磁盘底层操作及数据恢复
硬盘数据恢复的原理和方法
硬盘数据恢复的原理和⽅法需要数据恢复时的原理以及⽅法。
第⼀步所要做的就是检测，判断磁盘的故障原因和数据损坏程度，只有明确磁盘的损坏程度和故障原因，才能采取正确的步骤恢复数据：硬盘内部故障，表现形式⼀般是CMOS不能识别硬盘，硬盘异响，那么可能的故障原因物理磁道损坏、内电路芯⽚击穿、磁头损坏等等，可以采⽤的修复⼿段有：内电路检修、在超净间内打开盘腔修复，这种情况只能送到专业的数据恢复公司。
硬盘外电路故障，如果CMOS不能识别硬盘，硬盘⽆异响，那么可能的故障原因是外电路板损坏、芯⽚击穿、电压不稳烧毁等等，可以采取的⼿段是外电路检修，或者更换相同型号的硬盘的电路板，⼀般需要送到专业的数据恢复公司。
软故障，如果CMOS能识别硬盘，⼀般是硬盘软故障，破坏原因⼀般是系统错误造成数据丢失，误分区、误删除、误克隆、软件冲突、病毒破坏等等，可以采⽤的⽅法有专⽤数据恢复软件或者⼈⼯⽅式。
下⾯具体讲解软故障的数据恢复⽅法找出硬盘数据丢失原因，⼀般硬盘故障原因包括：1、病毒破坏，误克隆，硬盘误格式化，分区表失丢，误删除⽂件，移动硬盘盘符认不出来(⽆法读取其中数据，硬盘零磁道损坏)，硬盘误分区，盘⽚逻辑坏区，硬盘存在物理坏区。
2、⽂档数据损坏,如Office 系列数据⽂件损坏，Zip、MPEG、asf、RM 等⽂件数据损坏。
根据故障原因，采⽤相应的⼿段和步骤：备份数据，根据数据的重要程度，决定是否需要备份数据，备份数据的⼀般步骤是1）卸下损坏硬盘，接到另外⼀台完好的机器，注意新机器上有⾜够的硬盘空间备份2）使⽤ghost的原始模式（raw），⼀个扇区⼀个扇区的把损坏磁盘备份到⼀个镜像⽂件中。
如果硬盘上有物理坏道，最好是采⽤ghost的⽅式制作⼀个磁盘镜像，然后所有的*作都在磁盘镜像上进⾏，这样可以最⼤限度的保护原始磁盘不被进⼀步损坏，可以最⼤限度的恢复数据。
把磁盘内容克龙到另⼀块磁盘上做恢复的做作，以避免在原磁盘的写*作。
浅谈数据恢复技术的原理和硬盘数据恢复
浅谈数据恢复技术的原理和硬盘数据恢复摘要：当前随着计算机信息技术普及，大量工作信息、个人信息采用电子数据的形式，存储于个人电脑、服务器、智能终端等电子设备上的存储介质上，从而导致日常工作和生活越来越严重依赖于电子设备和电子数据，数据的重要程度也越来越高。
在设备使用过程中，软件逻辑故障以及存储介质硬件故障，将导致数据丢失并造成无法挽回的损失，而数据恢复和硬盘维修这门专业性很强的技术，也越来越被各大企业重视。
关键字：硬盘；数据存储；数据恢复一、数据恢复技术的基本分类及技术层级：（一）数据恢复技术的基本分类1.软恢复：主要是恢复操作系统、文件系统层的数据。
这种丢失主要是软件逻辑故障、病毒木马、误操作等造成的数据丢失，物理介质没有发生实质性的损坏，一般来说这种情况下是可以修复的，一些专用的数据恢复软件都具备这种能力。
在所有的软损坏中，系统服务区出错属于比较复杂的，因为即使同一厂家生产的同一型号硬盘，系统服务区也不一定相同，而且厂家一般不会公布自己产品的系统服务区内容和读取的指令代码。
2.硬恢复：主要针对硬件故障而丢失的数据，如硬盘电路板、盘体、马达、磁道、盘片等损坏或者硬盘固件系统问题等导致的系统不认盘，恢复起来一般难度较大。
这时要注意不要尝试对硬盘反复加电，也就不会人为造成更大面积的划伤，这样还有可能能恢复大部分数据。
3.数据库系统或封闭系统恢复：这部分系统往往自身就非常复杂，有自己的一套完整的保护措施，一般的数据问题都可以靠自身冗余保证数据安全。
如SQL、Oracle、Sybase 等大型数据库系统，以及MAC、嵌入式系统、手持终端系统，仪器仪表等系统往往恢复都有较大的难度。
4.覆盖恢复：恢复难度非常大，一般民用环境下因为需要投入的资源太大，往往得不偿失。
但是在尖端的国防军事等国家统筹或者个别掌握尖端科技的硬盘厂商能做到，具体技术都涉及核心机密，无法探知。
（二）数据恢复技术的层级目前，专业存储系统如DAS、NAS、SAN军采用磁盘阵列作为基本的存储设备单元，它是由硬件阵列控制器（Raid卡）将若干硬磁盘驱动器按照一定规则构成一个整体,并由阵列控制器管理数据的读、写和存储方式。
Windows系统中的磁盘数据恢复方法
Windows系统中的磁盘数据恢复方法在使用Windows操作系统时，我们经常会遇到意外删除、磁盘格式化或者病毒入侵等造成的数据丢失问题。
幸运的是，Windows系统提供了多种方法来帮助我们恢复丢失的数据。
本文将介绍几种常用的磁盘数据恢复方法，并详细说明每种方法的操作步骤和使用注意事项。
一、使用Windows自带的恢复工具Windows系统自带了一些实用的恢复工具，如回收站、文件历史记录和系统还原功能。
当我们意外删除了文件或者需要恢复之前的版本时，可以尝试使用这些工具。
1. 回收站恢复回收站是Windows系统默认的一个临时存放已删除文件的地方，我们可以通过以下步骤来恢复被误删除的文件：步骤一：双击桌面上的“回收站”图标或者在资源管理器中找到“回收站”文件夹。
步骤二：找到需要恢复的文件，右键点击该文件，选择“恢复”选项。
2. 文件历史记录恢复Windows系统的文件历史记录功能可以帮助我们找回之前保存的文件版本。
以下是使用文件历史记录恢复文件的方法：步骤一：打开包含被删除文件所在文件夹的资源管理器窗口。
步骤二：点击资源管理器窗口上方的“开始”按钮，选择“文档”选项。
步骤三：在文档库窗口中，点击左侧的“历史记录”选项。
步骤四：找到需要恢复的文件，右键点击该文件，选择“还原到”选项，并选择一个恢复点进行还原。
3. 系统还原当系统出现问题或者数据丢失时，我们可以使用系统还原功能将系统恢复到之前的一个状态。
以下是使用系统还原功能的方法：步骤一：打开控制面板，选择“系统和安全”选项。
步骤二：在系统和安全窗口中，找到“系统”部分，点击“系统保护”链接。
步骤三：在系统属性窗口的“系统保护”选项卡中，点击“系统还原”按钮。
步骤四：按照提示选择一个恢复点，并点击“下一步”按钮。
完成后，系统将自动重启并恢复到选择的恢复点。
二、使用第三方数据恢复软件除了Windows自带的恢复工具外，我们还可以利用一些第三方数据恢复软件来提高数据恢复的成功率。
硬盘坏了后恢复数据的教程
硬盘坏了后恢复数据的教程硬盘损坏后如何抢救数据一、硬盘的分区对于你手中硬盘来说，首先要做的事情就是分区了。
硬盘分区是否合理直接影响到以后工作的便利性和数据的安全性。
我们最常见到的分区表错误也是硬盘的最严重错误，不同错误的程度会造成不同的损失。
如果是没有活动分区标志，则计算机无法启动。
但从软驱或光驱引导系统后可对硬盘读写，可通过fdisk 重置活动分区可进行修复。
如果是某一分区类型错误，会造成某一分区的丢失。
在一般情况下完成硬盘分区之后，会形成3 种形式的分区状态；即主分区、扩展分区和非DOS 分区。
在硬盘中非DOS 分区（Non-DOS Partition）是一种特殊的分区形式，它是将硬盘中的一块区域单独划分出来供另一个操作系统使用，对主分区的操作系统来讲，是一块被划分出去的存储空间。
只有非DOS 分区内的操作系统才能管理和使用这块存储区域，非DOS 分区之外的系统一般不能对该分区内的数据进行访问。
主分区则是一个比较单纯的分区，通常位于硬盘的最前面一块区域中，构成逻辑C 磁盘。
其中的主引导程序是它的一部分，此段程序主要用于检测硬盘分区的正确性，并确定活动分区，负责把引导权移交给活动分区的DOS 或其他操作系统。
此段程序损坏将无法从硬盘引导，但从软区或光区之后可对硬盘进行读写。
而扩展分区的概念是比较复杂的，极容易造成硬盘分区与逻辑磁盘混淆；分区表的第四个字节为分区类型值，正常的可引导的大于32mb 的基本DOS 分区值为06，扩展的DOS 分区值是05。
如果把基本DOS 分区类型改为05 则无法启动系统，并且不能读写其中的数据。
如果把06 改为DOS 不识别的类型如efh，则DOS 认为改分区不是DOS 分区，当。
如何进行计算机数据恢复和硬盘修复
如何进行计算机数据恢复和硬盘修复第一章：数据恢复的概述计算机数据恢复是指在数据丢失、损坏或者被意外删除后，通过各种技术和工具来找回丢失的数据的过程。
这些数据可能包括照片、音频、视频、文档以及其他重要文件。
数据丢失可以由多种原因引起，如病毒感染、操作系统故障、意外删除、硬件故障等。
第二章：常见的数据丢失原因2.1 病毒感染：病毒是计算机系统中常见的威胁之一，它们可以导致数据损坏或删除。
2.2 操作系统故障：操作系统故障可能导致硬盘无法访问或启动失败，进而导致数据丢失。
2.3 意外删除：不小心删除文件或格式化存储介质时，数据会被彻底清除，难以恢复。
2.4 硬件故障：硬盘故障是数据丢失最常见的原因之一，例如读写头损坏、磁盘碎裂等。
第三章：硬件检测与修复3.1 硬件检测：首先，我们需要确定硬盘是否有任何物理故障。
通过使用诸如磁盘检查工具、SMART检测等软件和硬件工具，可以检测硬盘的工作状态和健康程度。
3.2 硬盘维修：在硬盘出现物理故障时，可能需要进行一些硬件修复。
例如，更换读写头、磁道替换、电路板修复等。
在进行此类操作之前，务必先备份硬盘数据，以免数据进一步丢失。
第四章：逻辑数据恢复4.1 数据恢复软件：在出现数据损坏或删除时，可以使用数据恢复软件来尝试恢复丢失的文件。
这些软件可以扫描并搜索硬盘上的已删除或损坏的文件，并尝试恢复它们。
4.2 数据恢复服务：如果使用数据恢复软件无法解决问题，可以寻求专业数据恢复服务。
数据恢复服务提供商通常具有先进的设备和专业知识，可以从严重损坏的硬盘中恢复数据。
第五章：数据备份与预防措施5.1 数据备份：数据备份是预防数据丢失的最佳方法之一。
定期备份数据可以帮助我们在意外删除或硬盘故障时快速恢复数据。
5.2 强化系统安全：加强计算机系统的安全性可以帮助减少病毒感染和数据丢失的风险。
使用杀毒软件、防火墙、强密码等可以提高数据的安全性。
5.3 软硬件更新：及时安装操作系统和应用程序的软件更新和驱动程序更新，可以修复一些已知的漏洞和错误，减少数据丢失的风险。
硬盘数据恢复方法
硬盘数据恢复方法
硬盘数据恢复的方法有以下几种：
一、硬盘分区恢复。
在进行硬盘数据恢复时一般会首先尝试硬盘分区恢复，这种方式可以恢复已被损坏的分区，恢复磁盘分区表，恢复误格式化的分区，还原隐藏的分区等，让用户可以恢复丢失的数据。
二、文件恢复。
文件恢复的方式紧接着分区恢复，目的是使用户可以恢复误格式化或者删除的文件，以及恢复某些病毒感染而损坏的文件。
三、硬盘恢复。
硬盘恢复是一种最为复杂的硬盘数据恢复技术，这种方式可以在不对硬盘进行拆机的情况下直接对硬盘的底层结构进行深入的检测，通过计算机技术实现将遭到损坏的硬盘恢复原来的状态，从而进行数据恢复。
四、控制器级恢复。
控制器级恢复是一种复杂而巧妙的技术，可以通过检测磁头、改变硬盘参数、调整硬盘驱动器等手段，实现对损坏硬盘的恢复，从而达到数据恢复的目的。
Mac命令行中的磁盘修复和数据恢复技巧
Mac命令行中的磁盘修复和数据恢复技巧Mac系统自带的磁盘工具可以帮助我们修复磁盘错误和恢复丢失的数据，而命令行中的磁盘修复和数据恢复技巧则更加高效和灵活。
本文将介绍一些在Mac命令行中进行磁盘修复和数据恢复的技巧和方法。
一、磁盘错误修复1. 使用磁盘工具磁盘工具是Mac系统自带的磁盘维护工具，可以帮助修复磁盘错误。
在命令行中，我们可以使用以下命令来运行磁盘工具：```shellsudo diskutil repairDisk /dev/disk0```其中，/dev/disk0是你要修复的磁盘的路径。
执行该命令后，系统会自动运行磁盘工具，并修复磁盘上的错误。
2. 使用fsck命令fsck命令是一个用于检查和修复文件系统的工具。
在命令行中，我们可以使用以下命令来运行fsck：```shellsudo fsck_hfs -r /dev/disk0s2```其中，/dev/disk0s2是你要修复的文件系统的路径。
执行该命令后，系统会自动运行fsck，并修复文件系统中的错误。
二、丢失数据恢复1. 使用TestDisk工具TestDisk是一款强大的数据恢复工具，可以帮助我们从损坏或格式化的磁盘中恢复丢失的数据。
在命令行中，我们可以使用以下命令来安装TestDisk：```shellbrew install testdisk```安装完成后，我们可以使用以下命令来运行TestDisk：```shellsudo testdisk /dev/disk0```TestDisk会扫描磁盘，并列出可以恢复的分区和文件。
我们可以按照提示进行操作，以恢复丢失的数据。
2. 使用ddrescue命令ddrescue是一个用于数据恢复的命令行工具，可以帮助我们从损坏的磁盘中复制数据。
在命令行中，我们可以使用以下命令来安装ddrescue：```shellbrew install ddrescue```安装完成后，我们可以使用以下命令来运行ddrescue：```shellsudo ddrescue -f /dev/disk0 /path/to/output.img /path/to/logfile.log```其中，/dev/disk0是你要恢复数据的磁盘的路径，/path/to/output.img 是恢复后的映像文件的输出路径，/path/to/logfile.log是日志文件的输出路径。
磁盘数据恢复原理
磁盘数据恢复原理介绍如下：
磁盘数据恢复是指在磁盘损坏、文件误删或病毒攻击等情况下，通过特定的工具和技术，将数据从磁盘中恢复出来的过程。
磁盘数据恢复的原理基于磁盘存储的工作原理。
计算机磁盘中的数据是以磁场的形式保存的。
磁盘的表面被分成许多扇区，每个扇区可以保存一定量的数据。
扇区内的数据是按照一定的格式存储的，例如FAT32、NTFS等格式。
当文件被保存到磁盘中时，数据会被分成多个部分，并被保存在不同的扇区中。
这些扇区中的数据会被记录在磁盘的文件系统中，方便计算机操作系统读取和访问。
当文件被误删或磁盘损坏时，数据并不会立即消失。
相反，数据可能仍然存在于磁盘上，但无法被访问或读取。
在这种情况下，磁盘数据恢复的原理是通过特定的工具和技术来搜索和解析磁盘上的数据，找到被删除或损坏的数据，重新组合和恢复数据，最终实现数据的恢复和重建。
需要注意的是，磁盘数据恢复是一项非常复杂的工作，需要专业的技术和设备来实现。
如果您的磁盘遇到数据丢失或损坏的情况，请务必寻求专业的帮助，以避免进一步损坏数据。
同时，为了避免数据丢失，建议您经常备份重要的数据。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
2 . 扇区编号定义
� 绝对扇区：我们可以用柱面 /磁头/扇区来唯一定位磁盘上
每一个区域，或是说柱面 /磁头/扇区与磁盘上每一个扇区有 一一对应关系，通常 DOS将柱面/磁头/扇区这样表示法称为 绝对扇区表示法。 � 与DOS扇区：但DOS不能直接使用绝对扇区进行磁盘上 的信息管理，而是用所谓相对扇区或 DOS扇区。 � 相对扇区只是一个数字，如柱面 140，磁头3，扇区4对应的 相对扇区号为 2757。该数字与绝对扇区柱面 /磁头/扇区具有 一一对应关系。当使用相对扇区编号时， DOS是从柱面0， 磁头1，扇区1开始
簇尺寸的缩小不但降低了磁盘空间的浪费，还减少 • 随着大容量硬盘的出现，从 Windows 98开始，FAT32开始 65525个簇（簇是磁盘空间的配置单位）。 了产生磁盘碎片的可能。 流行。它是 FAT16的增强版本，可以支持大到 2TB的分区。 •缺点：随着硬盘或分区容量的增大，每个簇所占的空间将 •NTFS 支持文件加密管理功能，可为用户提供更高层次的 •FAT32 使用的簇比 FAT16小，从而有效地节约了硬盘空间。 越来越大，从而导致硬盘空间的浪费。 安全保证。
一、磁盘的基本知识
4.格式分类：意义在于对硬盘分区的管理。
常见的有： FAT16、FAT32、NTFS
NTFS：保密性好 FAT16 ：最常用 •以簇为单位来存储数据文件， • DOS 、Windows 95、 Windows 98/2000/ XP等系统均支持 •优点：但 NTFS 中簇的大小并不依赖于磁盘或分区的大小。 FAT32 ：过度作用 •最大可以管理大到 2GB的分区，但每个分区最多只能有
3 . 引导记录
� Dos引导记录（DBR:DosBoot Record）
� DBR位于柱面0，磁头1，扇区1，即逻辑扇区 0。DBR分为 两部分：DOS引导程序和 BPB（BIOS参数块）。其中 DOS 引导程序完成 � DOS系统文件（ IO.SYS，MSDOS.SYS）的定位与装载， 而BPB用来描述本 DOS分区的磁盘信息，它包含逻辑格式化 时使用的参数，可供 DOS计算磁盘上的文件分配表，目录区 和数据区的起始地址。 � BPB之后三个字提供物理格式化（低格）时采用的一些参数。 引导程序或设备驱动程序根据这些信息将磁盘逻辑地址 （DOS扇区号）转换成物理地址（绝对扇区号）。
� 目录项的格式
字节偏移 意义 占字节数 00H 文件名 8B 08H 扩展名 3B 0BH 文件属性 1B 保留 0CH 10B 16H 时间 2B 18H 日期 2B 1AH 开始簇号 2B 1CH 文件长度 4B � 目录项文件名区域中第一个字节还有特殊的意义： 00H代表 未使用 � 05H代表实际名为 E5H � EBH代表此文件已被删除
前4个重要信息在磁盘的外磁道上 . 原因:是外圈周长总大于内圈周长， 也即外圈存储密度要小些， 可伤心性高些。
3 . 引导记录
• 主引导记录（MBR:Main Boot Record） MBR位于硬盘第一个物理扇区（绝对扇区）柱面 0，磁头0，扇区1处。由于DOS是由柱面0，磁头1， 扇区1开始，故MBR不属于DOS扇区，DOS不能直接 访问。 MBR中包含硬盘的主引导程序和硬盘分区表。 分区表有4个分区记录区。记录区就是记录有关分区 信息的一张表。
� “物理扇区编号”+“绝对扇区编号”+“逻辑扇区编号 ” 1. 直接按柱面、磁头、扇区 3者的组合来定位（按这种编号方
式得到的扇区编号称为物理扇区编号）； 2. 按扇区编号来定位（又分 “绝对扇区编号 “和“逻辑扇区编号 “两种）。
这两种定位办法的换算 关系如右图： （设图中所示硬盘每道扇 区数均为63）
3 . 引导记录
� 根目录（BD:Boot Directory）
�文件目录是 DOS文件组织结构的又一重要组成部分。 �文件目录分为两类：根目录，子目录。 �根目录有一个，子目录可以有多个。子目录下还可以有子目录， �从而形成树状的文件目录结构。子目录其实是一种特殊的文件， �DOS为目录项分配 32字节。 �目录项分为三类：文件，子目录（其内容是许多目录项）， 卷标（只能在根目录，只有一个）。 目录项中有文件（或子目录，或卷标）的名字，扩展名， 属性，生成或最后修改日期，时间，开始簇号，及文件大小。
� 由于目前大多数硬盘采用的是一种 “垂直分区结构“，故左图 一磁头数为2、盘片数为 1的硬盘，图中0磁头所对扇区的表 示方法就有2种，即：0柱面 0磁头1扇区=绝对0扇区，而 1磁 头所对扇区的表示方法也有 2种，即： 1柱面0磁头1扇区=绝 对63扇区。如果是如右图所示磁头数为 4、盘片数为 2的硬 盘，那么则顺着垂直于盘片的箭头线方向进行如图的绝对扇 区的编号。 � 上面，我们说了物理扇区、绝对扇区的编号方式，而逻辑扇 区编号由于是操作系统采用的扇区编号方式，而操作系统只 能读取分区内部的数据内容，故逻辑扇区是从各分区内的第 一个扇区开始编号，如我们下文对 mbr的说明能知道： mbr 这个扇区所在硬盘磁道是不属于分区范围内的，紧接着他后 面的才是分区的内容 ,因此一般来说绝对 63扇区= c:分区逻辑 1扇区。
3 . 引导记录
整个磁盘按所记录数据的作用不同可分为
� � � � �
主引导记录（MBR:Main Boot Record） Dos引导记录（DBR:DosBoot Record） 文件分配表（FAT:File Assign Table） 根目录（BD:Boot Directory） 数据区(DA:Data area)
3 . 引导记录 • 文件分配表（FAT:File Assign Table）
• 文件分配表是DOS文件组织结构的主要组成部分。 我们知道 DOS 进行分配的最基本单位是簇。 （1）FAT 反映硬盘上所有簇的使用情况， • 文件分配表是反映硬盘上所有簇的使用情况，通过 它记录了文件在硬盘中具体位置（簇）。 查文件分配表可以得知任一簇的使用情况。 在给一个文件分配空间时总先扫描 FAT ，找到 • DOS （2）文件第一个簇号（在目录表中）和 的 FAT 第一个可用簇，将该空间分配给文件，并将该簇的 该文件的簇号串起来形成文件的簇号链， 簇号填到目录的相应段内。即形成了簇号链。 恢复被破坏的文件就是根据这条链。 FAT 就是记录文件簇号的一张表。 • 介质格式与BPB相同
（注：柱面0，磁头0，扇区1没有DOS扇区编号，DOS下不能访 问，只能调用BIOS访问），第一个DOS扇区编号为0，该磁道上 剩余的扇区编号为1到16（设每磁道17个扇区），然后是磁头号 为2，柱面为0的17个扇区，形成的DOS扇区号从17到33。直到该 柱面的所有磁头。然后再移到柱面1，磁头1，扇区1继续进行 DOS扇区的编号，即按扇区号，磁头号，柱面号（磁道号）增长 的顺序连续地分配DOS扇区号。
第一讲、磁盘底层操作 及数据恢复
张运磾
9–5-2
一、磁盘的基本知识
1.磁盘的结构
由坚硬金属材料制成的涂以磁性介质的盘片，不同 容量硬盘的盘片数不等。每个盘片有两面，都可记 录信息。
磁性介质 坚硬金属材料 盘片
…………
机械硬盘
………… ………… ……
一、磁盘的基本知识
� 扇区：盘片被分成许多扇形的区域，每个区域叫一个扇区 每个扇区可存储 128×2的N次方字节信息。 在DOS中每扇区是 128×2的2次方＝512字节。 � 磁道：盘片表面上以盘片中心为圆心，不同半径的同心圆 为磁道。 � 柱面：不同盘片相同半径的磁道所组成的圆柱。 � 磁道与柱面都是表示不同半径的圆，在许多场合，磁道和柱 面可以互换使用，我们知道，每个磁盘有两个面，每个面都 有一个磁头，习惯用磁头号（扇面）来区分。扇区，磁道 （或柱面）和磁头数构成了硬盘结构的基本参数，
一、磁盘的基本知识
� 簇： （1） DOS进行分配的最小单位。 （2）当创建一个很小的文件时，如是一个字节，则 它在磁盘上并不是只占一个字节的空间，而是占 有整个一簇。 DOS视不同的存储介质（如软盘，硬盘），不 同容量的硬盘，簇的大小也不一样。簇的大小可 在称为磁盘参数块（ BPB）中获取。 （3）簇的概念仅适用于数据区。
二、存储的原理
物理层 转化 磁盘 上的一片 区域 介质的 状态 不同 低级 磁盘 内容 引 导 记 录 初级文件
RAID转化 系统 接口 真正意义 上的文件 系统文件
高级磁盘 文件
还原
三、文件被访问的原理
病毒
用户层
应用层
应用软件：Word Picasa 、TTplayer
强力注入： Eg：冰刀
系统层
选择何种文件系统 ?
普通用户在决定采用什么样的文件系统时应从以下几点出发： 1） 单一系统还是多启动的系统（即多操作系统）； 2） 硬件平台； 3） 硬盘的大小与数量； 4） 安全性考虑。 在系统的安全性方面， NTFS文件系统具有很多 FAT32/FAT16文件系统所不具备 的特点，而且基于 NTFS文件系统的 Windows 2000/XP/2003 运行要快于基于 FAT文件系统的；而在与 Win 9X的兼容性方 面，FAT优于NTFS。
� 目录项属性区域的这个字节各个位的意义如下：
７ ６ ５ ４ ３ ２ １ 未 修 修 子 卷 系 隐 用 改 改 目 标 统 藏 标 标 录 属 属 志 志名使用了上表中所说的保留这片区域。 � 要点： （1）文件目录是记录所有文件，子目录名，扩展名属性，建立或 删除最后修改日期。文件开始簇号及文件长度的一张登记表 . （2）DOS中DIR列出的内容训是根据文件目录表得到的。 （3）文件起始簇号填在文件目录中，其余簇都填在 FAT中上一簇的 位置上。
explorer
系统 日志
物理层
磁盘上的数据
四、磁盘底层操作的利器
DiskGen
PE
五、数据恢复
在虚拟机里实验
谢谢！！
一、磁盘的基本知识
� 公式：DH－－第一个 DOS扇区的磁头号 DC－－第一个 DOS扇区的柱面号 DS－－第一个DOS扇区的扇区号 NS－－每磁道扇区数 NH－－磁盘总的磁头数 则某扇区（柱面 C，磁头H，扇区S）的相对扇区号 RS 为：