基于windows操作平臺的數據恢復技術(編輯修改稿)
2025-07-21 19:10 本頁面
【文章內容簡介】 空間和文件存儲進行管理。但NTFS是以卷為基礎的，而卷是建立在磁盤分區(qū)上，所以NTFS分區(qū)也被稱為NTFS卷，卷上簇的大小，稱為卷因子，所以簇的大小一定是扇區(qū)大小的整數倍。NTFS文件系統使用邏輯簇號(Logical Cluser Number，LCN)和虛擬簇號(xrLraJal Cluster Number，VCN)對卷進行管理。而LCN是對第一個簇到最后一個簇進行編號管理。 NTFS分區(qū)的引導扇區(qū)在BOOT區(qū)的第一個扇區(qū)，它在操作系統引導時必不可少的部分，它和FAT32分區(qū)的結構類似，也包括跳轉指令、OEM版本號、BPB參數、引導代碼和結束標志。而BPB參數則是從偏移0BH開始，到偏移53H結束，里面記錄著NTFS分區(qū)的許多重要信息?？傮w結構如圖21所示：圖21 NTFS文件系統總體結構主控文件表及元數據簡介NTFS卷結構的核心是主控文件表(MFT)，操作系統是通過MFT來確定文件在磁盤上的位置以及文件的所有屬性等。MFT是一個與文件相對應的文件屬性數據庫，它記錄了除文件數據外的所有屬性，甚至有些小文件的數據本身也包含在MFT當中，所以在NTFS分區(qū)中每個文件至少有一個MFT。 主控文件表(MFT)由兩部分構成，一部分是主控文件表頭，稱為文件記錄頭；另一部分是屬性列表，MFT頭結構如圖22所示：圖22 MFT文件頭結構MFT是以文件數組來實現的，每個文件記錄占用兩個扇區(qū)。文件記錄在MFT文件記錄數組中物理上是連續(xù)的，從0開始編號。為了保證其連續(xù)性，在它周圍保留了一個緩沖區(qū)，這個緩沖區(qū)的大小是可調的，可以是磁盤空間的12．5％、25％、37．5％或50％。每當其余空間變滿時，緩沖區(qū)大小減半。 MFT區(qū)域的前16個文件屬于系統文件，也稱為元文件，用來存放系統的元數據，元數據是指存儲在卷上支持文件系統管理的數據。只為系統服務，不能被應用程序訪問。不管簇的大小是多少，MFT中的記錄大小一般是固定的，占用1k空間。這些記錄從零開始編號。MFT僅供系統本身進行文件管理使用（MFT本身也是元數據）。在MFT的前16條記錄是非常重要的操作系統使用的元數據文件，這些元數據文件的名字都是以“$”開頭，是系統管理卷不可缺少的。這16個文件是NTFS文件系統中唯一在MFT表中具有固定地址的文件。元數據文件及它們的作用如圖23所示：圖23 NTFS元數據文件及其功能簡介第三章、常見的數據的丟失情況及癥狀 數據丟失的原因有很多種，其中根據故障的原因可以分為邏輯原因和物理原因及固件本身的故障等。邏輯原因：病毒感染、誤格式化或誤分區(qū)、誤克隆、誤刪除或覆蓋、黑客軟件人為破壞、0磁道損壞、硬盤邏輯鎖、操作時斷電、意外電磁干擾造成數據丟失或破壞以及系統錯誤或癱瘓造成文件丟失或破壞等。物理原因：磁盤劃傷、磁頭變形、磁臂斷裂、磁頭放大器損壞、芯片組或其他元器件損壞等。固件本身故障原因：硬盤的固件由于讀寫次數過多，常常會出現故障，常見的故障表現包括有尋道聲但不能正常認盤、只認廠家模式等。由固件原因引起的數據丟失占到數據丟失的40%左右。另外，自然損壞：如風、雷電、洪水、地震以及意外事故也有可能導致數據丟失，只是這一因素的可能性要低很多。這時恢復數據就要專門的物理設備。 在這里，將數據丟失分成兩種原因，一種是直接用戶人為的誤操作導致數據丟失，另一種是非直接用戶導致的數據丟失。一、常見的數據丟失情況（誤操作）刪除文件當執(zhí)行刪除文件的操作,系統只是在該文件的文件目錄表(FDT)上做一個刪除標記,即把該文件的文件目錄項第一個字符改為“E5H”來表示該文件已經被刪除。另一個是把該文件的文件分配表(FAT)中所占有的簇標記為“空簇”，而DATA區(qū)域中的簇仍保存原文件內容。其原理是系統在文件分配表中相應位置檢測到“0”時,就認為該文件簇處于空閑狀態(tài),表示可寫入其他文件。子目錄的刪除操作系統對子目錄的管理和對文件的管理相同，所以操作系統對子目錄的刪除與文件的刪除的方式也相同。但FAT16或FAT32下子目錄的簡單操作只是對描述子目錄的FDT做一個刪除標記，該子目錄下所有文件和下一級子目錄的所以記錄都沒有變動，相當于將該子目錄“移”到回收站里，里面的數據依舊可以恢復。硬盤的分區(qū)硬盤進行分區(qū)操作時,系統只是修改了MBR(硬盤主引導記錄)和DBR(DOS引導記錄),DATA區(qū)的數據并沒有被全部覆蓋或者修改。由于MBR、DBR的改變導致文件的路徑被破壞,系統不能正常讀取文件。硬盤的高級格式化硬盤進行高級格式化時,系統并不將DATA區(qū)的數據清除,只是把相應的FAT表和FDT表重寫，即徹底刪除之前記錄的所有文件和子目錄的目錄,使其FDT和FAT中都不再有文件或目錄記錄登記項,只留有標識磁盤空閑的記錄,回收站也給清除,從而釋放空間。一般快速格式化后,其子目錄下的文件目錄項還保留著，不會被刪除。當使用“Format”命令時加上“/U”參數,系統在對分區(qū)進行格式化時將強制對每一扇區(qū)寫入“F6”,就完全把數據破壞，但執(zhí)行這個命令可能會對磁盤造成一定的損害。硬盤的低級格式化硬盤的低級格式化指在物理層面直接對硬盤里面的數據進行清理，其作用是為整個硬盤劃分出柱面和磁道，再將磁道劃分為若干個扇區(qū)，在每個扇區(qū)的地址場中標志地址信息，測試硬盤介質缺陷。低級格式化后的數據完全損毀無法恢復。二、數據出現問題的癥狀 不能進入系統有時COMS檢測硬盤時顯示正常，但不能進入系統，有時會出現提示死機或者無提示死機情況，也會出現COMS能檢測到硬盤，但顯示的容量不對等，這通常可能是因為MBR損壞、DBR損壞、電源質量不合格、數據線斷線、COMS設置不正確、主從硬盤設置不正確、硬件沖突、COMS電池電壓不足等其中一個或幾個原因導致。磁盤出現壞道硬盤的壞道分為邏輯壞道和物理壞道兩種。邏輯壞道通常是由于用戶使用不當造成的，可用軟件進行修復；后
環(huán)評公示相關推薦
鄂ICP備17016276號-1