張生月，肖 珺，肖 靜，達(dá) 虎，李葆光

（甘肅省計(jì)算中心，甘肅 蘭州 730000）

淺析基于文件定位的數(shù)據(jù)恢復(fù)＊

張生月，肖 珺，肖 靜，達(dá) 虎，李葆光

（甘肅省計(jì)算中心，甘肅 蘭州 730000）

主引導(dǎo)記錄(MBR)磁盤(pán)分區(qū)是大家現(xiàn)如今運(yùn)用最為普遍的一種分區(qū)結(jié)構(gòu),它主要的功能就是確認(rèn)分區(qū)表是否正確,當(dāng)確認(rèn)準(zhǔn)確后就會(huì)找到哪個(gè)分區(qū)是引導(dǎo)分區(qū),并且它還在程序結(jié)束的時(shí)候把這個(gè)分區(qū)的啟動(dòng)程序調(diào)入內(nèi)存然后就開(kāi)始執(zhí)行。所以本文主要根據(jù)MBR的工作原理和功能來(lái)對(duì)磁盤(pán)分區(qū)進(jìn)行文件定位進(jìn)而對(duì)誤刪除或誤操作導(dǎo)致丟失了的數(shù)據(jù)進(jìn)行數(shù)據(jù)恢復(fù)操作。

主引導(dǎo)記錄；分區(qū)結(jié)構(gòu)；文件定位；數(shù)據(jù)恢復(fù)

隨著現(xiàn)代計(jì)算機(jī)技術(shù)、通訊技術(shù)和網(wǎng)絡(luò)技術(shù)的快速發(fā)展,計(jì)算機(jī)在人們的各行各業(yè)的應(yīng)用已經(jīng)非常普遍。通過(guò)對(duì)計(jì)算機(jī)的使用會(huì)產(chǎn)生越來(lái)越多的數(shù)據(jù),而這些數(shù)據(jù)對(duì)工作的重要已不言而喻,也已經(jīng)成為重要的保護(hù)對(duì)象。但是在人們使用和存儲(chǔ)這些數(shù)據(jù)時(shí),數(shù)據(jù)會(huì)被錯(cuò)誤地刪除或操作,這樣就會(huì)使數(shù)據(jù)丟失成為常見(jiàn)的問(wèn)題。而基于文件定位的數(shù)據(jù)恢復(fù)技術(shù),就可以正確還原這些被刪除的文件和數(shù)據(jù),在NTFS文件系統(tǒng)中,不論文件是不是連續(xù)存放,文件或者是目錄在被刪除后都可以通過(guò)該文件記錄找到文件存放具體位置如起始簇號(hào)從而進(jìn)行數(shù)據(jù)恢復(fù),但是當(dāng)誤刪除的文件或者數(shù)據(jù)比較多時(shí),需要逐個(gè)恢復(fù),工作效率可能會(huì)比較低。

1 主引導(dǎo)記錄(MBR)相關(guān)理論

硬盤(pán)的內(nèi)部結(jié)構(gòu)經(jīng)常專門指的是盤(pán)體的內(nèi)部構(gòu)造。盤(pán)體是一個(gè)密封的空間,里面主要存在著磁頭、磁頭控制器、盤(pán)片、主軸、控制電機(jī)、數(shù)據(jù)轉(zhuǎn)換器、接口、緩存等部件。當(dāng)我們經(jīng)過(guò)操作系統(tǒng)對(duì)文件進(jìn)行訪問(wèn)的時(shí)候,操作系統(tǒng)就會(huì)通過(guò)查找硬盤(pán)相應(yīng)位置來(lái)調(diào)用要求訪問(wèn)的文件,而這些文件的分布則都是通過(guò)盤(pán)片上的邏輯參數(shù)所決定的。操作系統(tǒng)在劃分硬盤(pán)所有區(qū)域時(shí),一般劃分的區(qū)域會(huì)被稱為磁道、扇區(qū)、柱面,而當(dāng)硬盤(pán)在尋找文件存放的地址時(shí)則是通過(guò)這幾個(gè)邏輯參數(shù)進(jìn)行的。在對(duì)硬盤(pán)分區(qū)之后,操作系統(tǒng)則會(huì)在硬盤(pán)的0柱面、0磁道、1扇區(qū)處創(chuàng)建硬盤(pán)分區(qū)表,這個(gè)分區(qū)表就是被我們稱為主引導(dǎo)扇區(qū)的分區(qū)表,簡(jiǎn)稱MBR。主引導(dǎo)扇區(qū)的功能則是在操作系統(tǒng)之前進(jìn)行工作,依據(jù)主分區(qū)表中的信息來(lái)管理硬盤(pán),然后再將硬盤(pán)控制權(quán)交給屬于活動(dòng)分區(qū)的操作系統(tǒng)。而主引導(dǎo)記錄磁盤(pán)的分區(qū)模式一般有主分區(qū)、擴(kuò)展分區(qū)、非DOS分區(qū)這3類。而第一個(gè)分區(qū)表一直是位于硬盤(pán)的0柱面、0磁頭、1扇區(qū),其余的分區(qū)表位置則都可以通過(guò)主分區(qū)表進(jìn)行回推計(jì)算。從磁盤(pán)分區(qū)結(jié)構(gòu)我們可以清楚明白，操作系統(tǒng)主要通過(guò)主引導(dǎo)記錄MBR和擴(kuò)展引導(dǎo)記錄EBR來(lái)管理磁盤(pán)分區(qū)。在主引導(dǎo)記錄磁盤(pán)分區(qū)中，分區(qū)表占了64字節(jié)，而每個(gè)分區(qū)表項(xiàng)占了16字節(jié)，分區(qū)的分區(qū)表項(xiàng)是從1BEH偏移處開(kāi)始到55AAH結(jié)束，這樣就共有4個(gè)分區(qū)表項(xiàng)，操作系統(tǒng)一般只是使用前面的兩個(gè)分區(qū)表項(xiàng)來(lái)定義和描述本分區(qū)結(jié)構(gòu)和下一分區(qū)結(jié)構(gòu)。如果硬盤(pán)的存儲(chǔ)容量比較大時(shí)，并且需要有更多的磁盤(pán)分區(qū)時(shí)，就必須使用擴(kuò)展分區(qū)，這樣便可以用擴(kuò)展引導(dǎo)記錄（EBR）表示和定義，主引導(dǎo)記錄磁盤(pán)分區(qū)的整體結(jié)構(gòu)［1］如圖1所示。

圖1 MBR分區(qū)結(jié)構(gòu)

通過(guò)圖1可以知道主磁盤(pán)分區(qū)是通過(guò)主引導(dǎo)記錄中的分區(qū)表進(jìn)行定位，而擴(kuò)展分區(qū)之間則經(jīng)由指針結(jié)構(gòu)從而形成一個(gè)單向鏈表來(lái)實(shí)現(xiàn)定位。在FAT16文件系統(tǒng)的每個(gè)分區(qū)表中包含著操作系統(tǒng)引導(dǎo)記錄DBR，F(xiàn)AT1/2,FDT和DATA，但在FAT32文件系統(tǒng)的FDT則是在數(shù)據(jù)區(qū)。在NTFS文件系統(tǒng)中的操作系統(tǒng)引導(dǎo)記錄DBR包含在$BOOT文件中，和文件有關(guān)的信息在NTFS文件系統(tǒng)中被稱為屬性，而這些屬性則以文件記錄的形式在$MFT中存放，NTFS文件系統(tǒng)位置結(jié)構(gòu)［2］如圖2所示。

圖2 NTFS文件系統(tǒng)結(jié)構(gòu)

2 誤刪除數(shù)據(jù)的文件定位恢復(fù)

由圖1看到FAT表與FDA表對(duì)數(shù)據(jù)是鏈?zhǔn)酱鎯?chǔ)和管理的，這樣就可以通過(guò)鏈?zhǔn)剿阉鞑檎蚁嚓P(guān)數(shù)據(jù)。而只有將FAT表和FDT表聯(lián)結(jié)起來(lái)，才可以管理整個(gè)磁盤(pán)內(nèi)的相關(guān)文件，也同樣可以準(zhǔn)確找到被刪除文件的具體位置。通過(guò)閱讀資料［3］了解到，在Windows操作系統(tǒng)下刪除普通的文件，則是將FDT表中該文件的第一個(gè)特征字符改為“E5”來(lái)操作，同時(shí)對(duì)引導(dǎo)扇區(qū)的第二個(gè)扇區(qū)中信息進(jìn)行改寫(xiě)，該操作是修改刪除文件分區(qū)點(diǎn)占用空間大小的相應(yīng)信息［4］。這樣根據(jù)文件的存儲(chǔ)結(jié)構(gòu)，在恢復(fù)文件的時(shí)候，主要就是查找“E5”刪除標(biāo)志，而后對(duì)被刪除文件采用回溯遞推方法尋找數(shù)據(jù)鏈并進(jìn)行數(shù)據(jù)塊的反向恢復(fù)。

通過(guò)圖2了解到，對(duì)于NTFS分區(qū)，主要由主文件表MFT來(lái)管理數(shù)據(jù)。在對(duì)NTFS文件系統(tǒng)下執(zhí)行刪除文件操作或者格式化文件的時(shí)候，操作系統(tǒng)則只是將文件頭部中的數(shù)據(jù)屬性體DATARUNS中的16-17H處標(biāo)志字節(jié)設(shè)置為00/02H，還有其他微小的變化，如日志序列號(hào)發(fā)生變化（增1，使用次數(shù)發(fā)生變化），而對(duì)文件的其他如基本屬性10屬性、文件名30屬性沒(méi)有其他任何操作；對(duì)于正在運(yùn)行的文件，則釋放該文件所占用的空間，不改變?cè)撐募加脭?shù)據(jù)區(qū)的數(shù)據(jù)，只將運(yùn)行所占用的簇信息在文件$Bitmap中所相對(duì)應(yīng)的位置處設(shè)置為0［5］操作。因此針對(duì)它的恢復(fù)軟件只要修改屬性體DATARUNS中的標(biāo)志字節(jié)，即可恢復(fù)數(shù)據(jù)了。

3 結(jié)語(yǔ)

當(dāng)前信息的爆炸式增長(zhǎng)，針對(duì)數(shù)據(jù)的丟失和破壞現(xiàn)象愈演愈烈，如何保護(hù)好重要數(shù)據(jù)信息，在數(shù)據(jù)被破壞或丟失的情況下，怎們盡可能的挽救回這些信息，將是長(zhǎng)期而艱巨的話題。

本文簡(jiǎn)單介紹了文件系統(tǒng)被刪除數(shù)據(jù)恢復(fù)相關(guān)理論知識(shí)，并相應(yīng)地介紹了針對(duì)刪除操作引起的數(shù)據(jù)丟失所需要進(jìn)行的恢復(fù)步驟，但是用戶的計(jì)算機(jī)系統(tǒng)發(fā)生重要數(shù)據(jù)被損壞或丟失的情況不只誤刪除一種，所以數(shù)據(jù)恢復(fù)的研究范圍十分廣泛，而如何實(shí)現(xiàn)不同數(shù)據(jù)丟失情形下的最大化恢復(fù)則成為當(dāng)前研究的主要問(wèn)題，因此對(duì)于數(shù)據(jù)恢復(fù)技術(shù)需要更進(jìn)一步地研究與探討。

［1］ 劉偉.數(shù)據(jù)恢復(fù)技術(shù)深度揭秘［M］.北京：電子工業(yè)出版社，2010.

［2］ 馬國(guó)富,馬勝利,王子賢,等.數(shù)據(jù)恢復(fù)在電子數(shù)據(jù)取證與司法鑒定中的應(yīng)用［J］.河北大學(xué)學(xué)報(bào)（自然科學(xué)版）,2015, 35(5):538-545

［3］ 傅祿,霍永.電子物證中數(shù)據(jù)恢復(fù)技術(shù)淺析［J］.電腦編程技巧與維護(hù).2016，46-47.

［4］ 王強(qiáng).Windows平臺(tái)下磁盤(pán)數(shù)據(jù)恢復(fù)技術(shù)的研究與實(shí)現(xiàn)［D］.四川：四川師范大學(xué)，2008.

［5］ 趙雙峰，費(fèi)金龍，劉楠，武東英.Windows NTFS下數(shù)據(jù)恢復(fù)的研究與實(shí)現(xiàn)［J］.計(jì)算機(jī)工程與設(shè)計(jì),2008,(29):306-308.

TP29

甘肅省科技支撐計(jì)劃項(xiàng)目編號(hào)：1504FKCA039。