數(shù)據(jù)重現(xiàn)：文件系統(tǒng)原理精解與數(shù)據(jù)恢復(fù)最佳實(shí)踐

PART 1 理論篇
第1章 數(shù)據(jù)恢復(fù)相關(guān)基礎(chǔ) 3
1.1 硬盤(pán)探秘 4
1.1.1 硬盤(pán)結(jié)構(gòu) 4
1.1.2 硬盤(pán)接口 7
1.1.3 磁道、扇區(qū)與柱面 10
1.1.4 硬盤(pán)的啟動(dòng)過(guò)程 12
1.1.5 硬盤(pán)的性能指標(biāo) 12
1.1.6 尋址方式 13
1.2 計(jì)算機(jī)運(yùn)行流程 14
1.2.1 基本概念 14
1.2.2 計(jì)算機(jī)的啟動(dòng)過(guò)程 15
1.3 “數(shù)”之體驗(yàn) 17
1.3.1 數(shù)制 17
1.3.2 數(shù)制間的轉(zhuǎn)換 18
1.3.3 取整與取余運(yùn)算 19
1.3.4 數(shù)的存儲(chǔ)格式 19
1.4 工具軟件 20
1.4.1 虛擬磁盤(pán)軟件InsPro Disk 20
1.4.2 十六進(jìn)制編輯軟件Winhex 22
1.4.3 硬盤(pán)檢測(cè)軟件MHDD 29
第2章 分區(qū) 33
2.1 概述 34
2.1.1 分區(qū)與卷 34
2.1.2 Unix下卷的使用 36
2.1.3 扇區(qū)地址 37
2.1.4 根據(jù)合理性判斷分區(qū)信息的
正確性 38
2.1.5 數(shù)據(jù)恢復(fù)及電子取證 40
2.2 DOS分區(qū) 41
2.2.1 概述 41
2.2.2 主引導(dǎo)記錄扇區(qū)MBR 42
2.2.3 擴(kuò)展引導(dǎo)記錄扇區(qū)EBR 50
2.2.4 數(shù)據(jù)恢復(fù)及電子取證 54
2.3 Apple分區(qū) 56
2.3.1 概述 56
2.3.2 Apple磁盤(pán)布局 56
2.3.3 分區(qū)表項(xiàng)數(shù)據(jù)結(jié)構(gòu) 58
2.3.4 數(shù)據(jù)恢復(fù)與電子取證 61
2.4 BSD分區(qū) 61
2.4.1 BSD分區(qū)概述 61
2.4.2 Free BSD分區(qū) 63
2.4.3 NetBSD與OpenBSD
分區(qū) 64
2.4.4 磁盤(pán)標(biāo)簽數(shù)據(jù)結(jié)構(gòu) 65
2.4.5 磁盤(pán)標(biāo)簽實(shí)例分析 67
2.4.6 總結(jié) 72
2.5 Sun Solaris分區(qū) 72
2.5.1 概述 73
2.5.2 Sparc平臺(tái)下的Sun Solaris
分區(qū) 74
2.5.3 i386平臺(tái)下的Sun Solaris
分區(qū) 78
2.5.4 總結(jié) 82
2.6 GPT分區(qū) 82
2.6.1 概述 82
2.6.2 GPT磁盤(pán)總體布局 84
2.6.3 數(shù)據(jù)結(jié)構(gòu) 85
2.6.4 總結(jié) 90
2.7 移動(dòng)介質(zhì)分區(qū) 90
第3章 FAT文件系統(tǒng) 93
3.1 文件系統(tǒng)總論 94
3.2 FAT文件系統(tǒng)概述 99
3.3 FAT文件系統(tǒng)整體布局 100
3.4 FAT32的保留區(qū) 100
3.4.1 引導(dǎo)扇區(qū) 101
3.4.2 引導(dǎo)代碼 106
3.4.3 FSINFO信息扇區(qū) 106
3.5 FAT32的FAT表 108
3.5.1 FAT表概述 108
3.5.2 FAT表的特性 108
3.5.3 FAT表的使用 109
3.5.4 其他 111
3.6 FAT32的數(shù)據(jù)區(qū) 112
3.6.1 根目錄 112
3.6.2 子目錄 115
3.6.3 目錄項(xiàng) 116
3.7 FAT12/16文件系統(tǒng) 128
3.7.1 FAT12/16文件系統(tǒng)概述 128
3.7.2 引導(dǎo)扇區(qū) 128
3.7.3 FAT表 131
3.7.4 根目錄與目錄項(xiàng) 133
3.8 分配策略 133
3.8.1 簇的分配策略 133
3.8.2 目錄項(xiàng)的分配策略 134
3.9 文件的建立與刪除 136
3.10 總結(jié) 137
3.10.1 數(shù)據(jù)恢復(fù)分析 137
3.10.2 取證分析 140
第4章 NTFS文件系統(tǒng) 145
4.1 NTFS概述 146
4.1.1 概述 146
4.1.2 基本概念 147
4.2 NTFS文件系統(tǒng)總體布局 149
4.3 引導(dǎo)扇區(qū) 149
4.4 主文件表MFT 152
4.4.1 基本概述 152
4.4.2 Windows 2000的MFT項(xiàng) 153
4.4.3 Windows XP的MFT項(xiàng) 156
4.5 MFT屬性 160
4.5.1 屬性的結(jié)構(gòu) 160
4.5.2 常規(guī)屬性類型 165
4.5.3 其他屬性 188
4.6 文件系統(tǒng)元文件 190
4.6.1 $MFT文件 190
4.6.2 $MFTMirr文件 191
4.6.3 $LogFile文件 192
4.6.4 $Volume文件 193
4.6.5 $AttrDef文件 193
4.6.6 $Root文件 195
4.6.7 $Bitmap文件 195
4.6.8 $Boot文件 196
4.6.9 $Secure文件 197
4.6.10 $UsnJrnl文件 198
4.6.11 $Quota文件 200
4.6.12 $ObjId文件 202
4.7 分配策略 203
4.7.1 簇空間分配策略 203
4.7.2 MFT項(xiàng)分配策略 203
4.7.3 屬性分配策略 204
4.8 時(shí)間值的更新 204
4.9 文件的建立與刪除 205
4.9.1 建立文件 205
4.9.2 刪除文件 206
4.10 總結(jié) 207
4.10.1 分析注意事項(xiàng) 207
4.10.2 數(shù)據(jù)恢復(fù)與取證分析 208
第5章 ExtX文件系統(tǒng) 211
5.1 ExtX文件系統(tǒng)概述 212
5.2 ExtX文件系統(tǒng)整體布局 213
5.3 超級(jí)塊 216
5.3.1 超級(jí)塊數(shù)據(jù)結(jié)構(gòu) 216
5.3.2 超級(jí)塊實(shí)例分析 221
5.4 塊組描述符表和塊組描述符 224
5.4.1 塊組描述符數(shù)據(jù)結(jié)構(gòu) 224
5.4.2 塊組描述符實(shí)例分析 225
5.5 塊位圖 227
5.5.1 塊位圖的工作方式 227
5.5.2 塊位圖實(shí)例分析 228
5.6 i-節(jié)點(diǎn)位圖 229
5.6.1 i-節(jié)點(diǎn)位圖實(shí)例 229
5.6.2 定位一個(gè)i-節(jié)點(diǎn)的位圖 230
5.7 i-節(jié)點(diǎn)表與i-節(jié)點(diǎn) 230
5.7.1 i-節(jié)點(diǎn)數(shù)據(jù)結(jié)構(gòu) 231
5.7.2 i-節(jié)點(diǎn)實(shí)例分析 237
5.7.3 i-節(jié)點(diǎn)的屬性 239
5.7.4 i-節(jié)點(diǎn)中時(shí)間值的更新 240
5.8 擴(kuò)展屬性 242
5.8.1 擴(kuò)展屬性的結(jié)構(gòu) 242
5.8.2 擴(kuò)展屬性實(shí)例分析 245
5.9 目錄項(xiàng) 246
5.9.1 目錄項(xiàng)數(shù)據(jù)結(jié)構(gòu) 247
5.9.2 目錄項(xiàng)的特性 248
5.9.3 目錄項(xiàng)實(shí)例分析 250
5.10 鏈接和掛載點(diǎn) 251
5.10.1 鏈接 251
5.10.2 掛載點(diǎn) 251
5.11 Hash樹(shù) 252
5.11.1 Hash樹(shù)數(shù)據(jù)結(jié)構(gòu) 253
5.11.2 Hash樹(shù)實(shí)例分析 254
5.12 文件系統(tǒng)日志 255
5.12.1 數(shù)據(jù)結(jié)構(gòu) 256
5.12.2 日志實(shí)例分析 258
5.13 分配策略 260
5.13.1 塊的分配策略 260
5.13.2 i-節(jié)點(diǎn)分配策略 261
5.13.3 文件名空間分配策略 262
5.14 文件的建立與刪除 262
5.14.1 建立文件 262
5.14.2 刪除文件 264
5.15 總結(jié) 265
5.15.1 分析注意事項(xiàng) 265
5.15.2 數(shù)據(jù)恢復(fù)與電子取證 268
第6章 UFS文件系統(tǒng) 273
6.1 概述 274
6.2 UFS文件系統(tǒng)整體布局 276
6.3 超級(jí)塊 276
6.3.1 概述 276
6.3.2 數(shù)據(jù)結(jié)構(gòu) 277
6.4 柱面組摘要 288
6.5 柱面組描述符 289
6.5.1 概述 289
6.5.2 數(shù)據(jù)結(jié)構(gòu) 291
6.5.3 位圖 295
6.6 引導(dǎo)代碼 297
6.7 i-節(jié)點(diǎn) 298
6.7.1 UFS1的i-節(jié)點(diǎn) 299
6.7.2 UFS2的i-節(jié)點(diǎn) 301
6.8 目錄項(xiàng) 305
6.8.1 數(shù)據(jù)結(jié)構(gòu) 306
6.8.2 實(shí)例分析 306
6.9 分配策略 307
6.9.1 存儲(chǔ)空間分配策略 308
6.9.2 i-節(jié)點(diǎn)分配策略 309
6.9.3 目錄項(xiàng)分配策略 309
6.10 文件的建立與刪除 310
6.10.1 建立文件 310
6.10.2 刪除文件 312
6.11 總結(jié) 313
6.11.1 分析注意事項(xiàng) 313
6.11.2 數(shù)據(jù)恢復(fù)與取證分析 315
第7章 HFS+文件系統(tǒng) 317
7.1 HFS封裝 318
7.1.1 HFS卷主目錄塊結(jié)構(gòu) 318
7.1.2 HFS卷主目錄塊實(shí)例分析 319
7.2 概述 320
7.2.1 HFS+的改進(jìn) 320
7.2.2 基本概念 321
7.2.3 主要數(shù)據(jù)結(jié)構(gòu)類型 322
7.2.4 HFS+特性 324
7.3 HFS+文件系統(tǒng)整體布局 325
7.4 卷頭 326
7.4.1 數(shù)據(jù)結(jié)構(gòu) 326
7.4.2 實(shí)例分析 331
7.5 節(jié)點(diǎn) 333
7.5.1 節(jié)點(diǎn)的種類 333
7.5.2 節(jié)點(diǎn)的基本結(jié)構(gòu) 333
7.5.3 頭節(jié)點(diǎn) 337
7.5.4 圖節(jié)點(diǎn) 343
7.5.5 索引節(jié)點(diǎn) 344
7.5.6 葉節(jié)點(diǎn) 346
7.5.7 節(jié)點(diǎn)的使用 346
7.5.8 HFS+節(jié)點(diǎn)與HFS節(jié)點(diǎn)的
區(qū)別 347
7.6 目錄文件 348
7.6.1 目錄文件中檔案項(xiàng)的
key部分 349
7.6.2 目錄文件中檔案項(xiàng)的
數(shù)據(jù)部分 350
7.7 域溢出文件 358
7.7.1 域溢出文件中檔案項(xiàng)的
key部分 359
7.7.2 域溢出文件中檔案項(xiàng)的
數(shù)據(jù)部分 359
7.7.3 域溢出文件節(jié)點(diǎn)實(shí)例分析 360
7.7.4 域溢出文件的使用 361
7.8 壞塊文件 363
7.9 分配文件 363
7.10 屬性文件 364
7.10.1 叉數(shù)據(jù)屬性 365
7.10.2 域?qū)傩?366
第8章 多磁盤(pán)卷 367
8.1 RAID 368
8.1.1 RAID級(jí)別簡(jiǎn)介 368
8.1.2 RAID中的基本概念 375
8.1.3 RAID0陣列原理 376
8.1.4 RAID1陣列原理 377
8.1.5 RAID4陣列原理 377
8.1.6 RAID5陣列原理 378
8.1.7 RAID6陣列原理 382
8.1.8 RAID 1E陣列原理 384
8.1.9 RAID DP陣列原理 386
8.1.10 RAID的實(shí)現(xiàn) 388
8.1.11 數(shù)據(jù)恢復(fù)及取證注意事項(xiàng) 389
8.2 磁盤(pán)跨區(qū) 391
8.2.1 概述 391
8.2.2 Linux MD 392
8.2.3 Linux LVM 394
8.2.4 Microsoft Windows LDM 395
8.2.5 總結(jié) 402
PART 2 實(shí)踐篇
第9章 數(shù)據(jù)恢復(fù)前的準(zhǔn)備 405
9.1 寫(xiě)在數(shù)據(jù)恢復(fù)之前的話 406
9.2 檢測(cè)磁盤(pán) 408
9.2.1 用MHDD檢測(cè)磁盤(pán) 408
9.2.2 用MHDD清除主引導(dǎo)扇區(qū)
“55AA”標(biāo)志 411
9.2.3 用PC-3000檢測(cè)磁盤(pán) 412
9.3 壞道處理 415
9.4 鏡像磁盤(pán) 417
9.4.1 什么是“鏡像磁盤(pán)” 417
9.4.2 什么情況下需要對(duì)磁盤(pán)
進(jìn)行鏡像 418
9.4.3 用Media Tools鏡像磁盤(pán) 419
9.4.4 用HDClone鏡像磁盤(pán) 424
9.4.5 用Winhex鏡像磁盤(pán) 427
9.5 分區(qū)及格式化對(duì)磁盤(pán)的寫(xiě)入 431
9.5.1 Winhex“比較”功能的
使用 431
9.5.2 分區(qū)過(guò)程對(duì)磁盤(pán)的寫(xiě)入 434
9.5.3 格式化過(guò)程對(duì)磁盤(pán)的寫(xiě)入 440
第10章 基本數(shù)據(jù)恢復(fù) 447
10.1 分區(qū)恢復(fù) 448
10.1.1 主分區(qū)表?yè)p壞恢復(fù) 448
10.1.2 重新分區(qū)未格式化 459
10.1.3 分區(qū)布局改變并進(jìn)行了
格式化 461
10.1.4 使用FinalData快速
尋找分區(qū) 462
10.2 DBR損壞后的恢復(fù) 465
10.2.1 FAT文件系統(tǒng)DBR損壞后
的恢復(fù) 465
10.2.2 NTFS文件系統(tǒng)DBR損壞后
的恢復(fù) 473
10.3 格式化恢復(fù) 477
10.3.1 原FAT32格式化成
FAT32 477
10.3.2 原FAT32格式化成NTFS 479
10.3.3 原NTFS格式化成NTFS 480
10.3.4 原NTFS格式化成FAT32 480
10.4 刪除恢復(fù) 481
10.4.1 FAT16文件系統(tǒng)下的
刪除 481
10.4.2 FAT32文件系統(tǒng)下的
刪除 483
10.4.3 NTFS文件系統(tǒng)下的刪除 484
10.5 數(shù)據(jù)恢復(fù)軟件的使用 486
10.5.1 使用R-Studio恢復(fù)數(shù)據(jù) 486
10.5.2 使用Recover My Files
恢復(fù)數(shù)據(jù) 500
第11章 RAID數(shù)據(jù)恢復(fù) 503
11.1 概述 504
11.2 FAT表在陣列恢復(fù)中的作用 504
11.2.1 利用FAT表計(jì)算塊大小 505
11.2.2 利用FAT表判斷
數(shù)據(jù)塊順序 506
11.2.3 利用FAT表尋找校驗(yàn)塊 507
11.3 MFT在陣列恢復(fù)中的作用 508
11.3.1 利用MFT記錄編號(hào)判斷
塊大小及數(shù)據(jù)塊順序 508
11.3.2 利用MFT尋找校驗(yàn)塊 510
11.4 RAID0陣列恢復(fù) 513
11.4.1 參數(shù)分析 514
11.4.2 使用Winhex重組
數(shù)據(jù) 515
11.4.3 使用R-Studio恢復(fù)
數(shù)據(jù) 518
11.5 RAID5陣列恢復(fù) 523
11.5.1 循環(huán)方向的判斷 524
11.5.2 同步與異步的判斷 525
11.5.3 計(jì)算各個(gè)成員盤(pán)第一個(gè)
校驗(yàn)塊的位置 526
11.5.4 利用FAT恢復(fù)演示 528
11.5.5 利用MFT恢復(fù)演示 532
11.6 HP內(nèi)外雙循環(huán)陣列恢復(fù) 537
11.7 RAID 1E陣列恢復(fù) 538
11.7.1 參數(shù)判斷 539
11.7.2 數(shù)據(jù)恢復(fù) 539
附錄A Win32環(huán)境下磁盤(pán)操作
五大函數(shù) 541
附錄B 文件后綴名速查表 545