1、請考生根據(jù)要求，完成硬盤被刪除數(shù)據(jù)的恢復(fù)，要求：被清零，要求利用 Winhex 恢復(fù)主引題目內(nèi)容：已知磁盤主引導(dǎo)導(dǎo)，F(xiàn)AT16 磁盤上的 abc.jpg被刪除，要求恢復(fù)出被刪除照片，并abc.jpg被刪除前后，文件目錄表中表示該文件的 32字節(jié)的文件目錄有何變化，被刪除的數(shù)據(jù)區(qū)扇區(qū)有何變化？一、手工恢復(fù)硬盤主引導(dǎo)恢復(fù)步驟：1、 加載虛擬磁盤 vd512m.hdd。此時，看不到加載的虛擬磁盤，主要是因?yàn)?MBR 全部被清除了，不能引導(dǎo)磁盤，故看不到。2、打開 Winhex，用 Winhex 打開虛擬磁盤 vd512m.hdd，發(fā)現(xiàn) MBR 全部為零了，下面就著手開始手工恢復(fù) MBR 及分區(qū)表。3

2、、首先恢復(fù)引導(dǎo)代碼，由于磁盤的 MBR 的引導(dǎo)功能都是一樣的，因此用 Winhex 到別MBR的系統(tǒng)盤把引導(dǎo)代碼過來就可以?，F(xiàn)在的機(jī)器上應(yīng)該掛著兩個硬盤。從系統(tǒng)盤上引導(dǎo)代碼到實(shí)驗(yàn)盤。單擊“磁盤編輯器”按鈕，出現(xiàn)“編輯磁盤”框，選擇“HD0 WDC WD400EB-00CPF0”,點(diǎn)“確定”。這樣就把系統(tǒng)盤的分區(qū)表給打開了，注意，現(xiàn)在是打開了兩個窗口，當(dāng)前的窗口是“硬盤 0”，在標(biāo)題欄上有顯示。另外，打開窗口菜單也能看出來，當(dāng)前窗口被打上一個勾，如果想切換回原來的窗口，就點(diǎn)擊“硬盤 1”。首先選中系統(tǒng)盤的引導(dǎo)代碼，然后在選區(qū)中單擊鼠標(biāo)右鍵，選“編輯”。又出來一個菜單，然后選“選塊”“正?！?，然后

3、切換回硬盤 1 窗口，在零扇區(qū)的第一個字節(jié)處單擊鼠標(biāo)右鍵，選“編輯”，然后選“剪貼板數(shù)據(jù)”“寫入”，出現(xiàn)一個窗口提示，點(diǎn)“確定”。這樣，就把一個正常系統(tǒng)盤上的引導(dǎo)代碼過來了。4、恢復(fù)分區(qū)表（共 64 個字節(jié)，分為 4 個分區(qū)表項(xiàng)，每個分區(qū)表項(xiàng)占用 16 個字節(jié)，一般只使用前兩個分區(qū)表項(xiàng)），首先恢復(fù)第一個分區(qū)標(biāo)項(xiàng)（也就是C 盤的）。首先，在第 1 個字節(jié)處（0 扇區(qū)倒數(shù)第五行，倒數(shù)第二個字節(jié)）填上分區(qū)引導(dǎo)標(biāo)志，因?yàn)?C 盤是活動分區(qū)，所以填上 80。接著是第 2、3、4 字節(jié)（本分區(qū)起始磁頭號、扇區(qū)號、柱面號），填上：01 01 00。第 5字節(jié)是分區(qū)類型符，因?yàn)樵?C 盤是 Fat32 格式

4、，所以填上：0B。那么，如果不知道 C 盤是什么格式怎么辦呢？問磁盤的主人或者通過 DBR 的內(nèi)容分辨分區(qū)的格式。第 6、7、8 字節(jié)是本分區(qū)的結(jié)束磁頭號、扇區(qū)號、柱面號，現(xiàn)在的磁盤都是按照 LBA方式尋址，并不按照 C/H/S(及柱面、磁頭、扇區(qū))方式尋址，所以這個地方填些什么一般關(guān)系不大，但是有一個通用的填法，那就是：FEF。第 9、10、11、12 字節(jié)，本分區(qū)之前已用了的扇區(qū)數(shù)，也就是 MBR 所占用的扇區(qū)數(shù)，那不是 63 嗎？對，但是要將 63 轉(zhuǎn)為十六進(jìn)制數(shù)，再反過來倒著填寫上。將 63 轉(zhuǎn)為十六進(jìn)制數(shù)是 3F，不夠節(jié)前面加零，也就是 00 00 00 3F，再將此數(shù)從右向左依次序

5、反過來就是 3F 00 00 00。第 13、14、15、16 字節(jié)是本分區(qū)的總扇區(qū)數(shù)，也就是 C 盤的大小，這就要通過稍微一點(diǎn)點(diǎn)計算來得到了。因?yàn)?C 盤是從第 63 個扇區(qū)開始，而 C 盤后面緊接著的是 EBR，所以用 EBR 所在的第一個扇區(qū)數(shù)減去 63 就是 C 盤的大小。那么如何才能找到 EBR 所在的第一個扇區(qū)呢？前面，EBR 的結(jié)構(gòu)和 MBR 是一樣的，所以，EBR 的結(jié)束標(biāo)志也一定是 55AA，那么，只要找到這個結(jié)束標(biāo)志，再看看這個扇區(qū)是不是 EBR。單擊“搜索”“查找十六進(jìn)制數(shù)值”，然后出來一個框在文本框中輸入“55AA”，搜索框中選“全部”，然后選中“條件”，把偏移量設(shè)置為

6、“512=510”。再單擊“確定”。畫面如下：首先找到第一個“55AA”再按 F3 繼續(xù)查找看到，個扇區(qū)在第 63 個扇區(qū)上，并不是要找的 EBR，又找到好幾個扇區(qū)，都不是，那么下面這個扇區(qū)是不是？前面，EBR 的結(jié)構(gòu)和 MBR 的結(jié)構(gòu)是一樣的，所以在倒數(shù)第五行倒數(shù)第二個字節(jié)應(yīng)該是 00 01，并且前 446 個字節(jié)應(yīng)該是 0，顯然這也不是 EBR，繼續(xù)按 F3 查找終于找到了真正的 EBR，在 1435392 扇區(qū)。小技巧：現(xiàn)在的硬盤都比較大，要逐個扇區(qū)的查找 55AA 確實(shí)太慢了，那么有沒有辦法快點(diǎn)呢？有，那就是先問問客戶 C 盤大概有多大，大多數(shù)客戶還是知道的，比如他說 C 盤大概有 1

7、0 個 G，那么你就不要從頭開始找了，因?yàn)槟菍?shí)在太慢了。10 個 G 大概是 2000 萬個扇區(qū)，那么你可以用轉(zhuǎn)到扇區(qū)命令直接到 1900 萬扇區(qū)，從那個地方再開始找不就省事多了。用 1435392 減去 63，得到 1435329，再轉(zhuǎn)為 16 進(jìn)制，就是 15E6C1，將他倒轉(zhuǎn)過來就是C1E61500，這就是 C 盤的大小。這樣，第一個分區(qū)表項(xiàng)填寫完畢，填寫第二個分區(qū)表項(xiàng)。第二個分區(qū)表第 1 個字節(jié)：因?yàn)槭欠腔顒臃謪^(qū)，所以寫 00第 2、3、4 字節(jié)，填寫 01 01 00（通用的）第 5 字節(jié)：因?yàn)槭菙U(kuò)展分區(qū)，所以填寫 0F保存一下，再接著第 6、7、8 字節(jié)：填寫 FEF(通用)第 9

8、、10、11、12 字節(jié)是本分區(qū)之前已用了的扇區(qū)數(shù)，應(yīng)該就是 C 盤大小加 63，也就是 1435392，前面剛計算出來的，轉(zhuǎn)為十六進(jìn)制數(shù)再反過來就是 00 E7 15 00第 13、14、15、16 字節(jié)是本分區(qū)的總扇區(qū)數(shù)，也就是擴(kuò)展分區(qū)的總扇區(qū)數(shù)，也就是用整個硬盤的大小減去 C 盤的大小再減去 63，即 4124736-1435329-63=2689344，轉(zhuǎn)為十六進(jìn)制就是 290940，反過來就是 40092900。這樣，第二個分區(qū)表項(xiàng)就填寫完了。了把最后的結(jié)束標(biāo)志 55AA 填上，這樣，MBR 就全恢復(fù)完了，最后，保存，再重新啟動啟動完畢，打開電腦，發(fā)現(xiàn)三個分區(qū)全部又回來了，并且里面的數(shù)據(jù)完好無損。再右擊“出現(xiàn)一個電腦”，選“管理”框，選“磁盤管理”，在右邊可以看到磁盤的三個分區(qū)(Fat32、Fat16、Ntfs)全部都回來了，至此，手工恢復(fù)分區(qū)表順利完成。二、FAT16 文件系統(tǒng)文件刪除恢復(fù)1、 文件刪除后底層分析abc.jpg 被徹底刪除文件后，在 FDT（文件目錄項(xiàng)）下，能夠找到被刪除數(shù)據(jù)的文件目錄項(xiàng)，根據(jù)文件文件目錄項(xiàng)和 FAT 表可以找到被刪除件目錄項(xiàng)可以找到文件的起始簇號和文件本身大小。