基于文件系统数据结构互补的NTFS引导扇区智能修复系统
数据恢复技术：期末试卷答案
在分区表中，操作系统的（）即DBR。
得分/总分A.文件分配表B.文件目录表0.00/2.00C.引导扇区D.主引导记录正确答案：C你错选为B2单选(2分)分区表中，（）指的是PBP。
得分/总分A.BIOS参数块B.硬盘参数块C.系统参数块0.00/2.00D.分区参数块正确答案：A你错选为C3单选(2分)操作系统保留用作（）的扇区数是保留扇区数。
得分/总分A.引导系统B.运行程序0.00/2.00C.检测分区表D.正确答案：A你错选为B4单选(2分)通常情况下Windows操作系统一般有（）个保留扇区。
得分/总分A.256B.32C.128D.640.00/2.00正确答案：B你错选为D5单选(2分)一般情况下，系统隐含扇区通常为（）个。
得分/总分A.127B.31C.255D.632.00/2.00正确答案：D你选对了6单选(2分)在FAT文件系统中MBR分区表有（）个隐含扇区参数。
得分/总分A.30.00/2.00B.1C.D.2正确答案：B你错选为A7单选(2分)在分区表中（）为DBR的结束标志。
得分/总分A.55AAB.22110.00/2.00C.7943D.2233正确答案：A你错选为B8单选(2分)在DBR中，（）参数块里保存着操作系统管理分区文件所需的重要参数。
得分/总分A.BOOTB.BIOSC.EBOOT0.00/2.00D.SUB正确答案：B你错选为C9单选(2分)在分区结构中，（）和DBR占用相同大小的存储空间。
得分/总分A.MBR2.00/2.00B.FATFDTD.BOOT正确答案：A你选对了10单选(2分)在数据恢复知识当中（）是Setup的中文名。
得分/总分A.安装B.读取0.00/2.00C.卸载D.存储正确答案：A你错选为B11单选(2分)在分区表中（）和DBR的结束标志都是55AA。
得分/总分A.FATB.MBR2.00/2.00C.BOOTD.FDT正确答案：B你选对了12单选(2分)在FAT文件系统中，MRB是由（）创建的。
(完整word版)数据恢复试卷
HNKJ/C4/0701-16海南科技职业学院数据恢复期中试卷一、选择题（共15题，每题2分，共30分）1．磁盘的磁面是由很多半径不同的同心圆构成，这些同心圆称为____B_____。
A．扇区 B．磁道C．磁心D．以上都不对2．磁盘的基本存贮单位是_____D____。
A．位B．字节C．扇区D．簇3．磁盘一个扇区的容量为___C______。
A．128B B．256BC．512B D．1024B4．Easy Recover软件主要的用途是_____A____。
A．数据恢复 B．磁盘镜像C．DBR恢复D．MBR恢复5．用户的需求如下：每星期一需要正常备份，在一周的其他天内只希望备份从上一天到目前为止发生变化的文件和文件夹，他应该选择的备份类型是___B______。
A．增量备份B．正常备份C．副本备份D．差异备份6．Recovery Genius软件的主要作用是___A______。
A．虚拟还原工具B．硬盘保护卡C．系统保护D．杀毒7．收藏夹的目录名称为______A__。
A．temp B．FavoritesC．Windows D．MyDocuments8．文档资料一般存放目录为C盘下的___A______目录下A．MyDocuments B．WindowsC．Windows\system32 D．temp9．磁盘是____D_____设备。
A．输入设备 B．输出设备C．I/O设备 D．存储设备10．一般来说，在下列存储芯片中，速度最快的是____D_____。
A．ROM B．CMOSRAMC．DRAM D．SRAM11．目前使用的硬盘是采用_____D____技术制造的。
A．冯诺依曼B．英特尔C．智能接口D．温彻斯特12．硬盘的磁头通过______A___的变化来读取数据。
A．磁盘轨迹大小B．磁片的轨迹C．旋转速度D．感应盘片上磁场第 2 页共4 页13．以下不是硬盘接口的选项是_____D____。
NTFS数恢复透明解析
基于NTFS下数据恢复技术研究第一章前言随着社会发展和进步，大家每个人的数据资源都在日复一日的膨胀着，而硬盘作为数据存储中心，其高精密的结构和高度的使用频率，在复杂的应用环境中，故障发生率也在与日俱增。
几乎每个计算机使用者都会遇到一些数据损坏或丢失的事情，而随着各种应用软件、操作系统、病毒木马等各种因素的增加，数据丢失和损坏的程度也在逐渐变的严重。
一旦重要的数据丢失，其所带来的直接和间接的损失都是很惊人的，而通常大家在费尽心思到处找解决方法的同时，也进一步彻底摧毁了这些数据恢复的可能性。
NTFS是随着Windows NT操作系统而产生的，全称为“NT File System”，中文意为NT文件系统，如今已是windows类操作系统中的主力分区格式了。
它的优点是安全性和稳定性极其出色，在使用中不易产生文件碎片，NTFS分区对用户权限作出了非常严格的限制，每个用户都只能按着系统赋予的权限进行操作，任何试图越权的操作都将被系统禁止，同时它还提供了容错结构日志，可以将用户的操作全部记录下来，从而保护了系统的安全。
本文主要论述的就是NTFS在系统崩溃或磁盘出现故障后如何安全的恢复文件系统。
NTFS是一个具备错误预警的文件系统。
由于NTFS对关键文件系统的系统信息采用了冗余存储，故而当磁盘上的某个扇区损坏时，NTFS仍可以访问卷上的关键数据。
NTFS分区的最开始的16个扇区是分区引导扇区，用以保存分区引导代码，接下来是主文件表(MFT)，如果MFT所在的磁盘扇区出现损坏，NTFS文件系统会将MFT转移到到硬盘的其他扇区，这样就保证了NTFS文件系统和Windows操作系统的正常运行。
比之先前的FAT16和FAT32文件系统的FAT(文件分配表)，FAT只能固定在分区引导扇区的后面，一旦该扇区，整个文件系统就会瘫痪，NTFS文件系统显然要先进的多了。
不过这种移动MFT的做法却也并非十全十美，如果分区引导代码中指向MFT的部分出现错误，那么NTFS文件系统便会不知道到哪里寻找MFT ，从而会报告“磁盘没有格式化”这样的错误信息。
NTFS文件系统中用WinHex手动恢复文件的研究
NTFS文件系统中用WinHex手动恢复文件的研究【摘要】本文探讨了在NTFS文件系统中使用WinHex手动恢复文件的研究。
在介绍了研究背景、研究意义和研究目的。
接着在分别介绍了NTFS文件系统的概述、WinHex工具的介绍、文件删除与恢复原理、以及WinHex手动恢复文件的具体步骤。
在实验结果分析中，对实验数据进行了详细讨论。
结论部分总结了在NTFS文件系统中使用WinHex手动恢复文件的重要性，并展望了未来的研究方向。
本文的研究对于数据恢复领域具有一定的参考价值，有助于提高文件恢复的效率和准确性。
【关键词】NTFS文件系统、WinHex、文件恢复、手动恢复、实验结果分析、重要性、研究展望、结论总结。
1. 引言1.1 研究背景NTFS文件系统是Windows操作系统中常用的文件系统，它具有高效的磁盘空间管理和数据安全性保护等特点。
由于各种原因，用户在使用电脑时难免会误删文件或者遭遇文件丢失的情况。
在这种情况下，恢复被删除文件就显得尤为重要。
WinHex是一款功能强大的磁盘编辑工具，它支持NTFS文件系统的文件恢复操作。
通过使用WinHex，用户可以手动恢复被删除的文件，即使这些文件已经被删除或者文件表已经被覆盖。
研究如何在NTFS文件系统中利用WinHex手动恢复文件具有重要的实际意义。
本研究旨在探讨NTFS文件系统中使用WinHex手动恢复文件的方法和步骤，通过实验验证恢复效果，并对实验结果进行分析和总结。
通过这一研究，可以更好地了解NTFS文件系统中文件恢复的原理和方法，为用户提供更可靠的文件恢复解决方案，进一步提升数据的安全性和可靠性。
1.2 研究意义在当今数字化信息时代，文件丢失或损坏对个人和组织都可能造成严重的影响。
而NTFS文件系统作为Windows操作系统中常用的文件系统之一，其对文件的管理和存储有着独特的特点。
探究在NTFS文件系统中采用WinHex工具手动恢复文件的方法和技巧，对于提高文件恢复的效率和成功率具有重要的意义。
h-efs recover 使用经验
1. 介绍h-efs recover概念h-efs recover是一种用于数据恢复的专业软件，它可以帮助用户从硬盘、闪存、固态硬盘等存储介质中恢复被意外删除、格式化、损坏、病毒感染等原因导致的数据丢失情况。
2. h-efs recover的特点和优势a. 支持多种存储介质：h-efs recover可以对硬盘、U盘、SD卡、固态硬盘等多种存储介质进行数据恢复。
b. 多种数据丢失情况：无论是意外删除、格式化、病毒感染还是硬件损坏，h-efs recover都能够应对。
c. 灵活的恢复方式：用户可以选择快速扫描或者深度扫描来恢复数据，还可以针对具体文件类型进行恢复。
d. 用户友好的操作界面：h-efs recover的操作界面简洁直观，即使是没有专业技术背景的用户也可以轻松上手。
3. 如何使用h-efs recovera. 下载安装：用户需要先从冠方全球信息站下载h-efs recover的安装程序，然后按照提示进行安装。
b. 打开软件：安装完成后，双击桌面图标或者在开始菜单中找到h-efs recover并运行。
c. 选择存储介质：在软件界面中，用户需要选择出现数据丢失情况的存储介质，比如硬盘或者U盘等。
d. 选择恢复方式：根据具体情况，用户可以选择快速扫描或者深度扫描，并可以设定文件类型过滤。
e. 开始恢复：点击“开始恢复”按钮后，h-efs recover会开始扫描选定的存储介质，并列出可恢复的文件列表。
f. 保存恢复数据：用户可以预览扫描结果，选择需要恢复的文件，并设定保存位置，最后点击“恢复”按钮完成操作。
4. 如何最大化h-efs recover的效果a. 尽早操作：一旦发现数据丢失情况，用户应当立即停止使用相关存储介质，以免覆盖已经被删除的数据。
b. 确保存储介质畅通：h-efs recover在恢复数据时需要对存储介质进行读取，因此如果存储介质出现物理损坏，恢复效果可能会受到影响。
关于NTFS文件系统的几个问题
关于ＮＴＦＳ文件系统的几个问题作者：张博陈瑜来源：《硅谷》2009年第18期[摘要]在计算机维护过程中,经常会将硬盘分区格式化。
针对目前的操作系统,要求格式成NTFS。
然而在实际使用中,主要会遇到FAT32与NTFS的相互转换以及丢失或删除文件的回复等问题。
所以针对NTFS文件系统所提出得相应问题做好解释,最终的目的是为了实现系统的安全性。
[关键词]NTFS FAT32 磁盘管理簇转换属性中图分类号:TP3文献标识码:A文章编号:1671-7597(2009)0920062-02一、什么是NTFSNTFS(New Technology File System)是Windows NT操作环境和Windows NT高级服务器网络操作系统环境的文件系统,目前最常见的三种文件系统有:FAT16、FAT32和NTFS。
(一)FATFAT(File Allocation Table)是“文件分配表”。
其意义在于对硬盘分区的管理。
Windows 98开始使用FAT32文件系统。
FAT32使用较小的簇,可以支持大到2TB的分区。
FAT32尽可能不改动现有的Windows体系结构、内部数据结构、应用程序编程接口(API)和磁盘上的格式。
然而,因为现在需要4字节来存储簇值,所以许多内部的和磁盘上的数据结构以及发布的API都作了修改或扩展。
现有工具和驱动程序在FAT32驱动器上应能够继续正常运行。
但是,MS-DOS块设备驱动程序和磁盘工具需要经过修改才能支持FAT32驱动器。
(二)NTFSNTFS是Windows NT内核的系列操作系统支持的、一个特别为网络和磁盘配额、文件加密等管理安全特性设计的磁盘格式,提供长文件名、数据保护和恢复,能通过目录和文件许可实现安全性,并支持跨越分区。
NTFS文件系统所具备3个功能:错误预警功能、磁盘自我修复功能和日志功能:错误预警功能:在NTFS分区中,如果MFT所在的磁盘扇区恰好出现损坏,NTFS文件系统会比较智能地将MFT换到硬盘的其他扇区,保证了文件系统的正常使用,也就是保证了系统的正常运行。
NTFS文件结构
一、NTFS系统结构NTFS是Windows NT引入的新型文件系统，如果您是一位熟悉FAT磁盘格式的专业人士，您可能会觉得NTFS系统的思想蹩脚而晦涩，如果您对FAT格式一无所知，那么恭喜您，您会更快的了解这种更有效率的磁盘格式。
NTFS的结构复杂，内容繁多，笔者仅对NTFS卷上的底层结构做分析，并提供卷上数据删除的特征状态供大家参考。
现在，我们首先来建立了解NTFS需要的基本概念。
1.0基本结构及基本概念在NTFS中，文件以簇的形式分配。
最小的单位为扇区，N个扇区为一簇。
其中，N的值可以通过BPB（引导扇区）读出（以下会详细介绍）。
1.0.1卷与簇卷大小（分区大小）每簇的扇区缺省的簇大小小于等于512MB 1 512字节513MB~1024MB(1GB) 2 1024字节(1KB)1025MB~2048MB(2GB) 4 2048字节(2KB)大于等于2049MB 8 4KB表1 卷与簇的关系从上面可以看出，也就是说不管驱动器多大NTFS簇的大小不会超过4KB。
1.0.2 NTFS的基本数据结构NTFS的数据大体上可分为4个部分（1） Partition boot sector（引导扇区，又称BPB），此部分为所有磁盘格式都共有，占用一个扇区，但是具体的内容当然各不相同（见表3）。
（2） Master File Table（主文件列表，MFT），它是对卷上所有文件的记录，每一个文件对应一个记录项，理论上占用该卷12％的空间。
（3） System files（系统文件），NTFS系统一共有16个系统文件，和8个保留文件。
（4） File area（数据区），留给用户的空间。
Partition boot sector引导扇区 Master File Table主文件列表 System files系统文件 File area用户文件区（数据区）表2 NTFS的磁盘分配情况1.0.3 NTFS中关于目录的说明NTFS中目录也是以文件的形式存在的。
手工修复NTFS文件系统的 DBR
NTFS分析的DBR和备份DBR都被破坏的修复。
1、修复思路：我们可以把一个正常的NTFS分区的正常DBR拷贝到0号扇区，然后在对其中的参数进行修改。
1、我们需要修改的参数也就是:每簇扇区数——在DBR的偏移地址（0x0D）8扇区总数——在DBR的偏移地址（0x28——0x2F）$MFT起始簇号——在DBR的偏移地址（0x30——0x37）$MFTMirr起始簇号——在DBR的偏移地址（0x38——0x3F）好的我们分别来找这几个参数。
1 搜索$MFTMirr的起始扇区，因为$MFTMirr一般处于卷的中间位置。
所以找起来比较方便。
我们先转到卷的中间偏上一些位置。
这里就是305172/2=152586.我们就转到152586扇区吧。
这里全是零。
好的我们下面开始搜索$MFTMirr的开始标志46494C45很快在152648号扇区找到了$MFTMirr。
在查找$MFTMirr时。
你可以在卷的中间位置上下查找。
好的我们已经找到了$MFTMirr。
下面我们就来分析它。
我们都知道$MFTMirr是$MFT的前几个记录项的备份。
第一个备份当然就是备份的$MFT本身了。
要重构DBR我们需要在$MFT中找到80属性。
就是$MFT的数据属性。
具体的分析我在前面的教程都讲过了。
我们看到它的起始VCN是00 00 00 00 00 00 00 00 结束VCN是5F 00 00 00 00 00 00 00 。
那么所占的簇数为96个簇。
我们有看到分配给它的空间是00 C0 00 00 00 00 00 00 也就是49152个字节，把它化为扇区：49152/512=96（扇区）。
它的运行处也表明了它占用96个簇。
96个扇区刚好分给它96个簇，96（扇区）/96（簇）=1扇区/簇。
这里我们的一个参数已经出来了。
就是每簇扇区数为1个。
还有$MFTMirr起始扇区数是152648号扇区，换算成簇也就是152648号簇。
（还可以去看$MFTMirr的MFT记录项的数据运行）好的。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
第２次 国 算 安 学 交 会 ｉ ６ 全 计 机 全 术 流 ‘篷 ／２１第 ９ 目 ０年 ０ １ 期
Ｉ ｏ： ０３ ６ ／ｉｓ ６ １１ ２ ０ １０ ．６ ｌ ｄ ｉ １ ９ ９ ｎ１ ７ —１ ２ ２ １ ．９０ １ ｌ ｊｓ
基 于文件 系统数据 结构 互补的 ＮＴ Ｓ引导扇 区智能修复 系统 Ｆ
ｂ ｓｄｓ ｒ ｅｅｃｙ ｔ ｎ ａ ｅ ｔＮＦ Ａ） ｏ ｉ ｘ ｓｒ ｉ ｔｉ ｐ ｐ ｒｉ ｒｅ ａ ｚ ｅｆｃ ｔａ ａｌ ｌ ｄ ｔ ａｅ ｏａ ｎ ｒｐｉ ｎ （ Ｓ ｆｒ ｎ ｅｓ ｎ ｈｓ ａ ｅ，ｎｏｄ ｒ ｏｒ ｌ ｅｔ ｔ ｈ ｔ ｌｆ ｅ ａ ｔ ｇ ｏ ｇ Ｌ ｕ ｕ ｔ ｅｉ ｈ ａ ａ ｉ
ＧＡＯ ｈ — ｅ ｇ Ｗ Ｕ ｈ — ｉｎ ， Ｚ ｉ ｎ ， ｐ Ｓ ｉｘ ｏ ｇ ＸＵ ｉ ｉｎ Ｚｈ — ａ ｇ ｑ （ ｉ ｅ Ｍｅ ａ ｉ ｎ ｒ ａｉ ｏ Ｘａ ｅ，ｕｉ ６０ ８ ｈｎ ） Ｘａ ｎ ｉ Ｐｃ ｆ ｍ ｔ ｎＣ ． 碰，ｉ ｎ ｊａ ３ １０， ｉ ｍ ｙ ｏＩ ｏ ｏ ， ｍ Ｆ ｎ ｃ ａ Ａｂ ｔ ｃ： ａｅ ｎ ａ ａ ｚ ｇｔｅ Ｆ Ｎ ｔ ｒ ｉ ｙ ｔ ｐ ｏ ｃ ｌｗ ｅ ｉ ｎ ｐｅ ｎ ａＮ Ｓ ｓｒ ｔ Ｂ ｓｄｏ ｎ ｌ ｉ Ｓ（ ｅ ａ ｙｎ ｈ Ｎ ｗｏｋＦｌ Ｓ ｓ ｍ） ｒｔ ｏ ｅｄ ｓ ｎａ ｄｉ ｌ ｅ ｅ ｏ ， ｇ ｍ ｍｅ ｔ Ｆ —
Ｋｅ ｒ ｓ ｙｗｏ ｄ ：ＮＦ Ａ； Ｓｐｏｏ ｏ； ｎ ｒｐ ｉｎｓ ｒｇ ；ｅｕ ｉ ａｉｇ Ｓ ＮＦ ｒｔｃ ｌｅ ｃｙ ｔ ｔ ａ ｅ ｓｃ ｒ ｓ ｒ ｏ ｏ ｙ ｔ ｈ ｎ
０引言
ＮＦ Ｔ Ｓ引导扇 区修复是国际数据恢 复与计算机 取证行业备受关 注的研 究领域 。ＮＴ Ｓ引导扇区位于分 区的第一个扇区，它易 Ｆ 损坏且故 障繁多，它 的脆弱性不仅体现在容易被 病毒感染 ，成为 “ 入侵者 ”的栖身之所，更 因为有关它的任何故障都能带来一场
相关 分区的数据灾难，造成 巨大损失。要提取受损 Ｎ Ｆ Ｔ Ｓ引导扇区分 区内的数据 ，只有两种方法 ： 第一种方法 、通过对主控文件
表 的分析，利用 ８ Ｈ属性中的 “ ０ 簇流项 ”依次定位文件碎片位 置进行定位 ，然后根 据计算来 的文件碎片大小提取碎片，最 后再 组 合成完 整文件。该 方法的优点 ： 完全抛 开引导扇 区的作用，可以完整准确地提取任何在 主控文件表中有记录的文件 ； 缺点 ： 速度 太慢 ，一次只能 提取一个文件 。如果待恢复 文件量大 ，则要耗费极大量时间，是不 可忍受的。第二种方法 ： 每个 Ｎ Ｆ Ｔ Ｓ引导扇区 都 有一个备 份镜像 ，存在于分 区的最后一个扇区，它 的作用就是在引导扇区出现错误时起到顶替 引导扇区的作用。因此 ，如果将 此备 份镜像粘 贴覆盖 至受损 引导扇区的位置 ，就可以排 除故障。优点 ：速度快 ，只需一 个步骤 即可完成 。缺点 ：以前该 方法很
Ｉ ｅｌ ｅ ｔＲｅ ｉ ｙ ｔ ｍ ｏ ｎｔｌｇ ｎ ｐａｒＳ ｓｅ ｆ ｒＮＴＦＳＢｏ ｔＳ ｃｏ ｓ ｄｏ ｉ ｏ ｅ ｔ ｒＢａ ｅ ｎ Ｃｏ ｐ ｅ ｅ ｔ ｒ ｔ ｕ ｔ ｒ ｆ ｌ ｙ ｔｍ ｍ ｌｍ ｎ ａ ｙＳ ｒ ｃ ｕ ｅｏ ｅＳ ｓｅ Ｆｉ
还 能根 据故 障判 断 结果 自动修 复 故障 。相 比 同类 系统 ，该 系统不仅 智 能化程 度 更 高 ， 复 速度 也大 幅提 升 ， 修
为广 大数据 丢 失者 节约 了宝贵精 力和 时 间。 关 键词 ：数 据恢 复 ； 电子取证 ；数 据修 复 ；引导扇 区
中图分类号 ：Ｔ ３ ３ ８ 文献标识码 ：Ａ 文章编号：１７ — １２（ ０ １ ０ — １７ ０ Ｐ ９． ０ ６ １ １２ ２ １ ） ９ ０ ９ — ４
ｉ ｅｄ ｔ ｔｒ ｄ ｎｅ ｆｌ ａａｓｏ ｅ ｉ ｔ ｏ ｋ ｓｏ ａ ｅｄｅ ｃ ｓ Ｆｉａ ｌ， ｎ ｗ ｒ ｔｒ ｇ ｖｉｅ ． ｎ ｌｙ ＮＦＳ ｉ ｒ ｅ ｏｂ ｆｅ ｔ ｎｄｅ ｃ ｅ ｙ ｅ ｅ ｉ ｅ ｓ Ａ ｓｐ ｏｖ ｄｔ ｅｅ ｃｉ ａ ｆ ｉｎｔ ｘｐ ｒｍ ｎｔ． ｖｅ ｉ ｂ
ｎ ｔ ａ ｎ ｈ ｒ ｒ ｃ ｅ ｓｃ ｎｒ ｌｍ ｃ ａ ｓ ａ ｄ ｓｏｒｇｅａ ｄ ｔ ｅ ｅａ ｅａ ｃ ｓ ｏ ｔｏ ｅ ｈ ｎｉｍ ，ｗｈ ｃ ｓｃ ｍｐｏ ｅ ｅ ｒ ｌｄｉ ｅ ｅ ｔａ ｃ ｓ ｏ ｔｏｌ ｕｅ ， ｉｈ ｉ ｏ ｓ ｄ ｏｆｓｖｅａ ｆ ｒ ｎ ｃ ｅ ｓｃ ｎｒ ｌｓ ｒ
ａ ｄｓｃｒｔ ｕ ｉｍｅｈ ｎｓ ｉ Ｓ ｗｈｃ ｄ ｐｓｐｉｉ ｇ ｅ ａａｉｎｍｅ ｏ ，ｎｏｄ ｒｔ ｎ ｕｅｓｃｒｔ ｆ ｎ ｅｕｉ ａ ｄｔ ｃ ａ ｉｍ ＮＦ Ａ， ｉｈａ ｏ ｔ ｒｖｌ ｅｓｐ ｒｔ ｔ ｄ ｉ ｒｅ ｏｅ ｓｒ ｅｕ ｉ ｏ ｙ ｎ ｅ ｏ ｈ ｙ
高志 鹏 ，吴 世雄 ，徐 志 强
（ 门市美亚柏科信 息股份有 限公 司 ，福 建厦 门 ３ １ ０ 厦 ６ ０ ８）
摘 要 ：近 年 来对 ＮＴ Ｓ引导扇 区的研 究越 来越 受到数 据 恢复 、计 算机 取 证从 业人 员的重 视 ，一 个重 Ｆ 要 原 因是 因为 ＮＴ Ｓ引导扇 区故 障在 数据 故 障 中占有 率居 高不 下 ，许 多文 献报 告 了 ＮＴ Ｓ引导 扇 区 易被 病 Ｆ Ｆ 毒感 染 的特 性 。然 而 ，对 ＮＴ Ｓ引导 扇 区 出现 实质性 损 坏后 的补 救 与修 复研 究 却停 滞 不前 。文 章通 过 分析 Ｆ 引导扇区相关的文件 系统参数 ，采用借鉴 、填补的方法 ， 在其它文件 系统参数 中寻找有用信息，搜寻范围 包括 引导 扇 区备 份 、 主控 文件 表 、 区表 。文 章提 出的修 复 系统 不仅 可 以快速 准 确判 断 ＮＴ Ｓ引导扇 区故 障 ， 分 Ｆ