文件基于windows操作平台的数据恢复技术

摘 要

现代科技迅猛发展电子产品充斥在我们生活中的每一个角落给我们生活带来便利的同时也带来了诸多的问题比如误操作和恶意删除导致原本的数据丢失因此研究数据备份和数据恢复就显得越来越重要。针对基于windows操作平台出现数据丢失的情况本论文将从数据结构、数据存储原理及相关的文管系统FAT/FAT32/NTFS等方面详细分析存储设备出现数据丢失的情况及相关的数据恢复技术以及如何最大限度地还原本来已经丢失的数据。在本论文的中篇部分针对数据的软恢复将详细介绍目前流行的数据恢复应用对主流的几个应用做一个比较最后介绍数据恢复实例。

关键词 w i nd ows操作平台 数据存储 数据恢复 数据安全页脚

目 录

中文摘要……………………………………………………. .…………Ⅰ

英文摘要…………………………………………………. .……………Ⅱ

目录……………………………………………………………. .………Ⅲ

前言………………………………………………………………………1

一、数据恢复及常见存储设备……………………………. .……………1

一常见的存储设备………………………………………. .…………1

二、第一章相关存储设备的文管系统介绍………………. .…………3

一常见的文管系统…………………………………………………3

( 二 )FAT 及 其 衍 生 系 统 简介……………………………………………3

(三)NTFS简介…………………. .…………………………. .…………4

三、常见的数据丢失的情况及症状……………………………………7

一常见的数据丢失情况误操作…………………………………7

二数据出现问题的症状……………………………………………8

三数据丢失的原因非误操作…………………………………9

四、数据恢复应用及恢复操作…………………………………………10

一数据恢复的一般原则……………………………………………10

二数据恢复的相关软件及恢复操作………………………………10

三预防和应对数据丢失……………………………………………16

总 结 与 体会……………………………………. .………………………19

参 考 文献………………………. .………………………………………21

页脚

前言

当今社会,网络成为人们日常生活之中不可或缺的一部分,无论是老师、学生、还是政府机构和普通群众,年龄从学前儿童到耄耋之老,都将网络当成生活必不可少的一部分.

但是随着网络的发展,网络带来的问题也越来越多,尤其是最近几年,犯罪事件越来越多,作案人员也从当初的单人作案,逐渐演变成现在的团伙作案.而给罪犯定罪的证据也随着网络技术的发展变得越来越艰难,尤其是基层的办案人员的科技素质不够,往往就令到犯罪人员越来越猖狂,甚至尘嚣直上,入侵政府机构,篡改网页容,拍板政府权威.

而在商业方面,银行信用卡信息盗窃与网购安全的问题越来越突出,罪犯利用网络进行犯罪,导致证据难以搜集.而一些犯罪嫌疑人将数据销毁,导致证据搜查难以进行,也越来越不容易界定甚至是确定嫌疑人的罪名.

而在民用方面,一些互联网用户的错误操作,将一些重要的文件删除,而没有足够的科技素养的普通民众也不知到该怎么恢复,当下的数据市场也没有足够普及的技术配套设施能帮助用户恢复数据。

这就更突出我国的数据恢复市场不够完善、普及,更说明我国的数据恢复市场存在巨大的潜力。如果能将数据恢复的相关技术普及,那么这对我国的经济发展产生更大的推理,而且能提高民众的科技素养水平,促使更多的科研人员涌现,推使我国的科技迅速发展,形成一个良性的循环,使得我国科技市场乃至国力发展往更大更繁荣的方向发展,最终成为世界科技发展的重要支柱.

在硬件产业方面,存储设备是电子科技的核心容,只有了解到存储设备的工作过程乃至是存在的缺陷,才能让硬件产业异军突起,研发出更加优秀的存储设备,打破由外国跨国公司的垄断,使得长久以来我国在高科技设备对外国依赖过高的问题能够解决,不会再出现创新乏力,缺乏有竞争力的电子硬件高科核心企业的尴尬处境.

页脚

第一章数据恢复及常见存储设备Windows 

一、数据恢复的定义

数据恢复是指原本的数据因为误操作、恶意删除或者是自然、意外或人为的灾祸而遭受破坏或由硬件缺陷导致不可访问或不可获取或导致丢失的数据通过软件或者是物理手段使原本的数据重现。但数据恢复不同于数据备份不是所有的情况都可以恢复

数据恢复不仅仅可以通过使用相关的软件修复本来的数据更可以通过物理的方法来修复存储设备的物理损害从而恢复原本数据的真正“面目”。

因此数据恢复也分成“软恢复”与“硬恢复”但是人们常说的数据恢复主要是“软恢复”而不涉及到“硬恢复”这一来是因为其设备成本高昂二来是一般的数据丢失问题都可以使用软恢复来修复这就导致人们对硬恢复感觉陌生甚至是完全不认识。

由此可知软恢复是指在数据恢复过程中没有使用物理设备对存储设备进行物理上的恢复常见于一般的误操作或者是恶意删除导致的数据丢失、不可访问、不可获取比如如误操作、 网络删除、操作时断电、误分区、病毒感染、误格式化、误克隆等一般表现为读盘错误无操作系统文件找不到、打不开报告无分区、未格式化、密码丢失、乱码等总而言之软恢复并不涉及到物理设备的修复问题。

而硬恢复则是指主要通过物理的手段来修复存储设备的物理损坏常见于因为自然、意外、人为的灾祸而遭受的破坏或硬件本身存在的缺陷而导致的数据不可访问、不可获取可见硬恢复会涉及到硬件修理如磁道损坏、磁盘划伤、磁组损坏、主电机损坏、 电路板芯片及其他原器件烧坏等一般表现为不认盘常有一种“喀嚓喀嚓”的磁组撞击声或电机不转或通电后无任何声音等。

可见软恢复与硬恢复两者之间最明显的特征或区别就是存储介质本身是否需要进行修理或更换部件才可以正常地进行访问。

二、 一常见的存储设备Windows

常见的windows存储设备有硬盘Hard Disk Drive HDD 软盘Floppy Disk 现已淘汰   U 盘  Universal Serial BUS  USB   存储卡CF/MMC/SD/Mini-SD/TF/XD/MS。

硬盘HDD 

I DE硬盘 I ntegrated Drive Electronics  属于Paral lel-ATA并行接口 九十年代初开始应用于台式机系统初始设计的最大容量被限制在504MB 新一代Enhanced IDE(加强型IDE 简称为 EIDE)最高传输速度高达100MB/秒(UltraATA/100) 速度相对SATA慢只能置使用。

STAT硬盘Serial-ATA 是串行接口现在属于主流接口。 2001年由Intel、APT、 Del l、 IBM、希捷、迈拓这几大厂商组成的Serial ATA委员会正式确立了SerialATA 1 .0规。 2002年确立Serial ATA 2.0规。 2009年正式发布Serial ATA 3.0规页脚

其中1 .0版本为150MB/S 2.0为300MB/S 3.0为600MB/S在此之前的PATA为133MB/S而且SATA的数据传输距离有很大的限制 3.0的传输距离只有两米但远比IDE硬盘的速度快。

SCSI硬盘Smal l Computer System Interface 小型计算机系统接口 专用于服务器和高档工作站的数据传输接口速度快并且由于主要用于服务器因此硬盘本身的性能也比较高硬盘转速快缓存容量大CPU占用率低扩展性远优于IDE硬盘并且支持热插拔。

此外硬盘根据使用材料和结构的不同分为固态硬盘Sol id State Disk 、机械硬盘。

软盘 Floppy Disk  

常见的软盘有3.5英寸与5.25英寸的软盘但是由于软盘的容量小安全性能差早就被淘汰但是因为历史遗留问题有些公司还是会留有一些存有资料的软盘。

U盘(Universal Serial BUSUSB):

现在常见的U盘有USB1 .1 、 USB2.0和USB3.0 理论上USB1 .1的传输速度可以达到12Mbps/秒而USB2.0则可以达到速度480Mbps/秒并且可以向下兼容USB1 .1 而USB3.0则高达640MB/s 并向下兼容USB1 .1与USB2.0 U盘是现在最流行的存储设备而且安全性比较高。

存储卡

现流行的小容量便捷式移动存储卡主要有CF、MMC、 SD、Mini-SD、 TF、XD、MS 由于现在的技术支持存储卡的容量已经达到了64GB 一般用于手机、数码相机、家庭娱乐设施以及GPS设备、 DV等缺点是读写数据的速度慢。页脚

第二章相关存储设备的文管系统介绍

一、 常见的文管系统

通常操作系统要对相关的存储设备里面的文件进行管理操作是通过文件系统常用FAT及其衍生文管系统、 NTFS。 来实现的。其中FAT文管系统是指对特定卷进行格式化时产生了一个FAT文件分配表 FAT文件分配表里面对文件的起始位置等信息做了相关记录,以方便用户的查找;其中FAT32是一种从FAT派生而来的文管系统,FAT32能够支持更小的簇以及更大的容量从而能够在FAT32卷上更为高效的分配磁盘空间NTFS文管系统则是一种能够提供各种FAT版本所不具备的性能、安全性、可靠性与先进特性的高级文件管理系统,综合性能上远远超过了FAT及其衍生系统。

二、 F AT及其衍生系统的介绍

一个FAT文管系统包括四个不同的部分。

保留扇区位于最开始的位置。第一个保留扇区是引导区分区启动记录。它包括一个称为基本输入输出参数块的区域包括一些基本的文件系统信息尤其是它的类型和其它指向其它扇区的指针 通常包括操作系统的启动调用代码。保留扇区的总数记录在引导扇区中的一个参数中。 引导扇区中的重要信息可以被DOS和OS/2中称为驱动器参数块的操作系统结构访问。

FAT区域它包含有两份文件分配表这是出于系统冗余考虑尽管它很少使用即使是磁盘修复工具也很少使用它。它是分区信息的映射表指示簇是如何存储的。

根目录区域它是在根目录中存储文件和目录信息的目录表。在FAT32下它可以存在分区中的任何位置但是在早期的版本中它永远紧随FAT区域之后根目录区又称ROOT区紧跟在FAT2的下一个扇区长度为32个扇区。根目录区有许多目录项(FDT文件目录表) 文件目录表FDT记录着根目录下的每个文件或子目录的名称、起始位置(簇号)、文件大小、文件属性(子目录也是一种文件)、创建日期等信息。目录项并非根目录才有在磁盘数据区中一样有目录项而根目录是许多目录项的集合也称作目录项的目录。Windows操作平台采用的是树型目录结构从某个盘符的根目录开始。早期的FATl6系统下的文件名最多只能有8个字符(或4个汉字) 扩展名最多3个字符且不能用一些特殊字符等因此支持的目录项有限制。

页脚

数据区域是实际的文件和目录数据存储的区域它占据了分区的绝大部分。通过简单地在FAT中添加文件的个数可以任意增加文件大小和子目录个数只要有空簇存在。然而需要注意的是每个簇只能被一个文件占有这样的话如果在32KB大小的簇中有一个1KB大小的文件那么31KB的空间就浪费掉了。

三、 NTFS简介

NTFS是Windows NT以及之后的Windows 2000、Windows XP、WindowsServer

2003、Windows Server2008、Windows Vista和Windows 7的标准文件系统。 NTFS取代了文件分配表FAT文件系统为Microsoft的Windows系列操作系统提供文件系统。 NTFS对FAT和HPFS高性能文件系统作了若干改进例如支持元数据并且使用了高级数据结构以便于改善性能、可靠性和磁盘空间利用率并提供了若干附加扩展功能如访问控制列表ACL和文件系统日志。

NTFS结构模式

当用户将硬盘的一个分区格式化为NTFS分区时就建立了一个NTFS文件系统结构。 NTFS与其他的文管系统一样也是以簇为基本单位对磁盘空间和文件存储进行管理。但NTFS是以卷为基础的而卷是建立在磁盘分区上所以NTFS分区也被称为NTFS卷卷上簇的大小称为卷因子所以簇的大小一定是扇区大小的整数倍。

NTFS文件系统使用逻辑簇号(Logical Cluser Number LCN)和虚拟簇号(xrLraJalCluster Number VCN)对卷进行管理。而LCN是对第一个簇到最后一个簇进行编号管理。

NTFS分区的引导扇区在BOOT区的第一个扇区它在操作系统引导时必不可少的部分它和FAT32分区的结构类似也包括跳转指令、 OEM版本号、 BPB参数、引导代码和结束标志。而BPB参数则是从偏移0BH开始到偏移53H结束里面记录着NTFS分区的许多重要信息。

总体结构如图2-1所示

图2-1 NTFS文件系统总体结构

页脚

主控文件表及元数据简介

NTFS卷结构的核心是主控文件表(MFT) 操作系统是通过MFT来确定文件在磁盘上的位置以及文件的所有属性等。 MFT是一个与文件相对应的文件属性数据库它记录了除文件数据外的所有属性甚至有些小文件的数据本身也包含在MFT当中所以在NTFS分区中每个文件至少有一个MFT。 主控文件表(MFT)由两部分构成一部分是主控文件表头称为文件记录头另一部分是属性列表MFT头结构如图2-2所示

图2-2MFT文件头结构

MFT是以文件数组来实现的每个文件记录占用两个扇区。文件记录在MFT文件记录数组中物理上是连续的从0开始编号。为了保证其连续性在它周围保留了一个缓冲区这个缓冲区的大小是可调的可以是磁盘空间的12 5、25、37 5或50。每当其余空间变满时缓冲区大小减半。

MFT区域的前16个文件属于系统文件也称为元文件用来存放系统的元数据元数据是指存储在卷上支持文件系统管理的数据。只为系统服务不能被应用程序访问。不管簇的大小是多少MFT中的记录大小一般是固定的占用1k空间。这些记录从零开始编号。 MFT仅供系统本身进行文件管理使用MFT本身也是元数据。在MFT的前16条记录是非常重要的操作系统使用的元数据文件这些元数据文件的名字都是以“$”开头是系统管理卷不可缺少的。这16个文件是NTFS文件系统中唯一页脚

在MFT表中具有固定地址的文件。

元数据文件及它们的作用如图2-3所示

图2-3 NTFS元数据文件及其功能简介页脚