数据备份与恢复课件

分区1 分区2 硬盘总存储空间 未划分空间
4、FAT16分区内结构概览
在分区内部，以常用的FAT文件系统为例，
从头依次是引导扇区、FAT1、FAT2、根目 录区和数据区。
FAT1 FAT2 根目录 保留区 引导扇区 FAT分区 数据区
5、主引导扇区
主引导扇区位于整个硬盘的第一个扇区，也是计算 机启动时首先读入的扇区。它负责完成计算机的引 导工作，然后将控制权交给操作系统。 它由以下几个部分组成：
本分区 下一分区 本分区 下一分区
未用
未用
未用
未用
未用
未用
MBR扇区
62个保留扇区
10、重建分区表
当主引导扇区的分区表被破坏时，如果没有
备份，则需手工重建分区表。重建时需逐次 搜寻分区信息，搜索时注意以下几点：
硬盘分区以扇区为单位，但使用分区工具分区时
通常以柱面为边界划分。 引导扇区均位于某柱面的0（或1）磁头，1扇区， 且都具有结束标志“55 AA”。 一个柱面包含255磁头×63扇＝16065扇区，每 扇区512字节，计8225280字节。
一般硬盘分区组织情况

主分区表中标明了第一项主分区和第二项扩展分区 的起始地址和容量。
扩展分区的起始地址非常重要，扩展分区重各逻辑 分区的位置计算均是依照它来进行的。
主分区 分区1 分区2 逻辑分区 扩展分区 分区3 分区4 分区5

分区表项的含义
偏移
0 1 2 3 4 5
长度
1字节 1字节 1字节 1字节 1字节 1字节
4、硬盘容量限制
528MB的限制：早期的硬盘的CHS参数被限
制为：磁头数最大16，柱面数最大1024，扇 区最大63，每扇区字节数为512字节。因此 1024×16×63×512B≈528MB 8GB容量限制：将柱面数增加到16384，其 他不变，共计24bit，则硬盘容量最大为： 16384×16×63×512B≈8.4GB
结束柱面号。CHS共参数用了24位，只能管理8GB空间 起始LBA号。当硬盘大于8GB空间时，则采用LBA寻址方式
12
4字节
占用LBA扇区数。
常见分区类型
标志值 01 04 05 06 07 0B 0C 0E 类型说明 FAT 12 FAT 16 <32MB Extended FAT 16 HPFS / NTFS FAT 32 FAT 32 >8GB
数据恢复技术
信息安全专业
一、硬盘基础知识
硬盘，是指采用金属或玻璃等硬物质为盘体，
上面均匀涂满磁性介质用以记录信息的存储 媒介。 硬盘具有高速随机读写的特点，容量大，成 本低，关机后仍能保持数据，且稳定性好。 因此成为计算机必备的主要存储器。
本章主要学习内容
硬盘的发展
硬盘的物理结构 硬盘的逻辑结构
区表项只有两项，其中第一项标记了本逻辑 分区的信息，第二项标明在分区链表中下一 个分区的虚拟MBR信息。 位于扩展分区链表中的最后一个分区只使用 了一个分区项用于标记本逻辑分区信息。 扩展分区的总容量应等于所包含的逻辑分区 的容量之和。
扩展分区组织图
C盘 D盘 E盘 F
本分区 未用
F盘
扩展分区中的虚拟MBR链表 D E
3.
主引导扇区后面有62个保留扇区，你认为 为什么要这样做？（可能的原因） 小于137GB的硬盘采用28位LBA地址，如 果硬盘容量发展到大于2TB（32位）的时候 在分区表中可以如何表示？谈谈你的看法。 如果前两个分区出现了交叉重叠的情况，可 能会导致什么样的后果？
三、FAT文件系统
计算机除了硬件以外，还必须有软件系统才
3、硬盘总体存储结构
在主引导扇区的后面是62个保留扇区，是未
用的空白区域。 从第63个扇区开始（0柱1面1扇）后面的所 有空间开始用于分区使用。 整个硬盘的总体结构由主引导扇区、各个分 区和未划分空间（如果存在）组成。
硬盘总体存储结构概览
主引导扇区 操作系统对各分 区分配盘符
62个保留扇区
字段名及含义
激活分区标志，用于引导操作系统，值为80H表示激活。 起始磁头号（分区表中仍习惯使用最大255磁头，63扇区） 起始扇区号。（只用了0～5位，第6、7位作为柱面号高位） 起始柱面号，共10位，1024个柱面。 分区类型标志。 结束磁头号。
6
7 8
1字节
1字节 4字节
结束扇区号。（只用了0～5位，第6、7位作为柱面号高位）
2、硬盘总体存储结构
我们在新购置一块硬盘后所做的第一件事情
就是分区，将硬盘分割为多个独立的空间。 这些空间是如何被标记并且被管理的呢？ 主引导扇区位于整个硬盘的最前端，0柱面 （道）0磁头（面）1扇区，也就是LBA 0扇 区。它占用一个扇区，里面包含MBR（主引 导记录）和磁盘分区表（DPT）两大部分。
主引导扇区 主引导记录（MBR） 硬盘分区表（DPT） 扩展分区及虚拟MBR 重建分区表 MBR、逻辑锁、0磁道的损坏与修复
1、常用编辑软件
硬盘存取数据的最小单位是扇区，硬盘以扇
区为单位来分区，组织数据，在操作系统中 不能直接对扇区进行访问。 要对硬盘的底层单位（扇区）进行查看和编 辑，就需要专用的工具软件，可完成这项任 务的工具有很多，推荐使用的是：
11、MBR损坏与修复
如果安装了多重引导程序、系统还原程序或
是中了引导型病毒，则MBR内容会被修改。 DOS和Windows系统都提供一个命令来修复 MBR。是：fdisk /mbr 当然，最好是将整个主引导扇区进行备份， 在需要的时候还原。使用winhex工具，既可 以备份在保留扇区中，也可以备份为文件。
硬盘容量限制
32GB容量限制：硬盘采用了虚拟CHS值，使
得柱面数为65535，其他不变，共计26bit， 这样，磁盘的总容量最大为： 65535×16×63×512B≈32GB 137G容量限制：由于普遍使用了LBA寻址模 式和虚拟CHS参数，将扇区数进一步增加为 255，共计28位，将其乘积作为LBA值。这样 系统使用28位的LBA参数，约计137GB。

偏移 0H~1BDH 1BEH~1FDH 1FEH~1FFH
占用字节 446 64 2
说明
主引导记录（MBR） 硬盘分区表（DPT） 结束标识，总是55H AAH
主引导扇区图示
MBR
结束标志 DPT
6、主引导记录MBR
主引导记录所执行的任务是：
依次读取硬盘分区表，寻找激活分区的标志80H 将激活分区的引导扇区送到内存0000:7C00H处 判断是否有分区结束标志55H AAH 若前面的步骤出错，则显示出错信息
1、硬盘的发展
计算机的作用就是存储和计算。数据是信息
的表达方式，数据的安全非常重要。 存储方式经由早期的打孔机、磁带机，现在 普遍使用硬盘机，今后还向光和半导体，甚 至生物方面发展。 温彻斯特硬盘技术具有部件全部密封、内部 磁片固定并高速旋转、磁片表面光滑、磁头 运动悬浮等特点。
2、硬盘的物理结构
若一切顺利，则跳转至内存0000:7C00H处，执
行系统引导程序。
MBR通常是固定的，但也可以修改它节，分4项，每项16字
节，即最多可以表示4个分区，称为主分区。 4个分区不能满足我们的需要。我们采用了扩 展分区的技术，使得若干分区组成一个链表， 占用一个分区项，称为扩展分区。 在DOS和Windows系统中，分区表通常只占 用了两项：主分区和扩展分区。
CHS地址 LBA线性地址

由于硬盘技术和操作系统及存储结构等因素， 硬盘容量在不同的发展时期有着不同的硬盘 容量限制。
CHS地址
早期硬盘存储空间采用3维地址结构描述：
C＝Cylinder（柱面。若干盘体重叠，相同的磁道
（track上）构成的一个立面体） H＝Head（磁头。一张盘有两面（side），每面一个 磁头） S＝Sector（扇区。盘体上的圆形轨迹为磁道，把磁道 等分为若干存储区域） 磁盘的容量＝柱面总数×磁头总数×每道扇
可以运行，这就是操作系统。不同的操作系 统可以支持一个或多个文件系统。 FAT文件系统是我们常用的文件系统，广泛 用于个人计算机平台上，现在许多移动存储 媒体都支持FAT文件系统格式。
本章主要学习内容
FAT文件系统简介 簇的概念 FAT文件系统引导扇区 FAT表 簇到扇区的转换 文件目录表FDT FAT32长文件名结构 FAT系统数据恢复
区总数×每扇区容量（512byte）
LBA地址
LBA是逻辑块地址的简称，它是一种线性地
址结构，它其实是由CHS计算的扇区编号顺 序编址，即0柱0面1扇区为LBA 0扇区。 现在的硬盘厂家为了保持兼容性，仍然提供 了虚拟的CHS参数，可在BIOS设置中看到。 对硬盘的数据访问是靠系统调用INT 13H中断 程序实现的，它将欲访问的数据地址传递给 硬盘接口电路（ATA接口）完成读写操作。
Diskedit（DOS） WinHex（Windows）
磁盘编辑工具介绍




Diskedit是Norton公司的DOS工具包中的一个最有用的磁盘 编辑工具，由于开发较早，它只能运行在DOS下，支持 FAT16、FAT12文件系统，但不能对大于8GB的空间进行操 作。 Diskedit是DOS下功能最强大的磁盘编辑器，能够编辑物理/ 逻辑盘，能按照不同的界面来显示扇区内容，另带有计算器、 ASCII码表等实用工具。 WinHex是目前使用最多的一款工具软件，它的功能非常强 大，有完善的分区管理和文件管理功能，甚至可以克隆磁盘， 支持大硬盘和巨型文件。 WinHex是Win32下最强的十六进制编辑工具，它可以编辑 磁盘和内存，可自动分析分区信息，支持对FAT、NTFS、 EXT等常见文件系统的分析计算，支持对文件的分割、合并 和比较，也能够安全擦除文件。