基于WINHEX的數(shù)據(jù)恢復(fù)

劉生輝++呂爽++王憶慈++周慧

摘要：在信息化進程高速發(fā)展的現(xiàn)代社會，人們的日常衣食住行都是離不開電腦的。電子數(shù)據(jù)存儲不同于紙質(zhì)數(shù)據(jù)存儲，它不論經(jīng)過多少年其中的數(shù)據(jù)依然是完整可讀的，但依然會因為諸多原因，例如存儲介質(zhì)損壞、誤操作等導(dǎo)致數(shù)據(jù)丟失。數(shù)據(jù)恢復(fù)可以很好的幫我們找回我們丟失的數(shù)據(jù)。

關(guān)鍵詞：數(shù)據(jù)恢復(fù)；Winhex；數(shù)據(jù)存儲

中圖分類號：TP309.3 文獻標(biāo)識碼：A 文章編號：1007-9416（2017）10-0201-02

Winhex是一款功能十分強大的軟件，占用內(nèi)存小且對計算機的配置要求十分低。它以通用的 16 進制編輯器為核心。在計算機取證、數(shù)據(jù)恢復(fù)等方面作用十分顯著。

信息技術(shù)高速發(fā)展的今天，信息安全越來越受到重視，社會對信息安全的需求也日益擴大。掌握一門數(shù)據(jù)恢復(fù)的技巧十分必要。

1 數(shù)據(jù)恢復(fù)原理

數(shù)據(jù)是存儲于硬盤之上的。一塊硬盤在其出廠的時候是完全空白的，將其分區(qū)、格式化后還需安裝操作系統(tǒng)才可正常使用。

1.1 硬盤劃分及存儲

要明白數(shù)據(jù)存儲及恢復(fù)的原理，就要先明白硬盤上數(shù)據(jù)存儲的原理。硬盤一般劃分為四部分。分別是主引導(dǎo)扇區(qū)MBR、文件分配表FAT、目錄區(qū)DIR和數(shù)據(jù)區(qū)Data。

1.1.1 主引導(dǎo)扇區(qū)

主引導(dǎo)扇區(qū)在一個硬盤中是唯一的，它位于整個硬盤的第一個扇區(qū)。按照C/H/S地址描述，它位于0柱面0磁頭1扇區(qū)；按照LBA地址描述，它位于0扇區(qū)。主引導(dǎo)扇區(qū)是一個特殊而重要的扇區(qū)，它分為硬盤主引導(dǎo)記錄、windows磁盤簽名、分區(qū)表。主引導(dǎo)扇區(qū)以55 AA為結(jié)束標(biāo)志。

1.1.2 文件分配表

文件分配表是一個文件尋址系統(tǒng)。FAT文件系統(tǒng)包括保留扇區(qū)、FAT區(qū)域、根目錄區(qū)域和數(shù)據(jù)區(qū)域。

保留扇區(qū)位于最開始的位置，第一個保留扇區(qū)是分區(qū)啟動記錄，包括輸入輸出參數(shù)塊的區(qū)域。

FAT區(qū)域則是分區(qū)信息的映射表。通常情況下FAT區(qū)域用來指示簇的存儲方式。

數(shù)據(jù)區(qū)域占據(jù)了分區(qū)的絕大部分，是文件和目錄數(shù)據(jù)的實際存儲區(qū)域。

1.1.3 目錄區(qū)

根目錄區(qū)DIR可以在分區(qū)中的任意位置，其起始位置是由引導(dǎo)扇區(qū)給出的。根目錄區(qū)記錄著每個文件的文件名、擴展名、起始單元等。操作系統(tǒng)在讀寫文件時，根據(jù)目錄區(qū)中的內(nèi)容，結(jié)合文件分配表可找出文件的具體位置，然后讀取內(nèi)容。

1.1.4 數(shù)據(jù)區(qū)

數(shù)據(jù)區(qū)DATA是數(shù)據(jù)存儲區(qū)，占據(jù)硬盤的絕大部分空間。通常所說的格式化并沒有清除數(shù)據(jù)區(qū)的內(nèi)容，只是重寫了文件分配表。分區(qū)則是修改主引導(dǎo)扇區(qū)和操作系統(tǒng)引導(dǎo)扇區(qū)，數(shù)據(jù)區(qū)的內(nèi)容并沒有被改變。

1.2 數(shù)據(jù)恢復(fù)原理

可以把我們的電腦看作一本書，那么文件分配表就是這本書的目錄。當(dāng)文件分配表損壞時，相當(dāng)于這本書的目錄被人撕下，但書真正的內(nèi)容卻是完好的。只是在沒有目錄指引的情況下我們無法直接的找到我們想找的內(nèi)容的位置，只能依照記憶或手動去翻找。刪除文件的操作是在文件分配表前做一個代表此文件已被刪除的標(biāo)志，則系統(tǒng)也會默認(rèn)此文件已被損壞。格式化的操作與刪除類似，也是在文件分配表中的該文件前加刪除標(biāo)志。區(qū)別只在于刪除是針對單一文件的操作，而格式化針對的整個硬盤。這種操作并非不可逆，同樣是可恢復(fù)的。

2 系統(tǒng)框架設(shè)計

（1）在WINHEX中打開需要恢復(fù)的文件所在的硬盤；（2）讀取主引導(dǎo)區(qū)的信息，從分區(qū)表中獲取需要恢復(fù)的文件的分區(qū)參數(shù)值；（3）根據(jù)該參數(shù)值轉(zhuǎn)至需要恢復(fù)的文件所在的扇區(qū)，讀取BPB參數(shù)值；（4）計算目錄區(qū)位置，找出需要恢復(fù)的文件；（5）獲取文件大小、起始簇；（6）填寫FAT；（7）保存數(shù)據(jù)。

3 系統(tǒng)實現(xiàn)

原文件（如圖1）。

恢復(fù)界面（如圖2）。

恢復(fù)界面（如圖3）。

4 結(jié)語

本文講解了基于WINHEX的數(shù)據(jù)恢復(fù)技術(shù)的研究背景、研究目的和意義、研究內(nèi)容、實驗原理。經(jīng)試驗證明利用WINHEX進行數(shù)據(jù)恢復(fù)操作試驗成功。

參考文獻

[1]戴士劍，涂彥暉.數(shù)據(jù)恢復(fù)技術(shù)（經(jīng)典重現(xiàn)版）[J].計算機安全，2014，（06）：44.

[2]馬林.數(shù)據(jù)重現(xiàn)---文件系統(tǒng)原理精解與數(shù)據(jù)恢復(fù)最佳實踐[M].北京：清華大學(xué)出版社，2009：133-134.

[3]劉偉.數(shù)據(jù)恢復(fù)技術(shù)深度揭秘[M].北京：電子工業(yè)出版社，2010.endprint