数据恢复与电子取证课程.doc

《数据恢复与电子取证》课程 实验指导手册 实验名称：手工恢复分区表 编写部门：计算机应用技术系信息管理教研室 编写人： 赵振洲 编写日期：2007.  编写说明 本课程为信息管理专业专业技能课，本实验通过学生上机操作实践与教师指导，使学生掌握利用工具软件恢复分区表等。 1、本实验指导书根据教学计划和教学大纲编写。 2、本实验指导书作为教师在教学过程中指导学生实验时使用。 3、《数据恢复与电子取证》课程为专业技能课，考虑到该课程的自身特点，以及软件的升级更新性，本实验指导书具有适应性。 4、本实验指导书的适用对象为信息管理专业的学生。 实验名称： 1、熟悉EasyRecoveryPro6.10.07_HA，FinalData-v2.01的使用 2、使用winhexCN12.5恢复分区表 二、实验环境 本次上机实践所使用的EasyRecoveryPro6.10.07_HA，FinalData-v2.01，winhexCN12.5 三、实验要求及注意事项 每个学生均需动手上机操作。 依次完成实验目的中的要求并选择适合的软件。 实验过程中严禁恶意修改删除系统文件或设置密码。 每个学生独立完成实验报告的撰写。 四、实验内容EasyRecoveryPro6.10.07_HA的使用 步骤一、建立一个文档，并删除 步骤二、打开EasyRecoveryPro6.10.07_HA 步骤三、选择数据恢复 步骤四、选择删除恢复惊醒恢复 步骤五、选择要恢复的文件 格式化恢复 步骤一、打开EasyRecoveryPro6.10.07_HA，选择格式化恢复—选择要恢复的分区 步骤二、选择要恢复的文件及保存位置 2、FinalData-v2.01的使用 步骤一、启动FinalData-v2.01，选择要恢复的分区 步骤二、选择有哪些信誉好的足球投注网站的扇区范围 步骤三、扫描完毕，显示丢失的文件 3、使用winhexCN12.5恢复分区表 下面我们就来模仿分区表被病毒破坏的情况，将MBR填零我们首先将MBR所在的选中。鼠标指向第一个字节，单击右键，选择“选块开始”然后鼠标指向最后一个字节，单击右键，选择“选块结尾”然后我们在选区内部单击鼠标右键，选择“编辑”这样就有出来一个菜单然后我们选“填充选块”，这样就出来一个填充选块对话框在“用十六进制填充”的输入框中输入“00”，再点“确定”这样MBR所在扇区全部被我们填充为“00”如果想取消选区，那就用鼠标拖动随便选中一块区域，那么原来的选区就会取消。修改了扇区，这时候还没有存盘生效，如果你想存盘生效的话，就选择“文件”菜单“保存扇区”命令。这时候就会出现一个提示，如果你不想存盘了就点取消，如果想存盘，就点确定，再点是。这样我们就把分区表给删除了，这时候必须重新启动才能生效现在，我们关闭所有程序将电脑重新启动……电脑启动起来了，我们打开我的电脑看看，发现F 、G 、H三个分区不见了。下面，我们就开始恢复分区表（共64个字节，分为4个分区表项，每个分区表项占用16个字节，一般只使用前两个分区表项）我们首先来恢复第一个分区标项（也就是用来描述C盘的）。在第1个字节处（0扇区倒数第五行，倒数第二个字节）填上分区引导标志，因为C盘是活动分区，所以填上80。接着是第2、3、4字节（本分区起始磁头号、扇区号、柱面号），填上：01 01 00。第5字节是分区类型符，原先C盘格式填上。第6、7、8字节是本分区的结束磁头号、扇区号、柱面号，有一个通用的填法，那就是：FE FF FF。第9、10、11、12字节，本分区之前已用了的扇区数，也就是MBR所占用的扇区数，但是要将63转为十六进制数，再反过来倒着填写上。用计算器将63转为十六进制数是3F，不够四个字节前面加零，也就是00 00 00 3F，再将此数从右向左依次序反过来就是3F 00 00 00。第13、14、15、16字节是本分区的总扇区数，也就是C盘的大小，这就要通过稍微一点点计算来得到了。因为C盘是从第63个扇区开始，而C盘后面紧接着的是EBR，所以用EBR所在的第一个扇区数减去63就是C盘的大小。那么如何才能找到EBR所在的第一个扇区呢？我们前面说过，EBR的结构和MBR是一样的，所以，EBR的结束标志也一定是55AA，那么，只要我们找到这个结束标志，再看看这个扇区是不是EBR不就行了击“有哪些信誉好的足球投注网站”——“查找十六进制数值……”，然后出来一个对话框在文本框中输入“55AA”，有哪些信誉好的足球投注网站框中选“全部”，然后选中“条件”，把偏移量设置为“512=510”再单击“确定”。 首先找到第一个“55AA”，我们看到，个扇区在第63个扇区上，并不是我们要找的EBR，再按F3继续查找又找到个扇区，都不是，那么扇区是不是？前面我们说过，EBR的结构和MB