《数据恢复》教案正文.docx

《《数据恢复》教案正文.docx》由会员分享，可在线阅读，更多相关《《数据恢复》教案正文.docx（51页珍藏版）》请在三一办公上搜索。

1、课程名称数据恢复授课时间第1周第1次授课章节项目一排出硬盘常见的物理故障教学目的知识目标掌握硬盘的基础知识、硬盘工作原理理解硬盘的物理结构掌握硬盘的逻辑结构技能目标能够判断并抹除计算机硬盘无法识别的故障教学重点硬盘的逻辑结构敖学难点磁道、横面、柱面与扇区的就念教学方法讲解法教具计算机.多媒体,硬盘敢学过程设计(合时网分配)(2-1D1 .案例导入用户：你好,我的台式机开机后迸不了操作系统了。工作人员：不要着急，让我帮你看一下,清您耐心等待！2 .任务分析电脑进不了操作系统的原因有很多，我们密要先观察故障现象再确定可能的原因。3.硬盘的结构与工作原理硬盘是一种外部存储器，具有容量大、数据存取快、

2、单位容量成本低等优点，主要用于存储计算机操作系统、应用软件，文件等数据。根据其位置可分为内置和外置硬盘；内置硬盘根据其数裾接口类型可分为井口(IDE)和串口硬盘(SATA),外置硬盘可分为USB接口和eSATA接口：根据工作原理可将其分为固态硬盘(SS1.)、机械硬盘(HDD)、混合硬盘(HHD)三种。(1)硬盘的物理结构硬度的外部由固定面板、控制电路板、接口三部分组成。硬盘内都主要有传动臂、读写麟头、主轴（下方是轴承和马达电机）、永久磁铁、盘片、空气过逑片等组成。2）硬盘的逻辑结构硬盘的逐辑结构包括磁面（Side）、磁道（TraCk）、柱面（Cy1.inder）与扇区（SeCtor）.AMF

3、方smrcbx*”9“”X=”1(xvmwc:riBa1.TB彳M1.I”营2。，MHM41HMU.M.nMtItA三rMN*aeeMZEBnnMraN2.学生操作练习，熟悉WinheX的界面工逋过实例演示通用数据恢曳方法，以及如何创建和附加虚拟磁盘4 .布置课堂炼习，让学生自己创建和附加虚拟磁盘，并发放课堂妹习，让学生动手操作利用通用数据恢复方法恢复下发的猱盘文件。5 .方法：工具-被卷工具-按文件类型恢复BWHn1一新如MUMU)1cs/三SiX1.XM作业MaxvM*MM4MM1.；：雄*K1.112,gu-nM1.!”“”“：M83B*XBR“e”nMMr4M”MB1.“”MM9”mr

4、M418*“m8mmibmmbm)MsM1.r1.r8cM(AB)MsB“BnM8”M”B“1.1.B9wttM0RWMKMMOUHUnMMMUnsCJHMMt*c“MMoM“二MM“。Btot1W*IHI4B)24MH1.7.421.81.“WES10M自己创运虚拟磁盘课程名称数据恢复授课时间第2周第2次授课章节实验二修复主分区表一一恢复误删的分区教学目的知识目标理解MBR俄盘分区表的数据结构技能目标能够修宴主分区表一一恢复误删的分区教学重点教学难点教学方法教具计算机，winhex教学过程设计含时间分Ia)2学时)1 .回夙上节课的知识点；2 .发放本次课的实校模拟磁话：3 .学生进行操作，

5、恢复主分区表误刷除的分区；4 .发放本次实脸指导内容：5 .总结学生操作过程中遇到的问题并辉答。心得作业备注课程名称数据恢复授课时间第3周第1次授课章节项目2使用数据恢宏机恢复数据款学目的知识目标1.掌握扩展分区表的数据结构技能目标1.会修复扩展分区表分区误删教学重点扩展分区表的数据结构敖学难点犷展分区表(EBR)的结构教学方法案例演示法.任务驱动法教具计算机，winhex敕学过程设计(BtNE)(2学什)1.EBR(ExtendedBootRecord)ft4?EBR印扩凝分区引导记录.类似于主引导记录YBR。因为MBR的因条分区信息的I艮制，可以使用EBR方便扩展,它的结构与MBR类似于，

6、但是没有引导程序和磁盘签名，仅仅保甯了分区表和结束标志。本来一块硬盘最多支持4个分区，但是由于发展4个分区巳经不能满足要求，但是为了在扩展你的前提下能够兼容以前的特性，因此果用了扩展分区的方式.，人.人0、，人、ZaSIibkiixI.湍.明器K1.EIIWIKI*MH0M-HftMtI3a0-21Mw.(fR.io0M031.90000iDOwcwwiioQBB81BOWWW1.tOOOOOQMIIOoOSiroT4S5U28W6F61GI，720n65钟OOg20711fffFOTHFFFFOT11nrr11F207463“69况S797374S57261“GO6371%eoHFf8eFF

7、FFB99tc63S45T2Fnotab1.etR6FZ65726i”69IMdkfiy*W0049，Q737349(叼ytmKiWgG20”n，349ojrtvjM05CtMOO(WqO2。(.on00MCO71(UCOrt(VrrM028toA903eoFe“IWQIIA。609MFBM40FyrWyI1,00ce4A155MyrWaK4CCtVt1.V,VRRW0)M01g40CO00。AMMU)COCM)000。00oco0300K2tC：O：H)coD30。009oco0900NMQtOco03OB00ocoO1.002KC01*)(0888OS0。CO09002ttCOUOioor

8、oo0cooioeA：te:o:rot。CCB3oioooco0OD2coofr1.rtrrrrocoO1.ODK7KCO1.1.OTT回IrXrrrrooa)NICUntococoF030000coO1.gA2ttWH0toogeo000:v11.)yvyv1.3388333301.nrx30M3B335B83388B33”RB88BBBB83BO3X8WRBB8BB882MgwWwwwwmwwwwwwmmwS-4 .课堂案例讲解如何手工分析磁盘镜像中的各个分区的类型起始品区号和总扇区数5 .知识点小结： MBR中扇区的起始位置都是相对于0偏移的。 EBR中第一个分区表项的表示的为遗辑磁盘时

9、,起始位置都是相对于当前的扇区的（也就是EBR所在的扇区）。 EBR1.中的分区表项表示下一个扩展分区时，它的起始位置都是相对于EKI的。 EBRI”中的扇区总数:EBR,中指向EBR,”的分区表项的总扇区数。心得作业手工分析黑后练习磁盘镜像中的各个分区的类型起始扇区号和总扇区数备注参考计算公式：DBR3=备份DBR3所在扇区-3的逻辑磁盘的大小子扩展分区3的总大小（扇区）：=最后一备份DBR所在扇区-EBR3所在扇区=DBR3-EBR3+3的逻辑磁盘的大小心得作业课程名称数据快发授课时间第4周第1次授课章节项目三修复FAT文件系统下的敕据教学目的知识目标1.理解什么是文件系统2,掌握FAT3

10、2文件系统结构3 .掌握FAT32DBR的数据结构4 .了解FSINFO扇区数据结构技能目标能够画出FAT32文件系统的结构图敬学重点FAT32文件系统结构教学难点FAT32DBR的数据结构教学方法讲解法教具计算机,vinhex教学过程设计(4时间分配)(21.初识文件系烧 文件系统就是对数据存储进行管理的一种机制； 格式化的目的就是建立文件系统从而管理文件； 我们平时看到的NTFS、FAT32、EXFat的分区格式都是文件系统，每种文件系统都有不同的管理方式。 VrFS、FAT32、EXfat文件系统的第一个扇区叫DBR系统引导扇区2.卜W32文件系统结构DBR及保留扇区：DBR的含义是IX

11、)S引导记录，也称为操作系统引导记录，DBR之后往往会有一些保智扇区。 FAT1.：FAT的含义是文件分把表，FAT32一般有两份FAT,FAT1.是第一份，也是主HATo 1.AT2:FAT2是FAT32的第二份文件分配表，也是FAT1.的备份，即FAT2与FAT1.是1.样的。 DATA：DATA也就是数据区，是FAT32文件系统的主要区域，其中包含目录区域。 WVn起始扇区=DBR的扇区号+保留扇区数 FAT2的起始扇区=FAT1.的起始扇区+一个FAT的扇区数3.FAT32DBR的数据结构M0EZBHHB庄3)；4；BKZBHHFATarxt-OMAXHftauisC68第*R“288

12、COBABaiIK-Vne*vuwCrAYrM1w*coaiMMaHa1W2annIJ-Wan4tt15Q*R41AVR，an42r*9we4Y9M41*14X122”*otoew三SM-MXHSMemB3. 1重要就念 扇区：扇区是硬盘读写的基本单位，一段情况下每扇区的大小是512字节。在硬盘中每个扇区都有自己的编号，从零开始编号。 猿：文件系统中用装来做数据存储的单位 簇大小是2的整数次累，最大是128扇区每 FAT表：文件分配表(Fi1.eA1.1.ocationTab1.e)用来描述文件系统内存储单元的分配状态及文件内容的前后佞接关系的表格 根目录的起始装号：也是数据区的开始位置(一般

13、为2号簇)3.2根据MBR分区查找方法，找到FAT32分区起始位置。找到起始位置的第一个扇区(DBR)如下：orrt9EW009E940MQE9EM000709EOB0D9EW0901KM0A09EW0DQ609E0C09EW0D09EW0MC0UM009EM00100$MOO11O9E0012011wooi39EW001409E06509EW00160W001TD$E00：609E001909EW001A09EMOD10OQEOCnenM0DW0owooeo9EWO03F0SD72ID“B?Ea)FAccIB8“4Eo1.88e8Mu38D9n8r1.CDcMB47D2042EBB71.o1

14、.o4ggMg20D72e0oED6A6c399448F*6000050208C4&8P，OOrdaS。日G2GQO6272oj15Er266*7P7B366OVEQO63DECooo66b?戒监WCS.0F107W】Q；O“32EB2B7417P7D00717D8BrowcoB441C1.017305FM懿(IA1.CHIIMIZA:r11M3nv4korot力辅吟anykytorvtrt心U*课程名称数据恢复授课时间第4周第2次授课章节项目三修或FAT文件系统下的数据款学目的知识目标1 .掌握FAT表的作用和特点2 .掌握短文件名目录项数据结构技能目标会计算报目录的位置会查找文件的大小和起

15、始号敬学重点FAT表的作用和特点短文件名目录项数据结构教学难点短文件名目录项数据结构教学方法演示法,讲解法教具计算机,winhex教学过程设计含时间分配）（2课廿）1 .初识FAT 每个FAT表项记录着文件或目录的下1.个餐号 FAT2是FAT1.的备份 FAT2的起始扇区号=FAT1.的起始扇区号+FAT表大小 用“FFFFFFOF”来表示文件或目录的结束簇号 用“丹；外下%；7”来表示坏族2 .课堂小炼习：从虚拟磁盘像文件中读取位于4号藕的文件，结束簇是几号簇？下图所示，4号簇指向5号篌,5号装指向6号簇。二HH“m7EF49uC643C5K63DK693079041OD47CI12CIK

16、43DK4OOOOB1.FDBEZC492C4D1.63D4OO62B7OOOO314860OO31b2E043000OODOOOOFOGICYOFOOOOOOOOOO2631OOOOB76C60OOOOOOOOSA74OO8B45456420OOOO57OO006F2C4X1S*K.n.s&i.1.xaHr.yyyyoftyvn.iaJ,I.tHxcb.Y.Z1.s.t.yyyy.yyyytyiO.TXT.”11o1.$ff1.具体宜看，以文件名为123.txt为例。提示：下节内容计算起始簇的方法，可以组合：00014C876 .绝大多数情况下根目录都是2号7 .根目录的位置计算公式：FAT

17、的起始扇区号+FAT表的大小*2=保留区大小+2*1；AT表大小=OXoC22+2*OxOOO()39EF=32768心得作业炼习课堂的案例备注课程名称数据恢复授课时问第5周第I次授课章节项目三惨更FAT文件系统下的数据教学目的如识目标技能目标掌握起始簇号的计算方法能镑利用FAT表找出目录的下几个敖学重点掌握起始簇号的计算方法能够利用FAT表找出目录的下几个教学难点数学方法演示法，任务驱动法教具计算机，winhex效学过程设计含时间分配）（2累廿）1.起始号的计算方法是始族号=低16位的数值+（高16位的数值*65536）或者低16位和高16位直接拼接成16进制数，算出十进制，得到起始簇号，查

18、找其所在扇区.（1）课堂通过案例演示（网课参考视频学习）（2）课堂练习：找出文件名为数据恢复教程.txt的目录项，手工提取里面的数据。2.利用FT表找出目录的下个簇当第一个目录里的文件比较多时，一个簇存不下所有的文件，就会增加一个簇来存放文件。但这两短往往是不连续的，就需要通过FAT表来定位目录的下个是第几号簇（1）课堂通过案例演示（网课参考视频学习，参考实险3.6）2）课堂小练习：找出文件名为数据恢夏.zip的目录项，手工提取里面的数据提示：查看文件大小如图，上节课知识点射据赛W.FATIJFAT2月旧播区至4H空邮涧OfftCO：5M27OZZO：5M2WS3O：5M2WK。:5X2Ao4

19、1-r.,-4/r;cDCC3X2CO1OCCS342g22O!C42EO6O：5M2FO71Z5M3WCAW18382e828M8846Fu005Dg3ig63ooBBo1.43o88o1.g300G49AooA8“6EooDD49“oog”220必办“64“非657K)ax21IIIS-ApracbY.Z1.Iwy酎W2.的(。996it(tk9924BitUk9932Bit99W40:Vyy7VYW手工提取数据时，要选中99字节，如图M1.,11JM*tt-JMK41.JREJWMJfA1.1-FAT2-1S3K然399个字节小刈歌:僵就潞坛101B20Uk113g_81)201:SBM

20、1.6VS-16WBOK.132O1GWB叽201WBEMIM65MB,Qf2483;K口CAtt必RMa。三弋”A83QM8。HJxtvc1.，8”tcysmW3e888i8BB888898888388=8AMaMMaKFMgeg88&MBB8888.888888918，83k?)鲁38883鼻cMwMeMrtt至*mUK!复制3至新文件i文件名可以新的名子）+后假名.心得作业练习课堂的案例课程名称数据恢复授课时间第5周第2次授课章节项目三修复FAT文件系统下的数据款学目的知识目标1.理解长文件名目录项的概念2.理解长文件名目录项的数据结构技能目标会根据两个子目录算出簇大小能够找出指定目录的

21、所有子目录敬学重点长文件名目录项的数据结构教学难点长文件名目录项的数据结构数学方法演示法，讲解法教具计算机,vinhex教学过程设计(含时间分配)(2*三f)1.长文件名目录项 当文件名超过8个字节时，就需要用长文件名目录项来存储文件名; 长文件名目录项的OXOB位置的标志一定是OXOF： 长文件名目录项是用IJniCOde编码存储文件名的。2.长文件名目录项的数据结构Ifi朴宇琳16弟X)樽逐IOOOO次&号(E5.M1.t：01双示目录*弓4：42或面立4表示扃一个目最安.JTiR的2豪G序号为2的日安O1.qA长文件名的第16个字符OeQe长文件名目假看的标EaBFOC-OC保HOOOO

22、tt1.M0-19文总名的猊511个字符1A-1B保WIOIF文怦W的第1213个字将注意：1-5个字符是连续的。偏移字节OO-O0：42：4表示最后一个目录:，2米示序号为2的目录:，具体序号是多少，要看文件名的长短.如下图44,后面的4就是序号3 .谡堂炼习：通过长文件名目录项，找出文件名为海天数据恢复txt的目录项，手工提取里面的数据。提示：(1)长文件名前1-5个字符连统，复制“海天数据恢”，计算对应的UniCOde并复制。如果超过5个字符，比如14个，只能取13个字符，见上面数据结构图。rMrMMm1M:三三三a2020M20RRRMS皿W12O1MM2921MSg2312028,a

23、，SM2tt1.JOWOMJW1.20WV”。X1.MrM1M11J81EUWWWM1MHJX1WVQS皿8，201MVAOffMt01234567Do100ooooDOC2FC：3BE20：CDo100ooio800S0000290001000020415500700000，10010030006S007865000010000405$SO4441J?020Do100oosoK492C00GD12OO100OMO4262005000049001007000F0069668Do100ooeo0155OO70CCOC61(2)迸行查找,如图.OO处是状态码，所以要相对于32字节偏移1字节MMM3

24、MMMMHFr2AXM8B888B88BryBB8,mmmmmmhm:“A8B8888M8BBCS8Vwwwmwmhomwmmm3BB888N2CB3M38*M*MMM88388Wr8WO8c8Mc2ecoe4ew838bbh8854b3gg8g68z041.:MMxMxae38NFMI8g8888e8se0w:(3)查找结果:4 .子目录每个文件夹的最前面两个目录项，一定是”和”目录项，分别表示子目录本身和父目录.课堂（视频）案例演示；5 .课堂小炼习：根据两个目录的参数，算出簇大小，参考公式：一个蓑的扇区大小=（后面的簇号所在扇区号-前面的簇号所在扇区号）/（后面的簇号-前面的簇号）提示：

25、如果被格式化了，有时候DBR会被清零，可以利用该方法计算族大小。6 .搜索完整的长文件名方法,长文件名按UniCOde编码，两个字节为一组,注意winhex搜索16进制效值最多只能搜索50个字节。只需掌握搜索一个目录项的方法。7 .找出指定目录下的所有子目录，知识点： 1）每个文件夹的最前面两个目录项，一定是”和”目录项.分别表示子目录本身和父目录；（2）在根目录下的文件夹父目录的镁号是0;（课堂案例中，查找根目录下的所有子目录，就可以将目录项的高、低16位设置为0）（3）在别的文件夹里的文件夹，它的父目录就是父目录文件夹本身簇号： 4）所有子目录项的第一个目录项一定是”目录项。 5）”文件目

26、录项的开头：2E202020202020202020201.0020*6MB21.4I4OGWI)2)4V*n11t5“JpmAi20Mt1tvW1121-!4)0币、期。&UM”23_K)M77如果以2E20202020202020202020去搜索，会搜到该停里的所有又件夹，不仅包括子目录，还有子目录里的文件。8 .课堂小陈习：找出5号簇目录里的所有文件夹心得1.fiU+J!*三MF绅，FiMHf；2E2E2O2O2O2O2O2t2O2O3F3F3R0*三WW）”IWt）WVi团X-回二IA.W*OS*WI7f1.B*tWt0Mt1.,A三QJVMJOR1.BttDCO031.1.5iCO

27、OJCCCOCO3COMUWK0JcwccwC0)eoc0coMukcomC002CCr3COOItC1.MCO33CCO3CCCC3KOCt(eccrotcA1.CZWgO1.IbXM88SM。aCZC4Vidie42TfM,nksJC883MSrA8ns“g”4tta1.Af1.B8“Dsg七t(1.IOWM”8Q88nR28w8CJBrrMkB”A3S”“Xs4:心。?4“，短90JICA1.e“10:JeM168c，x43ea1.”1.1.mik)*nUMUa*ivyt八eybf(IU*M1.a1.*ty.位置管理器，将其清空，然后搜索十六进制:Vt1.至松啕皿tr，忖1.1.tNAt

28、kAo*得g4BMnuuCNK01t1.x恒B8prct6iAcccoic,u8eccce1.crt1.A*Mgne体c2t1.MBCWIne)1.6e!scz1.e21.1.“e)1.ut普”1.ctc“RTTet1.Muc”=“46IC2124J4OCC-i”ac124CKJ(CC45769ABCtf/4C3,0”R：030。OCOC0：0：3030ao00OcOto:o三COJ202!3030ODOD0。OC0：0：0300。00OtOC0：0：0X2M5030OD0。OCOC0：0：3030OC00OC0：0：0：CO3:02tM30OO。0。tOC0503：030。00OC0&0：0

29、：COJJ02tM：030OD0。OCOC0：0：3030。0。OC80：0：COJ2C2SO33050SC00OCOC0：0：010。0。OC0：0：0：CO3:02U-3303030GCOCOt0：0：303ac0。Oto:o:o:Mn皿Un30aoOD0。OG0：0：023030a。aoOCOC0：0：cojj2jra303050GOOCOC0：0：303030。OCOC0：0：fftftfrB3333333360133rr3333383338器rgggggg器g8g8rF89cf48ACA4Ax214ararggaog8g器器rrrrgaoaoaorg8黑”8“rraoao40aoMo

30、aoaoao“mK2ArFnO;B336333B33333rr3338器rr3383Qcrrgg8ggocBg8gg9rrmXmM八aDaFg88ggggaFg88ac8ggaogaoaoggaoaorraoaoaoaoaoaoaorrgaoao1.1.1.ez1.21.A921.便5烈.W1.rtH4*It；i*11HVft课程名称数据恢复授课时间第7周第2次授课章节项目3修复FAT文件系统下的数据教学目的知识目标技能目标理解文件、目录损坏或文件名乱码的恢复方法敖学重点文件、目录损坏或文件名乱码的恢复方法教学难点文件、目录损坏或文件名乱科的恢复方法教学方法演示法，任务驱动法教具计算机，win

31、hex教学过程设计含时间分Ia）（2果时）1 .文件或目录损坏的原因和恢烫方法操作演示总结： 原因：FAT表损坏 修复方法: 1.直接在WinheX里复制出来 2.修复FAT表项2 .文件名乱科打开该虚拟硅盘，发现只有VStart50目录下的文件是乱稿，说明该文件夹所在的数据区损坏了。2）NTFS文件系统的总体结构NTFS文件系统的总体结构二SMFT备份DBR2.N1.TS-DBR的数据结构Offset0000000000EB52904E54465320020000000000000020300000000000F8000000000000O00800080OC20202000023F00FF。044oR.NTFS7E3C4A6700000000.1.1.*.NTFSu.AUt.r.QUeu.-A.u.6?.Ii.h.HI.