计算机病毒第二讲-磁盘格式与数据恢复.ppt

《计算机病毒分析与对抗》第二讲磁盘格式与数据恢复引言课前我们应该思考的问题本讲的内容提纲1.1硬盘外观20GB的7200RPM高速西部数据硬盘全球最小的HDD1.2硬盘物理结构1.2.1硬盘外部结构1.2.1硬盘外部结构1.2.1硬盘外部结构1.2.2硬盘内部结构1.2.2硬盘内部结构1)磁头组件2)磁头驱动机构：3)磁盘片4)主轴组件5)前置控制电路1.3硬盘逻辑结构1.3硬盘逻辑结构硬盘空间扩展2.1硬盘总体结构表272.2MBR2.3DPT（硬盘分区表）DPT（硬盘分区表）示例DPT分区项各字段含义DPT的4个分区项扩展分区表扩展分区表该硬盘详细结构2.4DBR各字段含义DBR各自段具体解释FAT32下DBR各字段含义NTFS下DBRNTFS下BPB和扩展BPB中参数的含义3.1FAT32分区结构引导扇区
在前面已经论述，其中的BPB和扩展的BPB记录了分区的属性，即其它5个部分的属性。
保留扇区：
FAT32中的保留扇区除了磁盘总第0扇区用作DBR，总第2扇区(win98系统)或总第0xC扇区(win2000,winxp)用作OS引导代码扩展部分外，其余扇区都不参与操作系统管理与磁盘数据管理，通常情况下是不起作用的。

操作系统之所以在FAT32中设置保留扇区，是为了对DBR作备份或留待以后升级时用，比如引导程序以后的扩展，FAT32中DBR偏移0x34占2字节的数据指明了DBR备份扇区所在一般为0x06即第6扇区，当FAT32分区DBR扇区被破坏导致分区无法访问时可以用第6扇区的原备份替换第0扇区来找回数据。FAT表(FileAllocationTable文件分配表)是Microsoft在FAT文件系统中用于磁盘数据(文件)索引和定位引进的一种链式结构。FAT表记录了磁盘数据文件的存储链表。

文件系统将磁盘空间按一定数目的扇区为单位进行划分，这样的单位称为簇。
通常情况下，每扇区512字节的原则是不变的。簇的大小一般是2n(n为整数)个扇区的大小，可以是512B、1KB、2KB、4KB、8KB、16KB、32KB、64KB。实际中通常不超过32K。FAT表根目录首簇
对于根目录的第一个簇，系统并不编号为第0簇或第1簇，而是编号为第2簇，也就是说数据区顺序上的第1个簇也是编号上的第2簇。FAT中将目录当文件进行处理。文件和目录都以32字节的目录项来进行索引，长文件名拥有多个目录项。实际目录的目录项例子实际文件的目录项例子3.2文件存储与恢复原理NTFS文件系统总体结构图NTFS引导分区实际含义MFT(MasterFileTable):组织结构示意表MFT(MasterFileTable):主控文件表FileRecord(FR)FileRecord组织结构示意表实例：Serial.txt文件FR头属性实例：数据可容纳在一个FR中的Serial.txt文件数据无法容纳在一个FR中的例子：Setup.exe相关工具课后作业