数据恢复原理实验

笔记：

winhex：用来检查和修复各种文件、恢复删除文件、硬盘损坏、数码相机卡损坏造成的数据丢失等。

Final data： FinalData具有强大的数据恢复功能当文件被误删除（并从回收站中清除）、FAT表或者磁盘根区被病毒侵蚀造成文件信息全部丢失、物理故障造成FAT表或者磁盘根区不可读，以及磁盘格式化造成的全部文件信息丢失之后，FinalData都能够通过直接扫描目标磁盘抽取并恢复出文件信息。

实验：

任务一：用Winhex查看硬盘信息

“我的电脑”->“管理”->磁盘管理，按照步骤提示完成添加过程，完成后会发现多了一块磁盘1， 在新添加的动态磁盘上创建卷， 所有选项均默认，直至完成向导，等待格式化完毕后在“我的电脑”会显示新的磁盘（如下图，磁盘D）

 

 

 

 

 

 

 使用winhex打开硬盘，分析硬盘信息：点击tools—>open disk， 打开物理磁盘C盘，可以查看与编辑硬盘信息。

找到第一扇区末尾：000001F0处，查看末尾标志是否为55AA。

 

根据看到的信息，查找资料，分析硬盘的分区信息。

 

 

 任务二：用Winhex找回被删除文件

1、建立反删除目标文件：打开新建立的D盘，建立一个文本文件，添加内容并保存（注：不可右键删除，否则将会放置回收站，无法用winhex找回（但可以直接将之从回收站恢复），应使用快捷键shift+delete）

2、找回文件：打开winhex，点击tools—>open disk，打开D盘；点击Specialist—>refine volume snapshot 获取卷快照，也可以按快捷键F10； 可以看到winhex自动查找硬盘文件系统，查找后找到被删除文件；右键该文件，点击恢复/复制， 选择需要扫描的驱动器，然后点击“扫描”，一段时间后会出现以前删除过的文件，勾选目标文件的复选框，可以“预览”

 

 

 

 任务三：用Final data恢复被删除的文件

 打开桌面上tools\finaldata文件夹，找到应用程序“FdWizard”；打开该程序，选择“恢复删除/丢失文件”；选择恢复已删除文件将出现“选择驱动器”界面；

分析与思考：

1）试着把E盘格式化后，分别用winhex和final data恢复被删除的文件，看能否恢复成功。

2）尝试通过Winhex手工还原目录项、然后修复簇链表