硬盘结构及文件系统

计算机取证
© 2010 南昌大学软件学院
硬盘的结构
常见的硬盘品牌 Seagate（希捷） Maxtor（迈拓） Western Digital（西部数据） Samsung（三星） Fujitsu（富士通） Hitachi(日立) Toshiba(东芝)
PAGE 4
计算机取证
© 2010 南昌大学软件学院
一个硬盘可以被划分成为若干个逻辑存储区域，称之为分区 (Partition)
用于记录分区位置所在的记录集叫分区表
分区可分为: 主分区 扩展分区
计算机取证
© 2010 南昌大学软件学院
硬盘分区
硬盘结构及分区表示例
P A G E 18
计算机取证
© 2010 南昌大学软件学院
课程内容
硬盘的结构 磁盘引导原理 硬盘分区 文件系统 磁盘冗余阵列
加载内核、驱动、UI等 启动完毕
计算机取证
© 2010 南昌大学软件学院
P A G E 13
磁盘引导原理
P A G E 14
所谓的主引导记录(Master Boot Record，MBR)，位于0 柱面0磁道1扇区，由以下几部分内容组成:
引导程序(446 byte) 分区表(64 byte)
结束标识（0x55 0xaa）
计算机取证与司法鉴定
硬盘结构及文件系统
© 2010 南昌大学软件学院
课程内容
硬盘的结构 磁盘引导原理 硬盘分区 文件系统 磁盘冗余阵列
PAGE 2
计算机取证
© 2010 南昌大学软件学院
硬盘的结构
PAGE 3
什么是硬盘? 硬盘是系统中极为重要的设备，存储着大量的用户资料 和信息 如果说内存只是数据的中转站的话，硬盘就是存放数据 的仓库
计算机取证
© 2010 南昌大学软件学院
硬盘的结构
PAGE 8
Cylinder—柱面 柱面象磁道一样，是一个逻辑术语，并不是具体的物理 硬件。一个柱面是指在同一个磁头下的所有盘片的每一 个面上的一系列磁道，好象一个实际的圆柱体的横截面
计算机取证
© 2010 南昌大学软件学院
硬盘的结构
PAGE 9
Sector—扇区 一个扇区是在一个磁道内的一组字节，并且是在驱动器 上可寻址的最小的一组字节。磁盘划分的最小单位，大 小通常为512字节
计算机取证
© 2010 南昌大学软件学院
硬盘的结构
P A G E 10
Track—磁道 磁盘上的每个盘片被分成的同心圆的带区，被称为磁道。 磁道与物理结构无关，磁盘经过低级格式化后就建立了 磁道。磁道从0开始顺序编号，磁盘最外圈的磁道称为越 磁道（即零磁道），由外向内顺序编号
计算机取证
© 2010 南昌大学软件学院
硬盘的结构
CHS参数如下: C(柱面数)：最大值为1023 H(磁头数)：最大值为255 S(扇区数)： 最大值为63 默认每个扇区大小为512字节
因此，CHS支持的磁盘最大容量为: 255 * 1023 * 63 * 512
P A G E 11
512字节
计算机取证
© 2010 南昌大学软件学院
磁盘引导原理
MBR记录示例
P A G E 15
计算机取证
© 2010 南昌大学软件学院
课程内容
硬盘的结构 磁盘引导原理 硬盘分区 文件系统 磁盘冗余阵列
P A G E 16
计算机取证
© 2010 南昌大学软件学院
硬盘分区
P A G E 17
硬盘的结构
硬盘规格从尺寸上，可分为: 3.5寸 2.5寸 1.8寸
硬盘从接口上区分，可分为: IDE接口 SATA接口 SCSI接口 SAS接口
计算机取证
PAGE 5
© 2010 南昌大学软件学院
硬盘的结构
硬盘的物理结构 硬盘主要包括： —盘片 —磁头 —主轴电机 —控制电路 —磁头控制器 —数据转换器 —接口 —缓存等
计算机取证
© 2010 南昌大学软件学院
扇区
P A G E 21
扇区是数据写入到硬盘的 最小区域
计算机取证
© 2010 南昌大学软件学院
文件系统
P A G E 22
要处理上千万个扇区对操作系统要求较高，因此汇集为区块 (簇)可以减少寻址数
扇区被分组为已分配区块或簇-文件系统的可寻址单位
文件系统也有它自身能管理的分配区块数限制
计算机取证
© 2010 南昌大学软件学院
文件系统
P A G E 25
我们现在以Windows下创建NTFS文件系统为例进行解释， 创建文件系统时做了以下工作： 将分区平划分为N个平均的单元(每个单元称为簇) 创建一个管理结构，即一个表格(MFT表)
MFT表
数据区域
计算机取证
© 2010 南昌大学软件学院
计算机取证
© 2010 Байду номын сангаас昌大学软件学院
簇
簇的大小范围 每个簇1个扇区 (512 字节) 至 每个簇64个扇区 (32,768字节) 甚至更多
P A G E 23
计算机取证
© 2010 南昌大学软件学院
簇
1个扇区=512字节
P A G E 24
簇是文件系统可访问
的最小分配单位
512
簇的大小可以是1个 扇区
计算机取证
© 2010 南昌大学软件学院
课程内容
硬盘的结构 磁盘引导原理 硬盘分区 文件系统 磁盘冗余阵列
P A G E 12
计算机取证
© 2010 南昌大学软件学院
磁盘引导原理
计算机在按下power键以后，执行以下动作
执行BIOS程序
硬件检测
读取引导记录 加载操作系统引导程序
那什么是引导记录呢? 在什么位置? 包含什么内容?
计算机取证
PAGE 6
© 2010 南昌大学软件学院
硬盘的结构
PAGE 7
硬盘结构简介： 很久以前，硬盘的容量还非常小的时候，人们采用与软 盘类似的结构生产硬盘，也就是硬盘盘片的每一条磁道 都具有相同的扇区数 由此人们定义硬盘参数为(CHS)参数，即磁头数(Heads)， 柱面数(Cylinders)，扇区数(Sectors)，以及相应的寻址 方式
P A G E 19
计算机取证
© 2010 南昌大学软件学院
文件系统
P A G E 20
什么是文件系统? 文件系统是操作系统用于明确磁盘或分区上的文件的保 存方法和数据结构，即在磁盘上组织文件的方法 一个分区或磁盘能作为文件系统使用前，需要初始化， 并将记录数据结构写到磁盘上。这个过程就叫建立文件 系统