本书是中国电子信息产业发展研究院培训**数据恢复技术培训指定教材,是从逻辑类和物理类两个方面全面讲解数据恢复技术的专业书籍。
在逻辑类数据恢**面,本书包括MBR磁盘分区、动态磁盘分区、GPT磁盘分区、Solaris分区、APM分区、BSD分区的恢复技术,Windows平台的FAT32、FAT16、NTFS、ExFAT文件系统的恢复技术,UNIX平台的UFS文件系统恢复技术,Apple平台的HFS+文件系统恢复技术,Linux平台的EXT3、EXT4文件系统恢复技术,以及Windows、UNIX、Apple、Linux平台的RAID-0、RAID-1、RAID-5、RAID-5EE、RAID-6、HP双循环等磁盘阵列恢复技术。
在物理类数据恢**面,本书包括各大品牌硬盘出现电路故障、磁头故障、电机故障、扇区读取故障、固件故障后数据恢复的方法及优盘无法识别的恢**法。
如果您是数据恢复技术的初学者,本书可以由浅入深,一步步将您引入数据恢复技术的神秘**;如果您已经是数据恢复技术的高手,本书同样可以带来令您惊喜的经验和技巧。

刘伟老师的《数据恢复技术深度揭秘》内容全面、讲解深入,书中不仅有丰富的理论知识,还有大量从实践中精选的真实案例,这些案例的分析过程环环相扣,犹如福尔摩斯探案一般,在复杂的现象中寻找蛛丝马迹,*后冲破迷雾找到真相,还原数据的本来面目,突出了实用性。
——中国电子信息产业发展研究院培训**主任:马亮
这本书公开了太多的核心技术,很多技术可以说是数据,咴复行业内的看家本领,既有逻辑层面的,又有物理层面的,非常全面。所以该书是学习数据恢复技术的珍贵资料,同时也可以作为实践应用的工具书,放在手边随时查阅。
——加拿大3J国际数据恢复****技术官:Jane Ji
刘伟老师的《数据恢复技术深度揭秘》理论与实践相结合,案例与技巧相呼应;深入浅出,从深度和广度向读者揭开了数据恢复技术的神秘面纱,是目前国内数据恢复领域****的力作。
——中国人民大学信息资源管理学院教授:唐跃进
《数据恢复技术深度揭秘》是国内从事数据恢复推广及教育的专家一刘伟老师继《数据恢复**技术》、《数据恢**法及案例分析》后的又一力作。刘伟老师的作品已经成为数据恢复行业培训的默认教材,从事数据恢复工作的工程师也大都以此作为深入学习的参考资料。
——北京翰凯科技数据恢复事业部技术总监:赵建平
本书从软件和硬件两个方面深入讲解了数据恢复的方法,不仅具有理论性更具有实用性,书中**公开了ExFAT文件系统的恢复技术、UNIX系统的RAID恢复技术、Apple系统的RAID恢复技术、Linux系统的RAID恢复技术等,对于数据恢复爱好者来说实属难得。
——美国HighPoint公司中国独资子公司RAID控制器研发工程师:刘晓辉

目 录

**篇 数据恢复入门与进阶知识储备
第1章 计算机中数据的记录方法 2
1.1 数据的表示方法 2
1.1.1 计算机中数据的含义 2
1.1.2 数值数据在计算机中的表示方法 6
1.1.3 字符数据在计算机中的表示方法 10
1.1.4 图形数据在计算机中的表示方法 13
1.2 数据存储的字节序与位序 14
1.2.1 Endian的含义 14
1.2.2 Little-endian的含义 15
1.2.3 Big-endian的含义 15
1.2.4 字节序与CPU架构的关系 15
1.2.5 位序的含义 16
1.3 数据的逻辑运算 17
1.3.1 逻辑或 17
1.3.2 逻辑与 18
1.3.3 逻辑非 18
1.3.4 逻辑异或 18
1.4 数据恢复中常用的数据结构 19
1.4.1 数据结构简介 19
1.4.2 树 21
1.4.3 二叉树 23
1.4.4 B树、B-树、B+树和B*树 24
1.4.5 树的遍历 27
第2章 现代硬盘的结构揭秘 29
2.1 现代硬盘的物理结构揭秘 29
2.1.1 硬盘的外壳及盘标信息 29
2.1.2 硬盘的电路结构 32
2.1.3 硬盘的磁头定位驱动系统 36
2.1.4 硬盘的主轴系统 37
2.1.5 硬盘的数据控制系统 37
2.1.6 硬盘的盘片 38
2.1.7 硬盘的区段及物理C/H/S 39
2.1.8 硬盘的接口技术 40
2.1.9 硬盘的主要性能指标 48
2.2 现代硬盘的逻辑结构揭秘 50
2.2.1 硬盘的逻辑磁道 50
2.2.2 硬盘的逻辑扇区 50
2.2.3 硬盘的逻辑柱面 51
2.2.4 硬盘的逻辑磁头 52
2.2.5 硬盘的逻辑C/H/S 52
2.2.6 硬盘的28位LBA及48位LBA 52
第3章 学习及研究数据恢复的基本工具 54
3.1 磁盘编辑器类工具 54
3.1.1 WinHex使用方法详解 54
3.1.2 DiskExplorer for Fat使用方法详解 72
3.1.3 DiskExplorer for NTFS使用方法详解 79
3.1.4 DiskExplorer for Linux使用方法详解 81
3.2 虚拟工具 84
3.2.1 虚拟硬盘工具使用方法详解 84
3.2.2 虚拟机使用方法详解 87

第二篇 逻辑类数据恢复技术揭秘
第4章 Windows系统的数据恢复技术 92
4.1 Windows系统的MBR磁盘分区 92
4.1.1 主引导记录MBR的结构和作用 92
4.1.2 主磁盘分区的结构分析 97
4.1.3 扩展分区的结构分析 103
4.1.4 MBR及EBR被破坏的分区恢复实例 109
4.1.5 分区误删除的恢复实例 121
4.1.6 系统误Ghost后的分区恢复实例 129
4.2 Windows系统的动态磁盘卷 134
4.2.1 动态磁盘概述 134
4.2.2 动态磁盘卷的种类及创建方法 135
4.2.3 动态磁盘LDM结构原理详解 137
4.2.4 MBR磁盘误转换为动态磁盘的恢复实例 161
4.2.5 动态磁盘扩展卷丢失的恢复实例 165
4.3 Windows系统的GPT磁盘分区 179
4.3.1 GPT磁盘分区基本介绍 179
4.3.2 GPT磁盘分区的创建方法 181
4.3.3 GPT磁盘分区的结构原理 185
4.3.4 GPT磁盘分区丢失的恢复实例 192

4.4 FAT16文件系统详解 197
4.4.1 FAT16文件系统结构总览 198
4.4.2 FAT16文件系统的DBR分析 198
4.4.3 FAT16文件系统的FAT表分析 203
4.4.4 FAT16文件系统的FDT分析 206
4.4.5 FAT16文件系统目录项分析 208
4.4.6 FAT16文件系统根目录与子目录的管理 218
4.4.7 FAT16文件系统删除文件的分析 219
4.4.8 FAT16文件系统误格式化的分析 223
4.4.9 FAT16文件系统DBR手工重建的实例 226
4.5 FAT32文件系统详解 229
4.5.1 FAT32文件系统结构总览 229
4.5.2 FAT32文件系统的DBR分析 229
4.5.3 FAT32文件系统的FAT表分析 235
4.5.4 FAT32文件系统的数据区分析 237
4.5.5 FAT32文件系统目录项分析 238
4.5.6 FAT32文件系统根目录与子目录的管理 242
4.5.7 FAT32文件系统删除文件的分析 248
4.5.8 FAT32文件系统删除文件后目录项起始簇号
高位清零的分析 252
4.5.9 FAT32文件系统误格式化的分析 257
4.5.10 FAT32文件系统DBR破坏的恢复实例 260
4.5.11 FAT32分区文件乱码的手工恢复实例 261
4.5.12 FAT32分区被苹果电脑误格式化后的**
恢复实例 267
4.6 NTFS文件系统详解 277
4.6.1 NTFS文件系统基本介绍 277
4.6.2 NTFS文件系统结构总览 278
4.6.3 NTFS文件系统引导扇区分析 280
4.6.4 元文件$MFT分析 285
4.6.5 文件记录分析 287
4.6.6 10H属性分析 296
4.6.7 20H属性分析 298
4.6.8 30H属性分析 298
4.6.9 40H属性分析 302
4.6.10 50H属性分析 303
4.6.11 60H属性分析 308
4.6.12 70H属性分析 308
4.6.13 80H属性分析 309
4.6.14 90H属性分析 313
4.6.15 A0H属性分析 315
4.6.16 B0H属性分析 315
4.6.17 C0H属性分析 316
4.6.18 D0H属性分析 317
4.6.19 E0H属性分析 317
4.6.20 100H属性分析 318
4.6.21 元文件$MFTMirr分析 318
4.6.22 元文件$LogFile分析 321
4.6.23 元文件$Volume分析 329
4.6.24 元文件$AttrDef分析 332
4.6.25 元文件$Root分析 334
4.6.26 元文件$Bitmap分析 336
4.6.27 元文件$Boot分析 337
4.6.28 元文件$BadClus分析 338
4.6.29 元文件$Secure分析 339
4.6.30 元文件$UpCase分析 341
4.6.31 元文件$Extend分析 342
4.6.32 元文件$ObjId分析 343
4.6.33 元文件$Quota分析 344
4.6.34 元文件$Reparse分析 346
4.6.35 元文件$UsnJrnl分析 347
4.6.36 NTFS的索引结构分析 348
4.6.37 手工遍历NTFS的B+树 352
4.6.38 NTFS的EFS加密分析 356
4.6.39 NTFS文件系统删除文件的分析 358
4.6.40 NTFS文件系统格式化的分析 364
4.6.41 NTFS文件系统DBR手工重建的实例 367
4.7 ExFAT文件系统详解 372
4.7.1 ExFAT文件系统基本介绍 372
4.7.2 ExFAT文件系统结构总览 374
4.7.3 ExFAT文件系统的DBR分析 374
4.7.4 ExFAT文件系统的FAT表分析 378
4.7.5 ExFAT文件系统的簇位图文件分析 379
4.7.6 ExFAT文件系统的大写字符文件分析 380
4.7.7 ExFAT文件系统的目录项分析 380
4.7.8 ExFAT文件系统根目录与子目录的管理 388
4.7.9 ExFAT文件系统删除文件的分析 395
4.7.10 ExFAT文件系统误格式化的分析 396
4.7.11 ExFAT文件系统DBR手工重建的实例 400
4.7.12 能够支持ExFAT文件系统的恢复工具 404
4.8 Windows系统RAID恢复技术详解 406
4.8.1 RAID基础知识介绍 406
4.8.2 RAID级别详解 407
4.8.3 硬RAID实现方法 413
4.8.4 软RAID实现方法 416
4.8.5 RAID数据恢复原理 418
4.8.6 RAID起始扇区的分析方法 423
4.8.7 RAID条带大小的分析方法 425
4.8.8 RAID成员盘的盘序分析 428
4.8.9 RAID-5校验方向的分析方法 429
4.8.10 RAID-5数据同步与异步的分析方法 430
4.8.11 RAID恢复工具一:WinHex 432
4.8.12 RAID恢复工具二:R-studio 434
4.8.13 RAID恢复工具三:Raid Reconstructor 437
4.8.14 RAID恢复工具四:FileScav 439
4.8.15 RAID恢复工具五:UFS Explorer 442
4.8.16 RAID恢复工具六:Getway Raid Recovery 442
4.8.17 服务器专业硬盘与数据恢复工作机的连接
方法 445
4.8.18 RAID恢复实例一:Dell服务器RAID-5实
例分析 447
4.8.19 RAID恢复实例二:HP服务器RAID-5双循环
实例分析 454
4.8.20 RAID恢复实例三:光纤阵列柜12块FC硬盘
RAID-5实例分析 457
4.8.21 RAID恢复实例四:IBM服务器RAID-5EE实
例分析 459
第5章 UNIX系统的数据恢复技术 466
5.1 UNIX家族介绍 466
5.1.1 UNIX的起源及分裂 466
5.1.2 UNIX分类及特点 467
5.2 UNIX的分区详解 469
5.2.1 Solaris分区基本介绍 469
5.2.2 Sparc Solaris分区结构分析 471
5.2.3 Sparc Solaris分区恢复实例 476
5.2.4 x86 Solaris分区结构分析 479
5.2.5 x86 Solaris分区恢复实例 485
5.2.6 Free BSD分区结构分析 485
5.2.7 Free BSD分区恢复实例 490
5.2.8 Open BSD分区结构分析 493
5.3 UFS1及UFS2文件系统详解 498
5.3.1 UFS文件系统基本介绍 498
5.3.2 UFS文件系统结构总览 499
5.3.3 UFS文件系统的引导块分析 500
5.3.4 UFS文件系统的**块分析 501
5.3.5 UFS文件系统的柱面组概要分析 517
5.3.6 UFS文件系统的柱面组描述符分析 518
5.3.7 UFS文件系统的位图分析 522
5.3.8 UFS文件系统的i-节点分析 524
5.3.9 UFS文件系统的目录项分析 531
5.3.10 UFS文件删除与恢复的分析 535
5.3.11 UFS文件系统**块的恢复实例 544
5.3.12 UNIX系统数据恢复专业工具详解 546
5.4 UNIX系统RAID恢复技术详解 548
5.4.1 UNIX RAID结构参数的分析方法 548
5.4.2 Sun Solaris系统DAS-RAID-5恢复实例 550
第6章 Apple系统的数据恢复技术 558
6.1 Apple电脑介绍 558
6.1.1 Apple电脑的起源与发展 558
6.1.2 Mac操作系统的发展 559
6.2 Apple电脑的分区结构详解 560
6.2.1 APM分区结构分析 560
6.2.2 APM分区恢复实例 568
6.2.3 GPT分区结构分析 572
6.3 HFS+文件系统详解 574
6.3.1 HFS+文件系统基本介绍 574
6.3.2 HFS+文件系统结构总览 577
6.3.3 HFS+文件系统的卷头分析 577
6.3.4 HFS+文件系统的头节点分析 584
6.3.5 HFS+文件系统的位图节点分析 591
6.3.6 HFS+文件系统的索引节点分析 591
6.3.7 HFS+文件系统的叶节点分析 592
6.3.8 HFS+文件系统节点的综合应用 593
6.3.9 HFS+文件系统的编录文件分析 594
6.3.10 HFS+文件系统的盘区溢出文件分析 604
6.3.11 HFS+文件系统的分配文件分析 608
6.3.12 HFS+文件系统的属性文件分析 609
6.3.13 HFS+文件系统的坏块文件分析 610
6.3.14 手工遍历HFS+的B树 610
6.3.15 HFS+文件删除与恢复的分析 614
6.3.16 HFS+文件系统卷头的恢复实例 617
6.3.17 Apple系统数据恢复专业工具详解 618
6.4 Apple系统RAID恢复技术详解 621
6.4.1 Apple RAID结构参数的分析方法 621
6.4.2 Apple RAID恢复实例分析 622
第7章 Linux系统的数据恢复技术 629
7.1 Linux系统介绍 629
7.1.1 Linux系统的起源与发展 629
7.1.2 Linux系统的分类及特点 630
7.2 Linux系统的分区结构详解 631
7.2.1 MBR磁盘分区结构分析 632
7.2.2 MBR磁盘分区恢复实例 635
7.2.3 GPT分区结构分析 639
7.3 Ext3文件系统结构详解 641
7.3.1 Ext3文件系统基本介绍 642
7.3.2 Ext3文件系统结构总览 642
7.3.3 Ext3文件系统的**块分析 643
7.3.4 Ext3文件系统的块组描述符分析 649
7.3.5 Ext3文件系统的块位图分析 651
7.3.6 Ext3文件系统的i-节点位图分析 652
7.3.7 Ext3文件系统的i-节点分析 654
7.3.8 Ext3文件系统的目录项分析 660
7.3.9 Ext3文件删除与恢复的分析 663
7.3.10 Ext3文件系统**块的恢复实例 674
7.3.11 Linux系统数据恢复专业工具详解 677
7.4 Ext4文件系统分析 680
7.4.1 Ext4文件系统介绍 680
7.4.2 Ext4文件系统的特点 681
7.4.3 Ext4文件系统的结构 682
7.4.4 Ext4文件系统的向前与向后兼容 684
7.5 Linux系统RAID恢复技术详解 685
7.5.1 Linux RAID结构参数的分析方法 685
7.5.2 Linux RAID恢复实例分析 686

第三篇 物理类数据恢复技术揭秘
第8章 硬盘物理故障的种类及判定 698
8.1 硬盘外部物理故障的种类和判定方法 698
8.1.1 电路板供电故障 698
8.1.2 电路板接口故障 700
8.1.3 电路板缓存故障 700
8.1.4 电路板BIOS故障 701
8.1.5 电路板电机驱动芯片故障 701
8.2 硬盘内部物理故障的种类和判定方法 702
8.2.1 磁头组件故障 702
8.2.2 主轴电机故障 703
8.2.3 盘片故障 704
8.2.4 固件故障 705

第9章 硬盘电路板故障的数据恢**法 706
9.1 维修法 706
9.1.1 电路板常见故障及维修方法 706
9.1.2 希捷硬盘电路板的故障及检测方法 707
9.1.3 西部数据硬盘电路板的故障及检测方法 708
9.2 替换法 708
9.2.1 替换法介绍 708
9.2.2 希捷3.5英寸硬盘电路板兼容性判定及
替换方法 709
9.2.3 希捷2.5英寸硬盘电路板兼容性判定及
替换方法 711
9.2.4 西部数据3.5英寸硬盘电路板兼容性判
定及替换方法 711
9.2.5 西部数据2.5英寸硬盘电路板兼容性判
定及替换方法 713
9.2.6 迈拓3.5英寸硬盘电路板兼容性判定及
替换方法 714
9.2.7 富士通2.5英寸硬盘电路板兼容性判定
及替换方法 714
9.2.8 三星3.5英寸硬盘电路板兼容性判定及
替换方法 716
9.2.9 三星2.5英寸硬盘电路板兼容性判定及
替换方法 717
9.2.10 日立3.5英寸硬盘电路板兼容性判定及
替换方法 719
9.2.11 日立2.5英寸硬盘电路板兼容性判定及
替换方法 719
9.2.12 日立1.8英寸硬盘电路板兼容性判定及
替换方法 721
9.2.13 东芝2.5英寸硬盘电路板兼容性判定及
替换方法 722
第10章 硬盘磁头组件故障的数据恢**法 725
10.1 硬盘磁头组件故障的恢复思路 725
10.1.1 开盘换磁头所需环境及工具 725
10.1.2 开盘换磁头的操作步骤 727
10.2 希捷硬盘磁头兼容性判定及开盘方法 728
10.2.1 3.5英寸硬盘开盘实例 729
10.2.2 2.5英寸硬盘开盘实例 733
10.3 西部数据硬盘磁头兼容性判定及开盘方法 736
10.3.1 3.5英寸硬盘开盘实例 736
10.3.2 2.5英寸硬盘开盘实例 739
10.4 迈拓硬盘磁头兼容性判定及开盘方法 741
10.5 富士通硬盘磁头兼容性判定及开盘方法 743
10.6 三星硬盘磁头兼容性判定及开盘方法 744
10.6.1 3.5英寸硬盘开盘实例 744
10.6.2 2.5英寸硬盘开盘实例 745
10.7 日立硬盘磁头兼容性判定及开盘方法 747
10.7.1 3.5英寸硬盘开盘实例 747
10.7.2 2.5英寸硬盘开盘实例 749
10.8 东芝硬盘磁头兼容性判定及开盘方法 750
10.9 开盘成功后如何获得数据 752
10.9.1 物理镜像法 753
10.9.2 数据提取法 753
第11章 硬盘主轴电机故障的数据恢**法 754
11.1 主轴电机故障的恢复思路 754
11.1.1 处理主轴电机故障所需环境及工具 754
11.1.2 处理主轴电机故障的操作步骤 755
11.2 希捷3.5英寸硬盘主轴电机故障处理方法 755
11.2.1 主轴电机兼容性判定 755
11.2.2 实例演示 756
11.3 迈拓3.5英寸硬盘主轴电机故障处理方法 759
11.3.1 主轴电机兼容性判定 759
11.3.2 实例演示 760
11.4 东芝2.5英寸硬盘主轴电机故障处理方法 762
11.4.1 主轴电机兼容性判定 762
11.4.2 实例演示 762
第12章 硬盘盘片故障的数据恢**法 766
12.1 盘片扇区故障的检测方法 766
12.2 盘片扇区故障的修**法 769
12.2.1 重写校验法 770
12.2.2 G-List替换法 770
12.2.3 P-List隐藏法 770
12.3 盘片扇区故障的数据恢**法 771
12.3.1 物理镜像法与数据提取法的区别与联系 771
12.3.2 用Media Tools Professional做物理镜像 771
12.3.3 用HD Duplicator做物理镜像 775
12.3.4 用PC-3000 UDMA DE做物理镜像 780
12.3.5 用PC-3000 For SCSI做物理镜像 784
12.3.6 用PC-3000 UDMA DE提取数据 789
12.3.7 用PC-3000 UDMA DE分磁头做物理镜像 790
第13章 硬盘固件故障的数据恢**法 795
13.1 现代硬盘的固件结构 795
13.1.1 什么是硬盘的固件 795
13.1.2 硬盘固件的组成及作用 795
13.1.3 硬盘的生产流程 797
13.1.4 硬盘固件故障的表现 797
13.2 硬盘固件修复工具介绍 798
13.2.1 PC-3000 for DOS 798
13.2.2 PC-3000 for Windows 799
13.2.3 PC-3000 UDMA 800
13.2.4 PC-3000 UDMA for SCSI 801
13.3 用PC-3000 UDMA修复迈拓硬盘的固件 801
13.3.1 识别迈拓硬盘的型号 802
13.3.2 迈拓硬盘的固件结构 803
13.3.3 迈拓硬盘A区、B区和C区固件 807
13.3.4 备份固件 808
13.3.5 检测固件 810
13.3.6 修复固件 812
13.4 用PC-3000 UDMA修复希捷硬盘的固件 812
13.4.1 识别希捷硬盘的型号 812
13.4.2 希捷硬盘与PC-3000 UDMA的连接方法 814
13.4.3 希捷硬盘的固件结构 814
13.4.4 希捷硬盘指令详解 816
13.4.5 酷鱼7200.11“固件门”解决方案 818
13.4.6 酷鱼企业级硬盘ES.2“固件门”解决方案 822
第14章 优盘物理故障的数据恢**法 824
14.1 优盘物理故障的表现及分类 824
14.1.1 优盘物理故障的表现 824
14.1.2 优盘物理故障的分类 825
14.2 优盘物理故障的修复 827
14.2.1 补焊 827
14.2.2 替换晶振 827
14.2.3 替换主控芯片 828
14.2.4 替换闪存芯片 828
14.3 用PC-3000 Flash直接提取闪存芯片的数据 829
14.3.1 PC-3000 Flash的工作原理 829
14.3.2 提取闪存芯片的数据 830
参考文献 835