恢复实验报告模板.docx

《恢复实验报告模板.docx》由会员分享，可在线阅读，更多相关《恢复实验报告模板.docx（7页珍藏版）》请在第一文库网上搜索。

1、班级: 学号: 姓名:实验名称：数据恢复技术一、实验目的通过之前的学习我们了解到了一些关于NTFS文件系统的根本知识,知道它具有很高的 平安性和稳定性，同时也提供了容错结构日，是目前比拟常用的文件系统之一.我们在了解 了 NTFS文件系统根本结构的根底上，学习了其卷中文件的删除及其恢复原理：即在NTSF卷 中删除一个文件后，系统会至少在三个地方做改变，一是该文件MFT头偏移16H处的一个字 节置为“ OOH，二是其父文件夹的90H属性会做相应的改变，三是在为题元数据文件中把 该文件所占用的簇对应位置置为“ 0” .通过此次试验，一方面对NTFS文件系统的结构进行进一步的了解，通过具体的实例，分

2、 析具体的文件结构；另一方面将恢复原理进行实际应用，提高学生的动手实践能力.二、实验内容1、在WinheX中对虚拟U盘中的数据进行分析，找出文件”的MFT、数据区等信息； 2、将文件“删除，观察磁盘中的数据会出现什么变化；3、利用NTFS数据恢复的原理，将删除的文件”“恢复到其他的磁盘当中；三、实验操作步骤及截图1、安装虚拟U盘软件“vdisk”，并在其中创立一个虚拟U盘，并格式化为NTFS文件系统;2、将素材文件拷贝到虚拟U盘中；3、翻开WinheX软件，翻开虚拟U盘对应的磁盘数据；4、进入文件系统的MFT,跳转到文件记录5 （是NTFS系统元数据文件之一，是文件系统 的根目录，主要存储虚拟

3、U盘中根目录下文件的一些信息，通过对该MFT的AOH属性的 分析，可以找到文件的索引项），如下图：转到文件记录TeI文件记录：5，确定 助肖Offset0 1 2 3 4 5 6 7 89ABCDEF/ I / 3 I021AB40046 49 4C 45 30 00 03 00 63 41 10 00 00 00 00 00FILED cA021AB41005 00 01 00 38 00 03 00 88 02 0 D D4 00 8 I021AB42000 00 00 00 00 00 00 00 OA 00 0000 0 00 0000021AB430Ub UU U/ UU UU UU

4、 UU UU IU UU UU UU 4b ID: 5UU UUH021AB44000 00 18 00 00 00 00 00 30 00 00 00 18 00 00 000021AB450D9 AC Al 5E 69 8C CF 01 89 78 IC 77 69 8C CF 01U-iilI Ix will021AB46089 78 IC 77 69 8C CF 01 89 78 IC 77 69 8C CF 01Ix will Ix will021AB47006 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00021AB48030 00 00

5、00 60 00 00 00 00 00 18 00 00 00 01 000、021AB49044 00 00 00 18 00 01 00 05 00 00 00 00 00 05 00D021AB4A0D9 AC Al 5E 69 8C CF 01 D9 AC Al 5E 69 8C CF 010-ii CJrLiIi021AB4B0D9 AC Al 5E 69 8C CF 01 D9 AC Al 5E 69 8C CF 01u-,rii UrlAiIf021AB4C000 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00021AB4D006 00

6、 00 10 00 00 00 00 01 03 2E 00 00 00 00 00021AB4E050 00 00 00 68 00 00 00 00 00 18 00 00 00 02 00P h021AB4F050 00 00 00 18 00 00 00 01 00 04 80 30 00 00 00P10021AB50040 00 00 00 00 00 00 00 14 00 00 00 02 00 IC 00021AB51001 00 00 00 00 03 14 00 FF 01 IF 00 01 01 00 00y021AB52000 00 00 01 00 00 00 00

7、 01 02 00 00 00 00 00 05021AB53020 00 00 00 20 02 00 00 01 02 00 00 00 00 00 05021AB54020 00 00 00 20 02 00 00 90 00 00 00 58 00 00 00X021AB55000 04 18 00 00 00 06 00 38 00 00 00 20 00 00 008021AB56024 00 49 00 33 00 30 00 30 00 00 00 01 00 00 00$13 0 0021AB57000 10 00 00 01 00 00 00 10 00 00 00 28

8、00 00 00(021AB58028 00 00 00 01 00 00 00 00 00 00 00 00 00 00 00(021AB59018 00 00 00 03 00 00 00 00 00 00 00 00 00 00 00根目录MFT5、根据根目录MFT的AOH属性（索引分配属性，根目录的索引分配属性定义了根目录索 引的运行开始VCN和结束VCN,以及数据运行的起始LCN和占用的簇数）的数据运行数 据，我们可以跳转到根目录的索引分配数据上：AOH属性头021AB59018 00 00 00 03 00 00 00 00 00 00 00 00 00 00021AB5102IA

9、B 5(02IAB 51021AB5I0 00 0AO 0048 00240000001000000000004900000000005000000033000000000000000000000000000100000004001010400000000000000000000000000000000800000000000000003。Ii CIl 2C 0口 00 CIO OO IeIo021AB5F0BO 00 00 00 28 00 00 00 00 04 18 00 00 00 05 00AOH的属性体,该数据运行表示： 该数据共占用1个 簇，且起始簇号为 2CH即第44簇00 1

10、0 00 00 00 00 OC 00 10 00 00 00 00 0( Tt 01 2 00 00 00 0( 00 04 18 00 00 00 0524 00 49 00 33 00 3Q是一个数据运行8 Bit (): 4416 Bit () 4432 Bit () 44 1 Qa 6、跳转到44簇，查看根目录的索引表，找到文件”的索引项，分析索引项可得到该文件的MFT参考号为26号:转到扇区。逻辑(L):扇区：352=簇：IT二件的索引0002C610Q02C620 0030 002C64t该文件的MFT顺序 号为26号确定(Q)物理(P):柱面小t道磁头/S(H): 扇区：取消(

11、A)UbUUWWUUUO05008978IC77698CCF01006946FFA944CF01E9D9IE77698CCF018978IC77698CCF01001000000000000068Q9QQQQQQQOQQOO20000000000000000703530057004B002E006A0070006700000000000000000010000000020000000002C6500002C6600002C6700002C680660口 PE ClO Frm 7 n力。0 00 CIo oo oo CtO 0口0 00 00 00 00 01 00 60 00 50 00 00

12、 00 00 00f.txt & PIX wi11 iFyDI eU will IX wi11 hS W K . j p g7、跳转到26号文件记录(即“的MFT),查看他的80H属性，附属性头的38H偏移获得文件的大小：68 09 00 00 00 00 00 00 ,即2408字节；属性体的数据运行中获得数据的起始簇号和所占簇数：H 01 25 00 01 00 00 00 ,该文件占一个簇，其实簇号为25H,即37号簇80H属性该文件正在 被使用文件的MFTOffset0 1 2 3 4 5 6 789 AKCDEF/匚，L021B380046 49 4C 45 30 0003 00 8

13、1 42 10 00 M 00 00 00FILED B021B381001 00 01 00 38 io Ol OP 50 01 00 OO 0004 00 008 P021B382000 00 00 00 00 00 00 00 03 00 00 po 26 00 00)0&021B383002 00 00 00 00 00 00 00 10 00 00 00 60 00 00 00*021B384000 00 00 00 00 00 00 00 48 00 00 00 18 00 00 00H021B385089 78 IC 77 69 8C CF 01 00 69 46 FF A9 4

14、4 CFJlIx will iFyDI021B3860E9 D9 IE 77 69 8C CF 01 89 78 IC 77 69 8C CF31eU will Ix will021B387020 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00021B388000 00 00 00 05 01 00 00 00 00 00 00 00 00 00 00021B389000 00 00 00 00 00 00 00 30 00 00 00 68 00 00 000 h021B38A000 00 00 00 00 00 02 00 50 00 00 00 18 00 01