模块5
FAT分区数据恢复
单元1
常用数据恢复软件
M5-1 本单元主要内容
一 二 三
文件系统概述
数据恢复原理
数据恢复要点 常用数据恢复软件
四 五
数据恢复成功率
M5-1 本单元重难点
重点
数据恢复软件的操作 数据恢复的相关知识 文件存储结构与恢复成功率
难点
数据恢复软件的操作方法 数据恢复操作的要点
二、数据恢复原理
一般所说的数据丢失，就是指的无法通过 文件系统访问装载这些数据的文件，通常 有如下原因：
1. 文件被删除。
2. 分区被格式化。 3. 由于病毒或物理故障导致文件系统结构被破坏，
或者文件数据被破坏等其他情况。
二、数据恢复原理
如果是文件被删除，系统会对该文件做上删除标 记，但并不会立即清除文件的数据，直到新的文 件存入，将它覆盖掉。 一般情况下，只要文件数据未被覆盖，就可以使 用数据恢复软件恢复文件，它们会分析文件系统 的管理控制信息，找到被删除的文件。
EasyRecovery：功能强大、界面友好、操作简便。 FinalData：数据分析能力强，小巧精悍。
四、常用数据恢复软件
四、常用数据恢复软件
四、常用数据恢复软件
演示恢复已删除文件的实验过程。
1. 准备好故障分区的演示环境，如虚拟机、恢复软件等。 2. 制作已格式化的故障分区。 3. 用EasyRecovery恢复已删除的文件。 4. 恢复数据并仔细观察结果。
一、文件系统概述
在计算机中，数据是以文件形式组织存放的，文 件系统给每个文件赋予一个标识符（文件名）， 并规定了一组记录格式和控制方法确保我们可以 正常访问这些文件。 在文件系统中，除了存储文件的数据内容和文件 名外，还记录了文件的相关信息，比如创建和修 改的日期时间、文件属性等。
一、文件系统概述
格式化分区的时候，格式化程序就创建了文件系 统，我们可以为不同的分区选择不同的文件系统。 常见的文件系统有：
FAT：用于DOS和早期Windows操作系统。 NTFS：用于Windows NT及后续操作系统。 EXT：用于Linux操作系统。 HFS：用于苹果电脑的Mac OS。 ZFS：用于SUN Solaris Unix操作系统。 ……
四、常用数据恢复软件
Word文档的文件头片段：
Winrar文档的文件头片段：
五、数据恢复成功率
文件数据的存储结构
连续结构
文件1 文件2
链表结构
文件1 文件2
1-1 1-2 1-3 2-1 2-2 2-3 1-4 1-5* 2-4* 3-1 3-2*
索引结构
1-1 1-2 1-3 2-1 2-2 2-3 1-4 1-5* 2-4* 3-1 3-2* 31 32 33 34 35 36 37 38 39 40 41
二、数据恢复原理
如果是文件系统格式受到破坏，比如分区被格式 化，或者更为严重的破坏行为，数据恢复软件会 搜索并分析分区中的信息，试图找到原先的文件 系统结构，或者直接搜寻文件数据，将文件恢复 出来。但那样的话，就要根据受损的情况来看了， 如果运气好的话，也能完整地恢复数据。
三、数据恢复要点
在数据丢失后，切记不要对故障分区做任何改动， 以免造成二次破坏。另外要特别防范病毒，因为 病毒具有自动繁衍的特性，使其会在各个盘上写 入病毒体，从而对原有数据造成破坏，一些具有 自动创建信息文件的程序也是如此。 另外，将数据恢复出来的时候，也不要保存在原 分区中，应该放到另外的分区或磁盘中。
文件1
文件2 文件3
ቤተ መጻሕፍቲ ባይዱ文件3
… 文件3
五、数据恢复成功率
要提高数据恢复的成功率，应尽量使文件连续存 放，如果文件非连续存放，则恢复出错误数据的 几率就很大。在一个接近满容量，读写频繁的分 区中，会产生大量的碎片空间，导致文件不能连 续存放，从而影响数据恢复的成功率。 要降低磁盘碎片的数量有两个方法：
1. 选择优秀的文件系统。 2. 运行磁盘碎片整理程序。
总结
1.文件系统概述 2.数据恢复原理与要点 3.常用数据恢复软件的操作方法 4.数据存储结构与恢复成功率的关系
作业
1. 如果在扫描一个分区时只想列出已删除的word文 档该怎么设置？ 2. 你还知道有哪些数据恢复软件呢？
四、常用数据恢复软件
常用的数据恢复软件有Final Data，Easy Recovery，Recover My Files，R-Studio等等， 此外，还有一些软件提供磁盘和文件的查看、分 析功能，同时也身兼数据恢复的工作，比如 Winhex，Runtime Software，UFS Explorer等等， 它们各有特长。
四、常用数据恢复软件
演示误格式化分区的数据恢复实验过程。
1. 准备好故障分区的演示环境，如虚拟机、恢复软件等。 2. 制作已格式化的故障分区。 3. 用EasyRecovery恢复分区数据。 4. 恢复出数据并仔细观察结果。
四、常用数据恢复软件
如果文件系统的控制格式信息遭到严重破坏，就 只有用RAW恢复方式了，这是一种不依赖于文件系 统的恢复方法，它直接扫描磁盘数据，通过已知 的文件头信息来判断文件的存在，进而执行恢复 操作。 当然，这种方式只适用于已知文件类型，并且如 果文件未连续存放，就很难正确地恢复文件数据。