数据恢复技术实验指导书

《数据恢复技术实验指导书》由会员分享，可在线阅读，更多相关《数据恢复技术实验指导书（41页珍藏版）》请在金锄头文库上搜索。

1、1* DiskEdit 软件使用练习实验说明本实验和下一实验共 2 课时。涉及软件：可启动的光盘、DiskEdit 软件。实验名称DiskEdit 软件使用练习实验目的1、熟悉如何启动到 DOS 环境并启动 DiskEdit 软件2、掌握 DiskEdit 软件的基本功能：物理扇区操作；字符串查找、定位；显 示设置；系统配置3、了解 DiskEdit 计算器和 ASCII 码表工具实验内容1、 启动 DiskEdit 软件，按照实验参考的提示，熟悉各个菜单、对话框的使 用方法。2、 定位到绝对扇区 0 （MBR） ，备份这个扇区 （写入一个文件） 。3、 查看方式切换到文本、分区表、引导记录，

2、观察窗口显示的变化。4、定位到绝对扇区 63 （DBR） ，练习在指定位置查找 FAT16、FAT32 或 NTFS 等字符串。5、修改只读方式为可写方式，修改 55 AA 为其它值，观察系统能否启动。 最后修复回 55 AA，再看能否启动。6、自行试验计算器和 ASCII 码表等小工具的使用。报告要求1、说明 DiskEdit 最基本的功能2、说明定位一个物理扇区，备份物理扇区的方法2实验参考1、DiskEditor 启动界面32、选择打开对象 （逻辑磁盘或物理磁盘）43、DiskEdit 主界面 （View as Hex 方式）4、Object （对象）菜单55、设定需要选取的物理扇区范围

3、6、绝对扇区 63 （第一个分区的 DBR 扇区）67、按指定偏移量搜索字符串8、将扇区写入文件79、Edit （编辑）菜单10、View （查看）菜单811、Tools （工具）菜单12、修改系统配置 （写保护切换）9实验一 认识 MBR 和分区表实验说明本实验和上一实验共 2 课时。涉及软件：可启动的光盘、DiskEdit 或 WinHex、Diskman。实验名称认识 MBR 和分区表实验目的1、掌握 MBR 的几个组成部分。2、掌握用 Diskman、DiskEdit 或 WinHex 查看分区表的方法。实验内容1、打开物理硬盘 HD0，将 MBR 备份到文件 abs0.bin，对照教

4、材关于 MBR 组 成的内容，记下 MBR 的各个组成部分。2、用 WinHex 的 MBR 模板或 DiskEdit 的 View-as Partition Table 查看 分区表信息。参考教材了解分区类型。3、用 Diskman 读取分区表信息，分析磁盘分区信息表。4、 （选学）用 debug/int 13 读取 MBR 查看。用 debug-W 命令将 MBR 写入 mbr.bin。用 debug-U 反汇编 mbr.bin，了解 MBR 执行流程。用 debug-E 修改内存，用 debug/int 13 将修改后的数据写入 MBR。用 debug-L 导入 mbr.bin，覆盖 M

5、BR 来恢复。报告要求1、分别写出用 DiskEdit （或 WinHex）和 Diskman 读取的分区信息表数据， 比较数据是否一致。2、分析分区信息表数据，列出表格解释各数据代表的含义。3、分析 MBR 数据，写出各组成部分起始偏移地址及长度。10实验二 WinHex 软件使用练习实验说明本实验共 2 课时。涉及软件：可启动的光盘、WinHex 软件。实验名称WinHex 软件使用练习实验目的1、熟悉如何打开或定位物理硬盘和逻辑磁盘2、学会备份一个扇区，应用模板解释扇区的数据3、学会在指定偏移处搜索文本实验内容1、启动 WinHex 软件，参照实验参考和课本快速浏览 WinHex 的各个

6、功能菜 单。2、从工具 -磁盘编辑器选择物理硬盘 HD0 打开。获取该硬盘的柱面数、磁 头数和每个磁道的扇区数，并记录。3、从访问切换到各个分区进行观察，记录每个分区的信息 （例如分区的起 始扇区等） ，然后关闭所有打开的分区对象。4、位置 -转到偏移量，相对于开始 0 字节，回到 MBR 扇区。编辑 -复制 扇区 -进入新文件，文件名 abs0，保存。WinHex 自动把 abs0 当作对象 打开。5、查看 -模板管理器，Master Boot Record，应用。WinHex 将使用 MBR 数据结构来解释当前扇区，即对应一个扇区的 abs0 文件。记录主分区和 扩展分区的相关信息。6、使

7、用工具 -16 进制转换器将 52h 换算成 10 进制，将位置定位到物理硬 盘 HD0 的开头，搜索 -查找文本，搜索的字符串 FAT32，区分大小写， 向下搜索，搜索条件模 512 余 x （x 为前面换算得到的数） ，确定。7、每搜索到一处，记录下面状态栏中的扇区 ?/? 信息和左边的 CHS 及相对 扇区编号信息。按 F3 搜索下一处。8、比较 （3）和 （7）中的数据，你会分析吗？不会请耐心继续学习。报告要求1、说明打开物理硬盘的方法，记录各分区的信息2、说明 WinHex 备份一个扇区和搜索文本的方法11实验参考1、工具 -磁盘编辑器2、选择物理硬盘 HD0 进行编辑123、Win

8、Hex 主界面视图134、访问各个逻辑磁盘145、打开指定的分区对象156、按偏移量定位到当前对象的指定位置7、注意定位使用的参考点和数值的进制8、备份一个扇区到文件169、任何对象作为文件备份后，这个备份文件可以像原始对象一样查看、编辑，所有这些操作不会影响原始对象，这 是 WinHex 的强大之处：数据恢复更安全！1710、用模板查看当前对象1811、模板是一些预定义的数据结构，方便用户直接解释扇区中的数据1912、搜索 -查找文本13、指定准确的查找条件可以大大提高搜索速度14、当前位置所在扇区线性地址2015、当前位置所在扇区 CHS 参数等21实验三 DBR、FAT、FDT、DATA

9、 分析实验说明本实验和下 2 个实验共 4 课时。涉及软件：可启动的光盘、DiskEdit 或 WinHex 软件、Debug。实验名称DBR、FAT、FDT、DATA 分析实验目的（1）掌握用 DiskEdit 或 WinHex 查看 DBR、FAT 的方法。（2）掌握手工分析和 WinHex 模板分析 FDT 项的方法。（3） （选学）了解通过 Debug 查看、修改 DBR 的方法。实验内容（1）用 WinHex 定位到第一个分区的 DBR 扇区 （0/1/1 扇区或者直接从 “ 访 问 ” 列表选取） ，从 DBR 扇区向后寻找若干扇区，能否找到和 DBR 扇区 内容完全一样的扇区？如

10、果找到，记录位置。（2）找到其他分区的 DBR 扇区，看看是否和系统所在分区相同。（3）用 WinHex 的模板或 DiskEdit 的 View 菜单查看 DBR 和 FAT，对照教材的 表格了解 BPB 参数信息。（4）参照教材的内容，先用手工分析的方法分析一个 FDT 项目，再和 WinHex 的模板解释的情况比较一下。（5） （选学）用 Debug-L 命令读入 DBR 扇区，用 Debug-E 命令修改内存，用 Debug-W 写回扇区。想想看，如果不使用 Debug-L/W 命令，用 int 13 调 用如何实现修改 DBR。报告要求1、列出活动分区 DBR 的各个部分，对 BPB

11、 必须详细说明。 （用表格说明）2、手工分析一个 FDT 项目，类似教材图 2-33 和表 2-6 分析。22实验参考1、Debug:L （加载）将某个文件或特定磁盘扇区的内容加载到内存。 要从磁盘文件加载 BX:CX 寄存器中指定的字节数内容，请使用以下 语法： l address 要略过 Windows 2000 文件系统并直接加载特定的扇区，请使用以下 语法： l address drive start number 参数 address 指定要在其中加载文件或扇区内容的内存位置。如果不指定 address，Debug 将使用 CS 寄存器中的当前地址。 drive 指定包含读取指定扇区

12、的磁盘的驱动器。该值是数值型：0 = A, 1 = B, 2 = C 等。 start 指定要加载其内容的第一个扇区的十六进制数。 number 指定要加载其内容的连续扇区的十六进制数。只有要加载特定扇区 的内容而不是加载 debug 命令行或最近的 Debug n （名称）命令中指定 的文件时，才能使用 drive、start 和 number 参数。2、Debug:W （写入）将文件或特定分区写入磁盘。 要将在 BX:CX 寄存器中指定字节数的内容写入磁盘文件，请使用以 下语法： w address 要略过 Windows 2000 文件系统并直接写入特定的扇区，请使用以下 语法： w a

13、ddress drive start number 参数 address23指定要写到磁盘文件的文件或部分文件的起始内存地址。如果不指 定 address，Debug 程序将从 CS:100 开始。关于 address 参数有效值 的信息，请在 “ 相关主题 ” 列表中单击 Debug。drive指定包含目标盘的驱动器。该值是数值型：0 = A, 1 = B, 2 = C, 等 等。 start指定要写入第一个扇区的十六进制数。 number指定要写入的扇区数。3、Debug:L 范例假定启动 Debug 并键入以下命令： 现在可以键入 l 命令以加载 F。Debug 将加载文件并显示 De

14、bug 提示符。 假定需要从驱动器 C 将起始逻辑扇区为 15 (0Fh) 的 109 (6Dh) 个 扇区的内容加载到起始地址为 04BA:0100 的内存中。为此，请键入以下 命令： l04ba:100 2 0f 6d 4、Debug:W 范例假定要将起始地址为 CS:100 的内存内容写入到驱动器 B 的磁盘 中。需要将数据从磁盘的逻辑扇区号 37h 开始并持续 2Bh 个扇区。为 此，键入以下命令： wcs:100 1 37 2b 当写操作完成时，Debug 再次显示 Debug 提示符。24实验四 认识文件管理和目录管理实验说明本实验和前后实验共 4 课时。涉及软件：WinHex 软

15、件。实验名称认识文件管理和目录管理实验目的1、掌握 FAT 文件系统的文件管理链。2、了解 FAT 文件系统长文件名的实现。3、掌握 FDT 中目录登记项 . 和 . 的作用。实验内容1、将 test.txt 文件拷贝到一个 FAT32 分区中，再用 WinHex 打开这个分区， 定位到 DBR 扇区的 BPB 部分。2、参照教材，从 0E 偏移处得到 DOS 保留扇区数，从偏移 24 得到每 FAT 扇 区数，从偏移 0D 得到每簇扇区数，从偏移 2C 得到 FDT/DATA 第一个簇簇 号。计算：保留扇区数 +FAT2+ （第一个簇簇号 -2） 簇大小 =？ （例如：0024h+00002

16、706h2+(00000002-2)8=4E30h= 20016d）位置 -转到扇区？，找到 FDT 头部。3、搜索文本 test，不区分大小写，向下搜索，条件模 32 余 0。找到 test. txt 文件的 FDT 登记项。从 20、21 字节得到起始簇号的高 16 位，从 26、 27 字节得到起始簇号的低 16 位。例子中起始簇号：000570BEh= 356542d。4、位置 -转到扇区？ （？为保留扇区数，例如 0024h=36d） ，找到 FAT1 头部 （例如 00004800） ，test.txt 文件的第 2 个簇簇号应当在 FAT 表的 第 000570BE 个项目上找 （例子中 FAT32 情形，将光标先定位在 FAT1 头 部，位置 -转到偏移量，相对于当前位置 000570BE4=15C2F8 字节） ， 例子中第 2 个簇簇号 000570BF。同理，第 3 个簇簇号应该在 FAT 表的第 000570BF 个项目上找，得