重生：Windows數據恢復技術極限剖析

第1章  數據與存儲介質 1
1.1  數據 2
1.2  硬盤 2
1.2.1  硬盤品牌與廠商 2
1.2.2  溫徹斯特硬盤 3
1.2.3  固態(tài)硬盤 3
1.2.4  硬盤規(guī)格 4
1.2.5  硬盤性能指標 10
1.2.6  IDE硬盤 12
1.2.7  SATA硬盤 13
1.2.8  SCSI硬盤 14
1.2.9  SCSI卡設置 21
1.2.10  USB接口 27
1.2.11  IEEE 1394接口 28
1.2.12  ZIF接口 28
1.2.13  CF接口 29
1.2.14  SAS接口 29
1.2.15  光纖接口 29
1.3  存儲卡 30
1.3.1  CF卡 30
1.3.2  MMC卡 30
1.3.3  SD卡 31
1.3.4  Mini-SD卡 31
1.3.5  TF卡 31
1.3.6  XD卡 31
1.3.7  MS卡 32
第2章  數據恢復相關基礎 33
2.1  計算機運行流程 34
2.1.1  基本概念 34
2.1.2  計算機的啟動過程 35
2.2  數據讀寫單位 36
2.3  尋址方式 36
2.3.1  C/H/S三維尋址方式 36
2.3.2  LBA線性尋址方式 37
2.4 “數”之基礎 38
2.4.1  數制 38
2.4.2  數制間的轉換 39
2.4.3  字長與數值表示范圍 45
2.4.4  二進制數的正負表示 46
2.4.5  二進制計算 46
2.4.6  數的存儲格式 49
2.4.7  取整與取余運算 49
2.4.8  偏移量 50
2.5  字符表示法 50
2.5.1  ASCII字符集 50
2.5.2  Unicode字符集 53
2.6  Windows基礎 53
2.6.1  分區(qū)概述 53
2.6.2  文件系統(tǒng)概述 54
2.6.3  Windows目錄結構 54
2.7  數據恢復與存儲安全常識 57
2.7.1  數據恢復概述 57
2.7.2  數據恢復的可能性 58
2.7.3  硬盤的正確使用 58
2.7.4  移動硬盤的正確使用 59
2.7.5  U盤的正確使用 59
2.7.6  光盤的正確使用 60
2.7.7  數據丟失后的現場保護 60
第3章  基礎軟件使用 62
3.1  磁盤檢測軟件 63
3.2  磁盤檢測軟件1：MHDD 63
3.3  磁盤檢測軟件2：HDDScan 76
3.4  磁盤檢測軟件3：Victoria 78
3.5  磁盤克隆軟件 81
3.6  磁盤克隆軟件1：DDCOPY 83
3.7  磁盤克隆軟件2：HDCLONE 84
3.8  磁盤克隆軟件3：Media Tools 92
第4章  Winhex軟件的使用 98
4.1  Winhex簡介 99
4.2  軟件的獲取與安裝 99
4.3  軟件使用 100
4.3.1  啟動軟件 100
4.3.2  打開對象 101
4.3.3  界面布局 102
4.3.4  工具欄詳解 108
4.3.5  常規(guī)設置 117
4.3.6  重新獲取卷快照 123
4.3.7  目錄瀏覽器設置 124
4.3.8  克隆磁盤 124
4.3.9  創(chuàng)建磁盤鏡象 127
4.3.10  回寫磁盤鏡像 128
4.3.11  右鍵定義選塊 130
4.3.12  右鍵菜單之“撤銷操作” 130
4.3.13  右鍵菜單之“剪切選塊” 130
4.3.14  右鍵菜單之“拷貝選塊” 131
4.3.15  右鍵菜單之“剪貼板數
據處理” 134
4.3.16  右鍵菜單之“移除選塊” 136
4.3.17  右鍵菜單之“粘貼零字節(jié)” 136
4.3.18  右鍵菜單之“填充選塊” 137
4.3.19  跳轉到頁 138
4.3.20  將文件解釋為磁盤 138
4.3.21  調整選塊選取位置 139
4.3.22  轉到… 140
4.3.23  標記位置 141
4.3.24  位置管理器 141
4.3.25  分割文件 141
4.3.26  交叉拆分文件 142
4.3.27  連接文件 143
4.3.28  交叉合并文件 143
4.3.29  自動比較文件或磁盤 144
4.3.30  同步比較文件或磁盤 146
4.3.31  安全擦除文件 147
4.3.32  進制轉換器 148
4.3.33  校驗計算器 149
4.3.34  選擇字符集 149
4.3.35  窗口管理 150
第5章  分區(qū) 153
5.1  初始化 154
5.1.1  磁盤顯示“未初始化”的
原因 155
5.1.2  初始化磁盤 155
5.1.3 “初始化”的結果 156
5.2  主分區(qū)表 157
5.2.1  主分區(qū)表結構 157
5.2.2  創(chuàng)建主分區(qū) 161
5.2.3  主分區(qū)表實例分析 163
5.3  擴展分區(qū)與擴展分區(qū)表 165
5.3.1  擴展分區(qū)概述 166
5.3.2  創(chuàng)建擴展分區(qū) 166
5.3.3  創(chuàng)建邏輯分區(qū) 167
5.3.4  擴展分區(qū)表 168
5.3.5  擴展分區(qū)表實例分析 170
5.4  Winhex中有關分區(qū)的菜單項 171
第6章  FAT類文件系統(tǒng) 173
6.1  如何進行格式化 174
6.2  FAT12/16文件系統(tǒng) 175
6.2.1  整體布局 175
6.2.2  DBR扇區(qū)總述 176
6.2.3  DBR扇區(qū)數據結構 177
6.2.4  FAT12 DBR扇區(qū)實例 179
6.2.5  FAT16 DBR扇區(qū)實例 180
6.2.6  FAT表總述 182
6.2.7  FAT12的FAT表 186
6.2.8  FAT16的FAT表 187
6.2.9  根目錄 188
6.2.10  短文件名目錄項 189
6.2.11  長文件名目錄項 193
6.2.12  卷標目錄項 196
6.2.13  子目錄與“. ”目錄項、“..”
目錄項 196
6.2.14  文件的建立 197
6.2.15  文件的讀取 198
6.2.16  文件的刪除 198
6.2.17  文件的復制、移動與剪切 200
6.3  FAT32文件系統(tǒng) 201
6.3.1  保留區(qū)總述 201
6.3.2  DBR扇區(qū) 202
6.3.3  FSINFO信息扇區(qū) 207
6.3.4  FAT表 208
6.3.5  根目錄 208
6.3.6  短文件名目錄項 209
6.3.7  FAT32下文件的刪除 209
6.4  Winhex中有關FAT文件系統(tǒng)
的應用 210
6.4.1  目錄瀏覽器 210
6.4.2  松弛空間 212
6.4.3  轉到某FAT項 212
6.4.4  快捷菜單 213
第7章  NTFS文件系統(tǒng) 215
7.1  基本概念 216
7.2  NTFS總體布局 217
7.3  引導扇區(qū) 218
7.4  主文件表MFT 222
7.4.1  基本概述 222
7.4.2  Windows 2000的MFT項 222
7.4.3  Windows XP的MFT項 225
7.5  MFT屬性 229
7.5.1  屬性的結構 229
7.5.2  屬性類型 233
7.5.3  0x10屬性 234
7.5.4  0x20屬性 237
7.5.5  0x30屬性 237
7.5.6  0x40屬性 239
7.5.7  0x60屬性 240
7.5.8  0x70屬性 240
7.5.9  0x80屬性 241
7.5.10  0x90屬性 243
7.5.11  0xA0屬性 247
7.5.12  0xB0屬性 249
7.5.13  0xC0屬性 250
7.5.14  0x100屬性 251
7.6  文件系統(tǒng)元文件 251
7.6.1  $MFT文件 251
7.6.2  $MFTMirr文件 252
7.6.3  $LogFile文件 253
7.6.4  $Volume文件 253
7.6.5  $AttrDef文件 254
7.6.6  $Root文件 255
7.6.7  $Bitmap文件 255
7.6.8  $Boot文件 255
7.6.9  $Secure文件 256
7.6.10  $UsnJrnl文件 257
7.6.11  $Quota文件 258
7.6.12  $ObjId文件 260
7.7  文件的建立與刪除 260
7.8  Winhex中有關NTFS文件系統(tǒng)
的應用 261
7.8.1  目錄瀏覽器 261
7.8.2  目錄瀏覽器中的右鍵菜單 262
7.8.3  轉到某MFT記錄 262
7.8.4  快捷菜單 263
第8章  ExFAT文件系統(tǒng) 264
8.1  ExFAT特性 265
8.2  ExFAT布局結構 265
8.3  保留區(qū) 266
8.3.1  引導記錄扇區(qū) 266
8.3.2  校驗扇區(qū) 269
8.4  FAT表 270
8.5  簇位圖 271
8.6  根目錄 272
8.7  目錄項 273
8.7.1  卷標目錄項 274
8.7.2  簇位圖目錄項 275
8.7.3  大小寫轉換表目錄項 276
8.7.4  0x85文件屬性目錄項 277
8.7.5  0xC0文件屬性目錄項 279
8.7.6  文件名目錄項 281
8.7.7  卷GUID目錄項 282
8.8  子目錄 282
8.9  文件的建立與刪除 283
第9章  分區(qū)表損壞后的恢復 284
9.1 “55AA”標志丟失 285
9.2  分區(qū)表的正確性 285
9.3  主分區(qū)表損壞后的恢復 286
9.3.1  無擴展分區(qū) 286
9.3.2  有擴展分區(qū) 287
9.3.3  只有擴展分區(qū) 295
9.4  誤Ghost后的恢復 295
9.5  建立新的分區(qū)表 300
9.6  使用FinalData快速尋找分區(qū) 301
9.7  不要被巧合迷惑 303
9.8  將某個DBR當作分區(qū)起始處 304
9.9  使用軟件恢復數據 305
9.9.1  使用FinalData恢復 305
9.9.2  使用R-Studio恢復 306
9.9.3  使用Winhex恢復 314
第10章  誤格式化后的恢復 316
10.1  雙擊時顯示“未格式化” 317
10.1.1  用備份DBR恢復主DBR 317
10.1.2  手工計算恢復DBR 318
10.2  格式化對磁盤的寫入 329
10.2.1  建立FAT16文件系統(tǒng) 329
10.2.2  建立FAT32文件系統(tǒng) 330
10.2.3  建立NTFS文件系統(tǒng) 331
10.3  格式化后的可恢復性 331
10.3.1  FAT表丟失后的可恢復性 331
10.3.2  原FAT16重新格式化成
FAT16 334
10.3.3  原FAT32重新格式化成
FAT32 334
10.3.4  原FAT32格式化成NTFS 335
10.3.5  原NTFS重新格式化成
NTFS 336
10.3.6  原NTFS格式化成FAT32 336
10.4  格式化后的恢復 337
10.4.1  使用EasyRecovery恢復 338
10.4.2  使用R-Studio恢復 340
第11章  誤刪除后的恢復 345
11.1  FAT16下的刪除 346
11.1.1  FAT16下文件的刪除 346
11.1.2  FAT16下被刪除文件的可恢
復性 347
11.1.3  FAT16下文件夾的刪除 347
11.1.4  FAT16下被刪除文件夾的可恢復性 348
11.2  FAT32下的刪除 349
11.2.1  FAT32下文件的刪除 349
11.2.2  FAT32下被刪除文件的可恢
復性 350
11.2.3  FAT32下文件夾的刪除 350
11.3  NTFS下的刪除 351
11.4  誤刪除后的恢復 353
11.4.1  使用EasyRecovery恢復 353
11.4.2  使用FinalData恢復 355
11.4.3  使用Restorer2000恢復 358
11.4.4  使用R-Studio恢復 360
第12章  破解文件密碼 362
12.1  破解Word文檔密碼 363
12.1.1  Word文檔加設密碼方法 363
12.1.2  使用Word Key破解Word
文檔密碼 364
12.1.3  使用Accent WORD Password Recovery破解Word文
檔密碼 367
12.2  破解Excel密碼 371
12.2.1  Excel文檔加設密碼方法 372
12.2.2  使用Excel Key破解Excel
文檔密碼 373
12.2.3  使用Excel Recovery破解
Excel文檔密碼 373
12.3  破解PDF文檔密碼 377
12.3.1  PDF文檔加設密碼方法 377
12.3.2  使用Advanced PDF Password Recovery破解PDF文檔密碼
 381
12.4  破解RAR壓縮文件密碼 383
12.4.1  創(chuàng)建密碼保護的RAR文件
 383
12.4.2  使用RAR Password Recovery破解RAR密碼 386
12.4.3  使用RAR Password Unlocker破解RAR密碼 387
12.5  破解Access數據庫密碼 388
12.5.1  為Access加設打開密碼 388
12.5.2  使用Access密碼破解器破解Access密碼 389
12.6  破解PPT密碼 389
12.6.1  為PPT文件加設打開密碼 390
12.6.2  使用Advanced Office Password Recovery破解PPT密碼 390
12.7 破解Outlook郵件密碼 392
12.7.1  為Outlook文件加設打開
密碼 392
12.7.2  使用PstPassword破解Outlook文件密碼 393
第13章  文件修復 395
13.1  Word修復 396
13.1.1  打開Word文檔自動保存
功能 396
13.1.2  使用DocRepair修復損壞
的Word文檔 396
13.1.3  使用FinalData修復損壞的
Word文檔 398
13.1.4  使用Winhex查看損壞Word
文檔文本 401
13.2  Excel修復 402
13.2.1  打開Excel自動保存功能 402
13.2.2  使用Advanced Excel Repair
修復Excel 403
13.2.3  使用ExcelFIX修復Excel 404
13.2.4  使用Recovery for Excel修
復Excel 409
13.3  使用Advanced PDF Repair修復PDF
文檔 410
13.3.1  單一文件修復 411
13.3.2  批量文件修復 412
13.4  使用AccessFIX修復Access
數據庫 413
13.4.1  單一文件修復 414
13.4.2  批量文件修復 414
13.5  使用Recovery for PowerPoint
修復PPT 415
第14章  郵件恢復 417
14.1  Outlook Express恢復 418
14.1.1  Outlook Express郵件文件夾
組成 418
14.1.2  Outlook Express郵件備份 419
14.1.3  Outlook Express備份導入 421
14.1.4  使用R-Studio恢復Outlook Express 423
14.1.5  使用R-Mail for Outlook Express恢復OutlookExpress 426
14.1.6  使用OE-Mail Recovery恢復
Outlook Express 432
14.1.7  Outlook Express郵件的其他導
入問題 437
14.2  Outlook恢復 437
14.2.1  Outlook郵件備份 437
14.2.2  Outlook 郵件備份導入 439
14.2.3  使用Scanpst.exe修復損壞
的.pst文件 439
14.2.4  使用Recover My E-mail for
Outlook恢復Outlook 441
14.2.5  使用OutlookFix恢復
Outlook 443
14.2.6  使用R-Mail for Outlook恢復Outlook 447
第15章  SQL Server數據庫恢復 449
15.1  數據庫基本操作 450
15.1.1  數據庫的安裝 450
15.1.2  啟動與停止數據庫服務 450
15.1.3  新建數據庫 451
15.1.4  備份數據庫 452
15.1.5  還原數據庫 454
15.1.6  數據庫的附加與分離 456
15.2  數據庫恢復 458
15.2.1  使用MSSQLRecovery恢復
SQL數據庫 458
15.2.2  使用Kernel Recovery for SQL-
Database恢復SQL數據庫
 462
第16章  動態(tài)磁盤 464
16.1  基本磁盤轉換為動態(tài)磁盤 465
16.1.1  基本磁盤轉換為動態(tài)磁盤 465
16.1.2  轉換前與轉換后的區(qū)別 466
16.2  LDM數據庫 469
16.3  動態(tài)磁盤的使用 469
16.3.1  建立簡單卷 470
16.3.2  建立跨區(qū)卷 471
16.3.3  擴展簡單卷 472
16.3.4  建立帶區(qū)卷 473
16.4  R-Studio對動態(tài)磁盤的支持 474
16.4.1  R-Studio中帶區(qū)卷的重要參
數分析 475
16.4.2  R-Studio中跨區(qū)卷的重要參
數分析 476
16.4.3  使用R-Studio恢復跨區(qū)卷
數據 478
第17章  RAID基礎知識 481
17.1  RAID的實現 482
17.1.1  軟RAID 482
17.1.2  硬RAID 482
17.2  RAID級別分析 483
17.2.1  JBOD結構分析 483
17.2.2  JBOD磁盤缺失后的可
恢復性 484
17.2.3  RAID0結構分析 484
17.2.4  RAID0磁盤缺失后的可
恢復性 485
17.2.5  RAID1結構分析 485
17.2.6  RAID1磁盤缺失后的可
恢復性 486
17.2.7  RAID4結構分析 486
17.2.8  RAID4磁盤缺失后的可
恢復性 487
17.2.9  RAID5結構分析 488
17.2.10  RAID5磁盤缺失后的可
恢復性 492
17.2.11  RAID6結構分析 492
17.2.12  RAID6磁盤缺失后的可
恢復性 493
17.2.13  RAID1E結構分析 494
17.2.14  RAID1E磁盤缺失后的可
恢復性 495
17.2.15  RAID 5E結構分析 496
17.2.16  RAID 5E磁盤缺失后的
可恢復性 496
17.2.17  RAID 5EE結構分析 497
17.2.18  RAID 5EE磁盤缺失后的可
恢復性 497
17.2.19  HP內外雙循環(huán)陣列結構
分析 498
17.2.20  HP內外雙循環(huán)缺盤后的
可恢復性 498
第18章  RAID數據恢復 499
18.1  RAID信息分析方法 500
18.1.1  利用FAT表分析塊大小 500
18.1.2  利用MFT記錄號分析塊
大小 501
18.1.3  利用FAT表分析數據塊
順序 503
18.1.4  利用MFT記錄號分析數據
塊順序 504
18.1.5  利用FAT表尋找校驗塊 505
18.1.6  利用MFT尋找校驗塊 505
18.1.7  RAID5循環(huán)方向的判斷 509
18.1.8  RAID5同步異步的判斷 509
18.1.9  計算RAID5各個成員盤第
一個校驗塊的位置 510
18.2  使用Raid Reconstructor恢復
RAID 512
18.2.1  恢復RAID0 512
18.2.2  恢復RAID5 515
18.3  使用R-Studio恢復RAID 517
18.4  使用Winhex恢復RAID 521
第19章  實際工作恢復案例集錦 524
19.1  某文件保密軟件分析 525
19.2  FAT32目錄項發(fā)生移位后的恢復 529
19.3  修復壞道導致DBR及FAT1損壞后的
恢復 534
19.4  移動硬盤病毒破壞后的恢復 535
19.5  一次U盤無法正確識別的恢復 536
19.6  U盤根目錄被覆蓋后的重建 539
19.7  恢復HP L600服務器RAID5陣列
  539
19.8  4塊磁盤Windows 2000系統(tǒng)IBM
服務器RAID5恢復 547
19.9  在缺少兩塊成員盤的情況下分析
RAID5 555