數(shù)據(jù)恢復(fù)的原理與方法

內(nèi)容概要

數(shù)據(jù)恢復(fù)與電腦應(yīng)用的關(guān)系，就如同疾病防治與人的健康一樣。所謂數(shù)據(jù)恢復(fù)，就是指通過(guò)技術(shù)手段把各種原因?qū)е碌某B(tài)下不能正常讀出的保留在介質(zhì)中的數(shù)據(jù)重新恢復(fù)到能夠正常讀出的狀態(tài)的過(guò)程。數(shù)據(jù)之所以能夠被讀出，既有物理的因素，也有邏輯的因素，因此只要存儲(chǔ)介質(zhì)沒(méi)有嚴(yán)重受損或數(shù)據(jù)沒(méi)有被完全覆蓋，數(shù)據(jù)就有可能完全或大部分恢復(fù)過(guò)來(lái)。
隨著社會(huì)的進(jìn)步和科技的發(fā)展，電腦及數(shù)碼產(chǎn)品越來(lái)越普及，人們對(duì)電腦及數(shù)碼產(chǎn)品的依賴程度越來(lái)越高，存儲(chǔ)在電腦及數(shù)碼產(chǎn)品中的數(shù)據(jù)越來(lái)越重要，而因數(shù)據(jù)丟失造成的風(fēng)險(xiǎn)也越來(lái)越大。因此，使更多的人了解數(shù)據(jù)恢復(fù)的原理和方法，有利于預(yù)防及自保，甚至可以造福他人，造福社會(huì)。這是出版這本書(shū)的目的之一。
筆者讀過(guò)大學(xué)，也當(dāng)過(guò)大學(xué)老師，現(xiàn)在也有很多高校的朋友，深感我們國(guó)家的高等教育與實(shí)際有些脫節(jié)，計(jì)算機(jī)專業(yè)的本科生、研究生對(duì)數(shù)據(jù)恢復(fù)的原理和方法知之甚少，與用人單位的需求相去甚遠(yuǎn)。因此，希望這本書(shū)對(duì)這些學(xué)生或希望增加這方面知識(shí)的人能有所幫助。這是出版這本書(shū)的目的之二。
時(shí)代在不斷發(fā)展，新陳代謝是不可抗拒的歷史規(guī)律，長(zhǎng)江后浪推前浪，一代新人超舊人。筆者從1983年9月從事計(jì)算機(jī)應(yīng)用研究以來(lái)，特別是1992年1月下海創(chuàng)建數(shù)據(jù)修復(fù)公司以來(lái)，一直重視把經(jīng)歷過(guò)的重要的數(shù)據(jù)恢復(fù)案例記錄并加以總結(jié)，經(jīng)過(guò)多年的拼搏，現(xiàn)在也該退下來(lái)用另一種方式發(fā)揮余熱了，希望筆者的經(jīng)驗(yàn)得到傳承和發(fā)展。這是出版這本書(shū)的目的之三。

作者簡(jiǎn)介

胡向東，1948年出生于澳門(mén)，籍貫浙江溫州。1977年12月參加第一屆恢復(fù)高考，入讀海南瓊州學(xué)院數(shù)學(xué)系，1981年大專畢業(yè)后留校任教，后在華南師范大學(xué)數(shù)學(xué)系進(jìn)修一年。1983年9月應(yīng)聘到廣州市計(jì)算機(jī)應(yīng)用研究所，發(fā)表過(guò)30多篇科技論文，其間獲得廣州市科技進(jìn)步三等獎(jiǎng)等多項(xiàng)獎(jiǎng)勵(lì)。1992年1月下海創(chuàng)辦廣州正大電腦應(yīng)用與數(shù)據(jù)修復(fù)有限公司至今，開(kāi)發(fā)有NOVELL和NTFS下的數(shù)據(jù)恢復(fù)軟件，1998年7月與美國(guó)NOVELL公司駐京辦事處簽約，成為NOvELL公司在華業(yè)務(wù)數(shù)據(jù)恢復(fù)特薦專家，數(shù)據(jù)恢復(fù)足跡遍布全國(guó)多個(gè)城市。為銀行、證券等行業(yè)挽回了價(jià)值約100億元人民幣的直接經(jīng)濟(jì)損失。2002年7月被廣州市委評(píng)為廣州市私營(yíng)企業(yè)優(yōu)秀共產(chǎn)黨員，事跡收錄在《藍(lán)天下的新廣東》、《展望廣東十二?五》等12套紀(jì)念改革開(kāi)放三十年叢書(shū)。

書(shū)籍目錄

第1章　FAT數(shù)據(jù)恢復(fù)
　　1.1　FAT文件系統(tǒng)概述
　　　1.1.1　FATl2、FATl6、FAT32文件系統(tǒng)的共同點(diǎn)
　　　1.1.2　FATl2、FATl6、FAT32文件系統(tǒng)的不同點(diǎn)
　1.2　主分區(qū)表修復(fù)
　　1.2.1　主分區(qū)表
　　1.2.2　修復(fù)主分區(qū)表的方法
　1.3　邏輯分區(qū)參數(shù)表修復(fù)
　　1.3.1　FAT邏輯分區(qū)參數(shù)表
　　1.3.2　修復(fù)FAT邏輯分區(qū)參數(shù)表的方法
　1.4　FAT表修復(fù)
　　1.4.1　FAT表概況
　　1.4.2　注意FAT表首區(qū)標(biāo)志
　　1.4.3　利用FAT副本修復(fù)FAT正本
　　1.4.4　利用FAT正副本的比較進(jìn)行互補(bǔ)修復(fù)
　　1.4.5　仿造若干扇區(qū)的FAT表
　1.5　目錄項(xiàng)修復(fù)
　　1.5.1　FAT分區(qū)短文件名目錄結(jié)構(gòu)
　　1.5.2　FAT分區(qū)長(zhǎng)文件名目錄結(jié)構(gòu)
　　1.5.3　仿造根目錄
　　1.5.4　對(duì)付目錄變文件的病毒
　1.6　誤刪除的修復(fù)
　　1.6.1　用數(shù)據(jù)恢復(fù)軟件掃描
　　1.6.2　利用TMP文件來(lái)恢復(fù)
　　1.6.3　利用被刪除文件中文字之間的內(nèi)在聯(lián)系來(lái)恢復(fù)一
　　1.6.4　根據(jù)被刪文件的數(shù)據(jù)結(jié)構(gòu)來(lái)恢復(fù)
　1.7　FAT格式化后的修復(fù)
　　1.7.1　FAT格式化成FAT
　　……
第2章　NTFS數(shù)據(jù)恢復(fù)
第3章　NOVELL數(shù)據(jù)恢復(fù)
第4章　卷集數(shù)據(jù)恢復(fù)
第5章　陣列數(shù)據(jù)恢復(fù)
第6章　其他問(wèn)題數(shù)據(jù)恢復(fù)

章節(jié)摘錄

版權(quán)頁(yè)：   如某NTFS分區(qū)，每簇8扇區(qū)，主文件表$MFT正本起始于LBA6291582，對(duì)應(yīng)起始簇號(hào)0C0000H（即786432），邏輯扇區(qū)號(hào)為6291456（786432×8=6291456），從而可判斷該盤(pán)的邏輯0區(qū)位置LBA值為126（6291582—6291456=126），即該盤(pán)邏輯0區(qū)位于0×2×1扇區(qū)。 （5）通過(guò)查找NTFS分區(qū)主文件表SMFT副本起始簇號(hào)來(lái)確認(rèn)原邏輯0區(qū)的位置。 有時(shí)，該NTFS分區(qū)主文件表SMFT正本被破壞，就要通過(guò)查找NTFS分區(qū)主文件表SMFT副本起始簇號(hào)來(lái)確認(rèn)原邏輯0區(qū)的位置。 如某NTFS分區(qū)，主文件表SMFT正本被破壞，而LBA61577368處有該分區(qū)的＄MFI副本，$MFTMIRR的文件長(zhǎng)為1000H（即4096）字節(jié)，每扇區(qū)512字節(jié)，即$MFTMIRR的文件占8個(gè)扇區(qū)。而＄MFTMIRR的簇流列表是“3101980A56”，表示$MFTMIRR的文件起始簇號(hào)為560A9BH（占3個(gè)字節(jié)），長(zhǎng)度為1個(gè)簇（占1個(gè)字節(jié)）。有關(guān)簇流列表的解釋后面有論述（此處略）。 ＄MFTMIRR的文件起始簇號(hào)為560A9BH（即5638811），換算成扇區(qū)為45110488（5638811×8=45110488），而＄MFr副本的位置在LBA61577368處，由此可確定該NTFS分區(qū)原邏輯0區(qū)的位置LBA值是16466880（61577368—45110488=16466880）。 2.每簇扇區(qū)數(shù) 判斷每簇扇區(qū)數(shù)通常有下述兩種方法。 （1）利用文件長(zhǎng)度除以所占簇?cái)?shù)求解每簇扇區(qū)數(shù)。 在NTFS的MFT屬性表中，有一個(gè)80H為代號(hào)的數(shù)據(jù)屬性，該屬性偏移量為18H的8個(gè)字節(jié)是文件的虛擬結(jié)束簇號(hào)，由于從0算起，文件的虛擬結(jié)束簇號(hào)加1，就是文件所占簇?cái)?shù)。該屬性偏移量為28H的8個(gè)字節(jié)是文件的整簇長(zhǎng)度，文件的整簇長(zhǎng)度除以每扇區(qū)512字節(jié)，就是該文件所占扇區(qū)數(shù)，NTFS分區(qū)的每簇扇區(qū)數(shù)等于該文件所占扇區(qū)數(shù)除以該文件所占簇?cái)?shù)。 另外，文件所占簇?cái)?shù)也可從80H為代號(hào)的數(shù)據(jù)屬性中反映數(shù)據(jù)鏈接關(guān)系的簇流列表中獲得。 判斷每簇扇區(qū)數(shù)，通常只看＄MFTMIRR的80H為代號(hào)的數(shù)據(jù)屬性即可。 下面是某NTFS分區(qū)的＄MFTMIRR的80H數(shù)據(jù)屬性： 108 80 00 00 00 48 00 00 00 110 01 00 00 00 00 00 01 00 118 00 00 00 00 00 00 00 00 120 00 00 00 00 00 00 00 00虛擬結(jié)束簇號(hào)為0，文件所占簇?cái)?shù)為1 128 40 00 00 00 00 00 00 00 130 00 10 00 00 00 00 00 00文件整簇長(zhǎng)度為1000H。

編輯推薦

《數(shù)據(jù)恢復(fù)的原理與方法》由廣東高等教育出版社出版。

圖書(shū)封面

評(píng)論、評(píng)分、閱讀與下載

---

    數(shù)據(jù)恢復(fù)的原理與方法 PDF格式下載

---