数据恢复原理实验

1、为虚拟机添加一块硬盘

    登录到实验主机上。右击“我的电脑”->“管理”，见下图：

 

 

 

 

 

 

一直下一步直至完成后，可以看到有一个新盘，即磁盘1

 

 

 新建卷，一直默认下一步直至完成。然后可以看到我的电脑有一个新盘

 

 

 

使用winhex打开硬盘，分析硬盘信息

    点击tools—>open disk，出现下图：

 

 

 

 

 找到第一扇区末尾：000001F0处，查看末尾标志是否为55AA。

 

 

 

任务二：用Winhex找回被删除文件

1、建立反删除目标文件

    关闭winhex，打开E盘（新建立的分区），建立一个文本文件，命名为：llll.txt，并添加内容。

 

 建立后shift+delete删除该文本文档（彻底删除，不会出现在回收站）

 

 

 

 

2、找回文件

    打开winhex，点击tools—>open disk，打开D盘。点击Specialist—>refine volume snapshot 获取卷快照，也可以按快捷键F10

 

 

 可以看到winhex自动查找硬盘文件系统，（若没有则在view-show查找后找到被删除文件：

 

 

 

 

  选择一个路径保存文件，打开恢复的文件，查看内容是否成功恢复。

 

 

 

 

 

 

 

任务三：用Final data恢复被删除的文件

    1、打开桌面上tools\finaldata文件夹，找到应用程序“FdWizard” 打开该程序，显示主界面如下图，选择“恢复删除/丢失文件”：

 

 

选择恢复已删除文件

 

 

 

 选择新盘->扫描->恢复

 

 

 

 

 

 

 

 

 分析与思考：

1）试着把E盘格式化后，分别用winhex和final data恢复被删除的文件，看能否恢复成功。

 

 按照以上步骤打开winhex，并找到格式化后被删除的文件

 

 

 

但在final data未找到格式化后被删除文件

 

 

 

2）尝试通过Winhex手工还原目录项、然后修复簇链表。