript代码。Node.js于2009年由Ryan Dahl创立，旨在创建高性能的Web服务器和网络应用程序。它基于Google Chrome的V8 JavaScript引擎，可以在Windows、Linux、Unix、Mac OS X等操作系统上运行。 Node.js的特点之一是事件驱动和非阻塞I/O模型，这使得它非常适合处理大量并发连接，从而在构建实时应用程序如在线游戏、聊天应用以及实时通讯服务时表现卓越。此外，Node.js使用了模块化的架构，通过npm（Node package manager，Node包管理器）,社区成员可以共享和复用代码，极大地促进了Node.js生态系统的发展和扩张。 Node.js不仅用于服务器端开发。随着技术的发展，它也被用于构建工具链、开发桌面应用程序、物联网设备等。Node.js能够处理文件系统、操作数据库、处理网络请求等，因此，开发者可以用JavaScript编写全栈应用程序，这一点大大提高了开发效率和便捷性。 在实践中，许多大型企业和组织已经采用Node.js作为其Web应用程序的开发平台，如Netflix、PayPal和Walmart等。它们利用Node.js提高了应用性能，简化了开发流程，并且能更快地响应市场需求。
动力电池安全预警技术交流
05-20
动力电池安全预警技术交流
模仿学生在一个分区上建立文件系统
06-13
要在一个分区上建立文件系统，可以使用Linux系统自带的mkfs命令，具体步骤如下： 1. 查看系统中的分区信息，确定要在哪个分区上建立文件系统。可以使用fdisk命令或lsblk命令查看分区信息，例如： ```shell sudo fdisk -l ``` 或者 ```shell lsblk ``` 2. 卸载该分区，确保该分区没有被挂载。可以使用umount命令卸载该分区，例如： ```shell sudo umount /dev/sda1 ``` 其中，/dev/sda1表示要卸载的分区。 3. 使用mkfs命令在该分区上建立文件系统。可以根据需要选择不同的文件系统类型，例如ext4、NTFS、FAT等。以下是在/dev/sda1分区上建立ext4文件系统的命令： ```shell sudo mkfs -t ext4 /dev/sda1 ``` 其中，-t选项用于指定文件系统类型，/dev/sda1表示要建立文件系统的分区。 4. 挂载该分区，并进入该分区的挂载点。可以使用mount命令挂载该分区，例如： ```shell sudo mount /dev/sda1 /mnt ``` 其中，/mnt表示该分区的挂载点。 至此，在该分区上建立文件系统的过程就完成了。需要注意的是，建立文件系统时会将该分区上的数据全部清空，请确保备份重要数据后再进行操作。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值