(NTFS文件系统数据恢复研究.docxVIP

数据恢复技术课程报告姓 名： 班 级： 专 业： 学 号： 指导老师： 2012年12月NTFS文件系统数据恢复研究摘要针对用户在NTFS文件系统下由于误操作，造成硬盘上的数据被误删除或格式化等数据丢失的情况下。提出如何恢复数据的方法。通过对NTFS文件系统结构的详细介绍，重点分析了NTFS文件系统的主文件表MFT、文件记录的结构和文件的几个关键属性(即文件名、标准信息、数据流等)，并在此基础上通过分析文件删除前后文件属性值的变化，对数据恢复的具体方法和过程进行了详细的阐述。关键词NTFs (New Technology File System)数据恢复（Data Recovery）Data Recovery Research of NTFS File SystemAbstractAccording to the users in the NTFS file system by misoperation, causeing the hard disk data is sometimes delete or formatting data missing cases. We puts forward the method of how to recovery data. Through the NTFS file system structure are introduced in detail which analyses the NTFS file system master file table (MFT records, the structure and file several key attributes (namely file name, standard information, data flow, etc.), and on this basis through the analysis file delete file attributes value before and after the change, the specific data recovery method and process in detail.The keywordNTFs (New Technology File System)Data Recovery正文NTFS文件系统结构FAT文件系统的大部分缺点都直接来自其简单又过时的设计，比如由于没有考虑可能的安全和可靠性属性，导致后来很难在FAT分区上添加这些功能。相反，NTFS采用了一种全新的体系结构，不仅能支持许多高级的属性和功能，还使用了一个简单而优美的方案允许更多属性加入其中。这个优美的方案体现在NTFS分区是如何存储数据上。实质上，NTFS里的所有数据都是文件，甚至包括NTFS内部使用的分区管理数据，统计信息，和控制信息等。控制信息（control information）存储在一些特殊文件里，在NTFS分区格式化的时候创建，它们被称为“元数据文件（metadata files）”，包含了诸如用户文件列表、卷属性、簇分配信息之类的数据。唯一的例外就是“分区启动扇区（partition boot sector）”，它位于所有其他元数据文件之前，定义了NTFS分区最基本的一些操作，比如如何加载操作系统。基本数据类型MFT文件记录文件记录是$MFT文件的基本组成部分，卷中的所有文件都由至少一个文件记录来描述，对于使用多个文件记录的文件，其第一个文件记录叫基本文件记录，其余的叫做扩展文件记录。文件记录由记录头,数个文件属性和结束标志(0xFFFFFFFF)组成。文件记录头格式：名字偏移尺寸描述FR_Sign04记录签名：值为：‘ELIF’FR_USOff42更新序列号的偏移(M) (相对文件记录头)FR_USNSz62更新序列号个数+1(N)FR_LSN88日志文件序列号，该值在记录每次被修改时都会被改动FR_SN0x102重复使用 更新序列号（删除一次加1）FR_LnkCnt0x122目录中记录本文件的引用计数，该值只用于基本文件记录FR_USAOff0x142第一个属性数据的偏移FR_Flags0x162标志，该成员可以是以下各值中之一0x0001记录被使用0x0002目录文件FR_Size0x184当前记录的尺寸FR_AllocSz0x1c4当前记录分配的空间的尺寸FR_BaseFR0x208当前文件记录的基本文件记录的索引，如果当前文件记录是基本文件记录则该值为0，否则指向基本文件记录的记录索引。注意：该值的低6字节是MFT记录号，高2字节是该MFT记录的序列号FR_NxtAttrId0x282下一个属性的ID。下一次将会被添加到文件记录的属性的ID，每次往