数据恢复知识点

数据恢复的定义：数据恢复实际上就是将那些由于各种原因受损或丢失的数据还原成正常数据的过程。

数据恢复的范畴：分为数据故障和设备故障两部分。

数据恢复的主要步骤：首先对计算机进行检测，查看计算机是否有分区不能识别，文件丢失，文件打开有乱码等常见的问题，若发生此类故障，应先备份好存储设备上的已有数据，确保后续操作不会对已有数据造成进一步的破坏。其次，询问计算机用户，问明发生故障前做了哪些操作，访问过哪些网站，下载过什么文件等。还要请计算机用户回忆计算机出现过哪些异常现象，做好这些记录作为恢复数据的参考。

硬盘低级格式化主要完成以下几项功能：

1.测试硬盘介质；

2.为硬盘划分磁道；

3.为硬盘的每个磁道按指定的交叉因子间隔安排扇区；

4.将扇区ID放置到每个磁道上，完成对扇区的设置；

5.对磁盘表面进行测试，对已损坏的磁道和扇区做“坏”标记；

6.给硬盘中的每个扇区写入某一ASCII码字符。

高级格式化的功能:

1.从各个逻辑盘指定的柱面开始，对扇区进行逻辑编号（分区内的编号）；

2.在基本分区上建立操作系统引导记录（DBR或OBR）；

3.在各个逻辑盘建立文件分配表（FAT）；

4.建立根目录对应的文件目录表（FDT）及数据区（DATA）。

DE(DiskEdit软件）的主要功能：

1.选择物理扇区

2.查找数据

3.修改数据

4.复制数据

DiskGen软件的主要功能：

1.建立分区

2.分区恢复

3.参数修改

什么是MBR？

MBR称为硬盘主引导记录，它是由FDISK建立在柱面0、磁头0，扇区1的磁盘引导记录数据区，它不属于任何操作系统。用于硬盘启动时将系统控制权转给用户指定的，并在分区表中登记了的某个操作系统区。一个物理硬盘只有一个MBR。

什么是DBR？

DBR（DOS Boot Record），即操作系统引导记录扇区，通常位于硬盘0柱1面1扇区，是操作系统可以直接访问的第一个扇区。它包括一个引导程序和一个被称为BPB的本分区参数记录表。引导程序的主要任务是，当MBR将系统控制权交给它时，判断本分区根目录前两个文件是不是操作系统的引导文件。

DBR的主要功能：引导系统和保存文件系统参数。DBR是经由FORMAT高级格式化写到磁盘逻辑0扇区上的，主要功能是完成DOS系统的自举。DBR中记录了本分区的扇区总数、FAT表

个数等信息。

DBR与MBR的比较：

相同点：（1）所占空间大小相同。均为1个扇区512字节

（2）结束标志相同。都是“55AA”

不同点：(1)功能不同（2）作用范围和性质不同（3)创建时间不同

FDT的概念：

FDT即文件目录表，由若干个32字节的表项构成，登记着分区上的目录，文件和子目录信息。

这些信息包括文件和目录的名称，创建日期，属性，大小，从硬盘何处开始存放（首簇号）等，需要结合FAT表才能最终确定文件的具体位置。

FDT的构成第38页

FAT的概念：

FAT即文件系统中的文件分配表，实际上就是一张记录文件存储位置的表格，文件存储位置用簇号来表示。文件的首簇号存放在FDT登记项中，后续簇号存放于FAT。

FAT分区区域关系第51页

FDT的作用：

（1）管理文件（2）管理目录（3)管理长文件名

FAT的作用：

FAT运用簇号与簇号存放在FAT的偏移地址的关系，解决了簇链的表示问题。

NTFS特性：

（1）NTFS多数据流

（2）NTFS压缩文件

（3）加密文件系统

（4）NTFS稀疏文件

加密文件系统含义：加密文件系统提供用于在NTFS卷上保存加密文件的核心文件加密技术。保证了文件的安全，使之免受入侵者对以保存的敏感数据进行未授权的物理访问。

NTFS和FAT比较具有的优势：

（1）容错性

（2）安全性

（3）使用EFS提高安全性

（4）文件压缩

（5）磁盘限额

对NTFS卷上已删除的文件进行手工恢复住户要包括哪些步骤？

1．对已删除的入口磁盘扫描

2．为已删除的入口定义簇链

3．为已删除入口恢复簇链

00H即0000 0000：第1位为0，第2位为0，因此表示删除的文件；

01H即0000 0001：第1位为1，第2位为0，因此表示正常的文件；

02H即0000 0010：第1位为0，第2位为0，因此表示删除的目录；

03H即0000 0011：第1位为0，第2位为0，因此表示正常的目录；

简单删除，完全删除，格式化前后数据区，FAT，FDT的变化其FDT登记项首字节被修改为E5H，长文件名登记项首字节也同样被置为E5H，FAT相关表项没有变化。完全删除清空了FAT 与该文件相关的表项，而真正存放数据的区域并没有修改

分区表位于MBR内，占64个字节，可以描述4个分区的信息

DBR结构，BPB结构即操作系统引导记录扇区，引导系统和保存文件系统参数，位于硬盘各分区的开始处。

NTFS卷上的BPB 由于一般的系统常依赖引导扇区来访问一个卷，因此应经常性的运行Chkdsk这样的磁盘扫描工具，以保护引导扇区，就如同无法访问一个卷就备份所有的数据文件以免数据丢失一样

第五章思考题

1.文档修复含义P111

2.P115

6.P124