版权说明：本文档由用户提供并上传，收益归属内容提供方，若内容存在侵权，请进行举报或认领
文档简介
班级:____学号:_______姓名:_______实验名称：数据恢复技术实验目的通过之前的学习我们了解到了一些关于NTFS文件系统的根本知识,知道它具有很高的平安性和稳定性,同时也提供了容错结构日,是目前比拟常用的文件系统之一.我们在了解了NTFS文件系统根本结构的根底上,学习了其卷中文件的删除及其恢复原理:即在NTSF卷中删除一个文件后,系统会至少在三个地方做改变,一是该文件MFT头偏移16H处的一个字节置为”00H”,二是其父文件夹的90H属性会做相应的改变,三是在为题元数据文件中把该文件所占用的簇对应位置置为”0”.通过此次试验,一方面对NTFS文件系统的结构进行进一步的了解,通过具体的实例,分析具体的文件结构;另一方面将恢复原理进行实际应用,提高学生的动手实践能力.实验内容在winhex中对虚拟U盘中的数据进行分析，找出文件“”的MFT、数据区等信息；将文件“”删除，观察磁盘中的数据会出现什么变化；利用NTFS数据恢复的原理，将删除的文件“”恢复到其他的磁盘当中；实验操作步骤及截图安装虚拟U盘软件“vdisk”，并在其中创立一个虚拟U盘，并格式化为NTFS文件系统；将素材文件拷贝到虚拟U盘中；翻开winhex软件，翻开虚拟U盘对应的磁盘数据；进入文件系统的MFT，跳转到文件记录5〔是NTFS系统元数据文件之一，是文件系统的根目录，主要存储虚拟U盘中根目录下文件的一些信息，通过对该MFT的A0H属性的分析，可以找到文件的索引项〕，如下图：根目录MFT根据根目录MFT的AOH属性〔索引分配属性，根目录的索引分配属性定义了根目录索引的运行开始VCN和结束VCN，以及数据运行的起始LCN和占用的簇数〕的数据运行数据，我们可以跳转到根目录的索引分配数据上：A0H属性头A0H属性头A0H的属性体，是一个数据运行A0H的属性体，是一个数据运行该数据运行表示：该数据共占用1个簇，且起始簇号为2CH即第44簇该数据运行表示：该数据共占用1个簇，且起始簇号为2CH即第44簇跳转到44簇，查看根目录的索引表，找到文件“”的索引项，分析索引项可得到该文件的MFT参考号为26号：该文件的MFT顺序号为26号该文件的MFT顺序号为26号文件“”的索引项文件“”的索引项跳转到26号文件记录〔即“”的MFT〕，查看他的80H属性，附属性头的38H偏移获得文件的大小：，即2408字节；属性体的数据运行中获得数据的起始簇号和所占簇数：，该文件占一个簇，其实簇号为25H，即37号簇文件的MFT该文件正在被使用80H属性文件的MFT该文件正在被使用80H属性文件大小文件起始簇号根据上一步中找出的起始簇号和文件的大小，即可找到文件“”的数据区域对数据区进行选块选块完成的数据区在虚拟U盘中将文件“”删除查看该文件的MFT的变化，MFT的1
温馨提示
- 1. 本站所有资源如无特殊说明，都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
- 2. 本站的文档不包含任何第三方提供的附件图纸等，如果需要附件，请联系上传者。文件的所有权益归上传用户所有。
- 3. 本站RAR压缩包中若带图纸，网页内容里面会有图纸预览，若没有图纸预览就没有图纸。
- 4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
- 5. 人人文库网仅提供信息存储空间，仅对用户上传内容的表现方式做保护处理，对用户上传分享的文档内容本身不做任何修改或编辑，并不能对任何下载内容负责。
- 6. 下载文件中如有侵权或不适当内容，请与我们联系，我们立即纠正。
- 7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。
评论
0/150
提交评论