数据恢复技术深度揭秘（第二版）

目 录
第一篇 数据恢复入门与进阶知识储备
第1章 计算机中数据的记录方法 2
1.1 数据的表示方法 2
1.1.1 计算机中数据的含义 2
1.1.2 数值数据在计算机中的表示方法 6
1.1.3 字符数据在计算机中的表示方法 11
1.1.4 图形数据在计算机中的表示方法 14
1.2 数据存储的字节序与位序 14
1.2.1 Endian的含义 14
1.2.2 Little-endian的含义 15
1.2.3 Big-endian的含义 15
1.2.4 字节序与CPU架构的关系 15
1.2.5 位序的含义 17
1.3 数据的逻辑运算 17
1.3.1 逻辑或 17
1.3.2 逻辑与 18
1.3.3 逻辑非 18
1.3.4 逻辑异或 18
1.4 数据恢复中常用的数据结构 19
1.4.1 数据结构简介 19
1.4.2 树 21
1.4.3 二叉树 23
1.4.4 B树、B-树、B 树和B*树 24
1.4.5 树的遍历 27
第2章 现代硬盘结构揭秘 29
2.1 机械硬盘的物理结构揭秘 29
2.1.1 硬盘的外壳及盘标信息 29
2.1.2 硬盘的电路结构 32
2.1.3 硬盘的磁头定位驱动系统 36
2.1.4 硬盘的主轴系统 37
2.1.5 硬盘的数据控制系统 37
2.1.6 硬盘的盘片 38
2.1.7 硬盘的区段及物理C/H/S 39
2.1.8 硬盘的接口技术 40
2.1.9 硬盘的主要性能指标 47
2.2 机械硬盘的逻辑结构揭秘 49
2.2.1 硬盘的逻辑磁道 49
2.2.2 硬盘的逻辑扇区 50
2.2.3 硬盘的逻辑柱面 50
2.2.4 硬盘的逻辑磁头 51
2.2.5 硬盘的逻辑C/H/S 51
2.2.6 硬盘的28位LBA及48位LBA 51
2.3 固态硬盘结构揭秘 52
2.3.1 固态硬盘的结构 52
2.3.2 固态硬盘的优点 54
2.3.3 固态硬盘的缺点 55
第3章 数据恢复基本工具揭秘 56
3.1 磁盘编辑器类工具 56
3.1.1 WinHex使用方法详解 56
3.1.2 DiskExplorer for Fat使用方法详解 72
3.1.3 DiskExplorer for NTFS使用方法详解 78
3.1.4 DiskExplorer for Linux使用方法详解 81
3.2 虚拟工具 83
3.2.1 虚拟硬盘工具使用方法详解 83
3.2.2 虚拟机使用方法详解 86
第二篇 逻辑类数据恢复技术揭秘
第4章 Windows系统数据恢复技术 90
4.1 Windows系统的MBR磁盘分区 90
4.1.1 主引导记录MBR的结构和作用 90
4.1.2 主磁盘分区的结构分析 95
4.1.3 扩展分区的结构分析 100
4.1.4 MBR及EBR被破坏的分区恢复实例 106
4.1.5 分区误删除的恢复实例 117
4.1.6 系统误Ghost后的分区恢复实例 125
4.2 Windows系统的动态磁盘卷 129
4.2.1 动态磁盘概述 129
4.2.2 动态磁盘卷的种类及创建方法 130
4.2.3 动态磁盘LDM结构原理详解 132
4.2.4 MBR磁盘误转换为动态磁盘的恢复实例 155
4.2.5 动态磁盘扩展卷丢失的恢复实例 159
4.3 Windows系统的GPT磁盘分区 171
4.3.1 GPT磁盘分区基本介绍 171
4.3.2 GPT磁盘分区的创建方法 173
4.3.3 GPT磁盘分区的结构原理 177
4.3.4 GPT磁盘分区丢失的恢复实例 184
4.4 FAT16文件系统详解 189
4.4.1 FAT16文件系统结构总览 189
4.4.2 FAT16文件系统的DBR分析 190
4.4.3 FAT16文件系统的FAT表分析 194
4.4.4 FAT16文件系统的FDT分析 197
4.4.5 FAT16文件系统目录项分析 198
4.4.6 FAT16文件系统根目录与子目录的管理 207
4.4.7 FAT16文件系统删除文件的分析 209
4.4.8 FAT16文件系统误格式化的分析 213
4.4.9 FAT16文件系统DBR手工重建的实例 215
4.5 FAT32文件系统详解 218
4.5.1 FAT32文件系统结构总览 218
4.5.2 FAT32文件系统的DBR分析 219
4.5.3 FAT32文件系统的FAT表分析 223
4.5.4 FAT32文件系统的数据区分析 225
4.5.5 FAT32文件系统目录项分析 226
4.5.6 FAT32文件系统根目录与子目录的管理 230
4.5.7 FAT32文件系统删除文件的分析 235
4.5.8 FAT32文件系统删除文件后目录项起始簇号高位清零的分析 239
4.5.9 FAT32文件系统误格式化的分析 244
4.5.10 FAT32文件系统DBR破坏的恢复实例 247
4.5.11 FAT32分区文件乱码的手工恢复实例 248
4.5.12 FAT32分区被苹果电脑误格式化后的完美恢复实例 253
4.6 NTFS文件系统详解 263
4.6.1 NTFS文件系统基本介绍 263
4.6.2 NTFS文件系统结构总览 264
4.6.3 NTFS文件系统引导扇区分析 266
4.6.4 元文件$MFT分析 270
4.6.5 文件记录分析 272
4.6.6 10H属性分析 281
4.6.7 20H属性分析 282
4.6.8 30H属性分析 284
4.6.9 40H属性分析 287
4.6.10 50H属性分析 287
4.6.11 60H属性分析 292
4.6.12 70H属性分析 292
4.6.13 80H属性分析 294
4.6.14 90H属性分析 297
4.6.15 A0H属性分析 299
4.6.16 B0H属性分析 299
4.6.17 C0H属性分析 300
4.6.18 D0H属性分析 301
4.6.19 E0H属性分析 302
4.6.20 100H属性分析 302
4.6.21 元文件$MFTMirr分析 302
4.6.22 元文件$LogFile分析 304
4.6.23 元文件$Volume分析 313
4.6.24 元文件$AttrDef分析 315
4.6.25 元文件$Root分析 318
4.6.26 元文件$Bitmap分析 319
4.6.27 元文件$Boot分析 320
4.6.28 元文件$BadClus分析 321
4.6.29 元文件$Secure分析 322
4.6.30 元文件$UpCase分析 324
4.6.31 元文件$Extend分析 325
4.6.32 元文件$ObjId分析 326
4.6.33 元文件$Quota分析 327
4.6.34 元文件$Reparse分析 329
4.6.35 元文件$UsnJrnl分析 330
4.6.36 NTFS的索引结构分析 331
4.6.37 手工遍历NTFS的B 树 335
4.6.38 NTFS的EFS加密分析 339
4.6.39 NTFS文件系统删除文件的分析 341
4.6.40 NTFS文件系统格式化的分析 347
4.6.41 NTFS文件系统DBR手工重建的实例 350
4.7 ExFAT文件系统详解 354
4.7.1 ExFAT文件系统基本介绍 354
4.7.2 ExFAT文件系统结构总览 356
4.7.3 ExFAT文件系统的DBR分析 357
4.7.4 ExFAT文件系统的FAT表分析 360
4.7.5 ExFAT文件系统的簇位图文件分析 361
4.7.6 ExFAT文件系统的大写字符文件分析 362
4.7.7 ExFAT文件系统的目录项分析 363
4.7.8 ExFAT文件系统根目录与子目录的管理 371
4.7.9 ExFAT文件系统删除文件的分析 376
4.7.10 ExFAT文件系统误格式化的分析 377
4.7.11 ExFAT文件系统DBR手工重建的实例 380
4.7.12 能够支持ExFAT文件系统的恢复工具 385
第5章 UNIX系统数据恢复技术 386
5.1 UNIX家族介绍 386
5.1.1 UNIX的起源及分裂 386
5.1.2 UNIX分类及特点 387
5.2 UNIX的分区详解 389
5.2.1 Solaris分区基本介绍 389
5.2.2 Sparc Solaris分区结构分析 391
5.2.3 Sparc Solaris分区恢复实例 396
5.2.4 x86 Solaris分区结构分析 399
5.2.5 x86 Solaris分区恢复实例 404
5.2.6 Free BSD分区结构分析 405
5.2.7 Free BSD分区恢复实例 410
5.2.8 Open BSD分区结构分析 413
5.3 UFS1及UFS2文件系统详解 417
5.3.1 UFS文件系统基本介绍 417
5.3.2 UFS文件系统结构总览 418
5.3.3 UFS文件系统的引导块分析 419
5.3.4 UFS文件系统的超级块分析 420
5.3.5 UFS文件系统的柱面组概要分析 435
5.3.6 UFS文件系统的柱面组描述符分析 437
5.3.7 UFS文件系统的位图分析 441
5.3.8 UFS文件系统的i-节点分析 443
5.3.9 UFS文件系统的目录项分析 450
5.3.10 UFS文件删除与恢复的分析 454
5.3.11 UFS文件系统超级块的恢复实例 462
5.3.12 UNIX系统数据恢复专业工具详解 463
第6章 Apple系统数据恢复技术 466
6.1 Apple电脑介绍 466
6.1.1 Apple电脑的起源与发展 466
6.1.2 Mac操作系统的发展 467
6.2 Apple电脑的分区结构详解 468
6.2.1 APM分区结构分析 468
6.2.2 APM分区恢复实例 477
6.2.3 GPT分区结构分析 480
6.3 HFS 文件系统详解 482
6.3.1 HFS 文件系统基本介绍 482
6.3.2 HFS 文件系统结构总览 484
6.3.3 HFS 文件系统的卷头分析 485
6.3.4 HFS 文件系统的头节点分析 491
6.3.5 HFS 文件系统的位图节点分析 497
6.3.6 HFS 文件系统的索引节点分析 498
6.3.7 HFS 文件系统的叶节点分析 499
6.3.8 HFS 文件系统节点的综合应用 500
6.3.9 HFS 文件系统的编录文件分析 501
6.3.10 HFS 文件系统的盘区溢出文件分析 510
6.3.11 HFS 文件系统的分配文件分析 513
6.3.12 HFS 文件系统的属性文件分析 513
6.3.13 HFS 文件系统的坏块文件分析 515
6.3.14 手工遍历HFS 的B?树 515
6.3.15 HFS 文件删除与恢复的分析 518
6.3.16 HFS 文件系统卷头的恢复实例 520
6.3.17 Apple系统数据恢复专业工具详解 521
第7章 Linux系统数据恢复技术 525
7.1 Linux系统介绍 525
7.1.1 Linux系统的起源与发展 525
7.1.2 Linux系统的分类及特点 526
7.2 Linux系统的分区结构详解 528
7.2.1 MBR磁盘分区结构分析 528
7.2.2 MBR磁盘分区恢复实例 531
7.2.3 GPT分区结构分析 534
7.3 Ext3文件系统结构详解 537
7.3.1 Ext3文件系统基本介绍 537
7.3.2 Ext3文件系统结构总览 538
7.3.3 Ext3文件系统的超级块分析 539
7.3.4 Ext3文件系统的块组描述符分析 545
7.3.5 Ext3文件系统的块位图分析 547
7.3.6 Ext3文件系统的i-节点位图分析 548
7.3.7 Ext3文件系统的i-节点分析 550
7.3.8 Ext3文件系统的目录项分析 556
7.3.9 Ext3文件删除与恢复的分析 559
7.3.10 Ext3文件系统超级块的恢复实例 570
7.3.11 Linux系统数据恢复专业工具详解 572
7.4 Ext4文件系统分析 575
7.4.1 Ext4文件系统介绍 575
7.4.2 Ext4文件系统的