计算机取证中的数据恢复技术综述
基于Winhex的数据恢复技术在计算机取证中的应用
中更是发挥 了巨大 的作用 。
收 稿 日期 ：２ ０ １ ４ － ０ ５ －２ ４
‘
作者 简介 ：吴琪 （ １ ９ ７ ６ 一） ， 女， 吉林 警察 学院信 息 工程 系讲 师 ， 主研 研 究 方 向 ： 信 息安 全 。 基金 项 目：本 文 系吉林 省教 育厅 “ 十 一五 ” 科研 项 目阶段 性 成 果 。
分 区后 ． 格 式 化 程 序 则 建 立 相 应 的 文件 系 统 。根据 分 区 大 小 一 般 将 分 区合 理 划 分 为 四个 主
要部分 ： Ｄ Ｂ Ｒ扇 区 、 文件分 配表Ｆ Ａ Ｔ、 根 目录ＤＩ Ｒ和 数 据 区 Ｄ Ａ Ｔ Ａ。Ｄ Ｂ Ｒ 扇 区 记 录 整 个 文 件 系 统 的 重要 参数信 息 。 包 括 保 留 扇 区数 、 Ｆ Ａ Ｔ表 个 数 、 每个Ｆ Ａ Ｔ 表大小 、 文 件 系统 大 小 和 根 目录 位 置 等 。
有 所 了解 。
个新 硬盘只有经过分 区 、 格式化后 ， 才 能安装操 作系统进行正常使用 。 分区后主引导记录 （ Ｍ Ｂ Ｒ） 就位于硬盘 的０ 磁道０ 柱面ｌ 扇 区。 硬 盘的主引导记 录共有５ ｌ ２ 个字节 ， 前４ ４ ６ 个 字节为引导 程序 ， 随后６ ４ 个 字节为Ｄ Ｐ Ｔ （ 硬盘分 区表 ） ， 最后 两个字节 为分 区的结 束标志 “ ５ ５ Ａ Ａ ” 。通过 分析
一
ＭＢ Ｒ区 的信 息 可 初 步 判 断 出硬 盘 的分 区数 量 、 每个分 区的大小 、 起始位 置 、 系统 的 文件 类 型 等 信 息 。 当主 引 导 记 录遭 到病 毒 、 人为操作等破 坏后 ， 部 分 或 全 部 分 区则 会 丢 失 ， 掌握 了 主 引 导 记 录 ＭＢ Ｒ扇 区 的 结 构 。 根 据数 据信息 特征 。 重新 推算计算 分 区大小及 位置 ， 按 照 这 个 结 构 重 建 一 个 ＭＢ Ｒ扇 区 ， 即可 恢 复 。
数据恢复技术在计算机取证系统中的应用
计算机取证技术将向以下几个方 向发展 ： （） １取证 工具 向智 能化 、 业 化 和 自动化 方 向 专
发展 ．
（） ２ 取证工具 （ 软件 ） 本身 的可靠性、 安全性和 可用性进一步地提高 ． （） ３ 在工具软件 的开发 上应该结合计算 机领 域内的其他理论和技术 ， 以代替大部分人工操作 ． 此外 ， 利用无线局域网和手机、Ｄ 、 Ｐ Ａ 便携式计
维普资讯
・
１２ ・ ３
成 都 大 学学报 （ 自然科 学版 ， ｂ 览 器数 据缓 冲 ， Ｗｅ 浏 书 签、 历史记录或会话 日志、 实时聊天记录等等 ． 电子取证 的方法包括数字 鉴定法 ， 数据 检查 法， 数据对 比法 ， 数据保护法 ， 数据分析法 ， 证据抽
中图分类 号 ：Ｐ ０ Ｔ ３９ 文献标识码 ： Ａ
０ 引 言
随着信息 技术 的不断发展 ， 计算 机越来 越多 地 参 与 到人 们 的 工 作 与 生 活 中 ， 计 算 机 相 关 的 与
计 算 机犯 罪案 例 （ 电子 商 务 纠纷 ， 业 机 密信 息 如 商
１２ 计算机取证的特点 ． 计算 机 取证 主要 是 围绕 电子 证 据来 展 开 工 作 的 ， 目的就 是将储存 在计算机及相关设备 中反 其 映犯 罪者 犯 罪 的信息 变 成 为有 效 的诉讼 证 据 提 供
注 的焦 点 ．
机或计算机系统运行过程 中产生 的， 以其记 录的 内容来证 明案件 事实的电磁记录物 ． 与传统 证据 样， 电子证据必须是可信的、 准确 的、 完整的、 使 法官信服的、 符合法律法规 的， 即可为法庭所接受
计算机取证
摘要计算机取证及数据恢复技术包括两个部分，即计算机取证和数据恢复。
电子证据既有法律方面的问题，也有技术方面的问题，本文就其子集“计算机取证”的技术体系进行研究和分析，指出了计算机取证的技术体系及其层次关系，为深入研究计算机取证提供了一个借鉴。
社会信息化的发展给我们生活带来诸多便捷的同时，也给信息罪犯带来可乘之机。
病毒、黑客、网络攻击的日益泛滥，计算机犯罪案件数量不断上升，搜集电子证据就成为提供重要线索及破案的关键。
计算机取证是使用软件和工具提取和保护有关计算机犯罪的证据。
数据恢复技术，是一门新兴的边缘学科，是技术性与实践性相结合的新技术，需要非常深厚的技术功底和实践经验，绝不是一种简单的流水线作业似的操作。
数据恢复技术目的在于让人们学到如何把硬盘上被破坏的数据抢救回来、以及如何保护硬盘中的重要数据的方法。
它同时要求人们通过各种手段来把丢失和遭到破坏的数据还原为正常的数据。
本文主要研究了计算机取证技术及数据恢复的基本原理，并通过一个具体实例演示了数据恢复的过程。
关键词：计算机取证: 计算机取证技术恢复技术目录第一章绪论 (1)1.1计算机取证总论 (1)1.1.1病毒的威胁 (1)1.1.2计算机取证技术的高科技性 (1)1.1.3计算机取证的发展 (1)1.2数据恢复总论 (2)1.2.1数据恢复的定义 (2)1.2.2数据恢复的服务范围 (2)1.2.3数据恢复的一般原则 (3)第二章计算机取证技术研究概述 (4)2.1计算机取证的基本概念 (4)2.1.1计算机取证服务 (4)2.1.2计算机取证的原则和步骤 (4)2.2计算机取证技术的发展 (5)2.2.1计算机取证遇到的问题 (5)2.2.2计算机取证的工具 (5)2.2.3电子证据基本内容机及获取 (6)第三章数据恢复基本原理 (8)3.1硬盘的工作原理 (8)3.1.1 硬盘的分区 (8)3.1.2 硬盘分区方式 (9)3.2数据存储原理 (9)第四章数据恢复实例 (12)4.1恢复软件的下载及安装 (12)4.2数据恢复软件的运行过程 (12)4.3数据恢复操作 (15)4.3.1快速文件搜索 (15)4.3.2完整文件搜索 (18)4.3.3快速格式化恢复 (18)4.3.4完全格式化恢复 (19)4.3.5保存为CD/VCD方式 (20)第五章总结语 (21)致谢 (22)参考文献 (22)第一章绪论1.1计算机取证总论1.1.1病毒的威胁随着计算机入侵和病毒的泛滥，信息安全需深入人心。
浅析计算机犯罪取证中的数据恢复原理
引导程 序 。其 中的硬 盘引 导程 序的 主要作 用是 检 查 分 区表 是 否 正 确 并 且 在 系 统 硬 件 完 成 自检 以
后 引 导具 有激 活 标 志 的分 区上 的操 作 系 统 。 将 并
地找 到各 段 的位 置并 正确 读 出。但 是这种 以簇 为
单位 的存 储 方法 在空 间 的利用 上是 有缺 陷的 。每
没有 了前 面 的各 部分 ， 它对 于我 们来 说 ， 只 能是 也
一
统 控 制权 交 给它 时 。 断 本 分 区根 目录前 两个 文 判
件 是不 是 操作 系 统 的 引导 文 件 。 如果 确 定存 在 。
就 把它读 入 内存 ， 并把 控 制权交 给该 文 件 。 Ｐ 参 ＢＢ
数 块 记 录 着 本 分 区 的起 始 扇 区 、 束 扇 区 、 件 结 文 存 储格 式 、 盘 介 质 描 述 符 、 目录 大 小 、Ａ 个 硬 根 ＦＴ 数 ， 配单 元 的大 小等重 要参 数 。 Ｂ 分 Ｄ Ｒ由高 级格式 化程 序 （ Ｉ ｏｍａ． ｍ等程 序 ） 产生 。 ￣Ｆ ｒ ｔ ｏ ｃ 所
文件 信 息获 取 和数 据恢 复 。因此 ， 于计 算机 取 对 证 人 员来 说 。 很 好 地 把 握 这些 信 息 。 需 要 深 要 就 入 了解 存 储 介 质 尤 其 是 硬 盘 的数 据 结 构 和 存 储
原理 ， 了解 文件 删 除 与恢 复 的原 理 与方 法 。 只有
计 算 机犯 罪 给 国家 、社 会 和 个 人 带 来 巨 大 的损
２ １年 第 ２期 ０１ （ 总第 １ １ ） ７期
吉 林 公 安 高等 专 科 学 校 学 报
Ｊ ｕ ａ ｆＪｌ ｕ ｌ ｅ ｕｉ ａ ｅ ｏ ｒ ｌｏ ｉ Ｐ ｂｉ Ｓ ｃ ｒｔ Ａｃ ｄ ｍｙ ｎ ｉｎ ｃ ｙ
Unix系统计算机取证中数据恢复方法探讨
第２ ４卷
第 ２期
【 司法实务】
Ｕｉ ｎｘ系统 计 算机 取证 中数 据恢 复 方 法探 讨
李 枫 张 ， 涛
（ ． 原理 工 大 学 ， １太 山西 太 原 ０ ０ ２ ；． 原 警 官 职业 学 院 ， 西 太 原 ００ ３ ） ３０ ４ ２ 太 山 ３ ０２
文件是很有可能被成 功恢复 的。恢 复工作 中首 要的工作 是
立 刻 停 止该 文件 所 在 分 区上 的 所 有 输 入 输 出操 作 ， 以 卸 载 可 该 分 区 或使 系统 处 于 单 用 户 状 态 ， 者 在 禁 止 新 用 户 登 录 的 或 情 况 下 让所 有 已登 录 的 用 户 停 止 工 作 。 以 上 措 施 的 主要 目
将计算机及其网络设 备的调查 和分析技术应 用于存在计 算 机硬件设备中 ， 并将具有法律 意义 的数据 文件进行 确定 、 恢
复 与 提 取 。任 何 一 个 被 入 侵 的 计 算 机 系 统 都 必 然 会 留下 曾 被 入 侵 的 数 字 痕迹 ， 这 些 痕 迹 处 理 并 作 为 证 据 使 用 ， 够 将 能 再 现 犯 罪 的 过 程 与 目的 。 因 此 ， 法 律 意 义 上 讲 ， 查 人 员 从 侦
ｄ 命 令对 被删 除文件所 在的分 区作原始 拷贝 ， ｄ 将原 始拷 贝 的内容 以文件形式（ ｅＶｒｄｋ 存放在／ ｘｏ １ Ｏｅ． ｓ ） ￣ ｅｐ￣分 区， 贝结 拷
束 后 将 系统 转 为 正 常 状 态 ， 且 开 始 在 分 区 备 份 中进 行 文 件 并
索 引 节点 与 其 相 关 ， 件 的 拥 有 者 、 在 组 、 小 、 改 、 文 所 大 修 存 取 、 性 变更 时 间 、 接 记 数 等 信 息 记 录 在 这 个 节 点 中 。所 属 链 有索 引节 点 中都保 存 了一 个 用 来 记 录 文 件 内 容 所 在 数 据 块 直接 地 址 （ 当文 件 太 大 时 需 用 间 接 数 据 块 指 针 ） 数 组 。索 的
电子物证检验鉴定的数据恢复技术分析
技术挑战：数据加 密、数据完整性、 数据隐私保护等问 题
技术应用前景：提高 电子物证检验鉴定的 效率和准确性，为司 法公正提供技术支持。
数据恢复技术面临的挑战与机遇
技术挑战：数据加密、数据损 坏、数据丢失等问题
法律挑战：数据隐私、数据安 全、数据合规等问题
机遇：大数据、云计算、人工 智能等技术的发展和应用
数据恢复技术在电子物证检验鉴定中的应用
数据恢复技术：通过技术手段恢复 被删除、损坏或丢失的数据
数据恢复技术在电子物证检验鉴定 中的作用：帮助提取、分析和鉴定 电子设备中的数据
添加标题
添加标题
添加标题
添加标题
电子物证检验鉴定：对电子设备中 的数据进行提取、分析和鉴定
数据恢复技术在电子物证检验鉴定 中的挑战：数据损坏、数据加密、 数据完整性等问题
数据恢复技术的原理
数据恢复技术的原理主要是通过分析磁盘的物理结构和文件系统，找到丢失的数据并恢复。 数据恢复技术可以分为逻辑恢复和物理恢复两种。逻辑恢复主要是通过分析文件系统和文件结构，找到丢 失的数据并恢复。物理恢复主要是通过分析磁盘的物理结构和数据存储方式，找到丢失的数据并恢复。 数据恢复技术需要具备一定的计算机知识和技能，如文件系统、磁盘物理结构、数据存储方式等。
电子物证检验鉴 定中的数据恢复 技术
电子物证检验鉴定的概念
电子物证：指在电子设备中存储的电子数据，如电子邮件、文档、图片等 检验鉴定：指对电子物证进行技术分析，以确定其真实性、完整性和有效性 数据恢复技术：指在电子物证检验鉴定中，通过技术手段恢复被删除、损坏或丢失的数据 应用领域：电子物证检验鉴定中的数据恢复技术广泛应用于刑事侦查、民事诉讼等领域
数据恢复技术的应用场景
数据恢复技术在计算机取证中的应用
提 供 理 论 支持 。
关 键 词 ： 据 恢 复 ； 除 ： 证 数 删 取
中 图分 类 号 ： Ｐ３ ３ Ｔ ９
片 的” 取 证 恢 复 的 范 罔 不 单 单 是 应 用 文 件 还 有 系 统 文 ｊ
后 还 会 留 有 原来 分 区 的 痕 迹 ， 辑 盘 被 重 新 格 式 化 后 也 留 逻 有 原 来 卷上 的一 些 痕 迹 。尤 其 重 要 的 是 文 件 操 作 ， 件 的 义 增 加 、 除 、 改 会 使 系 统 中 产 生 许 多 临 时 文 件 和 中 间 文 删 修
维普资讯
第 ７卷 第 ９期
２００８年 ９月
南 阳 师 范 学 院 学 报
Ｊ ｕ ｎ ｌｏ ｎ ａ ｇ Ｎｏ ｍ ａ ｉｅ ｓｔ ｏ ｒ ａ ｆＮａ ｙ ｎ ｒ ｌＵｎ ｖ ｒｉｙ
Ｖｏ ． ＮＯ ９ １７ ． Ｓ ｐ ２ ０８ ｅ ． ０
２ 硬 盘 结 构
２ １ 主 引 导 扇 区 ＭＢＲ ．
取 证 据 具 有 法 律 效 力 。取 证 应 按 标 准 进 行 ， 使 用 经 过 有 并
关 部 门认 证 的 取 证 １ 具 ＿ 、
ＭＢ Ｒ是 由分 区 程 序 产 生 的 ， 同 的 操 作 系统 该 扇 区可 不
文 献 标 识 码 ： Ａ
文 章 编 号 ：６ １— １２ ２ ０ ）９— ００— ３ １７ ６ ３ （０ ８ ０ ０ ６ ０
ｌ 计 算 机 取 证 中 的 数 据 恢 复
简述计算机取证的技术及其过程
简述计算机取证的技术及其过程
计算机取证（Computer Forensics）是一种用于获取、保护和分析在计算机或网络环境中发现的可用作证据的数据的技术。
它是一种针对计算机存在的各种欺诈行为、犯罪行为、不当行为以及各种违反公法的行为而进行的技术支持。
计算机取证是一种复杂的过程，涉及到非常多的技术，它涉及到计算机和网络存储设备的分析、取证和恢复等多个环节。
一般来说，它的流程主要分为以下几个步骤：
1.取证：经过法律手段进入犯罪现场，及时收集相关信息，以及收集、拍摄、测量和鉴定当地存在的物体和环境条件；
2.鉴定：根据收集的物证资料鉴定取证中的计算机设备的制造商、型号、序列号等情况；
3.数据恢复：数据恢复技术可以使损坏的媒体介质上存储的数据恢复可用；
4.数据取证：根据取证计划的要求，从收集的电脑设备中检索需要的相关信息；
5.数据分析：根据取证计划的要求，进行分析技术，以建立案件证据；
6.报告归档：根据案件定性，对取证结果进行实体报告，供警方、检察院、法院以及其他部门使用。
计算机取证工作对专业性要求非常高，取证过程中涉及的法律、技术等都是需要专业人员配合进行的。
取证技术的应用可以非常大程
度上帮助警方侦破各类犯罪，充分发挥计算机取证在司法取证中的重要作用。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
计算机取证中的数据恢复技术综述摘要传统数据恢复已经有很多成熟的技术，通过分析计算机取证中数据恢复技术与传统数据恢复的关系，我们证明了在计算机取证中应用数据恢复技术的可行性，实践也证明了其有效性和重要性。
本文主要在介绍和分析磁盘在FAT32和NTFS两种不同文件系统的分区结构的前提下，在综述了各种计算机取证中基于FAT32和基于NTFS的数据恢复技术和原理、基于闪存的数据恢复技术、基于新型存储设备SSD固态盘的数据恢复技术。
然后讨论了未来计算机取证中数据恢复技术的发展趋势和挑战，即文件碎片的重组和恢复和基于SSD的数据恢复。
相比传统数据恢复，计算机取证中的数据恢复有其自己的特点和要求，最后本文从法律角度，总结了数据恢复技术在计算机取证中应用时所需要遵循的原则和流程规范。
关键字：计算机取证、数据恢复AbstractTraditional data recovery has a lot of mature technologies, According to analysis the relationship between data recovery in computer forensics and traditional data recovery, feasibility of applying data recovery techniques to computer forensics has been proved,much practice also has proved its effectiveness and importance. This paper describes and analyzes the different disk partition structure respectively in the FAT32 and NTFS file systems, then reviews a variety of data recovery techniques and principles respectively based on FAT32 and NTFS, flash-based data recovery techniques, SSD-based data recovery techniques in computer forensics. Next we discuss the trends and challenges of data recovery technology in computer forensics in the future, namely restructuring and recovery of file fragmentation and SSD-based data recovery. Compared to traditional data recovery, data recovery in computer forensics has own characteristics and requirements, and finally from a legal point of view, this paper summed up the principles and process specifications that need to be followed when data recovery techniques are applied to computer forensics .Keywords: computer forensics, data recovery目录摘要 (I)Abstract (I)1 引言 (1)1.1 计算机取证概念 (1)1.2传统数据恢复技术概念 (1)1.3 计算机取证中的数据恢复与传统数据恢复的关系 (2)1.4 计算机取证中的数据恢复技术研究背景及意义 (3)2 计算机取证中的数据恢复技术 (3)2.1 基于FAT32的数据恢复 (3)2.1.1 FAT32系统中硬盘数据结构 (3)2.1.2 文件删除后的恢复 (3)2.1.3 硬盘格式化或硬盘分区后的恢复 (4)2.1.4 分区表损坏后的恢复 (5)2.2 基于NTFS的数据恢复 (5)2.2.1 NTFS系统中硬盘数据结构 (5)2.2.2 文件删除后的恢复 (6)2.2.3 BPB损坏后的恢复 (6)2.3 基于闪存的数据恢复 (6)2.4 基于SSD的数据恢复 (7)3 计算机取证中的数据恢复技术发展方向 (7)3.1 文件碎片的重组和恢复 (7)3.2 基于SSD的数据恢复 (7)4 数据恢复在计算机取证中的应用 (8)5 总结 (8)6 参考文献 (9)1 引言1.1 计算机取证概念计算机取证是指能够为法庭接受的、足够可靠和有说服力的，存在于计算机、网络、电子设备等数字设备中的电子证据进行确认、收集、保护、分析、归档及法庭出示的过程。
与传统证据一样，电子证据必须是可信、准确、完整、符合法律法规的。
但与传统证据相比，电子证据还具有如下特点：多媒体性；脆弱性；无形性；高科技性；人机交互性；随着计算机和电信技术的不断发展，取证步骤和程序也必须不断调整与之适应[1]。
电子证据的这些特点表明计算机取证中有完全不同于传统取证的问题需要研究，所以面临不少难题，也成为信息安全领域关注的焦点。
根据取证时刻和取证对象的不同，计算机取证分为静态取证和动态取证两种。
静态取证主要针对静止状态存储的电子证据，是对取证计算机、外部设备和网络中相关存储设备中的定制证据和犯罪行为痕迹进行提取、分析、识别、鉴定、保全和提交的过程，是计算机传统取证技术，主要涉及数据隐藏、硬盘克隆、密码破译、数据保护、数据恢复等技术。
静态取证的关键在于及时的现场保护，通过相关的文件、日志分析工具对入侵者在系统上的遗留信息进行分析和提取。
动态取证是对计算机系统或网络现场进行监视获取证据，动态分析入侵者的个人信息和攻击手段，或通过陷阱和智能追踪的方式提取实时数字证据，可以实现对取证目标的计算机犯罪相关的电子证据进行实时捕捉、定位、采集和保全。
取证模型概述了整个取证事件的全过程。
文献[2]综述了基本过程取证模型、事件响应过程模型、过程抽象模型、综合数字取证模型、增强型数字过程取证模型、基于目标的层次性取证模型、基于事件的取证模型和多维计算机取证模型等，并总结了取证原则和各种取证工具。
文献[1]给出了计算机取证应用模型：取证准备，使得证据具有客观性；现场勘察及证据固定，保证证据获取的合法性；数据分析及证据提取，保证数据与案件的关联性；数据呈递，保证证据对犯罪定性的有效性。
从技术角度来说，计算机取证相关技术的研究主要针对证据获取技术和证据分析技术。
证据获取技术中，非常重要的一个技术就是数据恢复。
因为电子证据具有脆弱性的特点，容易被损坏或者修改，恢复已经删除的应用文件、日志文件、交换文件或者历史文件碎片都可能成为犯罪案件的有力证据。
1.2传统数据恢复技术概念随着社会信息化的发展，人们对于信息的依赖性越来越高，存储在各种信息设备中的数据价值已经高于设备本身，计算机数据恢复技术应运而生。
数据恢复就是把遭受破坏、或由硬件缺陷导致不可访问或不可获得、或由于误操作等各种原因导致丢失的数据还原成正常数据。
当用户面对计算机系统遭受误操作、病毒侵袭硬件故障黑客攻击等事件后，数据恢复技术可以将用户的数据从各种“无法读取”的存储设备中拯救出来，从而将损失减到最小。
计算机数据恢复技术主要应用于计算机周边各种存储设备，如硬盘、U盘等，一般分为软件恢复技术和硬件恢复技术。
硬件恢复技术，是指一切由硬件损坏或失效造成的数据恢复并且涉及到硬件修理，针对的是无法进行读写操作的存储设备，尤其是硬盘。
硬盘由存储数据的盘片、为读取盘片设计的其他硬件和固化于硬件和盘片上的伺服软件（即固件）等三部分组成，任何部分故障都会导致数据无法读取。
相应地，硬件恢复可分为以下3种恢复方式：（1）硬件替代：用同型号的好的硬件替代坏的硬件从而完成恢复，如硬盘电路板的替代、控制芯片的更换等。
（2）固件修复：用硬盘专用修复工具修复硬盘固件从而恢复硬盘数据。
（3）盘片读取：在专用超净工作间内对硬盘进行开盘，取出盘片，然后用专门的数据恢复设备对其扫描，读出盘片上的数据。
软件恢复技术，指一切可以通过软件方式进行修复，不涉及硬件修理的数据恢复，主要针对可以正常进行读写操作的存储设备。
软件恢复技术可以下两种方式：（1）系统级修复技术：指操作系统不能正常启动，通过修复系统使得系统正常工作，从而恢复数据。
包括对分区表及文件系统信息的修补技术，比如FAT32系统的引导扇区、FAT 表、目录表以及UNIX 系统中的超级块等信息一旦受损或丢失，就看不到系统分区，系统中的文件就无法正常读取。
（2）文件级修复技术：针对存储介质上某个应用文件损坏，又分为损坏文件的恢复和文件碎片的提取。
在文件相对完整、文件头和数据区损坏不大的情况下，可以将文件恢复；但如果文件损坏很大，数据区只残留小部分，则只能提取文件碎片，这些碎片一般存在于分区内未重复使用的部分和数据簇内的剩余部分，但只对特殊的要求才有意义。
1.3 计算机取证中的数据恢复与传统数据恢复的关系计算机取证中的数据恢复和传统数据恢复具有很多相同点，比如说基本的数据恢复技术的原理相同，从本质上讲都是从信息存储设备中提取数据，并且操作前都需要保护目标计算机系统，避免发生任何的改变、伤害、数据破坏或者病毒感染，都需要全部或尽可能恢复特殊的文件或者数据块。
所以说在计算机取证中应用数据恢复技术获取电子证据在理论上是可行的。
但由于计算机取证的特点和要求，计算机取证中的数据恢复与传统数据恢复还有很多不同之处，主要体现在以下几个方面：（1）合法性：计算机取证是国家专有的、是公检法机关针对犯罪案件进行的重要环节，计算机取证中的电子证据必须具有合法性，而由于电子证据易被修改并不留痕迹和易受环境影响的特定，这就要求取证过程采用数据恢复技术必须符合法律规范，使用工具必须通过有关部门的认证，从而使得恢复后的数据能作为具有法律效力的证据。
而传统的数据恢复，是广泛向社会服务的，不一定涉及到法律问题，可能用作商业用途，也可能仅仅是个人需求。
（2）恢复对象和结果：传统的计算机数据恢复技术恢复的数据主要是应用文件，如客户专有的word文件、视频文件、照片文件等。
客户不仅关心文件内容，还关心文件的完整性，即恢复之后保证文件可以正常使用。
而在计算机取证中，恢复的对象不仅仅是应用文件还有系统文件，并且恢复结果不一定完整或可用。