分区恢复和NTFS文件恢复试验

一、实验室名称:主楼实验室A2-412                 

二、实验项目名称:分区恢复和NTFS文件恢复试验

三、实验学时:6学时

四、实验原理:

借助fdisk、diskgen软件对磁盘分区进行删除和恢复,使用工具软件WINHEX对指定的文件进行定位、分析,以及恢复。

五、实验目的:

1)掌握使用软件进行磁盘的分区恢复技术

2)了解NTFS文件系统在磁盘上的存储映像和它在系统安全中的地位和作用。

3)初步掌握NTFS的文件恢复技术

六、实验内容:

磁盘分区恢复实验

1)在VMware上安装Windows XP。

2)使用启动盘中的fdisk破坏(删除)磁盘分区。

3)使用启动盘中的DiskGen恢复磁盘分区。

NTFS的文件恢复实验

1)在Windows XP的NTFS格式的磁盘中,创建一个简单文件,使用WINHEX进行分析。

2)使用WinHex软件进行文件恢复操作练习。

七、实验器材(设备、元器件):

PC微机一台(至少具有一个FAT格式磁盘分区),VMware Workstation6.0虚拟机软件,Windows XP for VMWare映像安装文件,Fdisk,DiskGen,WinRAR,WinHex软件。

八、实验步骤:

步骤一、在虚拟机上安装Windows XP和工具软件。

1.创建虚拟机,虚拟磁盘空间不少于4GB,并具有光盘驱动器和软盘驱动器。

2.使用提供的Windows XP ISO映像安装盘(TOMATO_WINXP_SP2.iso),在虚拟机上安装Windows XP。

3.依据安装提示,设置磁盘分区。分3个区,均采用NTFS格式(其中安装Windows XP的分区大小为2.5GB,其他两个分区大小自定)。

4.记录分区大小。

5.Windows XP安装完成后,采用快速格式化方式将其他逻辑磁盘格式化为NTFS磁盘。

6.安装实验所需工具软件WinRAR和WinHex。

ü  安装WinRAR压缩工具软件:使用Windows XP安装盘,在菜单中选择TOOLS目录,运行该目录下的WinRAR安装文件,在虚拟机上安装WinRAR。

ü  安装WinHex:将WinHex软盘映像文件(WinHex.IMA)拷贝到虚拟机中,使用WinRAR解压缩,安装后即可使用WinHex。

7.安装完毕后使用VMware快照和克隆功能,备份试验系统。

步骤二、使用Fdisk删除分区

       1.使用启动盘(Start.flp)启动备份虚拟机系统。

       2.使用Fdisk删除硬盘的分区:在Fdisk中选择删除Non-Dos分区菜单,将安装Windows XP系统的磁盘分区删除。

       3.查看是否能够启动Windows XP。

步骤三、使用DiskGen恢复分区,恢复系统

       1.使用启动盘(Start.flp)引导备份虚拟机系统.。

2.运行ctmouse命令,启用鼠标支持。

3.运行DiskGen软件。

4.重建分区。

       5.设定活动分区。

6.重新运行,检查Windows XP能否正常启动。

步骤四、查找文件

       1.在一个NTFS格式的磁盘中,创建一个目录,并在该目录中创建一个大于1KB的文本文件(*.txt文件),使用WinHex查找相关MTF文件项。

       2.根据MFT文件项信息,获取文件的运行或数据存储位置。

3.使用WinHex读取该文件对应的扇区,查看扇区存储的文件内容。

步骤五、文件删除原理

       1.删除生成的目录和文本文件。

       2.使用WinHex,查看MFT,对比已删除文件在MFT中所对应的状态信息的变化。

步骤六、文件恢复

1.在NTFS格式的磁盘中,使用WINHEX进行文件恢复操作练习。

2.记录所使用的主要磁盘参数。

3.简叙恢复操作的主要步骤。

九、实验数据及结果分析:

任务一:使用Fdisk删除分区

1.安装Windows XP系统,安装时,将磁盘分为三个NTFS分区。

技术分享

2.使用快照和克隆功能备份安装的Windows XP系统。

技术分享

3.退出Windows XP后,使用启动盘引导系统,使用fdisk删除分区,记录(拷贝屏幕输出)删除分区的步骤,并对其进行说明。

技术分享

 

技术分享

技术分享

技术分享

技术分享

技术分享

技术分享

技术分享

4.验证Windws XP能否启动。

技术分享

 

这里把软盘的启动连接去掉,启动系统。

 

技术分享

 

Fdisk删除磁盘分区后,xp无法启动。

任务二:使用DiskGen恢复分区,恢复系统

1.记录(拷贝屏幕输出)分区信息。

2.记录DiskGen恢复分区的步骤。

技术分享

Ctmouse:鼠标支持。

技术分享

技术分享

这里点击备份分区表,图中会出现空行,以方便新建分区,并不备份。

技术分享

技术分享

技术分享

技术分享

技术分享

技术分享

这里尤为重要,千万不能删除引导目录,这是原有的dbr。

技术分享

4.进入Windows XP,确认分区是否被恢复。

技术分享

Xp启动成功。

任务三:查找NTFS文件

1、创建一个“123”目录,并在该目录下,创建一个”txt”文本文件(文件大小>1KB)

技术分享

2、使用WinHex查找目录和文件在MFT的相关目录项,记录并做分析。

技术分享

下面是磁盘分区的dbr。

技术分享

技术分享

由0x0d得到每簇扇区数为4,由0x30得到$MFT的起始簇号为2ad0b,故起始扇区号为4*2ad0b=701484(十进制)。

技术分享

下面可以看到123.txt的文件记录,可以右键选择看文件内容或文件记录。

技术分享

技术分享

技术分享

可以看到该文件有3个属性记录,30属性里可以看到文件名,80属性里可以看到非常驻,文件大小,runlist等。看文件内容可以通过winhex提供的功能,也可以在0x1569796A~0x1569796c获得数据开始簇号为2ad09,结合一簇4扇区求得文件位置。

3、删除文件和目录,使用WinHex查找目录和文件在MFT的相关目录项,记录并做分析。

技术分享

技术分享

技术分享

用shift+delete快捷键彻底删除123.txt后,查看对应mft记录,对比之前记录,可发现,唯一变化的地方只有0x15697816-0x15697817由1改为0,此处表文件状态。

任务四:恢复文件

记录并说明对目录和文本文件进行恢复过程,并对MFT相关项进行分析。

1.使用WinHex查找文件项,使用recover进行文件恢复。

2.使用WinHex查找修复的目录和文件在MFT的相关目录项,记录并做分析。

技术分享

技术分享

我的做法是,利用winhex,查找123.txt的mft记录,进而由起始簇进入文件内容处,选中并复制粘贴到一个新建文件里,记为noname.txt,显然,与原文件内容相同,恢复成功。

十、实验结论:

Ntfs与fat差别很大,里面所有东西全以文件的形式存在,mft文件记录尤为重要,通过mft可以定位每一个文件。

十一、总结及心得体会:

通过本实验,知道了fdisk跟diskgen的用法,了解了ntfs的文件存储原理,果然跟fat差别很大。自己对B+树学之不深,仍待提高。亲自定位文件,方知ntfs的复杂,不过这样的文件系统,打破了fat的很多局限,还有efs等结构,收获匪浅。

十二、对本实验过程及方法、手段的改进建议:

  多些b+树方面的实验内容还是很好的。

郑重声明:本站内容如果来自互联网及其他传播媒体,其版权均属原媒体及文章作者所有。转载目的在于传递更多信息及用于网络分享,并不代表本站赞同其观点和对其真实性负责,也不构成任何其他建议。