硬盘数据的恢复与安全删除.docx

硬盘数据的恢复与安全删除.docx

《硬盘数据的恢复与安全删除.docx》由会员分享，可在线阅读，更多相关《硬盘数据的恢复与安全删除.docx（27页珍藏版）》请在冰豆网上搜索。

硬盘数据的恢复与安全删除

XXXXXX学院

毕业论文（设计）

硬盘数据的恢复和安全删除

TheRecoveryandDeletionCompletelyofHardwareData

系　　　　　　别：

计算机科学与技术

专业名称：

计算机科学与技术

学生姓名：

XXX

学　　　　　　号：

指导教师姓名、职称：

XXXX讲师

完成日期2008年5月10日

摘要

随着科技的日益发展，人们对计算机的应用越来越普遍，依赖性也越来越强了。

硬盘做为计算机系统中信自资源最重要的存储设备，其所存放的信息资源的价值往往要高于硬盘产品的自身价值。

。

由于计算机用户的一时疏忽，对硬盘数据进行了删除操作，或者由于计算机病毒的攻击，都会导致硬盘数据的丢失。

本论题将对文件误删或格式化造成的数据丢失；分区表被破坏造成的数据无法正常使用；计算机病毒对数据的修改造成的数据破坏分析，在WindowsXP系统下利用Easyrecovery软件解决以上的问题。

通过对数据恢复的了解，我们会发现数据恢复技术引发了计算机数据被非法盗用的情况，所以本论文也将对目前数据安全删除软件主要实现过程进行分析，让用户更清楚的了解如果才能真正彻底的删除计算机硬盘数据。

尽管现在数据恢复的技术越来越好，但在非不得已的情况下，我们都不推荐用数据恢复技术，计算机用户最好也不需要用到这个技术，因为我们所能恢复的数据未必100%与原来数据一样。

同样，用数据安全删除技术前也要再三的考虑，因为一旦进行了该操做，我们将失去所以数据并无法恢复。

关键词：

硬盘；数据恢复；安全删除；硬盘数据结构；EASYRECOVER软件

Abstract

Withthedevelopmentofthetechnology,computerisgeneralused,peoplealsomoreandmoredependonit.Ontheotherhand,HDastheimportantdeviceforstorageinthecomputersystem,itsstorageinformationresourcesaremorevaluablethantheHDitself.Deletingthediskdataorcomputervirus’sattackingbecauseofthecarelessnessoftheoperator,thusresultinginaharddiskdataloss.Thistopicanalyzeaboutthedatalosscausebydocumentswhichisdeletedorformattedcarelessly,theun-normaluseofdatacausebythedestructionofpartitiontableandthedatachangescausebythedestructionofcomputervirus.IntheWindowsXPsystem,Easyrecoverysoftwarecanbeusedtosolvetheaboveproblem.Throughtheanalysisofdatarecovery,wewillfindthecasethatdatarecoverytechnologytriggeredtheillegaltheftofcomputerdata,sothispaperwillalsoanalyzethemainprocessofthepresentdatasecuritydeletedsoftware,allowinguserstounderstandmoreclearlyabouthowtodeletethedatastoredintheHDcompletely.

Althoughthepresentdatarestoresthetechnologyismoreandmoregood,butmustishavingtointhesituation,wealldonotrecommendwiththedatarestorethetechnology,thecomputeruserarebestdonotneedtousethistechnology,becausewecanrestorethedatanotnecessarily100%andtheoriginaldataissame.Similarly,withthedatasecuritydeletiontechnologyinfrontofalsomusttheoverandoverconsideration,oncebecausecarriedonshouldholddoes,wewilllosethereforethedataandwasunabletorestore.

Keywords:

HDData；DataRecovery；DeleteTheHDData；Easyrecoverysoftware

1绪论

1.1硬盘数据发展现状

硬盘是计算机系统中信息资源最重要的存储设备，其所存放信息资源的价值往往要远高于硬盘产品自身的价值。

随着硬盘的日益小型化和存储容量的不断增大，在硬盘上存储的软件系统和数据信息也更加复杂化和大型化。

近年来，新型硬盘无论在容量、速度和可靠性等方面都有了飞速发展，各类硬盘技术层出不穷，先进技术的注入使得计算机的硬件故障却呈现上升趋势。

硬盘数据的丢失，有时会造成不可弥补的损失，丢失数据的代价远远超过硬盘本身的价值。

1.2硬盘的发展概述

1956年9月，IBM的一个工程小组向世界展示了第一台磁盘存储系统IBM350RAMAC（RandomAccessMethodofAccountingandControl），其磁头可以直接移动到盘片上的任何一块存储区域，从而成功地实现了随机存储，这套系统的总容量只有5MB，共使用了50个直径为24英寸的磁盘，这些磁盘表面涂有一层磁性物质，它们被重叠地固定在一起，绕着同一个轴旋转。

RAMAC在当时主要用于飞机预约、自助银行、医学诊断及太空技术等领域内。

1968年IBM公司首次提出了“温彻斯特（Winchester）”技术，探讨对硬盘技术做重大的改造的可能性。

“温彻斯特”技术的精髓是“密封并固定高带旋转的镀磁盘片，磁头沿盘片径向移动，磁头悬浮在高速转动的盘片上方，而不与盘片直接接触”，这是现代绝大多数硬盘的原型。

1973年IBM公司制造出第一块采用“温彻斯特”技术的硬盘，从此硬盘技术的发展有了正解的结构基础。

1979年IBM公司再次发明了薄膜磁头，使得进一步减小硬盘体积、增大容量、提高读写速度成为了可能。

20世纪80年代末IBM做出了对硬盘发展的又一项重大贡献，即发明了磁阻（MagnetoResistive，MR），这种磁头在读取数据时对信号变化相当敏感，使得盘片的存储密度能够比以往的每英寸20MB提高数十倍。

1991年IBM公司生产的3.5英寸的硬盘使用了MR磁头，使硬盘的容量首次达到了1GB，从些硬盘容量开始进入GB数量级。

1999年9月7日，Maxtor推出了首块单碟容量高达10.2GB的ATA硬盘，这预示着硬盘的发展已经进入了大容量时代。

2000年2月23日，希捷公司推出了转速高达15000RPM的CheetahX15（捷豹）系列硬盘其平均寻道时间只有3.9ms，这是目前为止世界上转速最高的硬盘；其性能相当于阅读完一整部莎士比亚全书只需15s。

些系列产品的内部数据传输率高达48MB/s，数据缓存为4MB~16MB，支持Ultra160/mSCSI及FibreChannel（光纤通道），这将硬盘外部数据传输率提高到了160MB/s~200MB/s。

总体来说，希捷的些款CheetahX15系列将硬盘的性能提高到了又一个新的里程碑。

2000年3月16日，硬盘领域又有新突破，第一款“玻璃硬盘”问世，这就是IBM推出的Deskstar75GXP及Deskstar40GV，些两款硬盘均使用玻璃取代传统的铝作为盘片材料，这能为硬盘带来更大的平滑性及更高的坚固性，另外玻璃材料在高转速时具有更高的稳定性，些外Deskstar75GXP系列产品的最高容量达75GB，而Deskstar40GV的数据存储密度则高达143亿数据位每平方英寸，再次刷新了数据存储密度世界纪录。

1.3数据的概念及数据恢复和数据安全删除的目的

数据是一个广泛的概念，不仅包括计算机文件系统或数据为系统中存储的各种数据、正文、图形、图像、声音等形式的多媒体数据文件、软件或各种文档资料，也包括存放或管理这些信息的硬件信息，如计算机硬件及其网络地址、网络结构、网络服务等。

数据恢复就是把遭受破坏、或由硬件缺陷导致不可访问，或不可获得，或由于误操作等各种原因导致丢失的数据还原在正常的数据。

数据安全删除是指，由于数据恢复技术的出现，为防止个人信息或商业机密等重要数据被人用数据恢复技术还原，所产生的另一门技术，它与数据恢复是相对的，但也存在着联系。

例如Windows系统在删除文件时，系统只是在该文件的文件目录项上做了一个删除标记，把它们在FAT表中所点用的簇标记为“空簇”，而DATA区域中的簇仍旧保存着原文件的内容。

当然，对于这些带有删队标记的文件，在系统下不借助专门程序或软件是看不到的，因为对于操作系统来说，它“确确实实”认为文件已经被删除了。

并且当再次向硬盘中写入数据文件时，系统就可能会覆盖这些被标记为删除的文件所占用的簇，也就是在被删除文件所占用的区块上写入新的信息。

通过这里我们就了解到无论数据恢复还是数据安全删除，都与DATA区域的数据是否被覆盖存在重要的联系。

只要DATA区域的数据没有被新写入的数据所覆盖，我们就完全有可能将数据还原，同理安全删除就是如果让数据不可能被还原。

1.4EasyRecovery软件的介绍

EasyRecovery作为一款硬盘数据恢复专用工具软件，支持的文件系统格式很多，FAT，NTFS都支持，并且有专门的ForNovell版本。

能够帮助用户恢复丢失的资料以及重建文件系统。

使用者可以从被病毒破坏或是已经格式化的硬盘中恢复资料。

被破坏的硬盘中像丢失的引导记录、BOIS参数资料、分区表、FAT表、引导区都可以由它来恢复。

从上一节我们了解到，文件在删除后，表面上看该文件已经从硬盘上永远消失了，但它们的相关信息仍保留在硬盘上。

利用EasyRecovery软件对文件块进行扫描并对信息重新整理，在内存中建立一个虚拟的文件系统，就可以列出所有的文件和目录。

但是这里面有一个前提，就是该文件结构信息和数据块还保留在硬盘上，但是如果用户在进行了删除文件、格式化硬盘等操作，并在对应分区内写入大量的新信息后，需要恢复的数据就很有可能被覆盖了，那时我们就真的再也没有办法找回所要的数据了。

鉴于此，为了提高数据的恢复率，就不能再对要恢复的分区或硬盘进行新的读写操作，如果要恢复的分区正好是系统启动分区，那就要立即关机，然后采用双硬盘模式进行恢复处理。

2硬盘的工作原理

2.1硬盘数据的数据结构

对一块全新的硬盘，我们是没有办法直接使用的，你需要将它分区、格式化，然后再安装上操作系统才可以使用。

就拿我们现在较为普遍使用的Windows系列来说，我们一般要将硬盘分成主引导扇区、操作系统引导扇区、FAT、DIR和Data等五部分（其中只有主引导扇区是唯一的，其它的随你的分区数的增加而增加）。

主引导扇区

主引导扇区位于整个硬盘的0磁道0柱面1扇区，包括硬盘主引导记录MBR（MainBootRecord）和分区表DPT（DiskPartitionTable）。

其中主引导记录的作用就是检查分区表是否正确以及确定哪个分区为引导分区，并在程序结束时把该分区的启动程序（也就是操作系统引导扇区）调入内存加以执行。

至于分区表，很多人都知道，以80H或00H为开始标志，以55AAH为结束标志，共64字节，位于本扇区的最末端。

值得一提的是，MBR是由分区程序（例如DOS的Fdisk.exe）产生的，不同的操作系统可能这个扇区是不尽相同。

如果你有这个意向也可以自己去编写一个，只要它能完成前述的任务即可，这也是为什么能实现多系统启动的原因（说句题外话:

正因为这个主引导记录容易编写，所以才出现了很多的引导区病毒）。

操作系统引导扇区

OBR（OSBootRecord）即操作系统引导扇区，通常位于硬盘的0磁道1柱面1扇区（这是对于DOS来说的，对于那些以多重引导方式启动的系统则位于相应的主分区/扩展分区的第一个扇区），是操作系统可直接访问的第一个扇区，它也包括一个引导程序和一个被称为BPB（BIOSParameterBlock）的本分区参数记录表。

其实每个逻辑分区都有一个OBR，其参数视分区的大小、操作系统的类别而有所不同。

引导程序的主要任务是判断本分区根目录前两个文件是否为操作系统的引导文件（例如MSDOS或者起源于MSDOS的Win9x/Me的IO.SYS和MSDOS.SYS）。

如是，就把第一个文件读入内存，并把控制权交予该文件。

BPB参数块记录着本分区的起始扇区、结束扇区、文件存储格式、硬盘介质描述符、根目录大小、FAT个数、分配单元（AllocationUnit，以前也称之为簇）的大小等重要参数。

OBR由高级格式化程序产生（例如DOS的F）。

文件分配表

FAT（FileAllocationTable）即文件分配表，是DOS/Win9x系统的文件寻址系统，为了数据安全起见，FAT一般做两个，第二FAT为第一FAT的备份,FAT区紧接在OBR之后，其大小由本分区的大小及文件分配单元的大小决定。

关于FAT的格式历来有很多选择，Microsoft的DOS及Windows采用我们所熟悉的FAT12、FAT16和FAT32格式，但除此以外并非没有其它格式的FAT，像WindowsNT、OS/2、UNIX/Linux、Novell等都有自己的文件管理方式。

目录区

DIR是Directory即根目录区的简写，DIR紧接在第二FAT表之后,只有FAT还不能定位文件在磁盘中的位置，FAT还必须和DIR配合才能准确定位文件的位置。

DIR记录着每个文件（目录）的起始单元（这是最重要的）、文件的属性等。

定位文件位置时，操作系统根据DIR中的起始单元，结合FAT表就可以知道文件在磁盘的具体位置及大小了。

在DIR区之后，才是真正意义上的数据存储区，即DATA区。

数据区

DATA虽然占据了硬盘的绝大部分空间，但没有了前面的各部分，它对于我们来说，也只能是一些枯燥的二进制代码，没有任何意义。

在这里有一点要说明的是，我们通常所说的格式化程序（指高级格式化，例如DOS下的Format程序），并没有把DATA区的数据清除，只是重写了FAT表而已，至于分区硬盘，也只是修改了MBR和OBR，绝大部分的DATA区的数据并没有被改变，这也是许多硬盘数据能够得以修复的原因。

但即便如此，如MBR/OBR/FAT/DIR之一被破坏的话，也足够我们忙乎半天了，需要提醒大家的是，如果你经常整理磁盘，那么你的数据区的数据可能是连续的，这样即使MBR/FAT/DIR全部坏了，我们也可以使用磁盘编辑软件（比如DOS下的DiskEdit），只要找到一个文件的起始保存位置，那么这个文件就有可能被恢复，当然了，这需要一个前提，那就是你没有覆盖这个文件。

2.2数据存储原理

既然要进行数据的恢复，当然数据的存储原理我们不能不提，在这之中，我们还要介绍一下数据的删除和硬盘的格式化相关问题……

文件的读取

操作系统从目录区中读取文件信息（包括文件名、后缀名、文件大小、修改日期和文件在数据区保存的第一个簇的簇号），我们这里假设第一个簇号是0023。

操作系统从0023簇读取相应的数据，然后再找到FAT的0023单元，如果内容是文件结束标志（FF），则表示文件结束，否则内容保存数据的下一个簇的簇号，这样重复下去直到遇到文件结束标志。

文件的写入

当我们要保存文件时，操作系统首先在DIR区中找到空区写入文件名、大小和创建时间等相应信息，然后在Data区找到闲置空间将文件保存，并将Data区的第一个簇写入DIR区，其余的动作和上边的读取动作差不多。

文件的删除

看了前面的文件的读取和写入，你可能没有往下边继续看的信心了，不过放心，Win9x的文件删除工作却是很简单的，简单到只在目录区做了一点小改动――将目录区的文件的第一个字符改成了E5就表示将改文件删除了。

Fdisk和Format的一点小说明

和文件的删除类似，利用Fdisk删除再建立分区和利用Format格式化逻辑磁盘（假设你格式化的时候并没有使用/U这个无条件格式化参数）都没有将数据从DATA区直接删除，前者只是改变了分区表，后者只是修改了FAT表，因此被误删除的分区和误格式化的硬盘完全有可能恢复。

3软件故障的数据恢复

3.1文件被误删除

症状：

文件被删除可能是最简单同时也是最常见的数据损坏,直接的表述就是一般删除文件后清空了回收站,或按住Shift+Delete键删除,要不然就是在“回收站”的“属性”中勾选了“删除时不将文件移入回收站,而是彻底删除”。

3.2文件被误删的情况的解决方案

一、要停止再对该分区进行写操作，以免DATA区域被新写入数覆盖；

二、备份好其他分区的数据，清理出一定的硬盘空间以便存储恢复的数据；如果所要恢复的数据在系统所以盘，应马上关，并将原来的硬盘作为辅盘插入另一台电脑中；

三、利用EasyRecovery软件开始对数据进行恢复

以下以E盘的文件veryimportarn.txt被利用Shift+Delete键误删为例，如图3-1a）、b）所示：

图3-1a）E盘的文件

图3-1b）确认文件删除

A.打开EasyRecovery软件，如图3－2所示，“复合”工具栏中选择数据恢复，再从右边工具栏中选择删除恢复（查找并恢复已删除文件）

图3-2数据恢复界面

B.点击删除恢复，进入以下界面，如图3-3所示，选择文件所在分区（E盘），如果知道已经删除文件的文件名或类型，可以文件过滤器更简便的回复被误删的文件（在这里我们就不进行设置），然后点击下一步。

图3-3分区选择界面

C.点击下一步，会出现“正在扫描文件”对话框，如图3-4所示，在上面将显示你正在恢复的分区过程的详细信息，如正在处理的区块，时间，共找到文件等。

图3-4文件扫描过程

D.如图3-5所示，文件veryimportarn.txt已经被找到，勾选该文件，首先你能通过下方的查看文件，先提前观察是否为你想恢复的文件或者是否恢复出错了，在确认无误后，点击下一步进行恢复选项；

图3-5找到已删除文件

E.如图3-6所示，选择恢复数据保存的路径分别有二种选择（一、是除数据以外的其他分区；二、FTP服务器），本例选择C盘作为保存路径，还能将所要还原的数据创建成为ZIP格式保存，而且为了方便用户查询恢复日志，我们可以选择是否生成恢复报告，一切准备完毕后，点击下一步进行数据的恢复。

图3-6保存恢复文件路径选择的界面

F.等待数据恢复对话框，如图3-7所示，里面将显示正在恢复的文件的具体名称和类型，以及已用的时间和剩余时间，还有已经正在恢复的目录和文件等的信息。

图3-7正在恢复文件

G.如图3-8所示，恢复完毕，软件将会提醒你是否要保存恢复状态以便将来可以继续恢复。

这是为了方便你下次再利用EasyRecovery软件再次恢复同一个数据时可以跳过文件扫描这一步，直接进入数据恢复，这样大大的节省了计算机用户的时间。

图3-8保存恢复状态界面

H.查看C盘，如图3-9所示，会发现多了两个txt文件，其中veryimportarn.txt为我们要恢复的文件，report.txt为本次数据恢复的报告，检查其内容会发现与E盘被误删的文件一样。

图3-9数据恢复成功

3.2 分区表破坏

3.2.1症状

分区表破坏，错误信息表明数据是无法接触到的，记忆装置有错，电脑不工作，软件系统不储存数据。

分区表破坏，可能是数据损坏中除了物理损坏之外最严重的一种灾难性破坏.究其原因,不外乎以下几种：

A.个人误操作删除分区，只要没有进行其它的操作完全可以恢复。

B.安装多系统引导软件或者采用第三方分区工具，有恢复的可能性。

C.病毒破坏，可以部分或者全部恢复。

D.利用Ghost克隆分区/硬盘破坏，只可以部分恢复或者不能恢复。

3.2.2解决方案

A.NTFS分区表的恢复我们是依然使用EasyRecovery来实现的,打开EasyRecovery,点击高级恢复，进入磁盘选择窗口点击扫描重新扫描系统，选中要进行分区表恢复的分区"Unknown File System Type"，按高级选项设置该分区的起始扇区号（Start Sector）和结束扇区号（End Sector），如图3-10所示

图3-10分区起始、结束扇区的设置

B.现在到了选择分区文件格式窗口，如图3-11所示，在"File system Type"的下拉式菜单中选择"NTFS"（我这里的分区格式是NTFS）,搜索方式选择"高级扫描"就可以了,按下"确定".

图3-11文件系统与扫描方式的选择

C.如图3-12所示，在高级选项内可以设置簇大小，起始数据所在的簇，以及在FAT32分区中的根簇。

图3-12高级扫描设置界面

D.点击“确定”返回到上一层，点击“下一步”，就会出现“正在扫描文件”对话框，如图3-13所示，里面将显示正在处理区块，以及已用的时间和剩余时间，还有已经找到的目录和文件等的信息。

图3-13扫描文件的过程

E.硬盘经过段时间的扫描之后，扫描结果终于出现在我们面前，如图3-14所示，将你需要恢复的文件前面打上钩,然后点击“下一步”

图3-14找到丢失的文件

F.如图3-15所示，选择恢复数据保存的路径分别有二种选择（一、是除数据以外的其他分区；二、FTP服务器），本例选择C盘作为保存路径，还能将所要还原的数据创建成为ZIP格式保存，而且为了方便用户查询恢复日志，我们可以选择是否生成恢复报告，一切准备完毕后，点击下一步进行数据的恢复。

图3-15保存恢复文件路径选择的界面

G.如图3-16所示，在等待恢复的过程中将显示正在恢复的文件的具体名称和类型，以及已用的时间和剩余时间，还有已经正在恢复的目录和文件等的信息。

图3-16恢复文件的过程

H.恢复完毕，软件将会提醒你是否要保存恢复状态以便将来可以继续恢复，如图3-17所示。

这是为了方便你下次再利用EasyRecovery软件再次恢复同一个数据时可以跳过文件扫描这一步，直接进入数据恢复，这样大大的节省了计算机用户的时间。

然后查看C盘，所恢复的分区表内的内容都会出现在C盘中。

图3-17保存恢复状态界面

3.3分区格式化的数据恢复的步骤

分区格式化之后，