硬盘“空间”与“文件大小”
电子数据取证笔试试卷2 1
精品文档电子数据取证试题说明：考试时间100分钟，满分100分，答案写在答题纸上。
一、单选题（共10题，每题2分，共计20分）1.硬盘作为最常见的计算机存储介质，近几年从容量到性能都有了很大的提高，以下哪种硬盘的理论传输速率最慢？A.SCSIB.IDEC.SASD.SATA2.以下哪种规格是市场上最常见的笔记本硬盘？C.2.5英寸英寸B.A.3.5英寸 1.8D.1英寸3.以下哪种规格不是SCSI硬盘的针脚数？B.68C.72D.A.50 804.下列哪种接口的存储设备是不支持热插拔的？B. E-SATA接口C.SATA接口D.IDE接口 B接口5.下列哪个选项是无法计算哈希值的？B.分区C.文件D.A.硬盘文件夹6.下列文件系统中，哪个是Windows 7系统不支持的？A.exFatB.NTFSC.HFSD.FAT327.下列有关文件的各类时间属性，操作系统是一定不记录的？B.修改时间C.A.创建时间访问时间D.删除时间8.下列哪种不是常见的司法取证中的硬盘镜像格式？A.GhoB.AFFC.S01D.0019.系统日志中某些内容可能对取证有重要意义，比如“事件日志服务启动”通常被视为计算机开机的标志，该事件所对应的事件编号为：A.5005B.5006C.6005D.600610.Encase Forensic是业界文明的司法取证软件，它是下面哪家公司开发的？D.C.A.Guidance B.GetDataAccessDataPanSafe二、多选题（共10题，每题3分，共计30分）1.通常Windows系统中涉及文件的3个时间属性，M代表Modify，表示最后修改时间；A代表Access，表示最后访问时间；C代表Create，表示创建时间；下列解释错误的是？A．M始终要晚于CB．M、A、C在Linux系统中也适用C．M、A、C时间是不能被任何工具修改的，因此是可信的精品文档．精品文档D．文件的M、A、C时间一旦发生变化，文件的哈希值随之改变2.下列关于对位复制的说法中，不正确的是？A．为了确保目标盘与源盘的一致性，一定要找到与源盘品牌、型号、容量均一致的目标盘进行复制B．为了确保司法取证的有效性，一定要验证目标盘与源盘哈希值的一致性C．为了确保目标盘与源盘的一致性，目标盘的硬盘接口一定要与源盘一致D．当目标盘容量大于源盘时，一定要计算目标盘整盘的哈希值，用于与源盘的哈希值进行比对一致性3.下列关于现场勘验过操作的说法中，不正确的是？A．DD文件是最常用的镜像格式，因为该格式是原始镜像，而且支持高压缩。
硬盘存放的文件大小与属性显示硬盘剩余容量不符
硬盘存放的文件大小与属性显示硬盘剩余容量不符鼠标右键点击“我的电脑”，选择“属性”，弹出系统属性窗口，选择“高级”标签，点击“性能”下面“设置”按钮，选择“高级”标签，点击弹出虚拟内存更改窗口，点击C盘，选择“无分页文件”，点击“设置”，接下来“驱动器”选较大剩余空间的分区，然后选择“自定义大小”，在“最小值”和“最大值”文本框中输入合适的范围值，点击“设置”。
最后一顿确定系统重新启动就可以了1.打开‚我的电脑‛－‚工具‛－‚文件夹选项‛－‚查看‛－在‚显示所有文件和文件夹‛选项前打勾－‚确定‛2.删除以下文件夹中的内容：x:\Documents and Settings\用户名\Cookies\下的所有文件（保留index文件）x:\Documents and Settings\用户名\Local Settings\Temp\下的所有文件（用户临时文件）x:\Documents and Settings\用户名\LocalSettings\TemporaryInternet Files\下的所有文件（页面文件）x:\Documents and Settings\用户名\Local Settings\History\下的所有文件（历史纪录）x:\Documents and Settings\用户名\Recent\下的所有文件（最近浏览文件的快捷方式）x:\WINDOWS\Temp\下的所有文件（临时文件）x:\WINDOWS\ServicePackFiles（升级sp1或sp2后的备份文件）x:\WINDOWS\Driver Cache\i386下的压缩文件(驱动程序的备份文件)x:\WINDOWS\SoftwareDistribution\download下的所有文件3.如果对系统进行过windoes updade升级，则删除以下文件： x:\windows\下以 $u... 开头的隐藏文件4.然后对磁盘进行碎片整理，整理过程中请退出一切正在运行的程序5.碎片整理后打开‚开始‛－‚程序‛－‚附件‛－‚系统工具‛－‚系统还原‛－‚创建一个还原点‛（最好以当时的日期作为还原点的名字）6.打开‚我的电脑‛－右键点系统盘－‚属性‛－‚磁盘清理‛－‚其他选项‛－单击系统还原一栏里的‚清理‛－选择‚是‛－ok了7、在各种软硬件安装妥当之后，其实XP需要更新文件的时候就很少了。
字节位的关系
字节位的关系1. 字节与位的关系字节是计算机存储容量的基本单位，位是计算机信息的最小单位。
在计算机系统中，一个字节由8个位组成。
每个位可以表示0或1两种状态，因此一个字节可以表示256种不同的状态。
2. 字节与存储容量的关系计算机存储容量通常以字节为单位进行衡量。
1个字节可以存储8个位的信息，即8个0或1，或者256种状态。
根据这个关系，可以进一步计算出其他存储容量单位与字节之间的换算关系。
3. 字节与文件大小的关系计算机文件的大小通常以字节为单位进行表示。
一个字节可以存储8个位的信息，因此一个字节可以表示一个字符（如英文字母或数字）。
根据文件的大小，可以判断文件所占用的存储空间大小。
4. 字节与网络传输速率的关系在网络传输中，常常用字节来表示数据的传输速率。
比如，1字节/秒表示每秒传输1个字节的数据。
根据字节与位的关系，可以进一步计算出字节与比特之间的换算关系。
5. 字节与计算机指令的关系在计算机系统中，计算机指令通常以字节的形式存储和执行。
每条指令由若干字节组成，每个字节存储着不同的指令信息。
计算机通过解析字节指令来执行相应的操作。
6. 字节与编程语言的关系在编程语言中，常常使用字节作为内存分配的基本单位。
程序中的变量、数据结构等都会占用一定的字节空间。
程序员可以根据需求来分配不同大小的字节空间。
7. 字节与图像的关系在图像处理中，图像的每个像素点通常由若干字节表示。
字节的不同取值可以表示不同的颜色或灰度值。
通过对字节的处理和组合，可以实现图像的编辑、压缩等操作。
8. 字节与音频的关系在音频处理中，音频数据通常以字节的形式存储和传输。
每个字节表示音频的一个采样点，通过对多个字节的组合可以还原出完整的音频信号。
9. 字节与视频的关系在视频处理中，视频数据通常以字节的形式存储和传输。
每个字节表示视频的一个像素点的颜色或亮度信息。
通过对多个字节的组合可以还原出完整的视频画面。
10. 字节与存储器的关系在计算机的内存中，数据通常以字节的形式存储。
监控录像(视频)文件大小计算
监控录像（视频）文件大小计算视频监控系统的前端摄像机分辨率从初的CIF，一直发展到现在的4K，存储和带宽成本不断攀升。
视频编码技术也不断发生变化，同样图像质量下，H.265的码率只有H.264的一半，说明使用H.265编码的录像文件大小为H.264的一半。
那在监控系统中怎么算视频文件的大小及录像硬盘需要容量？1.文件大小计算公式文件大小= 时长×码率÷8或者(音频码率+视频码率)÷8×时长（说明：文件大小单位为kB，码率的单位为Kb /s，时长单位为秒。
）1.1码流码流（Data Rate，也叫码率）是指视频文件在单位时间内使用的数据流量（即：每秒传送的比特数（bit）），是视频编码中画面质量控制中最重要的部分，一般我们用的单位是Kb/s或者Mb/s。
一般来说同样分辨率下，视频文件的码流越大，压缩比就越小，画面质量就越高。
码流越大，说明单位时间内取样率越大，数据流，精度就越高，处理出来的文件就越接近原始文件，图像质量越好，画质越清晰，要求播放设备的解码能力也越高。
常见的录像文件格式的码流：QCIF 256kbPS，CIF 512kbps，DCIF 768kbps，4CIF 1536KBPS，D12048kbps，720P 3096kbps，1080P 4096kbps。
1.2单个通道录像文件大小每小时单个通道录像文件大小（单位MB/小时）=码率大小×3600（1小时3600秒）÷8÷10242.分辨率视频分辨率是指视频成像产品所成图像的大小或尺寸。
常见的视像分辨率有352×288，176×144，640×480，1024×768。
在成像的两组数字中，前者为图片长度，后者为图片的宽度，两者相乘得出的是图片的像素，长宽比一般为4：3。
目前监控行业中主要使用Qcif(176×144）、CIF(352×288）、HALF D1(704×288）、D1(704×576）等几种分辨率。
c盘已用空间与所有文件总大小不符的解决方法
文章标题：C盘已用空间与所有文件总大小不符的解决方法一、问题现象C盘已用空间与所有文件总大小不符是一个比较常见的问题。
在日常使用电脑的过程中，很多人都会因为C盘空间不足而感到困扰，而在清理C盘的时候，却发现C盘的已用空间与所有文件总大小不符，这让人感到困惑和不解。
在面对这个问题时，应该如何解决呢？二、问题分析1. 系统文件和隐藏文件在C盘里，有一些系统文件和隐藏文件通常是不可见的，但它们占据了一定的磁盘空间。
在清理C盘空间的时候，这些文件并不会被计算在内，所以会导致C盘已用空间与实际文件大小不一致的情况。
2. 碎片整理在长时间使用电脑的过程中，硬盘里的文件会变得非常碎片化，这也会导致C盘已用空间与实际文件大小不一致。
即便通过清理文件来释放空间，但由于碎片化的存在，实际可用空间依然受到限制。
3. 恶意软件有时候，恶意软件会占用C盘空间，但并不会显示在文件夹中。
这也会导致C盘已用空间与实际文件大小不一致的情况。
三、解决方法1. 清理临时文件和垃圾文件可以通过清理临时文件和垃圾文件来释放一些空间。
这些文件通常会被存储在C盘中的Temp文件夹和Recycle Bin里。
在清理这些文件的也可以通过磁盘清理工具来进行系统自带的垃圾清理。
2. 查看系统和隐藏文件在文件夹选项中，勾选“显示隐藏文件和文件夹”，以及取消“隐藏受保护的操作系统文件”，可以看到一些系统和隐藏文件，如hiberfil.sys、pagefile.sys和System Volume Information等。
这些文件通常是不可见的，但却占据了一定的空间。
可以通过特定的方法来清理这些文件，从而释放更多空间。
3. 碎片整理使用Windows自带的磁盘碎片整理工具或者第三方的碎片整理软件，对C盘进行碎片整理。
这样可以将碎片化的文件整理成更加连续的存储空间，从而提高C盘可用空间。
4. 定期扫描病毒通过安装杀毒软件，对C盘进行定期的病毒扫描。
及时清理系统中的恶意软件，从而释放被占用的空间。
[Word]文件属性里的文件大小和占用空间容量为何不同？
![[Word]文件属性里的文件大小和占用空间容量为何不同？](https://img.taocdn.com/s3/m/f3589e2430126edb6f1aff00bed5b9f3f90f7236.png)
文件属性里的文件大小和占用空间容量为何不同？1.“文件大小”与“所占空间”的差别为了便于大家理解，我们先来看两个例子：例1：找到D盘上的Ersave2.dat文件，用鼠标右键单击该文件，选择“属性”，即可打开对话框，我们可以看到，Ersave2.dat的实际大小为655,628 Byte(字节)，但它所占用的空间却为688,128 Byte，两者整整相差了32KB。
例2：同样是该文件，如果将它复制到A盘，你会发现该文件实际大小和所占空间基本一致，同为640KB，但字节数稍有差别。
再将它复制到C盘，查看其属性后，你会惊奇地发现它的大小和所占空间的差别又不相同了！显然，在这三种情况中，文件的实际大小没有变化，但在不同的磁盘上它所占的空间却都有变化。
事实上，只要我们理解了文件在磁盘上的存储机制后，就不难理解上述的三种情况了。
文件的大小其实就是文件内容实际具有的字节数，它以Byte为衡量单位，只要文件内容和格式不发生变化，文件大小就不会发生变化。
但文件在磁盘上的所占空间却不是以Byte为衡量单位的，它最小的计量单位是“簇(Cluster)”。
小知识：什么是簇？文件系统是操作系统与驱动器之间的接口，当操作系统请求从硬盘里读取一个文件时，会请求相应的文件系统(FAT 16/32/NTFS)打开文件。
扇区是磁盘最小的物理存储单元，但由于操作系统无法对数目众多的扇区进行寻址，所以操作系统就将相邻的扇区组合在一起，形成一个簇，然后再对簇进行管理。
每个簇可以包括2、4、8、16、32或64个扇区。
显然，簇是操作系统所使用的逻辑概念，而非磁盘的物理特性。
为了更好地管理磁盘空间和更高效地从硬盘读取数据，操作系统规定一个簇中只能放置一个文件的内容，因此文件所占用的空间，只能是簇的整数倍；而如果文件实际大小小于一簇，它也要占一簇的空间。
所以，一般情况下文件所占空间要略大于文件的实际大小，只有在少数情况下，即文件的实际大小恰好是簇的整数倍时，文件的实际大小才会与所占空间完全一致。
硬盘扇区参数-概述说明以及解释
硬盘扇区参数-概述说明以及解释1.引言1.1 概述硬盘扇区作为计算机存储的基本单位，对于系统的性能和数据的安全起着至关重要的作用。
在计算机存储领域，硬盘扇区参数是指硬盘扇区的关键属性和特征，如扇区大小、扇区数量、数据传输速率等。
这些参数直接影响着硬盘的读写性能、数据存储容量以及系统的稳定性。
硬盘扇区的定义和作用是理解硬盘扇区参数的基础。
硬盘扇区通常以512字节为单位，它是硬盘上最小的可寻址单元。
每个扇区都有唯一的地址，可以通过该地址来读取或写入数据。
每个硬盘都有大量的扇区，这些扇区组成了硬盘的存储空间。
扇区的主要作用是在读写数据时提供一个最小的粒度，同时也有助于减少数据损坏和提高系统稳定性。
硬盘扇区的参数包括但不限于扇区大小、扇区数量、数据传输速率。
扇区大小是指每个扇区所能容纳的数据量，一般为512字节或4KB。
扇区数量表示硬盘上的总扇区数，它决定了硬盘的存储容量。
数据传输速率则决定了硬盘读写数据的效率，这是通过硬盘控制器和接口来实现的。
硬盘制造商通常会根据不同的需求和应用设计出具体的扇区参数，以满足不同用户的使用需求。
硬盘扇区参数的影响因素主要包括硬件设备、操作系统以及应用程序等。
首先，硬件设备的设计和性能直接影响着硬盘扇区参数的选择和实现。
例如，硬盘控制器的数据传输速率与硬盘扇区的读写速度密切相关。
其次，操作系统也对硬盘扇区参数有一定的要求和限制。
操作系统需要兼容硬盘的扇区参数，并能够正确地读写硬盘上的数据。
最后，应用程序的特性和需求也会影响对扇区参数的选择。
不同的应用场景对数据的读写要求不同，因此需要根据实际情况来配置合适的硬盘扇区参数。
综上所述，硬盘扇区参数是硬盘存储中的重要组成部分，其合理选择和配置对于系统的性能和数据的安全至关重要。
在选择合适的硬盘扇区参数时，需要综合考虑硬件设备、操作系统和应用程序的要求。
同时，随着技术的进步和发展，未来硬盘扇区参数可能会面临更多的挑战和变化，因此对硬盘扇区参数的不断研究和优化是必要的。
硬盘存储计算方法
硬盘存储计算方法首先，硬盘的存储空间一般以字节（byte）为单位进行计量。
一个字节等于8个比特（bit），而一个比特是计算机存储最小的单位，可以表示0或1的二进制数字。
硬盘存储空间的计算可以分为两个部分：格式化容量和可用容量。
格式化容量是指硬盘在出厂前被分割和格式化之后的容量。
这个容量包括硬盘使用的文件系统所占用的空间，以及用于备份和纠错等目的的保留空间。
格式化容量通常会小于硬盘标称的容量。
计算格式化容量的方法是将硬盘标称的容量乘以一个缩放因子，通常为0.95可用容量是指在硬盘被格式化之后，用户可以真正使用的存储空间。
可用容量会进一步减少，因为有一部分空间被操作系统和其他软件占用。
计算可用容量的方法是将格式化容量乘以一个使用系数，通常为0.9另外，有时候还会有一些保留空间用于调整分区大小和性能优化等目的。
这部分空间一般称为保留区或保留分区。
它通常不对用户进行显示或者可用。
除了硬盘的容量，我们还需要计算文件的大小。
文件的大小可以使用文件的字节数来表示。
一般来说，文件越大，占用的存储空间也越多。
当然，不同类型的文件的大小也会有所不同。
例如，文本文件的大小通常比图像、音频或视频文件的大小要小。
计算文件的大小可以使用操作系统提供的文件属性或者文件管理器进行查看。
文件属性通常会显示文件的字节数，以及文件的占用磁盘的大小（以簇或块为单位）。
要计算多个文件的总大小，只需要将每个文件的大小相加即可。
在计算硬盘存储空间和文件大小时，还需要注意单位的换算。
常见的存储单位有：- 1字节（B）= 8比特（bit）-1千字节（KB）=1024字节（B）-1兆字节（MB）=1024千字节（KB）-1吉字节（GB）=1024兆字节（MB）-1太字节（TB）=1024吉字节（GB）通过以上单位的换算，我们可以将文件大小从字节转换为千字节、兆字节或者吉字节来表示，以便更好地理解和比较文件的大小和硬盘的存储容量。
总结起来，硬盘存储计算方法主要包括计算硬盘的格式化容量和可用容量，以及计算文件的大小。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
硬盘“空间”与“文件大小”
在Windows系统中，一个文件的大小(字节数)和它在硬盘上(或其他存储介质上)所占的空间是两个既相互联系又有区别的概念。
在不同的情况下，同一个文件的“所占空间”会发生变化。
1.“文件大小”与“所占空间”的差别
例1：找到D盘上的Ersave2.dat文件，用鼠标右键单击该文件，选择“属性”，即可打开对话框，我们可以看到，Ersave2.dat的实际大小为655,628 Byte(字节)，但它所占用的空间却为688,128 Byte，两者整整相差了32KB。
例2：同样是该文件，如果将它复制到A盘，你会发现该文件实际大小和所占空间基本一致，同为640KB，但字节数稍有差别。
再将它复制到C盘，查看其属性后，你会惊奇地发现它的大小和所占空间的差别又不相同了！
显然，在这三种情况中，文件的实际大小没有变化，但在不同的磁盘上它所占的空间却都有变化。
事实上，只要我们理解了文件在磁盘上的存储机制后，就不难理解上述的三种情况了。
文件的大小其实就是文件内容实际具有的字节数，它以Byte为衡量单位，只要文件内容和格式不发生变化，文件大小就不会发生变化。
但文件在磁盘上的所占空间却不是以Byte为衡量单位的，它最小的计量单位是“簇(Cluster)”。
什么是簇？文件系统是操作系统与驱动器之间的接口，当操作系统请求从硬盘里读取一个文件时，会请求相应的文件系统(FAT 16/32/NTFS)打开文件。
扇区是磁盘最小的物理存储单元，但由于操作系统无法对数目众多的扇区进行寻址，所以操作系统就将相邻的扇区组合在一起，形成一个簇，然后再对簇进行管理。
每个簇可以包括2、4、8、16、32或64个扇区。
显然，簇是操作系统所使用的逻辑概念，而非磁盘的物理特性。
为了更好地管理磁盘空间和更高效地从硬盘读取数据，操作系统规定一个簇中只能放置一个文件的内容，因此文件所占用的空间，只能是簇的整数倍；而如果文件实际大小小于一簇，它也要占一簇的空间。
所以，一般情况下文件所占空间要略大于文件的实际大小，只有在少数情况下，即文件的实际大小恰好是簇的整数倍时，文件的实际大小才会与所占空间完全一致。
2.分区格式与簇大小
在例2中，同一个文件在不同磁盘分区上所占的空间不一样大小，这是由于不同磁盘簇的大小不一样导致的。
簇的大小主要由磁盘的分区格式和容量大小来决定，其对应关系如表1所示。
例如，软盘采用FAT分区，容量1.44MB，簇大小为512 Byte(一个扇区)；C盘采用FAT 32分区，容量为4.87GB，簇大小为8KB；D盘采用FAT 32分区，容量为32.3GB，簇大小为32KB。
计算文件所占空间时，可以用如下公式：
簇数=取整(文件大小/簇大小)+1
所占空间=簇数×磁盘簇大小
公式中文件大小和簇大小应以Byte为单位，否则可能会产生误差。
如果要以KB为单位，将字节数除以1024即可。
利用上述的计算公式，可以计算ersave2.dat文件的实际占用空间。