屠浩毓

摘 要 文章針對數(shù)據(jù)恢復技術教學中，實訓設備配置昂貴，硬件耗損過高，教學靈活度不足等問題，通過實例闡述了可以運用VMware虛擬機技術，讓用戶在自定義配置的虛擬系統(tǒng)中運行相關數(shù)據(jù)恢復工具軟件，模擬數(shù)據(jù)恢復的過程，使數(shù)據(jù)恢復技術在教學上達到理論與實踐相結合，提高教學效率和效果的觀點。

關鍵詞 數(shù)據(jù)恢復 VMware虛擬機 WinHex DiskGenius 文件系統(tǒng)。

中圖分類號：G633.67 文獻標識碼：A 文章編號：1002-7661（2016）20-0009-02

在數(shù)據(jù)恢復技術中，Windows系統(tǒng)的MBR磁盤主引導記錄結構與作用，硬盤主分區(qū)表和擴展分區(qū)表的結構，F(xiàn)AT16、FAT32、NTFS文件系統(tǒng)的結構與工作原理等內(nèi)容是進行數(shù)據(jù)恢復技術學習和操作必備的知識點。

在數(shù)據(jù)恢復學習過程中，除了要掌握理論知識以外，還需要大量的實踐操作練習。這樣的實操練習會對計算機硬盤進行大量的讀取、修改、保存的操作，操作過程中稍有不慎，將會對計算機系統(tǒng)造成破壞性的影響，甚至引起計算機硬件的損壞。

現(xiàn)在不少學校的教學機房為了防止網(wǎng)絡病毒的攻擊或避免學生在使用的過程中因為誤操作而造成的系統(tǒng)崩潰等問題，都在計算機中安裝了系統(tǒng)還原軟件，這些系統(tǒng)還原軟件時常會與教學專用系統(tǒng)或軟件出現(xiàn)不兼容的現(xiàn)象，導致實驗無法進行。有時因教學所需，要使用新的操作系統(tǒng)或軟件，機房管理員在安裝維護時也因為系統(tǒng)還原軟件的存在而降低了效率。從而影響到教學的整體效率。這一缺陷在數(shù)據(jù)恢復教學中顯得尤為突出。

因此，可以引入VMware虛擬機軟件來改善這一現(xiàn)象，使用VMware虛擬機搭建所需的教學和實驗環(huán)境，在功能上與真實系統(tǒng)并無差別，并且在使用中不會影響到承載該虛擬機的宿主主機，同時可以減少學校的硬件投入、減輕機房管理員的工作強度，為數(shù)據(jù)恢復教學提供一個靈活、高效的實訓平臺。

一、VMware簡介

VMware Workstation是一款桌面計算機虛擬軟件，它功能強大，能夠在一臺真實計算機的操作系統(tǒng)中虛擬出多個虛擬計算機環(huán)境，這臺真實的計算機一般稱為宿主主機，在VMware Workstation中運行的虛擬計算機和系統(tǒng)一般稱為客戶機，其實質就是宿主機中的一系列文件。VMware Workstation的計算機虛擬能力、性能以及與宿主機之間的隔離效果非常突出，通過虛擬化技術，它能夠模擬出一個標準的x86計算機環(huán)境。這個虛擬的環(huán)境與真實的計算機一樣，都擁有CPU、芯片組、內(nèi)存、網(wǎng)卡、聲卡、外存儲器、串/并口、USB控制器等設備，如圖1。VMware Workstation的窗口即為虛擬主機的顯示器，如圖2。

當然，這些硬件都不是真實的設備，是通過VMware Workstation虛擬出來的。VMware虛擬化的工作原理是：在計算機硬件或宿主機操作系統(tǒng)上面插入一個精簡的軟件層。該軟件層包含一個以動態(tài)和透明方式分配硬件資源的虛擬機監(jiān)視器（或稱“管理程序”）。在使用過程中，這臺虛擬主機與真正的計算機沒有太多區(qū)別，可以進行硬件設備添加與移除、硬盤分區(qū)與格式化、安裝操作系統(tǒng)和各種應用軟件等，在使用的感覺上與真實的計算機無異。

二、基于虛擬機環(huán)境下的數(shù)據(jù)恢復實驗

在虛擬環(huán)境中安裝了Windows XP操作系統(tǒng)，以此為例，結合Windows PE預裝環(huán)境，在該環(huán)境下進行幾個數(shù)據(jù)恢復的實驗，通過實驗，可以了解和學習數(shù)據(jù)恢復技術的一些基本方法和過程。

（一）主引導記錄（MBR）損壞的修復

MBR類型的磁盤分區(qū)都有一個引導扇區(qū)，稱為主引導記錄MBR，它位于整個硬盤的第一個扇區(qū)，按照C/H/S地址描述即0磁道0柱面1扇區(qū)，按照LBA地址描述即為0號扇區(qū)。該扇區(qū)容量為512字節(jié)，其中引導程序占用了前446個字節(jié)，隨后的64個字節(jié)則用于記錄硬盤分區(qū)表信息，最后的兩個字節(jié)為結束標志，通常記為“55AA”。MBR扇區(qū)在計算機啟動過程中有著重要的作用，當MBR被破壞，計算機系統(tǒng)便無法正常引導系統(tǒng)。

在模擬MBR恢復實驗時，虛擬機安裝的是Windows XP系統(tǒng)。通過VMware虛擬機中的虛擬光驅加載Win PE預裝環(huán)境啟動ISO文件，在Win PE預裝環(huán)境中利用WinHex軟件，在虛擬系統(tǒng)硬盤中的MBR扇區(qū)隨機填入一些無意義或空白數(shù)據(jù)，人為模擬MBR扇區(qū)被破壞的過程，完成這一過程后，退出Win PE預裝環(huán)境。接下來啟動虛擬機，此時學生可以觀察到WindowsXP系統(tǒng)無法正常啟動。為了使系統(tǒng)能恢復啟動，此時需要將被破壞的MBR進行修復，再次通過虛擬機加載Win PE預裝環(huán)境，在預裝環(huán)境中使用DiskGenius工具軟件中的“重建主引導記錄”命令進行MBR修復，或者利用WinHex軟件手動將完整的MBR引導程序正確覆蓋至MBR扇區(qū)后進行保存，完成了MBR修復操作后退出預裝環(huán)境，再次啟動虛擬機，此時可以看到系統(tǒng)可以正常啟動Windows XP系統(tǒng)。

（二） 分區(qū)表的修復

硬盤分區(qū)表也存放在硬盤MBR扇區(qū)中，它位于該扇區(qū)偏移1BEH至偏移1FDH之間，用占用64個字節(jié)的存儲空間。分區(qū)表是用來管理硬盤分區(qū)的，如果分區(qū)表因某種原因遭到破壞或清除，那么磁盤的分區(qū)將會丟失，使得分區(qū)中存儲的數(shù)據(jù)信息難以訪問。當遇到這樣的故障，如果掌握了硬盤邏輯結構方面的知識，可以在Win PE預裝環(huán)境中使用WINHEX軟件分析故障硬盤的邏輯結構，通過對硬盤中特殊扇區(qū)如主分區(qū)DBR，擴展分區(qū)及其邏輯驅動器的EBR、DBR等扇區(qū)中的分區(qū)參數(shù)進行分析和推算，判斷出硬盤的分區(qū)狀況，并利用該軟件的磁盤編輯功能進行手動恢復分區(qū)表的操作。當然，還可以直接使用DiskGenius這樣的磁盤管理軟件來進行分區(qū)表半自動恢復的操作。

在虛擬實驗中，可以讓學生采取使用DiskGenius磁盤管理軟件的方法來進行分區(qū)表恢復的模擬操作練習。首先人為模擬破壞硬盤的分區(qū)表，方法與MBR恢復實驗的類似，之后在虛擬機中進入Win PE預裝環(huán)境，啟動DiskGenius軟件，使用“工具”菜單中的“搜索已丟失分區(qū)（重建分區(qū)表）”命令，按照彈出對話框中的提示搜索并保存硬盤分區(qū)，當所有分區(qū)都保存完畢后，再次通過虛擬硬盤啟動，此時操作系統(tǒng)已能夠正常引導。

（三）基于文件系統(tǒng)下的數(shù)據(jù)恢復

為了能夠高效的使用和管理硬盤中存儲的數(shù)據(jù)，操作系統(tǒng)會通過文件系統(tǒng)將這些數(shù)據(jù)以文件的形式存儲在硬盤里，例如Windows系列操作系統(tǒng)中的文件系統(tǒng)主要有FAT、NTFS和ExFAT。這些文件系統(tǒng)有著各自不同的邏輯組織方式。如要對硬盤進行高級管理和對數(shù)據(jù)進行有效恢復，這就需要用戶了解并掌握文件在硬盤上存儲的相關原理和機制，利用虛擬機可以幫助我們進行相關知識的學習。例如可以在虛擬系統(tǒng)中利用WinHex軟件，通過人工模擬文件系統(tǒng)存儲和管理文件的過程，來使學生掌握相關的數(shù)據(jù)恢復知識和技能。

以FAT32文件系統(tǒng)的教學為例，F(xiàn)AT32文件系統(tǒng)由DBR及其保留扇區(qū)、文件分配表FAT1、文件分配表備份FAT2以及數(shù)據(jù)區(qū)（包含目錄區(qū)）DATA四部分組成。在虛擬實驗中，可以進行FAT32分區(qū)根目錄文件丟失后恢復的實驗。

首先，啟動虛擬Windows XP系統(tǒng)，在系統(tǒng)中FAT32分區(qū)的根目錄中存入一命名為tupian.jpg的文件，隨后打開文件查看并確認其內(nèi)容。關閉文件后，將此文件放入回收站并徹底刪除。此時，該FAT32分區(qū)中已經(jīng)無法看到此文件。

其次，打開WinHex軟件，利用“MBR模板工具”分析該分區(qū)所在磁盤的邏輯結構，在確定分區(qū)DBR所在的扇區(qū)號后，使用軟件的扇區(qū)跳轉功能，跳轉至DBR所在扇區(qū)，利用“DBR模板工具”查看BPB參數(shù)，根據(jù)相關的參數(shù)計算出該分區(qū)FAT1，F(xiàn)AT2，及DATA區(qū)等部分的起始扇區(qū)號，由于此時文件已經(jīng)刪除，在文件分配表FAT中該文件的簇鏈已經(jīng)清零，因此可以直接跳轉至DATA區(qū)查找其文件目錄項，因為分區(qū)中存儲的文件不多，所以能夠較容易的找到該文件的文件目錄項。通過觀察，可以發(fā)現(xiàn)此文件目錄項的首字節(jié)已經(jīng)變?yōu)椤癊5H”，表示此文件已經(jīng)被刪除。

接下來，應用短目錄項模板查看該文件數(shù)據(jù)的存儲位置的起始簇號，并計算其數(shù)據(jù)存儲位置的結束簇號。最后跳轉至該文件的起始位置，將所有數(shù)據(jù)內(nèi)容復制并另存為123.jpg文件，存放于系統(tǒng)桌面。返回系統(tǒng)桌面后，便能看見名為123.jpg的文件，打開這個文件，查看其內(nèi)容，可以發(fā)現(xiàn)與之前刪除的tupian.jpg文件一致。至此，文件恢復完畢。

當FAT32分區(qū)中存儲的文件較多時，文件數(shù)據(jù)恢復的步驟會更為繁瑣。此外，NTFS文件系統(tǒng)作為另一種常用的文件系統(tǒng)，其邏輯結構和工作原理相比FAT而言也要復雜得多，這些情形下的數(shù)據(jù)恢復實踐教學同樣也能在虛擬環(huán)境中進行模擬操作和練習，具體方法和步驟在此不再一一贅述。

三、結束語

虛擬機技術在數(shù)據(jù)恢復教學中的應用不僅降低了教學成本，緩解了教學資源緊缺的問題，更為重要的是它為教學實驗平臺的搭建提供了一種高效、便捷的方式，在很大程度上克服了數(shù)據(jù)恢復課程教學中實驗環(huán)境難以設計，教學過程不夠直觀等難點。另外，在實踐課程中還可以靈活模擬數(shù)據(jù)恢復工作的各種故障場景，使得學生能夠在大量的模擬練習中逐步掌握數(shù)據(jù)恢復技術。因此，虛擬機技術在數(shù)據(jù)恢復教學中的應用是值得推廣的，它定會為數(shù)據(jù)恢復技術的教學過程和教學效果等方面帶來積極的影響。

參考文獻：

[1]劉偉.數(shù)據(jù)恢復技術深度揭秘[M].北京：電子工業(yè)出版社，2013.

[2]馬林.數(shù)據(jù)重現(xiàn)——文件系統(tǒng)原理精解與數(shù)據(jù)恢復最佳實踐[M].北京：清華大學出版社，2009.

（責任編輯 陳 利）