目 錄
第壹篇 數據恢復入門與進階知識儲備
第1章 計算機中數據的記錄方法 2
1.1 數據的表示方法 2
1.1.1 計算機中數據的含義 2
1.1.2 數值數據在計算機中的表示方法 6
1.1.3 字符數據在計算機中的表示方法 10
1.1.4 圖形數據在計算機中的表示方法 13
1.2 數據存儲的字節序與位序 14
1.2.1 Endian的含義 14
1.2.2 Little-endian的含義 15
1.2.3 Big-endian的含義 15
1.2.4 字節序與CPU架構的關系 15
1.2.5 位序的含義 16
1.3 數據的邏輯運算 17
1.3.1 邏輯或 17
1.3.2 邏輯與 18
1.3.3 邏輯非 18
1.3.4 邏輯異或 18
1.4 數據恢復中常用的數據結構 19
1.4.1 數據結構簡介 19
1.4.2 樹 21
1.4.3 二叉樹 23
1.4.4 B樹、B-樹、B+樹和B*樹 24
1.4.5 樹的遍歷 27
第2章 現代硬盤的結構揭秘 29
2.1 現代硬盤的物理結構揭秘 29
2.1.1 硬盤的外殼及盤標信息 29
2.1.2 硬盤的電路結構 32
2.1.3 硬盤的磁頭定位驅動系統 36
2.1.4 硬盤的主軸系統 37
2.1.5 硬盤的數據控制系統 37
2.1.6 硬盤的盤片 38
2.1.7 硬盤的區段及物理C/H/S 39
2.1.8 硬盤的接口技術 40
2.1.9 硬盤的主要性能指標 48
2.2 現代硬盤的邏輯結構揭秘 50
2.2.1 硬盤的邏輯磁道 50
2.2.2 硬盤的邏輯扇區 50
2.2.3 硬盤的邏輯柱面 51
2.2.4 硬盤的邏輯磁頭 52
2.2.5 硬盤的邏輯C/H/S 52
2.2.6 硬盤的28位LBA及48位LBA 52
第3章 學習及研究數據恢復的基本工具 54
3.1 磁盤編輯器類工具 54
3.1.1 WinHex使用方法詳解 54
3.1.2 DiskExplorer for Fat使用方法詳解 72
3.1.3 DiskExplorer for NTFS使用方法詳解 79
3.1.4 DiskExplorer for Linux使用方法詳解 81
3.2 虛擬工具 84
3.2.1 虛擬硬盤工具使用方法詳解 84
3.2.2 虛擬機使用方法詳解 87
第二篇 邏輯類數據恢復技術揭秘
第4章 Windows系統的數據恢復技術 92
4.1 Windows系統的MBR磁盤分區 92
4.1.1 主引導記錄MBR的結構和作用 92
4.1.2 主磁盤分區的結構分析 97
4.1.3 擴展分區的結構分析 103
4.1.4 MBR及EBR被破壞的分區恢復實例 109
4.1.5 分區誤刪除的恢復實例 121
4.1.6 系統誤Ghost後的分區恢復實例 129
4.2 Windows系統的動態磁盤卷 134
4.2.1 動態磁盤概述 134
4.2.2 動態磁盤卷的種類及創建方法 135
4.2.3 動態磁盤LDM結構原理詳解 137
4.2.4 MBR磁盤誤轉換為動態磁盤的恢復實例 161
4.2.5 動態磁盤擴展卷丟失的恢復實例 165
4.3 Windows系統的GPT磁盤分區 179
4.3.1 GPT磁盤分區基本介紹 179
4.3.2 GPT磁盤分區的創建方法 181
4.3.3 GPT磁盤分區的結構原理 185
4.3.4 GPT磁盤分區丟失的恢復實例 192
4.4 FAT16文件系統詳解 197
4.4.1 FAT16文件系統結構總覽 198
4.4.2 FAT16文件系統的DBR分析 198
4.4.3 FAT16文件系統的FAT表分析 203
4.4.4 FAT16文件系統的FDT分析 206
4.4.5 FAT16文件系統目錄項分析 208
4.4.6 FAT16文件系統根目錄與子目錄的管理 218
4.4.7 FAT16文件系統刪除文件的分析 219
4.4.8 FAT16文件系統誤格式化的分析 223
4.4.9 FAT16文件系統DBR手工重建的實例 226
4.5 FAT32文件系統詳解 229
4.5.1 FAT32文件系統結構總覽 229
4.5.2 FAT32文件系統的DBR分析 229
4.5.3 FAT32文件系統的FAT表分析 235
4.5.4 FAT32文件系統的數據區分析 237
4.5.5 FAT32文件系統目錄項分析 238
4.5.6 FAT32文件系統根目錄與子目錄的管理 242
4.5.7 FAT32文件系統刪除文件的分析 248
4.5.8 FAT32文件系統刪除文件後目錄項起始簇號
高位清零的分析 252
4.5.9 FAT32文件系統誤格式化的分析 257
4.5.10 FAT32文件系統DBR破壞的恢復實例 260
4.5.11 FAT32分區文件亂碼的手工恢復實例 261
4.5.12 FAT32分區被蘋果電腦誤格式化後的完美
恢復實例 267
4.6 NTFS文件系統詳解 277
4.6.1 NTFS文件系統基本介紹 277
4.6.2 NTFS文件系統結構總覽 278
4.6.3 NTFS文件系統引導扇區分析 280
4.6.4 元文件$MFT分析 285
4.6.5 文件記錄分析 287
4.6.6 10H屬性分析 296
4.6.7 20H屬性分析 298
4.6.8 30H屬性分析 298
4.6.9 40H屬性分析 302
4.6.10 50H屬性分析 303
4.6.11 60H屬性分析 308
4.6.12 70H屬性分析 308
4.6.13 80H屬性分析 309
4.6.14 90H屬性分析 313
4.6.15 A0H屬性分析 315
4.6.16 B0H屬性分析 315
4.6.17 C0H屬性分析 316
4.6.18 D0H屬性分析 317
4.6.19 E0H屬性分析 317
4.6.20 100H屬性分析 318
4.6.21 元文件$MFTMirr分析 318
4.6.22 元文件$LogFile分析 321
4.6.23 元文件$Volume分析 329
4.6.24 元文件$AttrDef分析 332
4.6.25 元文件$Root分析 334
4.6.26 元文件$Bitmap分析 336
4.6.27 元文件$Boot分析 337
4.6.28 元文件$BadClus分析 338
4.6.29 元文件$Secure分析 339
4.6.30 元文件$UpCase分析 341
4.6.31 元文件$Extend分析 342
4.6.32 元文件$ObjId分析 343
4.6.33 元文件$Quota分析 344
4.6.34 元文件$Reparse分析 346
4.6.35 元文件$UsnJrnl分析 347
4.6.36 NTFS的索引結構分析 348
4.6.37 手工遍歷NTFS的B+樹 352
4.6.38 NTFS的EFS加密分析 356
4.6.39 NTFS文件系統刪除文件的分析 358
4.6.40 NTFS文件系統格式化的分析 364
4.6.41 NTFS文件系統DBR手工重建的實例 367
4.7 ExFAT文件系統詳解 372
4.7.1 ExFAT文件系統基本介紹 372
4.7.2 ExFAT文件系統結構總覽 374
4.7.3 ExFAT文件系統的DBR分析 374
4.7.4 ExFAT文件系統的FAT表分析 378
4.7.5 ExFAT文件系統的簇位圖文件分析 379
4.7.6 ExFAT文件系統的大寫字符文件分析 380
4.7.7 ExFAT文件系統的目錄項分析 380
4.7.8 ExFAT文件系統根目錄與子目錄的管理 388
4.7.9 ExFAT文件系統刪除文件的分析 395
4.7.10 ExFAT文件系統誤格式化的分析 396
4.7.11 ExFAT文件系統DBR手工重建的實例 400
4.7.12 能夠支持ExFAT文件系統的恢復工具 404
4.8 Windows系統RAID恢復技術詳解 406
4.8.1 RAID基礎知識介紹 406
4.8.2 RAID級別詳解 407
4.8.3 硬RAID實現方法 413
4.8.4 軟RAID實現方法 416
4.8.5 RAID數據恢復原理 418
4.8.6 RAID起始扇區的分析方法 423
4.8.7 RAID條帶大小的分析方法 425
4.8.8 RAID成員盤的盤序分析 428
4.8.9 RAID-5校驗方向的分析方法 429
4.8.10 RAID-5數據同步與異步的分析方法 430
4.8.11 RAID恢復工具壹：WinHex 432
4.8.12 RAID恢復工具二：R-studio 434
4.8.13 RAID恢復工具三：Raid Reconstructor 437
4.8.14 RAID恢復工具四：FileScav 439
4.8.15 RAID恢復工具五：UFS Explorer 442
4.8.16 RAID恢復工具六：Getway Raid Recovery 442
4.8.17 服務器專業硬盤與數據恢復工作機的連接
方法 445
4.8.18 RAID恢復實例壹：Dell服務器RAID-5實
例分析 447
4.8.19 RAID恢復實例二：HP服務器RAID-5雙循環
實例分析 454
4.8.20 RAID恢復實例三：光纖陣列櫃12塊FC硬盤
RAID-5實例分析 457
4.8.21 RAID恢復實例四：IBM服務器RAID-5EE實
例分析 459
第5章 UNIX系統的數據恢復技術 466
5.1 UNIX家族介紹 466
5.1.1 UNIX的起源及分裂 466
5.1.2 UNIX分類及特點 467
5.2 UNIX的分區詳解 469
5.2.1 Solaris分區基本介紹 469
5.2.2 Sparc Solaris分區結構分析 471
5.2.3 Sparc Solaris分區恢復實例 476
5.2.4 x86 Solaris分區結構分析 479
5.2.5 x86 Solaris分區恢復實例 485
5.2.6 Free BSD分區結構分析 485
5.2.7 Free BSD分區恢復實例 490
5.2.8 Open BSD分區結構分析 493
5.3 UFS1及UFS2文件系統詳解 498
5.3.1 UFS文件系統基本介紹 498
5.3.2 UFS文件系統結構總覽 499
5.3.3 UFS文件系統的引導塊分析 500
5.3.4 UFS文件系統的超級塊分析 501
5.3.5 UFS文件系統的柱面組概要分析 517
5.3.6 UFS文件系統的柱面組描述符分析 518
5.3.7 UFS文件系統的位圖分析 522
5.3.8 UFS文件系統的i-節點分析 524
5.3.9 UFS文件系統的目錄項分析 531
5.3.10 UFS文件刪除與恢復的分析 535
5.3.11 UFS文件系統超級塊的恢復實例 544
5.3.12 UNIX系統數據恢復專業工具詳解 546
5.4 UNIX系統RAID恢復技術詳解 548
5.4.1 UNIX RAID結構參數的分析方法 548
5.4.2 Sun Solaris系統DAS-RAID-5恢復實例 550
第6章 Apple系統的數據恢復技術 558
6.1 Apple電腦介紹 558
6.1.1 Apple電腦的起源與發展 558
6.1.2 Mac操作系統的發展 559
6.2 Apple電腦的分區結構詳解 560
6.2.1 APM分區結構分析 560
6.2.2 APM分區恢復實例 568
6.2.3 GPT分區結構分析 572
6.3 HFS+文件系統詳解 574
6.3.1 HFS+文件系統基本介紹 574
6.3.2 HFS+文件系統結構總覽 577
6.3.3 HFS+文件系統的卷頭分析 577
6.3.4 HFS+文件系統的頭節點分析 584
6.3.5 HFS+文件系統的位圖節點分析 591
6.3.6 HFS+文件系統的索引節點分析 591
6.3.7 HFS+文件系統的葉節點分析 592
6.3.8 HFS+文件系統節點的綜合應用 593
6.3.9 HFS+文件系統的編錄文件分析 594
6.3.10 HFS+文件系統的盤區溢出文件分析 604
6.3.11 HFS+文件系統的分配文件分析 608
6.3.12 HFS+文件系統的屬性文件分析 609
6.3.13 HFS+文件系統的壞塊文件分析 610
6.3.14 手工遍歷HFS+的B?樹 610
6.3.15 HFS+文件刪除與恢復的分析 614
6.3.16 HFS+文件系統卷頭的恢復實例 617
6.3.17 Apple系統數據恢復專業工具詳解 618
6.4 Apple系統RAID恢復技術詳解 621
6.4.1 Apple RAID結構參數的分析方法 621
6.4.2 Apple RAID恢復實例分析 622
第7章 Linux系統的數據恢復技術 629
7.1 Linux系統介紹 629
7.1.1 Linux系統的起源與發展 629
7.1.2 Linux系統的分類及特點 630
7.2 Linux系統的分區結構詳解 631
7.2.1 MBR磁盤分區結構分析 632
7.2.2 MBR磁盤分區恢復實例 635
7.2.3 GPT分區結構分析 639
7.3 Ext3文件系統結構詳解 641
7.3.1 Ext3文件系統基本介紹 642
7.3.2 Ext3文件系統結構總覽 642
7.3.3 Ext3文件系統的超級塊分析 643
7.3.4 Ext3文件系統的塊組描述符分析 649
7.3.5 Ext3文件系統的塊位圖分析 651
7.3.6 Ext3文件系統的i-節點位圖分析 652
7.3.7 Ext3文件系統的i-節點分析 654
7.3.8 Ext3文件系統的目錄項分析 660
7.3.9 Ext3文件刪除與恢復的分析 663
7.3.10 Ext3文件系統超級塊的恢復實例 674
7.3.11 Linux系統數據恢復專業工具詳解 677
7.4 Ext4文件系統分析 680
7.4.1 Ext4文件系統介紹 680
7.4.2 Ext4文件系統的特點 681
7.4.3 Ext4文件系統的結構 682
7.4.4 Ext4文件系統的向前與向後兼容 684
7.5 Linux系統RAID恢復技術詳解 685
7.5.1 Linux RAID結構參數的分析方法 685
7.5.2 Linux RAID恢復實例分析 686
第三篇 物理類數據恢復技術揭秘
第8章 硬盤物理故障的種類及判定 698
8.1 硬盤外部物理故障的種類和判定方法 698
8.1.1 電路板供電故障 698
8.1.2 電路板接口故障 700
8.1.3 電路板緩存故障 700
8.1.4 電路板BIOS故障 701
8.1.5 電路板電機驅動芯片故障 701
8.2 硬盤內部物理故障的種類和判定方法 702
8.2.1 磁頭組件故障 702
8.2.2 主軸電機故障 703
8.2.3 盤片故障 704
8.2.4 固件故障 705
第9章 硬盤電路板故障的數據恢復方法 706
9.1 維修法 706
9.1.1 電路板常見故障及維修方法 706
9.1.2 希捷硬盤電路板的故障及檢測方法 707
9.1.3 西部數據硬盤電路板的故障及檢測方法 708
9.2 替換法 708
9.2.1 替換法介紹 708
9.2.2 希捷3.5英寸硬盤電路板兼容性判定及
替換方法 709
9.2.3 希捷2.5英寸硬盤電路板兼容性判定及
替換方法 711
9.2.4 西部數據3.5英寸硬盤電路板兼容性判
定及替換方法 711
9.2.5 西部數據2.5英寸硬盤電路板兼容性判
定及替換方法 713
9.2.6 邁拓3.5英寸硬盤電路板兼容性判定及
替換方法 714
9.2.7 富士通2.5英寸硬盤電路板兼容性判定
及替換方法 714
9.2.8 三星3.5英寸硬盤電路板兼容性判定及
替換方法 716
9.2.9 三星2.5英寸硬盤電路板兼容性判定及
替換方法 717
9.2.10 日立3.5英寸硬盤電路板兼容性判定及
替換方法 719
9.2.11 日立2.5英寸硬盤電路板兼容性判定及
替換方法 719
9.2.12 日立1.8英寸硬盤電路板兼容性判定及
替換方法 721
9.2.13 東芝2.5英寸硬盤電路板兼容性判定及
替換方法 722
第10章 硬盤磁頭組件故障的數據恢復方法 725
10.1 硬盤磁頭組件故障的恢復思路 725
10.1.1 開盤換磁頭所需環境及工具 725
10.1.2 開盤換磁頭的操作步驟 727
10.2 希捷硬盤磁頭兼容性判定及開盤方法 728
10.2.1 3.5英寸硬盤開盤實例 729
10.2.2 2.5英寸硬盤開盤實例 733
10.3 西部數據硬盤磁頭兼容性判定及開盤方法 736
10.3.1 3.5英寸硬盤開盤實例 736
10.3.2 2.5英寸硬盤開盤實例 739
10.4 邁拓硬盤磁頭兼容性判定及開盤方法 741
10.5 富士通硬盤磁頭兼容性判定及開盤方法 743
10.6 三星硬盤磁頭兼容性判定及開盤方法 744
10.6.1 3.5英寸硬盤開盤實例 744
10.6.2 2.5英寸硬盤開盤實例 745
10.7 日立硬盤磁頭兼容性判定及開盤方法 747
10.7.1 3.5英寸硬盤開盤實例 747
10.7.2 2.5英寸硬盤開盤實例 749
10.8 東芝硬盤磁頭兼容性判定及開盤方法 750
10.9 開盤成功後如何獲得數據 752
10.9.1 物理鏡像法 753
10.9.2 數據提取法 753
第11章 硬盤主軸電機故障的數據恢復方法 754
11.1 主軸電機故障的恢復思路 754
11.1.1 處理主軸電機故障所需環境及工具 754
11.1.2 處理主軸電機故障的操作步驟 755
11.2 希捷3.5英寸硬盤主軸電機故障處理方法 755
11.2.1 主軸電機兼容性判定 755
11.2.2 實例演示 756
11.3 邁拓3.5英寸硬盤主軸電機故障處理方法 759
11.3.1 主軸電機兼容性判定 759
11.3.2 實例演示 760
11.4 東芝2.5英寸硬盤主軸電機故障處理方法 762
11.4.1 主軸電機兼容性判定 762
11.4.2 實例演示 762
第12章 硬盤盤片故障的數據恢復方法 766
12.1 盤片扇區故障的檢測方法 766
12.2 盤片扇區故障的修復方法 769
12.2.1 重寫校驗法 770
12.2.2 G-List替換法 770
12.2.3 P-List隱藏法 770
12.3 盤片扇區故障的數據恢復方法 771
12.3.1 物理鏡像法與數據提取法的區別與聯系 771
12.3.2 用Media Tools Professional做物理鏡像 771
12.3.3 用HD Duplicator做物理鏡像 775
12.3.4 用PC-3000 UDMA DE做物理鏡像 780
12.3.5 用PC-3000 For SCSI做物理鏡像 784
12.3.6 用PC-3000 UDMA DE提取數據 789
12.3.7 用PC-3000 UDMA DE分磁頭做物理鏡像 790
第13章 硬盤固件故障的數據恢復方法 795
13.1 現代硬盤的固件結構 795
13.1.1 什麽是硬盤的固件 795
13.1.2 硬盤固件的組成及作用 795
13.1.3 硬盤的生產流程 797
13.1.4 硬盤固件故障的表現 797
13.2 硬盤固件修復工具介紹 798
13.2.1 PC-3000 for DOS 798
13.2.2 PC-3000 for Windows 799
13.2.3 PC-3000 UDMA 800
13.2.4 PC-3000 UDMA for SCSI 801
13.3 用PC-3000 UDMA修復邁拓硬盤的固件 801
13.3.1 識別邁拓硬盤的型號 802
13.3.2 邁拓硬盤的固件結構 803
13.3.3 邁拓硬盤A區、B區和C區固件 807
13.3.4 備份固件 808
13.3.5 檢測固件 810
13.3.6 修復固件 812
13.4 用PC-3000 UDMA修復希捷硬盤的固件 812
13.4.1 識別希捷硬盤的型號 812
13.4.2 希捷硬盤與PC-3000 UDMA的連接方法 814
13.4.3 希捷硬盤的固件結構 814
13.4.4 希捷硬盤指令詳解 816
13.4.5 酷魚7200.11“固件門”解決方案 818
13.4.6 酷魚企業級硬盤ES.2“固件門”解決方案 822
第14章 優盤物理故障的數據恢復方法 824
14.1 優盤物理故障的表現及分類 824
14.1.1 優盤物理故障的表現 824
14.1.2 優盤物理故障的分類 825
14.2 優盤物理故障的修復 827
14.2.1 補焊 827
14.2.2 替換晶振 827
14.2.3 替換主控芯片 828
14.2.4 替換閃存芯片 828
14.3 用PC-3000 Flash直接提取閃存芯片的數據 829
14.3.1 PC-3000 Flash的工作原理 829
14.3.2 提取閃存芯片的數據 830
參考文獻 835