用WinHex实现NTFS文件系统的数据恢复.pdf

《用WinHex实现NTFS文件系统的数据恢复.pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、98齐钦：用WinHex实现NTFS文件系统的数据恢复技术在线用WinHex实现NTFS文件系统的数据恢复齐钦徐州工程学院教育科学与技术学院江苏徐州221008摘要概括介绍NTFS文件系统结构、主文件表、文件记录，文件记录的相关属性，以及数据文件在磁盘文件数据区的定位。对NTFS文件系统的数据恢复做了分析研究，介绍使用磁盘编辑工具WinHex还原被彻底删除的文件数据。关键词WinHex；NTFS：数据恢复中图分类号：TP319文献标识码：B文章编号：1671489X(2009)24—0098—03WinHextoAchievewithNTFSFileSys

2、temDataRecovery／／QiQinAbstractAnoverviewofthestructureofNTFSfilesystem，masterfiletable，filerecords，filerecordsrelatedtoproperty，aswel1asdatafi1esinthediskfiledataofthetargetedarea．0nNTFSfi1esystemdatarecoveryanalysisdone，theuseofWinHexdiskeditortorestorethedeletedfileswerecomp1ete

3、data．KeywordsWinHex：NTFS：datarecoveryAuthor’saddressInstituteofEducation随着科技的进步，计算机教学已成为现代教育技术的主通过文件记录来描述数据文件的各种属性并确定其在磁盘上要技术手段，在教育教学中发挥着越来越重要的作用。在平的存储位置。MFT的前16个文件记录属于系统文件，称为元时教学过程中，计算机可实现电子教案与板书演示、CAI辅文件，用于存放系统的元数据。元文件在主文件表中地址固助教学、联机测试等多种教学手段，在提高学生学习效率、定不变，而对其他文件和文件夹的文件记录在主文件表中的

4、扩充信息知识量、培养学习和动手能力等方面发挥着重要作地址则无具体要求。用。而这些教学信息均以文件数据的形式存储在计算机中，文件记录由记录头、属性列表和结束标志组成。以“46一旦遇到系统故障、病毒攻击、误删除或格式化造成数据丢494C45”为开始标志，“FFFFFFFF”为结束标志，失，将影响教学活动的正常开展。大小为1KB。NTFS将数据文件作为属性／属性值的集合来处NTFS文件系统基于可恢复文件结构设计，在安全性和理，属性的内容是属性值(流)，由简单字符队列组成。稳定性方面有显著优势，提供容错结构日志，为多用户设置NTFS并不对文件数据进行操作，而通过对

5、属性流读写来对文限制的磁盘配额文件特性，对文件和文件夹有安全验证和数件进行创建、读写、删除等操作。字加密，保护系统的安全，不易产生文件碎片，减少用户数当文件和文件夹的数据较小时，其所有属性和属性值都据文件丢失或毁坏的危险。由于系统的优越性，NTFS已取代可直接存放在文件记录中，称为常驻属性。当文件或文件夹的FAT成为当前主流文件系统。属性太大而不能直接存放在文件记录中时，称为非常驻属性。1NTFS文件系统结构分析NTFS将从主文件表之外的磁盘空间中为非常驻属性值分配存NTFS文件系统的结构以卷为基础，卷由逻辑分区组成。卷储区域，称为运行。运行主要说明文件在

6、文件数据区簇的分配以簇为最小存储管理单元，对磁盘空间和文件对象进行有机情况，由多个运行项组成，一个运行项包含一个虚拟簇号，是属操作。簇的大小称卷因子，每簇可按需要分配1、2、4或8扇区，性数据内部簇的顺序编号；一个逻辑簇号，是数据储存在磁盘为簇2的幂且是整数倍，每扇区512字节，由操作系统建立分区上的位置；以及数据在磁盘上所占用空间的连续簇的数量。时格式化生成。当分区空间超过2G时，NTFS默认簇是8扇区。利用文件的逻辑簇号和卷因子相乘得到文件在卷中的物理磁NTFS文件系统使用逻辑簇号和虚拟簇号对卷进行管理。逻辑盘地址，NTFS通过这种方法对文件的数据区地

7、址进行定位。簇号是对卷上所有簇进行顺序编号，虚拟簇号是对文件占用2实现NTFS文件系统的数据恢复主要思路簇的编号，以便于引用文件中的数据。NTFS将卷定义为4个区在NTFS文件系统中，磁盘上的所有数据都是文件，每个域：分区引导扇区、主文件表、系统文件和文件数据区。文件在主文件表中都有一个文件记录。在文件创建时，在主分区引导扇区位于卷的首扇区，包括分区的引导程序和文件表中为文件生成一个文件记录；在文件删除或者系统格BIOS参数块(BPB)，BPB表中的参数是在建立文件系统时由式化时，并没有破坏磁盘上文件的数据信息，而且文件记录操作系统生成的，系统根据BPB中

8、参数得到卷的重要信息，也没有被删除，只是更改标志(偏移0x16H)