重生：Windows數(shù)據(jù)恢復(fù)技術(shù)極限剖析

第1章  數(shù)據(jù)與存儲(chǔ)介質(zhì) 1
1.1  數(shù)據(jù) 2
1.2  硬盤 2
1.2.1  硬盤品牌與廠商 2
1.2.2  溫徹斯特硬盤 3
1.2.3  固態(tài)硬盤 3
1.2.4  硬盤規(guī)格 4
1.2.5  硬盤性能指標(biāo) 10
1.2.6  IDE硬盤 12
1.2.7  SATA硬盤 13
1.2.8  SCSI硬盤 14
1.2.9  SCSI卡設(shè)置 21
1.2.10  USB接口 27
1.2.11  IEEE 1394接口 28
1.2.12  ZIF接口 28
1.2.13  CF接口 29
1.2.14  SAS接口 29
1.2.15  光纖接口 29
1.3  存儲(chǔ)卡 30
1.3.1  CF卡 30
1.3.2  MMC卡 30
1.3.3  SD卡 31
1.3.4  Mini-SD卡 31
1.3.5  TF卡 31
1.3.6  XD卡 31
1.3.7  MS卡 32
第2章  數(shù)據(jù)恢復(fù)相關(guān)基礎(chǔ) 33
2.1  計(jì)算機(jī)運(yùn)行流程 34
2.1.1  基本概念 34
2.1.2  計(jì)算機(jī)的啟動(dòng)過程 35
2.2  數(shù)據(jù)讀寫單位 36
2.3  尋址方式 36
2.3.1  C/H/S三維尋址方式 36
2.3.2  LBA線性尋址方式 37
2.4 “數(shù)”之基礎(chǔ) 38
2.4.1  數(shù)制 38
2.4.2  數(shù)制間的轉(zhuǎn)換 39
2.4.3  字長與數(shù)值表示范圍 45
2.4.4  二進(jìn)制數(shù)的正負(fù)表示 46
2.4.5  二進(jìn)制計(jì)算 46
2.4.6  數(shù)的存儲(chǔ)格式 49
2.4.7  取整與取余運(yùn)算 49
2.4.8  偏移量 50
2.5  字符表示法 50
2.5.1  ASCII字符集 50
2.5.2  Unicode字符集 53
2.6  Windows基礎(chǔ) 53
2.6.1  分區(qū)概述 53
2.6.2  文件系統(tǒng)概述 54
2.6.3  Windows目錄結(jié)構(gòu) 54
2.7  數(shù)據(jù)恢復(fù)與存儲(chǔ)安全常識(shí) 57
2.7.1  數(shù)據(jù)恢復(fù)概述 57
2.7.2  數(shù)據(jù)恢復(fù)的可能性 58
2.7.3  硬盤的正確使用 58
2.7.4  移動(dòng)硬盤的正確使用 59
2.7.5  U盤的正確使用 59
2.7.6  光盤的正確使用 60
2.7.7  數(shù)據(jù)丟失后的現(xiàn)場保護(hù) 60
第3章  基礎(chǔ)軟件使用 62
3.1  磁盤檢測軟件 63
3.2  磁盤檢測軟件1：MHDD 63
3.3  磁盤檢測軟件2：HDDScan 76
3.4  磁盤檢測軟件3：Victoria 78
3.5  磁盤克隆軟件 81
3.6  磁盤克隆軟件1：DDCOPY 83
3.7  磁盤克隆軟件2：HDCLONE 84
3.8  磁盤克隆軟件3：Media Tools 92
第4章  Winhex軟件的使用 98
4.1  Winhex簡介 99
4.2  軟件的獲取與安裝 99
4.3  軟件使用 100
4.3.1  啟動(dòng)軟件 100
4.3.2  打開對(duì)象 101
4.3.3  界面布局 102
4.3.4  工具欄詳解 108
4.3.5  常規(guī)設(shè)置 117
4.3.6  重新獲取卷快照 123
4.3.7  目錄瀏覽器設(shè)置 124
4.3.8  克隆磁盤 124
4.3.9  創(chuàng)建磁盤鏡象 127
4.3.10  回寫磁盤鏡像 128
4.3.11  右鍵定義選塊 130
4.3.12  右鍵菜單之“撤銷操作” 130
4.3.13  右鍵菜單之“剪切選塊” 130
4.3.14  右鍵菜單之“拷貝選塊” 131
4.3.15  右鍵菜單之“剪貼板數(shù)
據(jù)處理” 134
4.3.16  右鍵菜單之“移除選塊” 136
4.3.17  右鍵菜單之“粘貼零字節(jié)” 136
4.3.18  右鍵菜單之“填充選塊” 137
4.3.19  跳轉(zhuǎn)到頁 138
4.3.20  將文件解釋為磁盤 138
4.3.21  調(diào)整選塊選取位置 139
4.3.22  轉(zhuǎn)到… 140
4.3.23  標(biāo)記位置 141
4.3.24  位置管理器 141
4.3.25  分割文件 141
4.3.26  交叉拆分文件 142
4.3.27  連接文件 143
4.3.28  交叉合并文件 143
4.3.29  自動(dòng)比較文件或磁盤 144
4.3.30  同步比較文件或磁盤 146
4.3.31  安全擦除文件 147
4.3.32  進(jìn)制轉(zhuǎn)換器 148
4.3.33  校驗(yàn)計(jì)算器 149
4.3.34  選擇字符集 149
4.3.35  窗口管理 150
第5章  分區(qū) 153
5.1  初始化 154
5.1.1  磁盤顯示“未初始化”的
原因 155
5.1.2  初始化磁盤 155
5.1.3 “初始化”的結(jié)果 156
5.2  主分區(qū)表 157
5.2.1  主分區(qū)表結(jié)構(gòu) 157
5.2.2  創(chuàng)建主分區(qū) 161
5.2.3  主分區(qū)表實(shí)例分析 163
5.3  擴(kuò)展分區(qū)與擴(kuò)展分區(qū)表 165
5.3.1  擴(kuò)展分區(qū)概述 166
5.3.2  創(chuàng)建擴(kuò)展分區(qū) 166
5.3.3  創(chuàng)建邏輯分區(qū) 167
5.3.4  擴(kuò)展分區(qū)表 168
5.3.5  擴(kuò)展分區(qū)表實(shí)例分析 170
5.4  Winhex中有關(guān)分區(qū)的菜單項(xiàng) 171
第6章  FAT類文件系統(tǒng) 173
6.1  如何進(jìn)行格式化 174
6.2  FAT12/16文件系統(tǒng) 175
6.2.1  整體布局 175
6.2.2  DBR扇區(qū)總述 176
6.2.3  DBR扇區(qū)數(shù)據(jù)結(jié)構(gòu) 177
6.2.4  FAT12 DBR扇區(qū)實(shí)例 179
6.2.5  FAT16 DBR扇區(qū)實(shí)例 180
6.2.6  FAT表總述 182
6.2.7  FAT12的FAT表 186
6.2.8  FAT16的FAT表 187
6.2.9  根目錄 188
6.2.10  短文件名目錄項(xiàng) 189
6.2.11  長文件名目錄項(xiàng) 193
6.2.12  卷標(biāo)目錄項(xiàng) 196
6.2.13  子目錄與“. ”目錄項(xiàng)、“..”
目錄項(xiàng) 196
6.2.14  文件的建立 197
6.2.15  文件的讀取 198
6.2.16  文件的刪除 198
6.2.17  文件的復(fù)制、移動(dòng)與剪切 200
6.3  FAT32文件系統(tǒng) 201
6.3.1  保留區(qū)總述 201
6.3.2  DBR扇區(qū) 202
6.3.3  FSINFO信息扇區(qū) 207
6.3.4  FAT表 208
6.3.5  根目錄 208
6.3.6  短文件名目錄項(xiàng) 209
6.3.7  FAT32下文件的刪除 209
6.4  Winhex中有關(guān)FAT文件系統(tǒng)
的應(yīng)用 210
6.4.1  目錄瀏覽器 210
6.4.2  松弛空間 212
6.4.3  轉(zhuǎn)到某FAT項(xiàng) 212
6.4.4  快捷菜單 213
第7章  NTFS文件系統(tǒng) 215
7.1  基本概念 216
7.2  NTFS總體布局 217
7.3  引導(dǎo)扇區(qū) 218
7.4  主文件表MFT 222
7.4.1  基本概述 222
7.4.2  Windows 2000的MFT項(xiàng) 222
7.4.3  Windows XP的MFT項(xiàng) 225
7.5  MFT屬性 229
7.5.1  屬性的結(jié)構(gòu) 229
7.5.2  屬性類型 233
7.5.3  0x10屬性 234
7.5.4  0x20屬性 237
7.5.5  0x30屬性 237
7.5.6  0x40屬性 239
7.5.7  0x60屬性 240
7.5.8  0x70屬性 240
7.5.9  0x80屬性 241
7.5.10  0x90屬性 243
7.5.11  0xA0屬性 247
7.5.12  0xB0屬性 249
7.5.13  0xC0屬性 250
7.5.14  0x100屬性 251
7.6  文件系統(tǒng)元文件 251
7.6.1  $MFT文件 251
7.6.2  $MFTMirr文件 252
7.6.3  $LogFile文件 253
7.6.4  $Volume文件 253
7.6.5  $AttrDef文件 254
7.6.6  $Root文件 255
7.6.7  $Bitmap文件 255
7.6.8  $Boot文件 255
7.6.9  $Secure文件 256
7.6.10  $UsnJrnl文件 257
7.6.11  $Quota文件 258
7.6.12  $ObjId文件 260
7.7  文件的建立與刪除 260
7.8  Winhex中有關(guān)NTFS文件系統(tǒng)
的應(yīng)用 261
7.8.1  目錄瀏覽器 261
7.8.2  目錄瀏覽器中的右鍵菜單 262
7.8.3  轉(zhuǎn)到某MFT記錄 262
7.8.4  快捷菜單 263
第8章  ExFAT文件系統(tǒng) 264
8.1  ExFAT特性 265
8.2  ExFAT布局結(jié)構(gòu) 265
8.3  保留區(qū) 266
8.3.1  引導(dǎo)記錄扇區(qū) 266
8.3.2  校驗(yàn)扇區(qū) 269
8.4  FAT表 270
8.5  簇位圖 271
8.6  根目錄 272
8.7  目錄項(xiàng) 273
8.7.1  卷標(biāo)目錄項(xiàng) 274
8.7.2  簇位圖目錄項(xiàng) 275
8.7.3  大小寫轉(zhuǎn)換表目錄項(xiàng) 276
8.7.4  0x85文件屬性目錄項(xiàng) 277
8.7.5  0xC0文件屬性目錄項(xiàng) 279
8.7.6  文件名目錄項(xiàng) 281
8.7.7  卷GUID目錄項(xiàng) 282
8.8  子目錄 282
8.9  文件的建立與刪除 283
第9章  分區(qū)表損壞后的恢復(fù) 284
9.1 “55AA”標(biāo)志丟失 285
9.2  分區(qū)表的正確性 285
9.3  主分區(qū)表損壞后的恢復(fù) 286
9.3.1  無擴(kuò)展分區(qū) 286
9.3.2  有擴(kuò)展分區(qū) 287
9.3.3  只有擴(kuò)展分區(qū) 295
9.4  誤Ghost后的恢復(fù) 295
9.5  建立新的分區(qū)表 300
9.6  使用FinalData快速尋找分區(qū) 301
9.7  不要被巧合迷惑 303
9.8  將某個(gè)DBR當(dāng)作分區(qū)起始處 304
9.9  使用軟件恢復(fù)數(shù)據(jù) 305
9.9.1  使用FinalData恢復(fù) 305
9.9.2  使用R-Studio恢復(fù) 306
9.9.3  使用Winhex恢復(fù) 314
第10章  誤格式化后的恢復(fù) 316
10.1  雙擊時(shí)顯示“未格式化” 317
10.1.1  用備份DBR恢復(fù)主DBR 317
10.1.2  手工計(jì)算恢復(fù)DBR 318
10.2  格式化對(duì)磁盤的寫入 329
10.2.1  建立FAT16文件系統(tǒng) 329
10.2.2  建立FAT32文件系統(tǒng) 330
10.2.3  建立NTFS文件系統(tǒng) 331
10.3  格式化后的可恢復(fù)性 331
10.3.1  FAT表丟失后的可恢復(fù)性 331
10.3.2  原FAT16重新格式化成
FAT16 334
10.3.3  原FAT32重新格式化成
FAT32 334
10.3.4  原FAT32格式化成NTFS 335
10.3.5  原NTFS重新格式化成
NTFS 336
10.3.6  原NTFS格式化成FAT32 336
10.4  格式化后的恢復(fù) 337
10.4.1  使用EasyRecovery恢復(fù) 338
10.4.2  使用R-Studio恢復(fù) 340
第11章  誤刪除后的恢復(fù) 345
11.1  FAT16下的刪除 346
11.1.1  FAT16下文件的刪除 346
11.1.2  FAT16下被刪除文件的可恢
復(fù)性 347
11.1.3  FAT16下文件夾的刪除 347
11.1.4  FAT16下被刪除文件夾的可恢復(fù)性 348
11.2  FAT32下的刪除 349
11.2.1  FAT32下文件的刪除 349
11.2.2  FAT32下被刪除文件的可恢
復(fù)性 350
11.2.3  FAT32下文件夾的刪除 350
11.3  NTFS下的刪除 351
11.4  誤刪除后的恢復(fù) 353
11.4.1  使用EasyRecovery恢復(fù) 353
11.4.2  使用FinalData恢復(fù) 355
11.4.3  使用Restorer2000恢復(fù) 358
11.4.4  使用R-Studio恢復(fù) 360
第12章  破解文件密碼 362
12.1  破解Word文檔密碼 363
12.1.1  Word文檔加設(shè)密碼方法 363
12.1.2  使用Word Key破解Word
文檔密碼 364
12.1.3  使用Accent WORD Password Recovery破解Word文
檔密碼 367
12.2  破解Excel密碼 371
12.2.1  Excel文檔加設(shè)密碼方法 372
12.2.2  使用Excel Key破解Excel
文檔密碼 373
12.2.3  使用Excel Recovery破解
Excel文檔密碼 373
12.3  破解PDF文檔密碼 377
12.3.1  PDF文檔加設(shè)密碼方法 377
12.3.2  使用Advanced PDF Password Recovery破解PDF文檔密碼
 381
12.4  破解RAR壓縮文件密碼 383
12.4.1  創(chuàng)建密碼保護(hù)的RAR文件
 383
12.4.2  使用RAR Password Recovery破解RAR密碼 386
12.4.3  使用RAR Password Unlocker破解RAR密碼 387
12.5  破解Access數(shù)據(jù)庫密碼 388
12.5.1  為Access加設(shè)打開密碼 388
12.5.2  使用Access密碼破解器破解Access密碼 389
12.6  破解PPT密碼 389
12.6.1  為PPT文件加設(shè)打開密碼 390
12.6.2  使用Advanced Office Password Recovery破解PPT密碼 390
12.7 破解Outlook郵件密碼 392
12.7.1  為Outlook文件加設(shè)打開
密碼 392
12.7.2  使用PstPassword破解Outlook文件密碼 393
第13章  文件修復(fù) 395
13.1  Word修復(fù) 396
13.1.1  打開Word文檔自動(dòng)保存
功能 396
13.1.2  使用DocRepair修復(fù)損壞
的Word文檔 396
13.1.3  使用FinalData修復(fù)損壞的
Word文檔 398
13.1.4  使用Winhex查看損壞Word
文檔文本 401
13.2  Excel修復(fù) 402
13.2.1  打開Excel自動(dòng)保存功能 402
13.2.2  使用Advanced Excel Repair
修復(fù)Excel 403
13.2.3  使用ExcelFIX修復(fù)Excel 404
13.2.4  使用Recovery for Excel修
復(fù)Excel 409
13.3  使用Advanced PDF Repair修復(fù)PDF
文檔 410
13.3.1  單一文件修復(fù) 411
13.3.2  批量文件修復(fù) 412
13.4  使用AccessFIX修復(fù)Access
數(shù)據(jù)庫 413
13.4.1  單一文件修復(fù) 414
13.4.2  批量文件修復(fù) 414
13.5  使用Recovery for PowerPoint
修復(fù)PPT 415
第14章  郵件恢復(fù) 417
14.1  Outlook Express恢復(fù) 418
14.1.1  Outlook Express郵件文件夾
組成 418
14.1.2  Outlook Express郵件備份 419
14.1.3  Outlook Express備份導(dǎo)入 421
14.1.4  使用R-Studio恢復(fù)Outlook Express 423
14.1.5  使用R-Mail for Outlook Express恢復(fù)OutlookExpress 426
14.1.6  使用OE-Mail Recovery恢復(fù)
Outlook Express 432
14.1.7  Outlook Express郵件的其他導(dǎo)
入問題 437
14.2  Outlook恢復(fù) 437
14.2.1  Outlook郵件備份 437
14.2.2  Outlook 郵件備份導(dǎo)入 439
14.2.3  使用Scanpst.exe修復(fù)損壞
的.pst文件 439
14.2.4  使用Recover My E-mail for
Outlook恢復(fù)Outlook 441
14.2.5  使用OutlookFix恢復(fù)
Outlook 443
14.2.6  使用R-Mail for Outlook恢復(fù)Outlook 447
第15章  SQL Server數(shù)據(jù)庫恢復(fù) 449
15.1  數(shù)據(jù)庫基本操作 450
15.1.1  數(shù)據(jù)庫的安裝 450
15.1.2  啟動(dòng)與停止數(shù)據(jù)庫服務(wù) 450
15.1.3  新建數(shù)據(jù)庫 451
15.1.4  備份數(shù)據(jù)庫 452
15.1.5  還原數(shù)據(jù)庫 454
15.1.6  數(shù)據(jù)庫的附加與分離 456
15.2  數(shù)據(jù)庫恢復(fù) 458
15.2.1  使用MSSQLRecovery恢復(fù)
SQL數(shù)據(jù)庫 458
15.2.2  使用Kernel Recovery for SQL-
Database恢復(fù)SQL數(shù)據(jù)庫
 462
第16章  動(dòng)態(tài)磁盤 464
16.1  基本磁盤轉(zhuǎn)換為動(dòng)態(tài)磁盤 465
16.1.1  基本磁盤轉(zhuǎn)換為動(dòng)態(tài)磁盤 465
16.1.2  轉(zhuǎn)換前與轉(zhuǎn)換后的區(qū)別 466
16.2  LDM數(shù)據(jù)庫 469
16.3  動(dòng)態(tài)磁盤的使用 469
16.3.1  建立簡單卷 470
16.3.2  建立跨區(qū)卷 471
16.3.3  擴(kuò)展簡單卷 472
16.3.4  建立帶區(qū)卷 473
16.4  R-Studio對(duì)動(dòng)態(tài)磁盤的支持 474
16.4.1  R-Studio中帶區(qū)卷的重要參
數(shù)分析 475
16.4.2  R-Studio中跨區(qū)卷的重要參
數(shù)分析 476
16.4.3  使用R-Studio恢復(fù)跨區(qū)卷
數(shù)據(jù) 478
第17章  RAID基礎(chǔ)知識(shí) 481
17.1  RAID的實(shí)現(xiàn) 482
17.1.1  軟RAID 482
17.1.2  硬RAID 482
17.2  RAID級(jí)別分析 483
17.2.1  JBOD結(jié)構(gòu)分析 483
17.2.2  JBOD磁盤缺失后的可
恢復(fù)性 484
17.2.3  RAID0結(jié)構(gòu)分析 484
17.2.4  RAID0磁盤缺失后的可
恢復(fù)性 485
17.2.5  RAID1結(jié)構(gòu)分析 485
17.2.6  RAID1磁盤缺失后的可
恢復(fù)性 486
17.2.7  RAID4結(jié)構(gòu)分析 486
17.2.8  RAID4磁盤缺失后的可
恢復(fù)性 487
17.2.9  RAID5結(jié)構(gòu)分析 488
17.2.10  RAID5磁盤缺失后的可
恢復(fù)性 492
17.2.11  RAID6結(jié)構(gòu)分析 492
17.2.12  RAID6磁盤缺失后的可
恢復(fù)性 493
17.2.13  RAID1E結(jié)構(gòu)分析 494
17.2.14  RAID1E磁盤缺失后的可
恢復(fù)性 495
17.2.15  RAID 5E結(jié)構(gòu)分析 496
17.2.16  RAID 5E磁盤缺失后的
可恢復(fù)性 496
17.2.17  RAID 5EE結(jié)構(gòu)分析 497
17.2.18  RAID 5EE磁盤缺失后的可
恢復(fù)性 497
17.2.19  HP內(nèi)外雙循環(huán)陣列結(jié)構(gòu)
分析 498
17.2.20  HP內(nèi)外雙循環(huán)缺盤后的
可恢復(fù)性 498
第18章  RAID數(shù)據(jù)恢復(fù) 499
18.1  RAID信息分析方法 500
18.1.1  利用FAT表分析塊大小 500
18.1.2  利用MFT記錄號(hào)分析塊
大小 501
18.1.3  利用FAT表分析數(shù)據(jù)塊
順序 503
18.1.4  利用MFT記錄號(hào)分析數(shù)據(jù)
塊順序 504
18.1.5  利用FAT表尋找校驗(yàn)塊 505
18.1.6  利用MFT尋找校驗(yàn)塊 505
18.1.7  RAID5循環(huán)方向的判斷 509
18.1.8  RAID5同步異步的判斷 509
18.1.9  計(jì)算RAID5各個(gè)成員盤第
一個(gè)校驗(yàn)塊的位置 510
18.2  使用Raid Reconstructor恢復(fù)
RAID 512
18.2.1  恢復(fù)RAID0 512
18.2.2  恢復(fù)RAID5 515
18.3  使用R-Studio恢復(fù)RAID 517
18.4  使用Winhex恢復(fù)RAID 521
第19章  實(shí)際工作恢復(fù)案例集錦 524
19.1  某文件保密軟件分析 525
19.2  FAT32目錄項(xiàng)發(fā)生移位后的恢復(fù) 529
19.3  修復(fù)壞道導(dǎo)致DBR及FAT1損壞后的
恢復(fù) 534
19.4  移動(dòng)硬盤病毒破壞后的恢復(fù) 535
19.5  一次U盤無法正確識(shí)別的恢復(fù) 536
19.6  U盤根目錄被覆蓋后的重建 539
19.7  恢復(fù)HP L600服務(wù)器RAID5陣列
  539
19.8  4塊磁盤Windows 2000系統(tǒng)IBM
服務(wù)器RAID5恢復(fù) 547
19.9  在缺少兩塊成員盤的情況下分析
RAID5 555