數(shù)據恢復技術深度揭秘

目 錄
第一篇 數(shù)據恢復入門與進階知識儲備
第1章 計算機中數(shù)據的記錄方法 2
1.1 數(shù)據的表示方法 2
1.1.1 計算機中數(shù)據的含義 2
1.1.2 數(shù)值數(shù)據在計算機中的表示方法 6
1.1.3 字符數(shù)據在計算機中的表示方法 10
1.1.4 圖形數(shù)據在計算機中的表示方法 13
1.2 數(shù)據存儲的字節(jié)序與位序 14
1.2.1 Endian的含義 14
1.2.2 Little-endian的含義 15
1.2.3 Big-endian的含義 15
1.2.4 字節(jié)序與CPU架構的關系 15
1.2.5 位序的含義 16
1.3 數(shù)據的邏輯運算 17
1.3.1 邏輯或 17
1.3.2 邏輯與 18
1.3.3 邏輯非 18
1.3.4 邏輯異或 18
1.4 數(shù)據恢復中常用的數(shù)據結構 19
1.4.1 數(shù)據結構簡介 19
1.4.2 樹 21
1.4.3 二叉樹 23
1.4.4 B樹、B-樹、B+樹和B*樹 24
1.4.5 樹的遍歷 27
第2章 現(xiàn)代硬盤的結構揭秘 29
2.1 現(xiàn)代硬盤的物理結構揭秘 29
2.1.1 硬盤的外殼及盤標信息 29
2.1.2 硬盤的電路結構 32
2.1.3 硬盤的磁頭定位驅動系統(tǒng) 36
2.1.4 硬盤的主軸系統(tǒng) 37
2.1.5 硬盤的數(shù)據控制系統(tǒng) 37
2.1.6 硬盤的盤片 38
2.1.7 硬盤的區(qū)段及物理C/H/S 39
2.1.8 硬盤的接口技術 40
2.1.9 硬盤的主要性能指標 48
2.2 現(xiàn)代硬盤的邏輯結構揭秘 50
2.2.1 硬盤的邏輯磁道 50
2.2.2 硬盤的邏輯扇區(qū) 50
2.2.3 硬盤的邏輯柱面 51
2.2.4 硬盤的邏輯磁頭 52
2.2.5 硬盤的邏輯C/H/S 52
2.2.6 硬盤的28位LBA及48位LBA 52
第3章 學習及研究數(shù)據恢復的基本工具 54
3.1 磁盤編輯器類工具 54
3.1.1 WinHex使用方法詳解 54
3.1.2 DiskExplorer for Fat使用方法詳解 72
3.1.3 DiskExplorer for NTFS使用方法詳解 79
3.1.4 DiskExplorer for Linux使用方法詳解 81
3.2 虛擬工具 84
3.2.1 虛擬硬盤工具使用方法詳解 84
3.2.2 虛擬機使用方法詳解 87
第二篇 邏輯類數(shù)據恢復技術揭秘
第4章 Windows系統(tǒng)的數(shù)據恢復技術 92
4.1 Windows系統(tǒng)的MBR磁盤分區(qū) 92
4.1.1 主引導記錄MBR的結構和作用 92
4.1.2 主磁盤分區(qū)的結構分析 97
4.1.3 擴展分區(qū)的結構分析 103
4.1.4 MBR及EBR被破壞的分區(qū)恢復實例 109
4.1.5 分區(qū)誤刪除的恢復實例 121
4.1.6 系統(tǒng)誤Ghost后的分區(qū)恢復實例 129
4.2 Windows系統(tǒng)的動態(tài)磁盤卷 134
4.2.1 動態(tài)磁盤概述 134
4.2.2 動態(tài)磁盤卷的種類及創(chuàng)建方法 135
4.2.3 動態(tài)磁盤LDM結構原理詳解 137
4.2.4 MBR磁盤誤轉換為動態(tài)磁盤的恢復實例 161
4.2.5 動態(tài)磁盤擴展卷丟失的恢復實例 165
4.3 Windows系統(tǒng)的GPT磁盤分區(qū) 179
4.3.1 GPT磁盤分區(qū)基本介紹 179
4.3.2 GPT磁盤分區(qū)的創(chuàng)建方法 181
4.3.3 GPT磁盤分區(qū)的結構原理 185
4.3.4 GPT磁盤分區(qū)丟失的恢復實例 192

4.4 FAT16文件系統(tǒng)詳解 197
4.4.1 FAT16文件系統(tǒng)結構總覽 198
4.4.2 FAT16文件系統(tǒng)的DBR分析 198
4.4.3 FAT16文件系統(tǒng)的FAT表分析 203
4.4.4 FAT16文件系統(tǒng)的FDT分析 206
4.4.5 FAT16文件系統(tǒng)目錄項分析 208
4.4.6 FAT16文件系統(tǒng)根目錄與子目錄的管理 218
4.4.7 FAT16文件系統(tǒng)刪除文件的分析 219
4.4.8 FAT16文件系統(tǒng)誤格式化的分析 223
4.4.9 FAT16文件系統(tǒng)DBR手工重建的實例 226
4.5 FAT32文件系統(tǒng)詳解 229
4.5.1 FAT32文件系統(tǒng)結構總覽 229
4.5.2 FAT32文件系統(tǒng)的DBR分析 229
4.5.3 FAT32文件系統(tǒng)的FAT表分析 235
4.5.4 FAT32文件系統(tǒng)的數(shù)據區(qū)分析 237
4.5.5 FAT32文件系統(tǒng)目錄項分析 238
4.5.6 FAT32文件系統(tǒng)根目錄與子目錄的管理 242
4.5.7 FAT32文件系統(tǒng)刪除文件的分析 248
4.5.8 FAT32文件系統(tǒng)刪除文件后目錄項起始簇號
高位清零的分析 252
4.5.9 FAT32文件系統(tǒng)誤格式化的分析 257
4.5.10 FAT32文件系統(tǒng)DBR破壞的恢復實例 260
4.5.11 FAT32分區(qū)文件亂碼的手工恢復實例 261
4.5.12 FAT32分區(qū)被蘋果電腦誤格式化后的完美
恢復實例 267
4.6 NTFS文件系統(tǒng)詳解 277
4.6.1 NTFS文件系統(tǒng)基本介紹 277
4.6.2 NTFS文件系統(tǒng)結構總覽 278
4.6.3 NTFS文件系統(tǒng)引導扇區(qū)分析 280
4.6.4 元文件$MFT分析 285
4.6.5 文件記錄分析 287
4.6.6 10H屬性分析 296
4.6.7 20H屬性分析 298
4.6.8 30H屬性分析 298
4.6.9 40H屬性分析 302
4.6.10 50H屬性分析 303
4.6.11 60H屬性分析 308
4.6.12 70H屬性分析 308
4.6.13 80H屬性分析 309
4.6.14 90H屬性分析 313
4.6.15 A0H屬性分析 315
4.6.16 B0H屬性分析 315
4.6.17 C0H屬性分析 316
4.6.18 D0H屬性分析 317
4.6.19 E0H屬性分析 317
4.6.20 100H屬性分析 318
4.6.21 元文件$MFTMirr分析 318
4.6.22 元文件$LogFile分析 321
4.6.23 元文件$Volume分析 329
4.6.24 元文件$AttrDef分析 332
4.6.25 元文件$Root分析 334
4.6.26 元文件$Bitmap分析 336
4.6.27 元文件$Boot分析 337
4.6.28 元文件$BadClus分析 338
4.6.29 元文件$Secure分析 339
4.6.30 元文件$UpCase分析 341
4.6.31 元文件$Extend分析 342
4.6.32 元文件$ObjId分析 343
4.6.33 元文件$Quota分析 344
4.6.34 元文件$Reparse分析 346
4.6.35 元文件$UsnJrnl分析 347
4.6.36 NTFS的索引結構分析 348
4.6.37 手工遍歷NTFS的B+樹 352
4.6.38 NTFS的EFS加密分析 356
4.6.39 NTFS文件系統(tǒng)刪除文件的分析 358
4.6.40 NTFS文件系統(tǒng)格式化的分析 364
4.6.41 NTFS文件系統(tǒng)DBR手工重建的實例 367
4.7 ExFAT文件系統(tǒng)詳解 372
4.7.1 ExFAT文件系統(tǒng)基本介紹 372
4.7.2 ExFAT文件系統(tǒng)結構總覽 374
4.7.3 ExFAT文件系統(tǒng)的DBR分析 374
4.7.4 ExFAT文件系統(tǒng)的FAT表分析 378
4.7.5 ExFAT文件系統(tǒng)的簇位圖文件分析 379
4.7.6 ExFAT文件系統(tǒng)的大寫字符文件分析 380
4.7.7 ExFAT文件系統(tǒng)的目錄項分析 380
4.7.8 ExFAT文件系統(tǒng)根目錄與子目錄的管理 388
4.7.9 ExFAT文件系統(tǒng)刪除文件的分析 395
4.7.10 ExFAT文件系統(tǒng)誤格式化的分析 396
4.7.11 ExFAT文件系統(tǒng)DBR手工重建的實例 400
4.7.12 能夠支持ExFAT文件系統(tǒng)的恢復工具 404
4.8 Windows系統(tǒng)RAID恢復技術詳解 406
4.8.1 RAID基礎知識介紹 406
4.8.2 RAID級別詳解 407
4.8.3 硬RAID實現(xiàn)方法 413
4.8.4 軟RAID實現(xiàn)方法 416
4.8.5 RAID數(shù)據恢復原理 418
4.8.6 RAID起始扇區(qū)的分析方法 423
4.8.7 RAID條帶大小的分析方法 425
4.8.8 RAID成員盤的盤序分析 428
4.8.9 RAID-5校驗方向的分析方法 429
4.8.10 RAID-5數(shù)據同步與異步的分析方法 430
4.8.11 RAID恢復工具一：WinHex 432
4.8.12 RAID恢復工具二：R-studio 434
4.8.13 RAID恢復工具三：Raid Reconstructor 437
4.8.14 RAID恢復工具四：FileScav 439
4.8.15 RAID恢復工具五：UFS Explorer 442
4.8.16 RAID恢復工具六：Getway Raid Recovery 442
4.8.17 服務器專業(yè)硬盤與數(shù)據恢復工作機的連接
方法 445
4.8.18 RAID恢復實例一：Dell服務器RAID-5實
例分析 447
4.8.19 RAID恢復實例二：HP服務器RAID-5雙循環(huán)
實例分析 454
4.8.20 RAID恢復實例三：光纖陣列柜12塊FC硬盤
RAID-5實例分析 457
4.8.21 RAID恢復實例四：IBM服務器RAID-5EE實
例分析 459
第5章 UNIX系統(tǒng)的數(shù)據恢復技術 466
5.1 UNIX家族介紹 466
5.1.1 UNIX的起源及分裂 466
5.1.2 UNIX分類及特點 467
5.2 UNIX的分區(qū)詳解 469
5.2.1 Solaris分區(qū)基本介紹 469
5.2.2 Sparc Solaris分區(qū)結構分析 471
5.2.3 Sparc Solaris分區(qū)恢復實例 476
5.2.4 x86 Solaris分區(qū)結構分析 479
5.2.5 x86 Solaris分區(qū)恢復實例 485
5.2.6 Free BSD分區(qū)結構分析 485
5.2.7 Free BSD分區(qū)恢復實例 490
5.2.8 Open BSD分區(qū)結構分析 493
5.3 UFS1及UFS2文件系統(tǒng)詳解 498
5.3.1 UFS文件系統(tǒng)基本介紹 498
5.3.2 UFS文件系統(tǒng)結構總覽 499
5.3.3 UFS文件系統(tǒng)的引導塊分析 500
5.3.4 UFS文件系統(tǒng)的超級塊分析 501
5.3.5 UFS文件系統(tǒng)的柱面組概要分析 517
5.3.6 UFS文件系統(tǒng)的柱面組描述符分析 518
5.3.7 UFS文件系統(tǒng)的位圖分析 522
5.3.8 UFS文件系統(tǒng)的i-節(jié)點分析 524
5.3.9 UFS文件系統(tǒng)的目錄項分析 531
5.3.10 UFS文件刪除與恢復的分析 535
5.3.11 UFS文件系統(tǒng)超級塊的恢復實例 544
5.3.12 UNIX系統(tǒng)數(shù)據恢復專業(yè)工具詳解 546
5.4 UNIX系統(tǒng)RAID恢復技術詳解 548
5.4.1 UNIX RAID結構參數(shù)的分析方法 548
5.4.2 Sun Solaris系統(tǒng)DAS-RAID-5恢復實例 550
第6章 Apple系統(tǒng)的數(shù)據恢復技術 558
6.1 Apple電腦介紹 558
6.1.1 Apple電腦的起源與發(fā)展 558
6.1.2 Mac操作系統(tǒng)的發(fā)展 559
6.2 Apple電腦的分區(qū)結構詳解 560
6.2.1 APM分區(qū)結構分析 560
6.2.2 APM分區(qū)恢復實例 568
6.2.3 GPT分區(qū)結構分析 572
6.3 HFS+文件系統(tǒng)詳解 574
6.3.1 HFS+文件系統(tǒng)基本介紹 574
6.3.2 HFS+文件系統(tǒng)結構總覽 577
6.3.3 HFS+文件系統(tǒng)的卷頭分析 577
6.3.4 HFS+文件系統(tǒng)的頭節(jié)點分析 584
6.3.5 HFS+文件系統(tǒng)的位圖節(jié)點分析 591
6.3.6 HFS+文件系統(tǒng)的索引節(jié)點分析 591
6.3.7 HFS+文件系統(tǒng)的葉節(jié)點分析 592
6.3.8 HFS+文件系統(tǒng)節(jié)點的綜合應用 593
6.3.9 HFS+文件系統(tǒng)的編錄文件分析 594
6.3.10 HFS+文件系統(tǒng)的盤區(qū)溢出文件分析 604
6.3.11 HFS+文件系統(tǒng)的分配文件分析 608
6.3.12 HFS+文件系統(tǒng)的屬性文件分析 609
6.3.13 HFS+文件系統(tǒng)的壞塊文件分析 610
6.3.14 手工遍歷HFS+的B樹 610
6.3.15 HFS+文件刪除與恢復的分析 614
6.3.16 HFS+文件系統(tǒng)卷頭的恢復實例 617
6.3.17 Apple系統(tǒng)數(shù)據恢復專業(yè)工具詳解 618
6.4 Apple系統(tǒng)RAID恢復技術詳解 621
6.4.1 Apple RAID結構參數(shù)的分析方法 621
6.4.2 Apple RAID恢復實例分析 622
第7章 Linux系統(tǒng)的數(shù)據恢復技術 629
7.1 Linux系統(tǒng)介紹 629
7.1.1 Linux系統(tǒng)的起源與發(fā)展 629
7.1.2 Linux系統(tǒng)的分類及特點 630
7.2 Linux系統(tǒng)的分區(qū)結構詳解 631
7.2.1 MBR磁盤分區(qū)結構分析 632
7.2.2 MBR磁盤分區(qū)恢復實例 635
7.2.3 GPT分區(qū)結構分析 639
7.3 Ext3文件系統(tǒng)結構詳解 641
7.3.1 Ext3文件系統(tǒng)基本介紹 642
7.3.2 Ext3文件系統(tǒng)結構總覽 642
7.3.3 Ext3文件系統(tǒng)的超級塊分析 643
7.3.4 Ext3文件系統(tǒng)的塊組描述符分析 649
7.3.5 Ext3文件系統(tǒng)的塊位圖分析 651
7.3.6 Ext3文件系統(tǒng)的i-節(jié)點位圖分析 652
7.3.7 Ext3文件系統(tǒng)的i-節(jié)點分析 654
7.3.8 Ext3文件系統(tǒng)的目錄項分析 660
7.3.9 Ext3文件刪除與恢復的分析 663
7.3.10 Ext3文件系統(tǒng)超級塊的恢復實例 674
7.3.11 Linux系統(tǒng)數(shù)據恢復專業(yè)工具詳解 677
7.4 Ext4文件系統(tǒng)分析 680
7.4.1 Ext4文件系統(tǒng)介紹 680
7.4.2 Ext4文件系統(tǒng)的特點 681
7.4.3 Ext4文件系統(tǒng)的結構 682
7.4.4 Ext4文件系統(tǒng)的向前與向后兼容 684
7.5 Linux系統(tǒng)RAID恢復技術詳解 685
7.5.1 Linux RAID結構參數(shù)的分析方法 685
7.5.2 Linux RAID恢復實例分析 686
第三篇 物理類數(shù)據恢復技術揭秘
第8章 硬盤物理故障的種類及判定 698
8.1 硬盤外部物理故障的種類和判定方法 698
8.1.1 電路板供電故障 698
8.1.2 電路板接口故障 700
8.1.3 電路板緩存故障 700
8.1.4 電路板BIOS故障 701
8.1.5 電路板電機驅動芯片故障 701
8.2 硬盤內部物理故障的種類和判定方法 702
8.2.1 磁頭組件故障 702
8.2.2 主軸電機故障 703
8.2.3 盤片故障 704
8.2.4 固件故障 705

第9章 硬盤電路板故障的數(shù)據恢復方法 706
9.1 維修法 706
9.1.1 電路板常見故障及維修方法 706
9.1.2 希捷硬盤電路板的故障及檢測方法 707
9.1.3 西部數(shù)據硬盤電路板的故障及檢測方法 708
9.2 替換法 708
9.2.1 替換法介紹 708
9.2.2 希捷3.5英寸硬盤電路板兼容性判定及
替換方法 709
9.2.3 希捷2.5英寸硬盤電路板兼容性判定及
替換方法 711
9.2.4 西部數(shù)據3.5英寸硬盤電路板兼容性判
定及替換方法 711
9.2.5 西部數(shù)據2.5英寸硬盤電路板兼容性判
定及替換方法 713
9.2.6 邁拓3.5英寸硬盤電路板兼容性判定及
替換方法 714
9.2.7 富士通2.5英寸硬盤電路板兼容性判定
及替換方法 714
9.2.8 三星3.5英寸硬盤電路板兼容性判定及
替換方法 716
9.2.9 三星2.5英寸硬盤電路板兼容性判定及
替換方法 717
9.2.10 日立3.5英寸硬盤電路板兼容性判定及
替換方法 719
9.2.11 日立2.5英寸硬盤電路板兼容性判定及
替換方法 719
9.2.12 日立1.8英寸硬盤電路板兼容性判定及
替換方法 721
9.2.13 東芝2.5英寸硬盤電路板兼容性判定及
替換方法 722
第10章 硬盤磁頭組件故障的數(shù)據恢復方法 725
10.1 硬盤磁頭組件故障的恢復思路 725
10.1.1 開盤換磁頭所需環(huán)境及工具 725
10.1.2 開盤換磁頭的操作步驟 727
10.2 希捷硬盤磁頭兼容性判定及開盤方法 728
10.2.1 3.5英寸硬盤開盤實例 729
10.2.2 2.5英寸硬盤開盤實例 733
10.3 西部數(shù)據硬盤磁頭兼容性判定及開盤方法 736
10.3.1 3.5英寸硬盤開盤實例 736
10.3.2 2.5英寸硬盤開盤實例 739
10.4 邁拓硬盤磁頭兼容性判定及開盤方法 741
10.5 富士通硬盤磁頭兼容性判定及開盤方法 743
10.6 三星硬盤磁頭兼容性判定及開盤方法 744
10.6.1 3.5英寸硬盤開盤實例 744
10.6.2 2.5英寸硬盤開盤實例 745
10.7 日立硬盤磁頭兼容性判定及開盤方法 747
10.7.1 3.5英寸硬盤開盤實例 747
10.7.2 2.5英寸硬盤開盤實例 749
10.8 東芝硬盤磁頭兼容性判定及開盤方法 750
10.9 開盤成功后如何獲得數(shù)據 752
10.9.1 物理鏡像法 753
10.9.2 數(shù)據提取法 753
第11章 硬盤主軸電機故障的數(shù)據恢復方法 754
11.1 主軸電機故障的恢復思路 754
11.1.1 處理主軸電機故障所需環(huán)境及工具 754
11.1.2 處理主軸電機故障的操作步驟 755
11.2 希捷3.5英寸硬盤主軸電機故障處理方法 755
11.2.1 主軸電機兼容性判定 755
11.2.2 實例演示 756
11.3 邁拓3.5英寸硬盤主軸電機故障處理方法 759
11.3.1 主軸電機兼容性判定 759
11.3.2 實例演示 760
11.4 東芝2.5英寸硬盤主軸電機故障處理方法 762
11.4.1 主軸電機兼容性判定 762
11.4.2 實例演示 762
第12章 硬盤盤片故障的數(shù)據恢復方法 766
12.1 盤片扇區(qū)故障的檢測方法 766
12.2 盤片扇區(qū)故障的修復方法 769
12.2.1 重寫校驗法 770
12.2.2 G-List替換法 770
12.2.3 P-List隱藏法 770
12.3 盤片扇區(qū)故障的數(shù)據恢復方法 771
12.3.1 物理鏡像法與數(shù)據提取法的區(qū)別與聯(lián)系 771
12.3.2 用Media Tools Professional做物理鏡像 771
12.3.3 用HD Duplicator做物理鏡像 775
12.3.4 用PC-3000 UDMA DE做物理鏡像 780
12.3.5 用PC-3000 For SCSI做物理鏡像 784
12.3.6 用PC-3000 UDMA DE提取數(shù)據 789
12.3.7 用PC-3000 UDMA DE分磁頭做物理鏡像 790
第13章 硬盤固件故障的數(shù)據恢復方法 795
13.1 現(xiàn)代硬盤的固件結構 795
13.1.1 什么是硬盤的固件 795
13.1.2 硬盤固件的組成及作用 795
13.1.3 硬盤的生產流程 797
13.1.4 硬盤固件故障的表現(xiàn) 797
13.2 硬盤固件修復工具介紹 798
13.2.1 PC-3000 for DOS 798
13.2.2 PC-3000 for Windows 799
13.2.3 PC-3000 UDMA 800
13.2.4 PC-3000 UDMA for SCSI 801
13.3 用PC-3000 UDMA修復邁拓硬盤的固件 801
13.3.1 識別邁拓硬盤的型號 802
13.3.2 邁拓硬盤的固件結構 803
13.3.3 邁拓硬盤A區(qū)、B區(qū)和C區(qū)固件 807
13.3.4 備份固件 808
13.3.5 檢測固件 810
13.3.6 修復固件 812
13.4 用PC-3000 UDMA修復希捷硬盤的固件 812
13.4.1 識別希捷硬盤的型號 812
13.4.2 希捷硬盤與PC-3000 UDMA的連接方法 814
13.4.3 希捷硬盤的固件結構 814
13.4.4 希捷硬盤指令詳解 816
13.4.5 酷魚7200.11“固件門”解決方案 818
13.4.6 酷魚企業(yè)級硬盤ES.2“固件門”解決方案 822
第14章 優(yōu)盤物理故障的數(shù)據恢復方法 824
14.1 優(yōu)盤物理故障的表現(xiàn)及分類 824
14.1.1 優(yōu)盤物理故障的表現(xiàn) 824
14.1.2 優(yōu)盤物理故障的分類 825
14.2 優(yōu)盤物理故障的修復 827
14.2.1 補焊 827
14.2.2 替換晶振 827
14.2.3 替換主控芯片 828
14.2.4 替換閃存芯片 828
14.3 用PC-3000 Flash直接提取閃存芯片的數(shù)據 829
14.3.1 PC-3000 Flash的工作原理 829
14.3.2 提取閃存芯片的數(shù)據 830
參考文獻 835