硬盘数据的恢复与安全删除.docx

1、硬盘数据的恢复与安全删除XXXXXX学院 毕业论文（设计）硬盘数据的恢复和安全删除The Recovery and Deletion Completely of Hardware Data 系别：计算机科学与技术专业名称：计算机科学与技术学生姓名：XXX学号：指导教师姓名、职称：XXXX 讲师完成日期 2008年 5月10日摘要随着科技的日益发展，人们对计算机的应用越来越普遍，依赖性也越来越强了。硬盘做为计算机系统中信自资源最重要的存储设备，其所存放的信息资源的价值往往要高于硬盘产品的自身价值。由于计算机用户的一时疏忽，对硬盘数据进行了删除操作，或者由于计算机病毒的攻击，都会导致硬盘数据的丢失

2、。本论题将对文件误删或格式化造成的数据丢失；分区表被破坏造成的数据无法正常使用；计算机病毒对数据的修改造成的数据破坏分析，在Windows XP系统下利用Easyrecovery软件解决以上的问题。通过对数据恢复的了解，我们会发现数据恢复技术引发了计算机数据被非法盗用的情况，所以本论文也将对目前数据安全删除软件主要实现过程进行分析，让用户更清楚的了解如果才能真正彻底的删除计算机硬盘数据。尽管现在数据恢复的技术越来越好，但在非不得已的情况下，我们都不推荐用数据恢复技术，计算机用户最好也不需要用到这个技术，因为我们所能恢复的数据未必100%与原来数据一样。同样，用数据安全删除技术前也要再三的考虑，

3、因为一旦进行了该操做，我们将失去所以数据并无法恢复。关键词：硬盘；数据恢复；安全删除；硬盘数据结构；EASYRECOVER软件 AbstractWith the development of the technology, computer is general used, people also more and more depend on it. On the other hand, HD as the important device for storage in the computer system, its storage information resources are mo

4、re valuable than the HD itself. Deleting the disk data or computer viruss attacking because of the carelessness of the operator, thus resulting in a hard disk data loss. This topic analyze about the data loss cause by documents which is deleted or formatted carelessly, the un-normal use of data caus

5、e by the destruction of partition table and the data changes cause by the destruction of computer virus. In the Windows XP system, Easyrecovery software can be used to solve the above problem. Through the analysis of data recovery, we will find the case that data recovery technology triggered the il

6、legal theft of computer data , so this paper will also analyze the main process of the present data security deleted software , allowing users to understand more clearly about how to delete the data stored in the HD completely.Although the present data restores the technology is more and more good,

7、but must is having to in the situation, we all do not recommend with the data restore the technology, the computer user are best do not need to use this technology, because we can restore the data not necessarily 100% and the original data is same.Similarly, with the data security deletion technolog

8、y in front of also must the over and over consideration, once because carried on should hold does, we will lose therefore the data and was unable to restore.Keywords: HD Data；Data Recovery；Delete The HD Data；Easyrecovery software1 绪论1.1硬盘数据发展现状硬盘是计算机系统中信息资源最重要的存储设备，其所存放信息资源的价值往往要远高于硬盘产品自身的价值。随着硬盘的日益

9、小型化和存储容量的不断增大，在硬盘上存储的软件系统和数据信息也更加复杂化和大型化。近年来，新型硬盘无论在容量、速度和可靠性等方面都有了飞速发展，各类硬盘技术层出不穷，先进技术的注入使得计算机的硬件故障却呈现上升趋势。硬盘数据的丢失，有时会造成不可弥补的损失，丢失数据的代价远远超过硬盘本身的价值。1.2硬盘的发展概述1956年9月，IBM的一个工程小组向世界展示了第一台磁盘存储系统IBM350RAMAC（Random Access Method of Accounting and Control），其磁头可以直接移动到盘片上的任何一块存储区域，从而成功地实现了随机存储，这套系统的总容量只有5MB

10、，共使用了50个直径为24英寸的磁盘，这些磁盘表面涂有一层磁性物质，它们被重叠地固定在一起，绕着同一个轴旋转。RAMAC在当时主要用于飞机预约、自助银行、医学诊断及太空技术等领域内。1968年IBM公司首次提出了“温彻斯特（Winchester）”技术，探讨对硬盘技术做重大的改造的可能性。“温彻斯特”技术的精髓是“密封并固定高带旋转的镀磁盘片，磁头沿盘片径向移动，磁头悬浮在高速转动的盘片上方，而不与盘片直接接触”，这是现代绝大多数硬盘的原型。1973年IBM公司制造出第一块采用“温彻斯特”技术的硬盘，从此硬盘技术的发展有了正解的结构基础。1979年IBM公司再次发明了薄膜磁头，使得进一步减小硬

11、盘体积、增大容量、提高读写速度成为了可能。20世纪80年代末IBM做出了对硬盘发展的又一项重大贡献，即发明了磁阻（Magneto Resistive，MR），这种磁头在读取数据时对信号变化相当敏感，使得盘片的存储密度能够比以往的每英寸20MB提高数十倍。1991年IBM公司生产的3.5英寸的硬盘使用了MR磁头，使硬盘的容量首次达到了1GB，从些硬盘容量开始进入GB数量级。1999年9月7日，Maxtor推出了首块单碟容量高达10.2GB的ATA硬盘，这预示着硬盘的发展已经进入了大容量时代。2000年2月23日，希捷公司推出了转速高达15000RPM的Cheetah X15(捷豹)系列硬盘其平均

12、寻道时间只有3.9ms，这是目前为止世界上转速最高的硬盘；其性能相当于阅读完一整部莎士比亚全书只需15s。些系列产品的内部数据传输率高达48MB/s，数据缓存为4MB16MB，支持Ultra160/m SCSI及Fibre Channel（光纤通道），这将硬盘外部数据传输率提高到了160MB/s200MB/s。总体来说，希捷的些款Cheetah X15系列将硬盘的性能提高到了又一个新的里程碑。2000年3月16日，硬盘领域又有新突破，第一款“玻璃硬盘”问世，这就是IBM推出的Deskstar75GXP及Deskstar40GV，些两款硬盘均使用玻璃取代传统的铝作为盘片材料，这能为硬盘带来更大的

13、平滑性及更高的坚固性，另外玻璃材料在高转速时具有更高的稳定性，些外Deskstar75GXP系列产品的最高容量达75GB，而Deskstar40GV的数据存储密度则高达143亿数据位每平方英寸，再次刷新了数据存储密度世界纪录。1.3数据的概念及数据恢复和数据安全删除的目的数据是一个广泛的概念，不仅包括计算机文件系统或数据为系统中存储的各种数据、正文、图形、图像、声音等形式的多媒体数据文件、软件或各种文档资料，也包括存放或管理这些信息的硬件信息，如计算机硬件及其网络地址、网络结构、网络服务等。数据恢复就是把遭受破坏、或由硬件缺陷导致不可访问，或不可获得，或由于误操作等各种原因导致丢失的数据还原在

14、正常的数据。数据安全删除是指，由于数据恢复技术的出现，为防止个人信息或商业机密等重要数据被人用数据恢复技术还原，所产生的另一门技术，它与数据恢复是相对的，但也存在着联系。例如Windows系统在删除文件时，系统只是在该文件的文件目录项上做了一个删除标记，把它们在FAT表中所点用的簇标记为“空簇”，而DATA区域中的簇仍旧保存着原文件的内容。当然，对于这些带有删队标记的文件，在系统下不借助专门程序或软件是看不到的，因为对于操作系统来说，它“确确实实”认为文件已经被删除了。并且当再次向硬盘中写入数据文件时，系统就可能会覆盖这些被标记为删除的文件所占用的簇，也就是在被删除文件所占用的区块上写入新的信

15、息。通过这里我们就了解到无论数据恢复还是数据安全删除，都与DATA区域的数据是否被覆盖存在重要的联系。只要DATA区域的数据没有被新写入的数据所覆盖，我们就完全有可能将数据还原，同理安全删除就是如果让数据不可能被还原。1.4 Easy Recovery软件的介绍Easy Recovery作为一款硬盘数据恢复专用工具软件，支持的文件系统格式很多，FAT，NTFS都支持，并且有专门的For Novell版本。能够帮助用户恢复丢失的资料以及重建文件系统。使用者可以从被病毒破坏或是已经格式化的硬盘中恢复资料。被破坏的硬盘中像丢失的引导记录、BOIS参数资料、分区表、FAT表、引导区都可以由它来恢复。从

16、上一节我们了解到，文件在删除后，表面上看该文件已经从硬盘上永远消失了，但它们的相关信息仍保留在硬盘上。利用Easy Recovery软件对文件块进行扫描并对信息重新整理，在内存中建立一个虚拟的文件系统，就可以列出所有的文件和目录。但是这里面有一个前提，就是该文件结构信息和数据块还保留在硬盘上，但是如果用户在进行了删除文件、格式化硬盘等操作，并在对应分区内写入大量的新信息后，需要恢复的数据就很有可能被覆盖了，那时我们就真的再也没有办法找回所要的数据了。鉴于此，为了提高数据的恢复率，就不能再对要恢复的分区或硬盘进行新的读写操作，如果要恢复的分区正好是系统启动分区，那就要立即关机，然后采用双硬盘模式

17、进行恢复处理。2 硬盘的工作原理2.1 硬盘数据的数据结构对一块全新的硬盘，我们是没有办法直接使用的，你需要将它分区、格式化，然后再安装上操作系统才可以使用。就拿我们现在较为普遍使用的Windows系列来说，我们一般要将硬盘分成主引导扇区、操作系统引导扇区、FAT、DIR和Data等五部分（其中只有主引导扇区是唯一的，其它的随你的分区数的增加而增加）。 主引导扇区 主引导扇区位于整个硬盘的0磁道0柱面1扇区，包括硬盘主引导记录MBR（Main Boot Record）和分区表DPT（Disk Partition Table）。其中主引导记录的作用就是检查分区表是否正确以及确定哪个分区为引导分区

18、，并在程序结束时把该分区的启动程序（也就是操作系统引导扇区）调入内存加以执行。至于分区表，很多人都知道，以80H或00H为开始标志，以55AAH为结束标志，共64字节，位于本扇区的最末端。值得一提的是，MBR是由分区程序（例如DOS 的Fdisk.exe）产生的，不同的操作系统可能这个扇区是不尽相同。如果你有这个意向也可以自己去编写一个，只要它能完成前述的任务即可，这也是为什么能实现多系统启动的原因（说句题外话:正因为这个主引导记录容易编写，所以才出现了很多的引导区病毒）。 操作系统引导扇区 OBR（OS Boot Record）即操作系统引导扇区，通常位于硬盘的0磁道1柱面1扇区（这是对于D

19、OS来说的，对于那些以多重引导方式启动的系统则位于相应的主分区/扩展分区的第一个扇区），是操作系统可直接访问的第一个扇区，它也包括一个引导程序和一个被称为BPB（BIOS Parameter Block）的本分区参数记录表。其实每个逻辑分区都有一个OBR，其参数视分区的大小、操作系统的类别而有所不同。引导程序的主要任务是判断本分区根目录前两个文件是否为操作系统的引导文件（例如MSDOS或者起源于MSDOS的Win9x/Me的IO.SYS和MSDOS.SYS）。如是，就把第一个文件读入内存，并把控制权交予该文件。BPB参数块记录着本分区的起始扇区、结束扇区、文件存储格式、硬盘介质描述符、根目录大

20、小、FAT个数、分配单元（Allocation Unit，以前也称之为簇）的大小等重要参数。OBR由高级格式化程序产生（例如DOS 的F）。文件分配表 FAT(File Allocation Table)即文件分配表，是DOS/Win9x系统的文件寻址系统，为了数据安全起见，FAT一般做两个，第二FAT为第一FAT的备份, FAT区紧接在OBR之后，其大小由本分区的大小及文件分配单元的大小决定。关于FAT的格式历来有很多选择，Microsoft 的DOS及Windows采用我们所熟悉的FAT12、FAT16和FAT32格式，但除此以外并非没有其它格式的FAT，像Windows NT、OS/2、

21、UNIX/Linux、Novell等都有自己的文件管理方式。 目录区 DIR是Directory即根目录区的简写，DIR紧接在第二FAT表之后,只有FAT还不能定位文件在磁盘中的位置，FAT还必须和DIR配合才能准确定位文件的位置。DIR记录着每个文件（目录）的起始单元（这是最重要的）、文件的属性等。定位文件位置时，操作系统根据DIR中的起始单元，结合FAT表就可以知道文件在磁盘的具体位置及大小了。在DIR区之后，才是真正意义上的数据存储区，即DATA区。 数据区 DATA虽然占据了硬盘的绝大部分空间，但没有了前面的各部分，它对于我们来说，也只能是一些枯燥的二进制代码，没有任何意义。在这里有一

22、点要说明的是，我们通常所说的格式化程序（指高级格式化，例如DOS下的Format程序），并没有把DATA区的数据清除，只是重写了FAT表而已，至于分区硬盘，也只是修改了MBR和OBR，绝大部分的DATA区的数据并没有被改变，这也是许多硬盘数据能够得以修复的原因。但即便如此，如MBR/OBR/FAT/DIR之一被破坏的话，也足够我们忙乎半天了，需要提醒大家的是，如果你经常整理磁盘，那么你的数据区的数据可能是连续的，这样即使MBR/FAT/DIR全部坏了，我们也可以使用磁盘编辑软件（比如DOS下的DiskEdit），只要找到一个文件的起始保存位置，那么这个文件就有可能被恢复，当然了，这需要一个前提

23、，那就是你没有覆盖这个文件。2.2 数据存储原理 既然要进行数据的恢复，当然数据的存储原理我们不能不提，在这之中，我们还要介绍一下数据的删除和硬盘的格式化相关问题文件的读取 操作系统从目录区中读取文件信息（包括文件名、后缀名、文件大小、修改日期和文件在数据区保存的第一个簇的簇号），我们这里假设第一个簇号是0023。 操作系统从0023簇读取相应的数据，然后再找到FAT的0023单元，如果内容是文件结束标志（FF），则表示文件结束，否则内容保存数据的下一个簇的簇号，这样重复下去直到遇到文件结束标志。 文件的写入 当我们要保存文件时，操作系统首先在DIR区中找到空区写入文件名、大小和创建时间等相应

24、信息，然后在Data区找到闲置空间将文件保存，并将Data区的第一个簇写入DIR区，其余的动作和上边的读取动作差不多。 文件的删除 看了前面的文件的读取和写入，你可能没有往下边继续看的信心了，不过放心，Win9x的文件删除工作却是很简单的，简单到只在目录区做了一点小改动将目录区的文件的第一个字符改成了E5就表示将改文件删除了。 Fdisk和Format的一点小说明 和文件的删除类似，利用Fdisk删除再建立分区和利用Format格式化逻辑磁盘（假设你格式化的时候并没有使用/U这个无条件格式化参数）都没有将数据从DATA区直接删除，前者只是改变了分区表，后者只是修改了FAT表，因此被误删除的分区

25、和误格式化的硬盘完全有可能恢复。3 软件故障的数据恢复3.1 文件被误删除症状：文件被删除可能是最简单同时也是最常见的数据损坏,直接的表述就是一般删除文件后清空了回收站,或按住Shift + Delete键删除,要不然就是在“回收站”的“属性”中勾选了“删除时不将文件移入回收站,而是彻底删除”。3.2 文件被误删的情况的解决方案一、要停止再对该分区进行写操作，以免DATA区域被新写入数覆盖；二、备份好其他分区的数据，清理出一定的硬盘空间以便存储恢复的数据；如果所要恢复的数据在系统所以盘，应马上关，并将原来的硬盘作为辅盘插入另一台电脑中；三、利用Easy Recovery软件开始对数据进行恢复以

26、下以E盘的文件veryimportarn.txt被利用Shift + Delete键误删为例，如图3-1 a)、b)所示：图3-1 a）E盘的文件图3-1 b）确认文件删除A. 打开EasyRecovery软件，如图32所示，“复合”工具栏中选择数据恢复，再从右边工具栏中选择删除恢复（查找并恢复已删除文件）图3-2 数据恢复界面B. 点击删除恢复，进入以下界面，如图3-3所示，选择文件所在分区（E盘），如果知道已经删除文件的文件名或类型，可以文件过滤器更简便的回复被误删的文件（在这里我们就不进行设置），然后点击下一步。图3-3 分区选择界面C. 点击下一步，会出现“正在扫描文件”对话框，如图3

27、-4所示，在上面将显示你正在恢复的分区过程的详细信息，如正在处理的区块，时间，共找到文件等。图3-4 文件扫描过程D. 如图3-5所示，文件veryimportarn.txt已经被找到，勾选该文件，首先你能通过下方的查看文件，先提前观察是否为你想恢复的文件或者是否恢复出错了，在确认无误后，点击下一步进行恢复选项；图3-5 找到已删除文件E. 如图3-6所示，选择恢复数据保存的路径分别有二种选择（一、是除数据以外的其他分区；二、FTP服务器），本例选择C盘作为保存路径，还能将所要还原的数据创建成为ZIP格式保存，而且为了方便用户查询恢复日志，我们可以选择是否生成恢复报告，一切准备完毕后，点击下一

28、步进行数据的恢复。图3-6 保存恢复文件路径选择的界面F. 等待数据恢复对话框，如图3-7所示，里面将显示正在恢复的文件的具体名称和类型，以及已用的时间和剩余时间，还有已经正在恢复的目录和文件等的信息。图3-7 正在恢复文件G. 如图3-8所示，恢复完毕，软件将会提醒你是否要保存恢复状态以便将来可以继续恢复。这是为了方便你下次再利用EasyRecovery软件再次恢复同一个数据时可以跳过文件扫描这一步，直接进入数据恢复，这样大大的节省了计算机用户的时间。图3-8 保存恢复状态界面H. 查看C盘，如图3-9所示，会发现多了两个txt文件，其中veryimportarn.txt为我们要恢复的文件，

29、report.txt为本次数据恢复的报告，检查其内容会发现与E盘被误删的文件一样。图3-9 数据恢复成功3.2 分区表破坏3.2.1 症状分区表破坏，错误信息表明数据是无法接触到的，记忆装置有错，电脑不工作，软件系统不储存数据。分区表破坏，可能是数据损坏中除了物理损坏之外最严重的一种灾难性破坏.究其原因,不外乎以下几种： A. 个人误操作删除分区，只要没有进行其它的操作完全可以恢复。B. 安装多系统引导软件或者采用第三方分区工具，有恢复的可能性。C. 病毒破坏，可以部分或者全部恢复。D. 利用Ghost克隆分区/硬盘破坏，只可以部分恢复或者不能恢复。3.2.2 解决方案A. NTFS分区表的恢

30、复我们是依然使用Easy Recovery来实现的,打开Easy Recovery,点击高级恢复，进入磁盘选择窗口点击扫描重新扫描系统，选中要进行分区表恢复的分区UnknownFileSystemType，按高级选项设置该分区的起始扇区号(StartSector)和结束扇区号(EndSector)，如图3-10所示图3-10 分区起始、结束扇区的设置B. 现在到了选择分区文件格式窗口，如图3-11所示，在FilesystemType的下拉式菜单中选择NTFS(我这里的分区格式是NTFS),搜索方式选择高级扫描就可以了,按下确定.图3-11 文件系统与扫描方式的选择C. 如图3-12所示，在高级

31、选项内可以设置簇大小，起始数据所在的簇，以及在FAT32分区中的根簇。图3-12 高级扫描设置界面D. 点击“确定”返回到上一层，点击“下一步”，就会出现“正在扫描文件”对话框，如图3-13所示，里面将显示正在处理区块，以及已用的时间和剩余时间，还有已经找到的目录和文件等的信息。图3-13 扫描文件的过程E. 硬盘经过段时间的扫描之后，扫描结果终于出现在我们面前，如图3-14所示，将你需要恢复的文件前面打上钩,然后点击“下一步”图3-14 找到丢失的文件F. 如图3-15所示，选择恢复数据保存的路径分别有二种选择（一、是除数据以外的其他分区；二、FTP服务器），本例选择C盘作为保存路径，还能将

32、所要还原的数据创建成为ZIP格式保存，而且为了方便用户查询恢复日志，我们可以选择是否生成恢复报告，一切准备完毕后，点击下一步进行数据的恢复。图3-15保存恢复文件路径选择的界面G. 如图3-16所示，在等待恢复的过程中将显示正在恢复的文件的具体名称和类型，以及已用的时间和剩余时间，还有已经正在恢复的目录和文件等的信息。图3-16 恢复文件的过程H. 恢复完毕，软件将会提醒你是否要保存恢复状态以便将来可以继续恢复，如图3-17所示。这是为了方便你下次再利用EasyRecovery软件再次恢复同一个数据时可以跳过文件扫描这一步，直接进入数据恢复，这样大大的节省了计算机用户的时间。然后查看C盘，所恢复的分区表内的内容都会出现在C盘中。图3-17保存恢复状态界面3.3分区格式化的数据恢复的步骤分区格式化之后，