数据恢复技术深度揭秘

2010-5  

电子工业  

刘伟  

834  

无  

在推进国民经济和社会信息化的过程中，政府、军队、企业以及个人越来越多关注的是信息的安全。信息安全的核心是数据的安全。黑客、病毒、误操作、存储介质的质量缺陷等众多因素都在威胁着数据的安全。数据一旦损坏或丢失，其损失往往无法用金钱来衡量。而在实际工作中又很难避免出现数据损坏与丢失现象。古人云，亡羊补牢，犹未为晚。因此，数据恢复技术、数据恢复服务需求飙升。为了推动数据恢复技术和市场的发展，培养紧缺人才，我培训中心（原国家信息产业部电子信息中心职业技能培训中心）于2004年3月正式推出了数据恢复技术培训。刘伟老师作为数据恢复专家，为这项技术培训付出了大量心血。正是从这一年开始，国内数据恢复技术的整体水平有了突飞猛进的发展。对于一项技术的学习，最好的途径是参加培训，由老师面对面进行讲解。但受各种条件的限制，很多人可能无法参加培训学习，只能通过自学，那么在自学的过程中一本好的教材将起到决定性作用。目前国内市场上能够将数据恢复技术说明白、讲透彻、既有理论又有实践的专业书籍屈指可数，这其中就包括刘伟老师曾经编写的《数据恢复高级技术》、《数据恢复方法及案例分析》和最新的这本《数据恢复技术深度揭秘》。新作《数据恢复技术深度揭秘》从逻辑和物理两个方面——也就是我们常说的软件和硬件两个方面——详细介绍了各种原因导致数据丢失后的恢复方法。书中不仅有丰富的理论知识，还从实践中精选了大量的真实案例，进行细致入微的剖析。这些案例的分析过程环环相扣，犹如福尔摩斯探案一般，在复杂的现象中寻找蛛丝马迹，最后冲破迷雾找到真相，还原数据的本来面目，突出了实用性。另外，《数据恢复技术深度揭秘》还首次公开了一些掌握在少数人手里秘而不宣的技术，包括ExFAT文件系统的恢复技术、UNIX系统的RAID恢复技术、Apple系统的RAID恢复技术、Linux系统的RAID恢复技术等等，所以该书对数据恢复技术爱好者和从业人员来说必将是一顿技术的饕餮大餐。信息技术日新月异，我期待着刘伟老师不断推出新的作品，为国内数据恢复技术的发展做出更大的贡献。

本书是中国电子信息产业发展研究院培训中心数据恢复技术培训指定教材，是从逻辑类和物理类两个方面全面讲解数据恢复技术的专业书籍。 在逻辑类数据恢复方面，本书包括MBR磁盘分区、动态磁盘分区、GPT磁盘分区、Solaris分区、APM分区、BSD分区的恢复技术，Windows平台的FAT32、FAT16、NTFS、ExFAT文件系统的恢复技术，UNIX平台的UFS文件系统恢复技术，Apple平台的HFS+文件系统恢复技术，Linux平台的EXT3、EXT4文件系统恢复技术，以及Windows、UNIX、Apple、Linux平台的RAID-0、RAID-1、RAID-5、RAID-5EE、RAID-6、HP双循环等磁盘阵列恢复技术。 在物理类数据恢复方面，本书包括各大品牌硬盘出现电路故障、磁头故障、电机故障、扇区读取故障、固件故障后数据恢复的方法及优盘无法识别的恢复方法。 如果您是数据恢复技术的初学者，本书可以由浅入深，一步步将您引入数据恢复技术的神秘殿堂；如果您已经是数据恢复技术的高手，本书同样可以带来令您惊喜的经验和技巧。

刘伟，北京信息科技大学数据恢复研究所数据恢复专家，国内外多家数据恢复公司的高级顾问，长期从事数据恢复技术的研究，工作在数据恢复实践和教学第一线，理论基础扎实、实践经验丰富。
从2004年3月开始受聘于国家信息产业部，获“信息产业部数据恢复技术培训特聘专家顾问”称号，负责信息产业部数据恢复技术培训的课程研发及教学工作，在授课过程中很好地将高深的理论演绎得形象化、简单化，以便于学生充分理解，受到了各地学员的一致好评。
著有《数据恢复高级技术》、《数据恢复方法及案例分析》等数据恢复专业书籍，并且均被中国电子信息产业发展研究院培训中心指定为数据恢复培训专用教材。

目 录 第一篇 数据恢复入门与进阶知识储备第1章 计算机中数据的记录方法 2 1.1 数据的表示方法 2 1.1.1 计算机中数据的含义 2 1.1.2 数值数据在计算机中的表示方法 6 1.1.3 字符数据在计算机中的表示方法 10 1.1.4 图形数据在计算机中的表示方法 13 1.2 数据存储的字节序与位序 14 1.2.1 Endian的含义 14 1.2.2 Little-endian的含义 15 1.2.3 Big-endian的含义 15 1.2.4 字节序与CPU架构的关系 15 1.2.5 位序的含义 16 1.3 数据的逻辑运算 17 1.3.1 逻辑或 17 1.3.2 逻辑与 18 1.3.3 逻辑非 18 1.3.4 逻辑异或 18 1.4 数据恢复中常用的数据结构 19 1.4.1 数据结构简介 19 1.4.2 树 21 1.4.3 二叉树 23 1.4.4 B树、B-树、B+树和B*树 24 1.4.5 树的遍历 27第2章 现代硬盘的结构揭秘 29 2.1 现代硬盘的物理结构揭秘 29 2.1.1 硬盘的外壳及盘标信息 29 2.1.2 硬盘的电路结构 32 2.1.3 硬盘的磁头定位驱动系统 36 2.1.4 硬盘的主轴系统 37 2.1.5 硬盘的数据控制系统 37 2.1.6 硬盘的盘片 38 2.1.7 硬盘的区段及物理C/H/S 39 2.1.8 硬盘的接口技术 40 2.1.9 硬盘的主要性能指标 48 2.2 现代硬盘的逻辑结构揭秘 50 2.2.1 硬盘的逻辑磁道 50 2.2.2 硬盘的逻辑扇区 50 2.2.3 硬盘的逻辑柱面 51 2.2.4 硬盘的逻辑磁头 52 2.2.5 硬盘的逻辑C/H/S 52 2.2.6 硬盘的28位LBA及48位LBA 52第3章 学习及研究数据恢复的基本工具 54 3.1 磁盘编辑器类工具 54 3.1.1 WinHex使用方法详解 54 3.1.2 DiskExplorer for Fat使用方法详解 72 3.1.3 DiskExplorer for NTFS使用方法详解 79 3.1.4 DiskExplorer for Linux使用方法详解 81 3.2 虚拟工具 84 3.2.1 虚拟硬盘工具使用方法详解 84 3.2.2 虚拟机使用方法详解 87 第二篇 逻辑类数据恢复技术揭秘第4章 Windows系统的数据恢复技术 92 4.1 Windows系统的MBR磁盘分区 92 4.1.1 主引导记录MBR的结构和作用 92 4.1.2 主磁盘分区的结构分析 97 4.1.3 扩展分区的结构分析 103 4.1.4 MBR及EBR被破坏的分区恢复实例 109 4.1.5 分区误删除的恢复实例 121 4.1.6 系统误Ghost后的分区恢复实例 129 4.2 Windows系统的动态磁盘卷 134 4.2.1 动态磁盘概述 134 4.2.2 动态磁盘卷的种类及创建方法 135 4.2.3 动态磁盘LDM结构原理详解 137 4.2.4 MBR磁盘误转换为动态磁盘的恢复实例 161 4.2.5 动态磁盘扩展卷丢失的恢复实例 165 4.3 Windows系统的GPT磁盘分区 179 4.3.1 GPT磁盘分区基本介绍 179 4.3.2 GPT磁盘分区的创建方法 181 4.3.3 GPT磁盘分区的结构原理 185 4.3.4 GPT磁盘分区丢失的恢复实例 192 4.4 FAT16文件系统详解 197 4.4.1 FAT16文件系统结构总览 198 4.4.2 FAT16文件系统的DBR分析 198 4.4.3 FAT16文件系统的FAT表分析 203 4.4.4 FAT16文件系统的FDT分析 206 4.4.5 FAT16文件系统目录项分析 208 4.4.6 FAT16文件系统根目录与子目录的管理 218 4.4.7 FAT16文件系统删除文件的分析 219 4.4.8 FAT16文件系统误格式化的分析 223 4.4.9 FAT16文件系统DBR手工重建的实例 226 4.5 FAT32文件系统详解 229 4.5.1 FAT32文件系统结构总览 229 4.5.2 FAT32文件系统的DBR分析 229 4.5.3 FAT32文件系统的FAT表分析 235 4.5.4 FAT32文件系统的数据区分析 237 4.5.5 FAT32文件系统目录项分析 238 4.5.6 FAT32文件系统根目录与子目录的管理 242 4.5.7 FAT32文件系统删除文件的分析 248 4.5.8 FAT32文件系统删除文件后目录项起始簇号 高位清零的分析 252 4.5.9 FAT32文件系统误格式化的分析 257 4.5.10 FAT32文件系统DBR破坏的恢复实例 260 4.5.11 FAT32分区文件乱码的手工恢复实例 261 4.5.12 FAT32分区被苹果电脑误格式化后的完美 恢复实例 267 4.6 NTFS文件系统详解 277 4.6.1 NTFS文件系统基本介绍 277 4.6.2 NTFS文件系统结构总览 278 4.6.3 NTFS文件系统引导扇区分析 280 4.6.4 元文件$MFT分析 285 4.6.5 文件记录分析 287 4.6.6 10H属性分析 296 4.6.7 20H属性分析 298 4.6.8 30H属性分析 298 4.6.9 40H属性分析 302 4.6.10 50H属性分析 303 4.6.11 60H属性分析 308 4.6.12 70H属性分析 308 4.6.13 80H属性分析 309 4.6.14 90H属性分析 313 4.6.15 A0H属性分析 315 4.6.16 B0H属性分析 315 4.6.17 C0H属性分析 316 4.6.18 D0H属性分析 317 4.6.19 E0H属性分析 317 4.6.20 100H属性分析 318 4.6.21 元文件$MFTMirr分析 318 4.6.22 元文件$LogFile分析 321 4.6.23 元文件$Volume分析 329 4.6.24 元文件$AttrDef分析 332 4.6.25 元文件$Root分析 334 4.6.26 元文件$Bitmap分析 336 4.6.27 元文件$Boot分析 337 4.6.28 元文件$BadClus分析 338 4.6.29 元文件$Secure分析 339 4.6.30 元文件$UpCase分析 341 4.6.31 元文件$Extend分析 342 4.6.32 元文件$ObjId分析 343 4.6.33 元文件$Quota分析 344 4.6.34 元文件$Reparse分析 346 4.6.35 元文件$UsnJrnl分析 347 4.6.36 NTFS的索引结构分析 348 4.6.37 手工遍历NTFS的B+树 352 4.6.38 NTFS的EFS加密分析 356 4.6.39 NTFS文件系统删除文件的分析 358 4.6.40 NTFS文件系统格式化的分析 364 4.6.41 NTFS文件系统DBR手工重建的实例 367 4.7 ExFAT文件系统详解 372 4.7.1 ExFAT文件系统基本介绍 372 4.7.2 ExFAT文件系统结构总览 374 4.7.3 ExFAT文件系统的DBR分析 374 4.7.4 ExFAT文件系统的FAT表分析 378 4.7.5 ExFAT文件系统的簇位图文件分析 379 4.7.6 ExFAT文件系统的大写字符文件分析 380 4.7.7 ExFAT文件系统的目录项分析 380 4.7.8 ExFAT文件系统根目录与子目录的管理 388 4.7.9 ExFAT文件系统删除文件的分析 395 4.7.10 ExFAT文件系统误格式化的分析 396 4.7.11 ExFAT文件系统DBR手工重建的实例 400 4.7.12 能够支持ExFAT文件系统的恢复工具 404 4.8 Windows系统RAID恢复技术详解 406 4.8.1 RAID基础知识介绍 406 4.8.2 RAID级别详解 407 4.8.3 硬RAID实现方法 413 4.8.4 软RAID实现方法 416 4.8.5 RAID数据恢复原理 418 4.8.6 RAID起始扇区的分析方法 423 4.8.7 RAID条带大小的分析方法 425 4.8.8 RAID成员盘的盘序分析 428 4.8.9 RAID-5校验方向的分析方法 429 4.8.10 RAID-5数据同步与异步的分析方法 430 4.8.11 RAID恢复工具一：WinHex 432 4.8.12 RAID恢复工具二：R-studio 434 4.8.13 RAID恢复工具三：Raid Reconstructor 437 4.8.14 RAID恢复工具四：FileScav 439 4.8.15 RAID恢复工具五：UFS Explorer 442 4.8.16 RAID恢复工具六：Getway Raid Recovery 442 4.8.17 服务器专业硬盘与数据恢复工作机的连接 方法 445 4.8.18 RAID恢复实例一：Dell服务器RAID-5实 例分析 447 4.8.19 RAID恢复实例二：HP服务器RAID-5双循环 实例分析 454 4.8.20 RAID恢复实例三：光纤阵列柜12块FC硬盘 RAID-5实例分析 457 4.8.21 RAID恢复实例四：IBM服务器RAID-5EE实 例分析 459第5章 UNIX系统的数据恢复技术 466 5.1 UNIX家族介绍 466 5.1.1 UNIX的起源及分裂 466 5.1.2 UNIX分类及特点 467 5.2 UNIX的分区详解 469 5.2.1 Solaris分区基本介绍 469 5.2.2 Sparc Solaris分区结构分析 471 5.2.3 Sparc Solaris分区恢复实例 476 5.2.4 x86 Solaris分区结构分析 479 5.2.5 x86 Solaris分区恢复实例 485 5.2.6 Free BSD分区结构分析 485 5.2.7 Free BSD分区恢复实例 490 5.2.8 Open BSD分区结构分析 493 5.3 UFS1及UFS2文件系统详解 498 5.3.1 UFS文件系统基本介绍 498 5.3.2 UFS文件系统结构总览 499 5.3.3 UFS文件系统的引导块分析 500 5.3.4 UFS文件系统的超级块分析 501 5.3.5 UFS文件系统的柱面组概要分析 517 5.3.6 UFS文件系统的柱面组描述符分析 518 5.3.7 UFS文件系统的位图分析 522 5.3.8 UFS文件系统的i-节点分析 524 5.3.9 UFS文件系统的目录项分析 531 5.3.10 UFS文件删除与恢复的分析 535 5.3.11 UFS文件系统超级块的恢复实例 544 5.3.12 UNIX系统数据恢复专业工具详解 546 5.4 UNIX系统RAID恢复技术详解 548 5.4.1 UNIX RAID结构参数的分析方法 548 5.4.2 Sun Solaris系统DAS-RAID-5恢复实例 550第6章 Apple系统的数据恢复技术 558 6.1 Apple电脑介绍 558 6.1.1 Apple电脑的起源与发展 558 6.1.2 Mac操作系统的发展 559 6.2 Apple电脑的分区结构详解 560 6.2.1 APM分区结构分析 560 6.2.2 APM分区恢复实例 568 6.2.3 GPT分区结构分析 572 6.3 HFS+文件系统详解 574 6.3.1 HFS+文件系统基本介绍 574 6.3.2 HFS+文件系统结构总览 577 6.3.3 HFS+文件系统的卷头分析 577 6.3.4 HFS+文件系统的头节点分析 584 6.3.5 HFS+文件系统的位图节点分析 591 6.3.6 HFS+文件系统的索引节点分析 591 6.3.7 HFS+文件系统的叶节点分析 592 6.3.8 HFS+文件系统节点的综合应用 593 6.3.9 HFS+文件系统的编录文件分析 594 6.3.10 HFS+文件系统的盘区溢出文件分析 604 6.3.11 HFS+文件系统的分配文件分析 608 6.3.12 HFS+文件系统的属性文件分析 609 6.3.13 HFS+文件系统的坏块文件分析 610 6.3.14 手工遍历HFS+的B树 610 6.3.15 HFS+文件删除与恢复的分析 614 6.3.16 HFS+文件系统卷头的恢复实例 617 6.3.17 Apple系统数据恢复专业工具详解 618 6.4 Apple系统RAID恢复技术详解 621 6.4.1 Apple RAID结构参数的分析方法 621 6.4.2 Apple RAID恢复实例分析 622第7章 Linux系统的数据恢复技术 629 7.1 Linux系统介绍 629 7.1.1 Linux系统的起源与发展 629 7.1.2 Linux系统的分类及特点 630 7.2 Linux系统的分区结构详解 631 7.2.1 MBR磁盘分区结构分析 632 7.2.2 MBR磁盘分区恢复实例 635 7.2.3 GPT分区结构分析 639 7.3 Ext3文件系统结构详解 641 7.3.1 Ext3文件系统基本介绍 642 7.3.2 Ext3文件系统结构总览 642 7.3.3 Ext3文件系统的超级块分析 643 7.3.4 Ext3文件系统的块组描述符分析 649 7.3.5 Ext3文件系统的块位图分析 651 7.3.6 Ext3文件系统的i-节点位图分析 652 7.3.7 Ext3文件系统的i-节点分析 654 7.3.8 Ext3文件系统的目录项分析 660 7.3.9 Ext3文件删除与恢复的分析 663 7.3.10 Ext3文件系统超级块的恢复实例 674 7.3.11 Linux系统数据恢复专业工具详解 677 7.4 Ext4文件系统分析 680 7.4.1 Ext4文件系统介绍 680 7.4.2 Ext4文件系统的特点 681 7.4.3 Ext4文件系统的结构 682 7.4.4 Ext4文件系统的向前与向后兼容 684 7.5 Linux系统RAID恢复技术详解 685 7.5.1 Linux RAID结构参数的分析方法 685 7.5.2 Linux RAID恢复实例分析 686 第三篇 物理类数据恢复技术揭秘第8章 硬盘物理故障的种类及判定 698 8.1 硬盘外部物理故障的种类和判定方法 698 8.1.1 电路板供电故障 698 8.1.2 电路板接口故障 700 8.1.3 电路板缓存故障 700 8.1.4 电路板BIOS故障 701 8.1.5 电路板电机驱动芯片故障 701 8.2 硬盘内部物理故障的种类和判定方法 702 8.2.1 磁头组件故障 702 8.2.2 主轴电机故障 703 8.2.3 盘片故障 704 8.2.4 固件故障 705 第9章 硬盘电路板故障的数据恢复方法 706 9.1 维修法 706 9.1.1 电路板常见故障及维修方法 706 9.1.2 希捷硬盘电路板的故障及检测方法 707 9.1.3 西部数据硬盘电路板的故障及检测方法 708 9.2 替换法 708 9.2.1 替换法介绍 708 9.2.2 希捷3.5英寸硬盘电路板兼容性判定及 替换方法 709 9.2.3 希捷2.5英寸硬盘电路板兼容性判定及 替换方法 711 9.2.4 西部数据3.5英寸硬盘电路板兼容性判 定及替换方法 711 9.2.5 西部数据2.5英寸硬盘电路板兼容性判 定及替换方法 713 9.2.6 迈拓3.5英寸硬盘电路板兼容性判定及 替换方法 714 9.2.7 富士通2.5英寸硬盘电路板兼容性判定 及替换方法 714 9.2.8 三星3.5英寸硬盘电路板兼容性判定及 替换方法 716 9.2.9 三星2.5英寸硬盘电路板兼容性判定及 替换方法 717 9.2.10 日立3.5英寸硬盘电路板兼容性判定及 替换方法 719 9.2.11 日立2.5英寸硬盘电路板兼容性判定及 替换方法 719 9.2.12 日立1.8英寸硬盘电路板兼容性判定及 替换方法 721 9.2.13 东芝2.5英寸硬盘电路板兼容性判定及 替换方法 722第10章 硬盘磁头组件故障的数据恢复方法 725 10.1 硬盘磁头组件故障的恢复思路 725 10.1.1 开盘换磁头所需环境及工具 725 10.1.2 开盘换磁头的操作步骤 727 10.2 希捷硬盘磁头兼容性判定及开盘方法 728 10.2.1 3.5英寸硬盘开盘实例 729 10.2.2 2.5英寸硬盘开盘实例 733 10.3 西部数据硬盘磁头兼容性判定及开盘方法 736 10.3.1 3.5英寸硬盘开盘实例 736 10.3.2 2.5英寸硬盘开盘实例 739 10.4 迈拓硬盘磁头兼容性判定及开盘方法 741 10.5 富士通硬盘磁头兼容性判定及开盘方法 743 10.6 三星硬盘磁头兼容性判定及开盘方法 744 10.6.1 3.5英寸硬盘开盘实例 744 10.6.2 2.5英寸硬盘开盘实例 745 10.7 日立硬盘磁头兼容性判定及开盘方法 747 10.7.1 3.5英寸硬盘开盘实例 747 10.7.2 2.5英寸硬盘开盘实例 749 10.8 东芝硬盘磁头兼容性判定及开盘方法 750 10.9 开盘成功后如何获得数据 752 10.9.1 物理镜像法 753 10.9.2 数据提取法 753第11章 硬盘主轴电机故障的数据恢复方法 754 11.1 主轴电机故障的恢复思路 754 11.1.1 处理主轴电机故障所需环境及工具 754 11.1.2 处理主轴电机故障的操作步骤 755 11.2 希捷3.5英寸硬盘主轴电机故障处理方法 755 11.2.1 主轴电机兼容性判定 755 11.2.2 实例演示 756 11.3 迈拓3.5英寸硬盘主轴电机故障处理方法 759 11.3.1 主轴电机兼容性判定 759 11.3.2 实例演示 760 11.4 东芝2.5英寸硬盘主轴电机故障处理方法 762 11.4.1 主轴电机兼容性判定 762 11.4.2 实例演示 762第12章 硬盘盘片故障的数据恢复方法 766 12.1 盘片扇区故障的检测方法 766 12.2 盘片扇区故障的修复方法 769 12.2.1 重写校验法 770 12.2.2 G-List替换法 770 12.2.3 P-List隐藏法 770 12.3 盘片扇区故障的数据恢复方法 771 12.3.1 物理镜像法与数据提取法的区别与联系 771 12.3.2 用Media Tools Professional做物理镜像 771 12.3.3 用HD Duplicator做物理镜像 775 12.3.4 用PC-3000 UDMA DE做物理镜像 780 12.3.5 用PC-3000 For SCSI做物理镜像 784 12.3.6 用PC-3000 UDMA DE提取数据 789 12.3.7 用PC-3000 UDMA DE分磁头做物理镜像 790第13章 硬盘固件故障的数据恢复方法 795 13.1 现代硬盘的固件结构 795 13.1.1 什么是硬盘的固件 795 13.1.2 硬盘固件的组成及作用 795 13.1.3 硬盘的生产流程 797 13.1.4 硬盘固件故障的表现 797 13.2 硬盘固件修复工具介绍 798 13.2.1 PC-3000 for DOS 798 13.2.2 PC-3000 for Windows 799 13.2.3 PC-3000 UDMA 800 13.2.4 PC-3000 UDMA for SCSI 801 13.3 用PC-3000 UDMA修复迈拓硬盘的固件 801 13.3.1 识别迈拓硬盘的型号 802 13.3.2 迈拓硬盘的固件结构 803 13.3.3 迈拓硬盘A区、B区和C区固件 807 13.3.4 备份固件 808 13.3.5 检测固件 810 13.3.6 修复固件 812 13.4 用PC-3000 UDMA修复希捷硬盘的固件 812 13.4.1 识别希捷硬盘的型号 812 13.4.2 希捷硬盘与PC-3000 UDMA的连接方法 814 13.4.3 希捷硬盘的固件结构 814 13.4.4 希捷硬盘指令详解 816 13.4.5 酷鱼7200.11“固件门”解决方案 818 13.4.6 酷鱼企业级硬盘ES.2“固件门”解决方案 822第14章 优盘物理故障的数据恢复方法 824 14.1 优盘物理故障的表现及分类 824 14.1.1 优盘物理故障的表现 824 14.1.2 优盘物理故障的分类 825 14.2 优盘物理故障的修复 827 14.2.1 补焊 827 14.2.2 替换晶振 827 14.2.3 替换主控芯片 828 14.2.4 替换闪存芯片 828 14.3 用PC-3000 Flash直接提取闪存芯片的数据 829 14.3.1 PC-3000 Flash的工作原理 829 14.3.2 提取闪存芯片的数据 830 参考文献 835

插图：4.8.7 RAm条带大小的分析方法条带是RAID处理数据的基本单元，所以分析出条带大小对于恢复RAID数据是至关重要的一个环节。条带大小也称为块大小。分析条带大小的方法有很多，这些方法基本都需要运用到文件系统结构，所以针对不同系统下的RAID，分析条带大小的方法也有区别。在Windows系统下，服务器基本都采用NTFS文件系统，基本上不会用FAT文件系统，更不会使用刚刚面世的ExFAT，所以本书就不浪费篇幅去讲解FAT。系统下RAID条带大小的分析方法了。如果有兴趣的读者可以自行分析一下，非常简单。这里以NTFS文件系统为例，讲解一下RAID条带大小的分析方法。在NTFS文件系统中，$MFT文件是一个最大的元文件，其结构也是我们非常熟悉的，所以可以利用这个文件分析RAID条带大小。利用$MFT分析RAID条带大小又分两种情况，一种是$MFT文件中有文件记录号，另一种情况是$MPT文件中没有文件记录号。Windows2000及WindowsNI’操作系统格式化的NTFS文件系统是没有文件记录号的，从WindowsXP开始以及后来的Windows2003、WindowsVista、Windows2008等系统格式化的NTFS就都有文件记录号了，这两种情况我们分别分析。1.$MFT文件中有文件记录号的情况我们先看看在有文件记录号的情况下如何分析RAID条带大小。首先需要找到每块物理盘中的$MFT文件记录，并且要保证找到的文件记录在每块物理盘的同一扇区，然后查看这些文件记录的文件记录号，如图4-620所示。从图4-620中可以看到三块物理盘在同一扇区的文件记录号分别为175、47和111。三个记录号两两之间的差都是64，这就可以说明该RAID条带大小是64个文件记录的大小，而每个文件记录为2个扇区，所以条带大小就是128扇区。

刘伟老师的《数据恢复技术深度揭秘》内容全面、讲解深入，书中不仅有丰富的理论知识，还有大量从实践中精选的真实案例，这些案例的分析过程环环相扣，犹如福尔摩斯探案一般，在复杂的现象中寻找蛛丝马迹，最后冲破迷雾找到真相，还原数据的本来面目，突出了实用性。 　　——中国电子信息产业发展研究院培训中心主任：马亮 这本书公开了太多的核心技术，很多技术可以说是数据，咴复行业内的看家本领，既有逻辑层面的，又有物理层面的，非常全面。所以该书是学习数据恢复技术的珍贵资料，同时也可以作为实践应用的工具书，放在手边随时查阅。 　　——加拿大3J国际数据恢复中心首席技术官：Jane Ji 刘伟老师的《数据恢复技术深度揭秘》理论与实践相结合，案例与技巧相呼应；深入浅出，从深度和广度向读者揭开了数据恢复技术的神秘面纱，是目前国内数据恢复领域不可多得的力作。 　　——中国人民大学信息资源管理学院教授：唐跃进 《数据恢复技术深度揭秘》是国内从事数据恢复推广及教育的专家一刘伟老师继《数据恢复高级技术》、《数据恢复方法及案例分析》后的又一力作。刘伟老师的作品已经成为数据恢复行业培训的默认教材，从事数据恢复工作的工程师也大都以此作为深入学习的参考资料。 　　——北京翰凯科技数据恢复事业部技术总监：赵建平 本书从软件和硬件两个方面深入讲解了数据恢复的方法，不仅具有理论性更具有实用性，书中首次公开了ExFAT文件系统的恢复技术、UNIX系统的RAID恢复技术、Apple系统的RAID恢复技术、Linux系统的RAID恢复技术等，对于数据恢复爱好者来说实属难得。 　　——美国HighPoint公司中国独资子公司RAID控制器研发工程师：刘晓辉

《数据恢复技术深度揭秘》：中国电子信息产业发展研究院培训中心数据恢复技术培训指定教材

无

数据恢复技术深度揭秘 PDF格式下载

很少动手写书评，但看了《数据恢复技术深度揭秘》这本书，却有了提笔的冲动。我是数据恢复从业人员，一直依靠自学对数据恢复技术进行慢慢摸索，这本书给我的感受可以用“震撼”二字来形容，对该书的具体看法是：
1。体系完整
该书对数据恢复技术体系的讲解非常系统，并且能够循序渐进、由浅入深，布局非常合理，从中可以看出作者对这项技能的把控已经驾轻就熟，有很强的驾驭能力。
2。内容全面
该书的内容是目前同类书籍中最全面的，包括了Windows、Unix、Linux、apple等系统的数据恢复，有针对个人电脑的，也有针对服务器的；有软件方面的恢复，也有硬件方面的恢复，实在是很全面。
3。有理论 有实践
书中理论知识非常丰富，讲解也很细致，更为难得的是，对于重要的理论，都有相应的实例配合讲解，读起来就不会那么枯燥了。
4。案例经典
书中给出的案例一定是作者精挑细选的，每个都相当典型，技术含量很高，案例的分析过程也很精彩，每读完一个案例都觉得大为过瘾。
5。图文并茂
书中提供了很多截图，作者在截图上还做了详细的标注，这对内容的理解提供了很大帮助，使理论和案例都变得浅显易懂，可以看出作者是花费了不少心血的。
6。多项技术首次公开
数据恢复方面的很多技术对于行业内人士来说是看家本领，都是秘而不宣的，该书把很多技术机密都公开了，还写了很多最新的技术，这些技术资料都是我梦寐以求的，在网络上根本找不到，所以说这本书对我来讲太超值了。另外，该书的出版对整个数据恢复行业来讲也是一件大事，必将对国内数据恢复技术水平的整体提高起到非常大的促进作用！

《数据恢复技术深度揭秘》是一本非常实用的一本好书，语言由浅入深，即使是初学者也能很快入门，对数据恢复熟悉者也能获取更多的经验。内容包括了各种硬盘，工作中各种常用的文件系统，甚至包括了微软最新的文件系统的分析。数据的恢复技术包括了从硬件到硬件的逻辑错误。非常不错的一本好书。

之前一直看数据重现那本书，从技术层次细致讲解各种文件系统，但作者经常用“似乎”“好像”之类的词，让人觉得措辞很不严谨，但也确实体现出是搞技术的人写的。这本数据恢复深度揭秘据说是前书作者的师傅写的，内容很充实，把各种不同系统下的文件系统深入浅出讲解的非常细致，还有不少数据恢复的实例及行业内幕，这两本书都是学数据恢复人值得拥有的好书！

涉及windows、Linux、Unix、Mac OS等多种系统的不同文件系统，涉及面之广是前所未有的，数据恢复工程师必备资料书

这本书十分全面且深入浅出的讲解了数据恢复各种应用技术。。推荐！

该书详细讲解了数据恢复技术的原理及恢复方法，权威著作，值得一看。

深入介绍了磁盘数据的恢复扫描原理和结果分析，尤其是推荐了一些工具，非常有用。

这本书写得不错，内容很丰富，案例也多，是数据恢复中的经典书籍，值得购买！

我本人对硬盘数据恢复有一定的研究。但收到这本书后，才觉得自己所知道的太少了。这本书真是订的太及时了。

刘伟的这本书是集数据恢复领域知识于大成

国内第一本如此详细的数据恢复方面的书，非常值得仔细研究！

但是，很多公司都备份了，私人的重要数据一般都涉及隐私，不愿给你恢复

数据恢复行业的“圣经”，非常详细、全面。。。

这是数据还原里最贵的一本书了 希望物超所值。

这本书值得我这些做数据的人员学习。

讲解数据存储很详尽，适合机算机，高玩使用

是一本集合理论与实践非常具有深度的好书，很久没看到这么好的书了。以前学习相关知识的时候，总感觉学习得很系统，比较全面了，看过此书才发现，以前学习的东西都是比较浅显的，这本书理论详实，操作性很强，是不可多得的好书，推荐购买。

这本书非常好，非常适合初学者

最近研究数据库存储方面的东西，大致看了下，感觉内容非常不错。还没有细看。

内容相当独特，在其他书籍资料很少能看到，超值

很专业，但很容易入门的一本书

从入门到高级，涉及面广.是本好书！

写得很全面，很详细
对初学者来说很有用

这本书很不错的，讲的比较全面

对初学者非常有帮助的书

需要一点基础的才能完全理解 不然很吃力的

比较全面，看的头大，只怪大学没好好学。

这本书重印了了三次 应该是不错的 还没开始看

技术性很强的一本书

国内不错的一本书籍,值得看.

这本书还是不错滴...值得推荐.

不错的专业书，正在学习之中。

在网上看了一下电子版的，看了以后写的这么专业，所以就买了。

内容很详细，而且也有相应的案例。

不错，写得挺详细的还有一定的案例。值得学习

讲解详细。。。值得一读

很全面，但是没有书中说到的工具

个人爱好，还好吧？看了一些了，挺好

书还是相当给力的。学习的东西多啊。。。性价比高。好。

很好，比较喜欢！印刷也好！

书很好，内容很好，值得购买

很好和书，就是不太容易学

很不错的书，纸张也很好，内容也很好

非常好的书，全面而详细，推荐阅读。

不错啊 有很多没见过的 学习了

这书不错，值得买，写的很详细

书很厚，很长，感觉很多的样子

很有用，好书，内容和实例都很详尽。

收到了， 帮朋友买的。 当网上买了很多好书 非常满意！

无论内容还是实例都很详细，难得一见的好书

既是新手入门，也是老鸟深入学习的指导。

书的内容非常给力

有事没事翻一下也挺好的

很不错的书，推荐有这方面需求的朋友购买

一本真正的好书。

印刷精美，内容精典。

目前还没时间看，但好书是可以永久收藏的

就是书是二手的 不新 但算了 重要的是内容

嗯！是的，看了才知道是不错！

如果只是好奇，还是不要买吧！

书和不错 就是内容有不是很通俗易懂

刚收到书，看了几页，不错，内容比较全

物超所值推荐购买！

难得一见的好书，内容新颖、涉及面广，非常喜欢！

讲得比较细致比较全，是一本不错的参考书。。。

这本书是数据恢复不可多得的教材

本人也是做数据恢复的，此书可以进一步研究。

可以系统化的了解数据恢复的原理及实际应用

总体来说挺好，技术内容论述还透彻。印刷也不错。

我现在不做技术了，纯是兴趣性阅读，写的专业性还是比较强的！

这本书可以算上工具和教学用书，从描述上和采用的实例上，可以看书作者对做事非常认真，同时逻辑思维和论述次序都比较清晰和渐进。读者跟随可以逐步渐进，如果能够将书全部看完，例子了解清楚，前后问题自己能够想通，基本上就可以掌握有关硬盘的控制了，不说全部吧，做设计的话，基本上已经可以排除常见问题了。

可能是因为太远了 ，什么东西寄到我这都十天半个月，但是这本书是最慢的，整整一个月，因为是过年，所以可以理解，新年快乐，大家辛苦了。书不错，一定会认真看的。

书的内容很详细，很具体。对于我这样的初学者来说，还有些看不懂。正在研究、。

这本书写的挺详细的只不过还没时间来看完，

不是这专业的表示看得很有压力！！！但不可以否定它是一本好书！！

自己一向不喜欢这些工具书，但是帮同事买来之后，感觉还不错，质量很好

书是蛮好的，如果再配上碟片则更加好。

解释的很详细，很好!

感觉还行吧 介绍较全面 只是不够深入

值得研究，学习

适合喜欢研究的人士。

正在研读中啊。

速度还行，有点贵，内容瞄了一眼，还不错，有空再看。。。

当当的书很全 专门帮朋友订的 很满意！！

内容详尽，充实，确实是一本学习的好书。

说是还不错。具体我还没看。

没有仔细看，但是看目录应该不错

书不错，就是我的积分到现在都还没有收到！

慢慢读ing.看起来不错。

印刷内容都值得购买

打4分的书，这样的书较少。值得一读。

速度快，客服能力差劲，耽误事情

说明不怎么明白,可能对初学者吧

讲的稍微有点枯燥，不过还行！

有点想买

妈逼的！被评论骗了！这根本就是一本烂书！妈逼的！被评论骗了！这根本就是一本烂书！妈逼的！被评论骗了！这根本就是一本烂书！

只要先下载一下电子版的看看就清楚了，烂书一本，还特他妈的贵！早知道就买那本《数据重现XX》

这本书的内容挺全的，包括数据恢复中的很多知识并且具体实例的讲解很全，值得看！

这本书太牛了，写得太好了，非常喜欢！

书讲的很详细，从一开始的数据结构，到后面的文件系统等等，让普通人也能看懂。但是接触数据恢复的人都是一些比较想了解，但是没有很深功底的人，所以书中的案例就发挥很重要的作用，但是本书中的案例相对较少。没发现书中有对格式化分区或者硬盘以后数据的恢复情况和案例，所以觉得比较可惜。除此，本书还是一本不错的关于数据恢复的资料！

好书啊，正需要，很详尽