硬件中的電子數(shù)據(jù)恢復(fù)
> 主要針對(duì)硬件故障而丟失的數(shù)據(jù)
-- 據(jù)稱，占所有數(shù)據(jù)意外故障一半以上
-- 要注意：不要嘗試對(duì)硬盤反復(fù)加電，防止人為造成更大面積的劃傷
> 故障形成
-- 雷擊、高壓、高溫等造成的電路故障
-- 高溫、振動(dòng)碰撞等造成的機(jī)械故障；惡意損毀
-- 高溫、振動(dòng)碰撞、存儲(chǔ)介質(zhì)老化造成的物理壞磁道扇區(qū)故障
-- 意外丟失損壞的固件BIOS信息
> 能力需求
-- 電路故障需要我們有電路基礎(chǔ)，需要更加深入了解硬盤詳細(xì)工作原理、流程
-- 機(jī)械磁頭故障需要100級(jí)以上的工作臺(tái)或工作間來(lái)進(jìn)行診斷修復(fù)工作
軟件的電子數(shù)據(jù)恢復(fù)
> 主要是恢復(fù)操作系統(tǒng)、文件系統(tǒng)層的數(shù)據(jù)
-- 物理介質(zhì)沒(méi)有發(fā)生實(shí)質(zhì)性的損壞
> 故障形成
-- 軟件邏輯故障、惡意程序、誤操作等造成的數(shù)據(jù)丟失
-- 惡意刪除：普通刪除、軟件清理式刪除
> 能力需求
-- 邏輯故障造成的數(shù)據(jù)丟失，大部分情況可以通過(guò)電子數(shù)據(jù)恢復(fù)軟件找回
-- 從文件系統(tǒng)存儲(chǔ)原理角度去提升能力，學(xué)習(xí)基礎(chǔ)的數(shù)據(jù)分析方法
特定類型文件恢復(fù)
> 針對(duì)數(shù)據(jù)庫(kù)系統(tǒng)或特定類型文件（封閉系統(tǒng)）恢復(fù)
-- 往往自身有自己的一套完整的保護(hù)措施，難度較大（加密等）
-- 基于專有文件類型的電子數(shù)據(jù)恢復(fù)（Word、JPG、AVI等）
> 故障形成
-- 磁盤陣列（RAID）故障或數(shù)據(jù)刪除
-- 一鍵刪除：失誤或惡意刪除
> 能力需求
-- 數(shù)據(jù)庫(kù)文件存儲(chǔ)的基本方法，數(shù)據(jù)庫(kù)記錄增刪改的基本原理
-- 先排除硬件及軟故障，然后分析陣列順序、塊大小等參數(shù)，重組
覆蓋恢復(fù)
> 主要針對(duì)被覆蓋或粉碎的數(shù)據(jù)
-- 專有軟件清0或填1
-- 大文件的填充和覆蓋
> 故障形成
-- 惡意刪除、惡意覆蓋
> 能力需求
-- 一般民用環(huán)境下因需要投入的資源太大，往往得不償失
-- 尖端的國(guó)防軍事等國(guó)家系統(tǒng)或個(gè)別掌握尖端科技的硬盤廠商也許可以做到
FAT系統(tǒng)文件恢復(fù)
> 回收站（Recycled）中的文件恢復(fù)
-- 在Win7 下，被刪除的文件（目錄）被改名為$R為起始的文件（目錄）
-- 同時(shí)生成一個(gè)以$I為前綴，且后續(xù)字符完全一樣的文件
-- 如果是刪除的目錄，進(jìn)入$R目錄下，可以看到被刪除的文件原始文件名、擴(kuò)展名不變
> 回收站文件的存儲(chǔ)狀態(tài)和恢復(fù)
-- 回收站臨時(shí)存放被刪除的文件，執(zhí)行清空回收站，文件才會(huì)被徹底清除（或使用Shift+Del組合鍵方式可徹底刪除）
-- 文件或文件夾對(duì)應(yīng)目錄項(xiàng)的第一個(gè)字節(jié)被標(biāo)記為“已刪除對(duì)象”(E5)，該目錄項(xiàng)將不再顯示給用戶
-- 更新FAT，FAT表中所記錄的分配給該文件或文件夾的所有簇的狀態(tài)值全部改變?yōu)椤拔捶峙浯亍保?/span>Unallocated）
NTFS系統(tǒng)文件恢復(fù)
> 刪除文件或文件夾時(shí)，主文件表MFT中會(huì)更新對(duì)象對(duì)應(yīng)的記錄
-- 將其狀態(tài)標(biāo)記為可重新使用
-- 然后在位圖文件（$Bitmap）中將對(duì)象所占用的簇標(biāo)記為未分配狀態(tài)
> 關(guān)于偏移量（一個(gè)示例）
-- 00H-37H為$MFT屬性頭，38H-4FH、98H-AFH、188H-19FH、1B0H-17CH 分別為MFT的10、30、40、80屬性頭
> 文件刪除后，$MFT屬性頭四處數(shù)據(jù)發(fā)生了變化
-- 08H-0FH處由6F 0D E0 00 00 00 00 00被修改為A8 08 00 01 00 00 00 00
-- 10H-11H處由01 00被修改為02 00
-- 16H-17H處由01 00被修改為00 00
-- 30H-31H處由08 00被修改為09 00
關(guān)注神州，了解更多