第22讲-NTFS文件系统数据恢复

任务4NTFS文件系统数据恢复一、教学分析任务名称任务4NTFS文件系统数据恢复课程名称数据备份与恢复课程性质专业核心课专业名称信息安全管理课程类型理实一体先修课程信息安全技术与实施后续课程计算机取证技术与应用授课方式线上线下混合、工单任务、虚拟仿真、小组合作授课学时2学时授课时间2022.5.16、2022.5.17授课地点理实一体化教室4103、4405、15-201授课班级信安2002、信安2003、信安2004、信安2005授课教师高灵霞、廖艳授课教材国家“十二五”规划教材《数据恢复技术》、1+X证书制度试点教学用书《数据备份与恢复》内容分析NTFS文件系统中，$MFT文件中存放了卷中所有的文件属性信息，它是恢复数据的重要文件。我们如何定位用户文件的记录项，分析文件属性、文件名、日期及簇的分配，提取文件中的数据。这是学习NTFS数据恢复的一个非常重要的过程。要求：读取以下文件数据组成新文件，判断是否与原文件内容一致。学情分析知识技能基础1.通过任务5的学习，学生已经掌握了NTFS分区结构，了解了常见属性，对文件底层数据提取提供了一定的理论基础2.通过学情调研测试，发现有3名学生对文件底层数据提取相关问题回答错误，说明对文件底层数据提取的相关知识学习有待进一步提高认知实践能力1.通过任务5的学习，学生能够识别不同的分区类型，熟悉常见的文件属性，了解了文件底层数据提取。2.通过课前调研了解了文件底层数据提取提取方法。但是测试显示，学生对文件底层数据提取的学习有待提高学习特点1.学生喜欢借助手机APP、微课、动画、仿真软件等信息化手段学习2.学生实操欲望较强，具有一定的自主学习能力，喜欢挑战任务，通过完成任务来获得成就感教学目标素质目标注重工作流程和操作规范良好的职业道德教育学生能立足专业，遵守数据恢复工程师职业操守和注意事项知识目标学生掌握用户文件记录项的搜索判断方法学生掌握常见属性10H、30H、80H的分析方法学生掌握非常驻属性分析、索引运行项分析方法学生掌握提取文件数据的方法能力目标学生能够搜索NTFS分区中用户文件的文件记录项，并进行判断分析。学生能够分析80H的非常驻属性，索引运行项，分析文件存放结构。学生能读取用户文件数据组成新文件。学生通过文件提取，全面提升分析、计划、实施和监控数据备份与提取任务的能力教学重点及解决措施教学重点：分析文件记录项中记录头和属性列表信息，掌握10H属性、30H属性，根据80H属性，提取文件数据解决措施：1.课前布置任务，学生查阅资料，了解文件底层数据提取理论课中教师引导，构建虚拟仿真环境，小组合作，指定解决方案，进行仿真验证课后要求学生仿真结构，强化技能，并安排学生到数据恢复与计算机取证研究中心进行实战，拓展能力教学难点及解决方案教学难点：非常驻属性80H中文件数据的提取解决措施：课前将文件存储结构资料，发放到学生电脑，学生能提前熟悉难点知识点在仿真实验中，课中通过仿真实验分析强调非常驻属性80H中文件数据的提取方法和原理课后要求学生仿真结构，来强化对非常驻属性80H中文件数据的提取的原理二、教学策略教学资源中国大学MOOC学习网址：/learn/preview/cqcet-1002526030?tid=1463444550课程资源（微课、PPT、动画、作业、测试、讨论）自主学习，个性化学习中国大学慕课堂慕课堂二维码：全程教学管理、实时采集数据，记录学生的学习行为，学生成绩评定和调整教学策略。动画课件辅助学习，帮助理解，攻克教学难点。企业案例工学结合，以工单任务，引出本次课的任务，提高学习兴趣。虚拟仿真通过虚拟结构磁盘验证数据恢复的效果，降低实训成本,优化设计方案。企业级实训基地通过数据恢复与计算机取证研究中心，推动产教融合，提供技术交流服务。技术论坛技术论坛“硬盘基地”：/；学习数据备份与恢复的新技术,新应用，拓展视野。QQ群师生交流，答疑解惑，企业导师分享案例与经验。教学策略课程以“德技并修”为逻辑起点，秉承“学生为主体、教师为主导”的育人理念，以项目为驱动，实施“德育”与“专业”双线育人模式，“博学、审问、慎思、明辨、笃行”为学生学习的阶梯线，“模-诊-练-验-战”为课堂实施的教学线，双线并举，以传统文化之魂，探数据备份与恢复之魄，涵养学生新时代精神，实现知识目标和价值目标的协调统一，尽职履责捍卫国家数据安全，护航国家迈入数字经济蓝海。三、教学整体设计项目四：析结构、找文件任务4NTFS文件系统数据恢复项目四：析结构、找文件任务4NTFS文件系统数据恢复四、教学实施.课前准备环节（用时）内容教师活动学生活动设计意图测学情模场境【检测学情】查阅资料，了解NTFS分区中文件底层数据提取方法在慕课堂完成课前测、在线讨论【模拟场境】通过虚拟磁盘技术模拟文件底层数据提取训练场境1.查资料：慕课堂推送学习资料，布置资料查询任务。2.答疑惑：慕课堂平台讨论区答疑，聚焦学生疑点。3.课前测：慕课堂平台推送课前检测题单。4.模场景：依据教学内容，学情分析，通过虚拟磁盘技术模拟训练场环境。1.析任务：登录慕课堂，下载学习资料，查看课前和课中任务。2.互合作：小组协作，完成课前查询资料，上传慕课堂。3.勤自学：在中国大学MOOC平台，自主分析文件目录表结构。4.先预习：完成课前测题单，在讨论区师生、生生交流。1.教师以“模”为策略，引出课堂任务。2.学生通过查阅资料，线上自主探究NTFS分区中文件底层数据提取方法，结合课前测，完成专业知识考核，引导学生“博学”。3.教师通过课前测过程性评价结果。依据教学目标、结合学情，模拟训练场境，确定教学重难点给出解决方案。课中探究环节（用时）内容教师活动学生活动设计意图析任务（10分钟）【分析任务】发放任务工单要求学生需要完成任务1.发任务：任务工单发放学生2.做要求：教师要求学生要求1：查看任务工单中任务需求要求2：阅读知识链接要求3：回答我们要学哪些知识，觉得难点在哪里？1.忆结构：学生接收任务工单，查看任务需求，回顾$MFT文件记录项的组成。2.阅知识：阅读任务工单中的知识链接。3.多思考：思考回答要学习哪些内容，学了哪些内容，觉得哪里比较难，学习的目的。1.通过故障展示，理解文件底层数据提取的原理2.“诊”知识要点，体会数据恢复的重要性，明确任务需求。探真知（20分钟）【探索真知】引导学生完成工单任务巩固基础知识，10H、30H属性讲解80H属性，分析索引运行项明任务：李先生的计算机中保存了一份重要的项目策划书，经过了多次修改。在最后一次修改后，本想把文件发给上司的，结果在清理临时文档的时候不小心删错了。眼看马上就要交稿了，李先生只有请工程师小王来恢复这个文档。小王正在学习NTFS结构，正好可以尝试一下手工恢复文件，展示自己的能力。做要求：恢复以下删除的文件信息。关知识：（1）这份文档可能有几十KB到几百KB，并且这个文件被多次编辑，很可能被分割为多个部分存放。要恢复它就得首先找到该文件的文件记录项，然后分析80H属性，把数据分别读取出来，再合并为完整的文件。（2）MFT主控文件表中存放了文件的记录项，记录项由记录头和属性列表组成。（3）记录头中的偏移位置16H-17H记录文件标志，00表示删除文件，01表示使用文件。（4）属性中10H记录文件基本信息属性，30H记录文件名属性，80H记录文件数据属性。通过文件名属性定位文件的记录项，80H属性读取并分析文件数据属性，是学习NTFS数据恢复的重要基础技能。知识引入：1.介属性80H属性介绍A．80H属性是存放文件数据的属性，正常情况下无属性名。B．80H属性有可能是常驻，也可能非常驻，根据属性头来判断。C.文件数据提取1）如果80H属性是常驻属性，则在属性头之后就是数据内容，属性头占18H个字节。2）若是非常驻属性，属性头占40H个字节，之后的属性内容就是数据运行表了，在属性头的偏移30H处给出了属性内容（文件数据）的实际字节数。3）若80H属性是非常驻属性，则属性头信息非常驻属性（提示）2.分索引：索引表结构分析如果某个文件被分割存放，则每个运行块记录依次排列，最后以“00”结束。运行项从偏移40H处起始，描述了一个至多个区块。下面看一个实际的例子，该80H属性有两个运行项提问题：提问1：此图对应文件的运行索引项有几项？提问2：此图表示文件每部分的起始LCN号和占用簇数分别多少？提问3：根据运行索引项信息提取的文件数据，最后一项再提取数据时是否考虑文件真实大小？3.讲原理：删除文件的原理NTFS分区在删除一个文件的时候，主要做了三件事情：一是在主控文件表中找到该文件的记录项，把偏移16H字节处第0位置0，表示文件已删除；二是在目录索引缓冲区中，将该文件的索引项删除掉（其实是重写索引缓冲区）；第三：在位图元文件$Bitmap中将对应簇释放（对应位标记为0）。提问提：删除文件能不能根据文件记录项的文件标志，修改成使用文件就可以还原文件信息？4.恢复法：恢复数据的方法由于NTFS有日志功能，所以不能直接修改文件系统结构信息来还原文件。要想恢复数据，得按以下的大致步骤：以Unicode编码搜索文件名，找到该文件所在的MFT记录项。检查并判断该文件记录项是否正确。读取文件数据内容，写入到另一个盘中。判断正确文件记录项的要点：搜寻到的位置是否在文件记录项中。偏移16H处是否记录为已删除。偏移2CH处的MFT编号是否正常。搜寻到的文件名是否处于30H属性中。判断父目录的MFT编号是否正确。1.引任务：学生熟悉今天要完成的工单任务，根据任务延申学习内容，学会分析问题，找出重点，提高解决问题的能力。2.析属性：学生能够学会分析根据30H文件数据属性，知道文件名和父目录文件编号，80H记录文件数据属性。通过文件名属性定位文件的记录项，80H属性读取并分析文件数据属性，是学习NTFS数据恢复的重要基础技能。3．记知识：（1）80H属性介绍A．学生知道80H属性是数据属性，有可能是常驻属性，也有可能是非常驻属性。是实现文件恢复的重要属性。B．学生掌握若80H是常驻属性，属性内容就是文件数据，属性内容大小就是文件真实大小。C．学生掌握若80是非常驻属性，非常驻属性头如何获取文件真实数据大小，分配空间大小D．掌握非常驻属性的属性头结构4.学技能：学生分析文件80H的非常驻属性头，指出文件分配空间及文件真实大小，虚拟起始VCN和虚拟结束VCN。5.算索引：索引表结构分析计算学生能够清楚若80H属性为非常驻属性，属性内容中存放的时文件数据运行信息，也称索引运行结构表由若干个运行块组成，最后以“00”结束。学生能够分析索引运行结构表中每一项内容的结构信息。答问题：问题1：此图对应文件的运行索引项有几项？2项问题2：此图表示文件每部分的起始LCN号和占用簇数分别多少？第1项：起始LCN100H，占用簇数4第2项：起始LCN150H，占用簇数3问题3：根据运行索引项信息提取的文件数据，最后一项再提取数据时是否考虑文件真实大小？要考虑。技能掌握：学生能够根据运行索引表结构，提取文件的每部分数据，组成新文件。6.明原理：删除文件的原理学生掌握NTFS分区删除文件，做了3件事：文件记录项中文件标志显示删除。目录索引缓冲区中，文件的索引项被删除文件所占的簇的信息，标记空闲根据删除原理，清楚恢复文件数据可以通过文件记录项中80H属性恢复。学技能：学生能够根据删除文件的文件名，找到删除文件的文件项，分析80H属性，可以恢复文件数据的思路。答问题：删除文件能不能根据文件记录项的文件标志，修改成使用文件就可以还原文件信息？不能。7.恢复法：恢复数据的方法学生掌握恢复文件数据的方法:A.以Unicode编码搜索文件名，找到该文件所在的MFT记录项。检查并判断该文件记录项是否正确。读取文件数据内容，写入到另一个盘中学技能：学生能够提取文件名的Unicode编码。学生能够搜索文件的记录项学生能够判断记录项的正确性学生能够通过分析80H属性恢复文件数据。1.引导学生“审问”，理解重难点知识。2.小组活动，教师引导共同探究80H属性，分析索引运行项。3.掌握数据恢复技术及注意事项，便于优化方案，合理设计实施计划。练技术（40分钟）【演练技术】指导学生完成文件底层数据提取1.明任务：任务一：“姓名学号后三位.doc”文件数据提取指导并检查学生搜索文件的记录项，判断记录项的正确性，根据80H属性提取文件中的数据。任务二：删除文件“姓名学号后三位.doc”数据恢复2．做指导：指导学生修改word文档中的内容，通过“shift+Delete”命令删除，通过搜索文件记录项，分析80H属性中的非常驻属性头和属性内容文件索引项的分析，提取文件数据组成新文件。并检查每个同学的数据恢复情况。3.守规范：在指导过程提醒学生尊重操作规范，发扬大国工匠精神，精益求精。4.讲技能：查看学生完成情况，必要时给与总体技能传授5．做评价：在实验过程中，进行综合评价1.提数据：（1）学生完成“姓名学号后三位.doc”文件记录项的搜索并分析其组成，根据80H属性提取文件数据。通知老师检查（2）学生完成word文档的修改并彻底删除操作后，根据80H属性中的非常驻属性头和属性内容文件索引项的分析，提取文件数据组成新文件。配合并通知老师检查。2.探疑问：在任务实施中，存在疑问小组讨论或与教师一起探讨。【育人案例】2020年4月16日，青岛胶州中心医院6千余人就诊名单泄露.微信朋友圈中流传着出入胶州中心医院的数千人名单，涉及相关人员个人信息，已严重影响个人生活，并被谣传感染了新冠肺炎。1.教师加强指导，学生“慎思”，寻找问题解决方法。2.课中“练”，通过仿真实践，锻炼学生通过文件底层数据提取操作系统使用的技能。3.教师过程性评价学生完成情况，在实践中引导学生耐心专注，逐步养成热爱劳动的良好习惯，达自立。验成效（20分钟）【检验成果】检验学生成效，总结经验划重点：（1）如何查找文件的文件记录项？在$MFT文件，搜索文件名对应的Unicode的编码，根据记录头中文件标志和30H属性中父目录编号，判断文件记录项是否正确。（2）80H属性是非常驻属性如何提取文件数据？80H属性是非常驻属性，根据属性头记录文件真实大小，虚拟起始和结束簇号，文件分配大小，然后通过分析运行索引信息提取文件的每部分数据，组合成文件。（3）非常驻属性头的结构分析重要参数有哪些，数据索引运行表分析？属性头的重要参数时偏移08H位置记录非常驻标志01，根据10H-17H偏移记录文件虚拟起始VCN号，18H-1FH偏移记录虚拟结束簇号VCN。根据30H-37H偏移记录文件真实大小，分析最后1个簇所占的扇区和字节数。通过运行索引分析文件每部分的起始LCN和占用簇数提取文件每部分数据。（4）分析数据运行索引项，如何根据起始簇号和文件所占簇数提取文件数据？做总结:（1）查找文件记录项的方法，就是在$MFT文件，搜索文件名对应的Unicode的编码，根据记录头中文件标志和30H属性中父目录编号，判断文件记录项是否正确。（2）80H属性是非常驻属性，根据属性头记录文件真实大小，虚拟起始和结束簇号，文件分配大小，然后通过分析运行索引信息提取文件的每部分数据，组合成文件。（3）80H属性是非常驻属性中属性头的重要参数时偏移08H位置记录非常驻标志01，根据10H-17H偏移记录文件虚拟起始VCN号，18H-1FH偏移记录虚拟结束簇号VCN。根据30H-37H偏移记录文件真实大小，分析最后1个簇所占的扇区和字节数。通过运行索引分析文件每部分的起始LCN和占用簇数提取文件每部分数据。（4）分析数据运行索引项，根据每部分的起始簇号定位文件所在的起始扇区号，根据跳转偏移位置，输入所占簇数*8对应的扇区数，前移动1个扇区就是此文件部分的最后1个扇区，来提取文件数据。把每部分数据保存成文件最后组成一个新文件恢复文件数据。

1.师生共“验”，展示成果，分享经验，促进小组之间相互学习，取长补短，达成共同进步。2.提高学生表达能力，增加自信，通过“明辨”，拓展思路，学习其他同学好的想法。3.教师引导学生梳理知识点，巩固知识和技能，提高学生总结概括能力。3.课后拓展环节（用时）内容教师活动学生活动设计意图仿结构【模仿结构】做仿真，模拟文件底层数据提取，进行分析1.布任务：协助学生模拟文件底层数据提取仿真。2.做改进：学生任务工单，分析学情完善教学策略1.小组活动，通过虚拟磁盘技术模拟文件底层数据提取，进行仿真恢复。2.完善任务工单，上传学习通1.教师和学生遵守“耐心专注”的职业素养。2.通过仿真，模拟磁盘故障，拓展技能，“笃行”。3.通过数据恢复与计算机取证研究中心进行数据恢复训练提升能力，强化实“战”。4.形成终结性评价考核结果，以小组互评，教师评价的方式，达成课程培养目标。强实战【强化实战】到数据恢复与计算机取证研究中心进行数据恢复实战组织学生到数据恢复与计算机取证研究中心，观摩学习或参与磁盘恢复实战协同数据恢复大赛指导教练对学生进行现场指导。学生小组活动，认真观摩学习磁盘恢复技术、积极参与实战。积极参加数据恢复大赛学生团队，争取通过选拔。五、考核评价评价方式采用专业教师、小组互评、自评、平台考核等多元评价方式，学生成绩客观、公正、透明、真实。课程评价标准与方式：（1）课前测：根据中国大学慕课堂平台记录的学习数据成绩。（2）模块测：依据学生完成效果，授课教师评阅，学习通平台记录测试成绩。（3）工单任务：由考勤记录（30%分）、课堂表现（20%）、实施成效（50%）三方面平时考勤：迟到早退各扣1分，旷课扣2分，提前10分钟激励1分。以平均分达到满分，按比例打分。（扣分超过10，总评0）课堂表现：课程中的案例、思考、练习，鼓励学生主动参与讨论、分享思路、帮助同学，表现突出的，当场记录加1~2分，若有影响课堂学习的（如：睡觉、玩手机）当场记录扣2分。总评以最高分达到满分，按比例打分。实施成效：依据完成工单任务成效每次得分1-2分，总评以最高分达到满分，按比例打分（4）实战拓展：以提交学习通中工单任务报告，采用教师评价，学生互评方式，学习通平台记录成绩。（5）期终考评：线上采用中国大学MOOC成绩，线下由教学团队统一规划出题考试教学效果1.学生通过课前查阅资料，了解文件底层数据提取原理。2.通过师生共同探究，掌握文件底层数据提取方法。3.通过课中仿真实验与恢复成效展示，学会了使用磁盘编辑工具Winhex、虚拟磁盘工具。特色创新1.利用磁盘编辑工具文件底层数据提取方法和原理，培养学生“立足专业”分析文件存储结构，能“自立”完成任务。2.采用虚拟磁盘技术，仿真实验环境，节约成本3.采用工单任务，工学结合，模拟职场情境，提高学生综合职业技能。反思改进1.通过课前测，有92%学生掌握知识技能，8%左右学生知识不牢固，提出预警差异指导对应学生。2.通过课堂师生交流，知识讲授与技能培养掌握情况良好，要加强操作技能检查，改进教学策略。3.通过工单任务完成情况以及学生自我评价，改进工单任务内容。项目四文件系统数据恢复任务名称文件底层数据提取学时2班级学生姓名小组成员小组任务成绩个人任务成绩使用工具Winhex,磁盘管理工具学习场地实训机房日期任务需求小王同学的计算机中保存了一些重要的数据，因病毒破坏导致硬盘内数据无法打开。小王正在学习NTFS结构，正好可以尝试一下手工提取文件，展示自己的能力。要求：提取以下提取的文件信息。任务目的学生能够根据文件名，搜索文件的记录项学生能够分析用户文件的80H属性，读取文件数据的能力学生能够提取已提取的文件数据学生能够全面提升分析、计划、实施和监控数据备份与提取任务的能力资料查阅查阅资料，了解NTFS分区中文件底层数据提取方法计划与决策根据任务需求，提供采用提供可行的解决方案。学生能够分析NTFS分区，读取用户文件属性检验是否与真实相符学生根据文件的记录项、提取NTFS分区文件数据。学生能够注重工作流程和操作规范，能遵守数据提取工程师职业操守和注意事项任务4.5文件底层数据提取

任务实施；知识链接（任务一：恢复文本文件中的数据------------80H常驻属性内容提取（1）在虚拟机中选择一个NTFS分区（如果没有，可格式化一个），本例假设D盘。在根目录下拷贝实验文件夹中的文件，然后修改文件名为自己姓名学号后三位。=1\*GB3①提示：先复制图片文件，在复制Word文件，最后文本文件。=2\*GB3②打开word文件中输入自己信息。=3\*GB3③然后使用Shift+Delete键进行删除图片文件与word文件。使用Winhex打开该分区，单击浏览目录项中的文本文件，打开该文件对应的是否是文件记录项？截图并回答问题文本文件对应的文件记录项由记录头、10H属性、30H属性、结束标志FFFFFFFF组成。=1\*GB3①读取记录头中属性值。（截图并回答问题）1）偏移00-03H（4字节):MFT文件记录项标志？2）偏移14-15H（2字节）：第一个属性的偏移地址？第一个属性是什么属性？3）偏移16-17H（2字节）：标志是什么，代表含义？如：“00H”代表已删除文件；“01H”代表文件；“02H”代表已删除目录；“03H”代表目录。4）偏移2C---2FH：此文件的MFT记录编号，NTFS用此编号来识别文件？=2\*GB3②读取30H属性头（截图并回答问题）1）30H属性的大小2）查看08H处：是否是常驻属性3）查看09H处：该属性有没有属性名4）查看14-15H处：属性内容的起始位置=3\*GB3③读取30H属性内容（截图并回答问题）1）偏移00-03H：父目录的文件参考号（MFT头的记录编号，偏移2CH）2）偏移40H：文件名长度3）偏移41H:文件名的命名空间4）偏移42H：Unicode编码的文件名=4\*GB3④读取80H属性判断是否是常驻属性？若是常驻属性，则文件的真实大小字节，读取文件属性内容，提取内容保存在桌面上。并打开文件数据。任务二：恢复图片文件中的数据------------80H非常驻属性内容提取使用Winhex工具，单击浏览目录项中的图片文件，截图判断打开是否是文件记录项。若不是文件记录项，截取图片文件名对应的十六进制值。在$MFT文件中，查找图片文件对应的文件记录项（截图）=1\*GB3①读取记录头中属性值。（截图并回答问题）1）偏移00-03H（4字节):MFT文件记录项标志？2）偏移16-17H（2字节）：标志是什么，代表含义？如：“00H”代表已删除文件；“01H”代表文件；“02H”代表已删除目录；“03H”代表目录。3）偏移2C---2FH：此文件的MFT记录编号，NTFS用此编号来识别文件？=2\*GB3②读取30H属性内容（截图并回答问题）偏移00-03H：父目录的文件参考号（MFT头的记录编号，偏移2CH）=3\*GB3③读取80H属性头（截图并回答问题）1）根据属性头查看08H处：是否是常驻属性2）若是非常驻属性起始VCN簇号：结束VCN簇号：文件分配大小：文件真实大小：占扇区数/余字节=4\*GB3④读取80H属性内容（截图数据运行表