数据恢复实用技术课件：恢复HFS+数据.pptx

恢复HFS+数据

任务6.1恢复HFS+文件系统的卷头

Apple计算机分区结构介绍Apple计算机支持APM分区、GPT分区和MBR分区等硬盘分区格式。APM分区是Apple计算机独有的分区结构，采用Big-Endian的字节序。MBR磁盘分区仅应用在外围硬盘或者U盘上，方便同其他文件系统转移数据。苹果计算机无法从MBR磁盘分区硬盘上启动苹果系统。

6.1.1APM分区结构分析

1）0号扇区——驱动程序描述符表标号1：签名值ER标号2：每扇区字节数标号3：扇区总数（即设备的总块数）6.1.1APM分区结构分析

2）1号扇区——APM映射表表项（系统内容）标号1：签名值——PM标号2：分区个数标号3：分区起始扇区标号4：分区总扇区标号5：分区总称标号6：分区类型标号7：数据区起始扇区号标号8：数据区总扇区标号9：分区的状态标号10：引导代码起始扇区标号11：引导代码扇区数标号12：引导代码装载地址APM映射表表项位于APM分区映射表第一个表项，描述分区映射表自身的一个表项6.1.1APM分区结构分析

6.1.1APM分区结构分析3）2号扇区——空闲空间分区表项标号1：签名值——PM标号2：分区个数标号3：分区起始扇区标号4：分区总扇区标号5：分区总称标号6：分区类型123456空闲空间分区用来管理未分配的磁盘空间。

6.1.1APM分区结构分析4）3号扇区——文件系统分区映射表项文件系统分区用来管理操作系统及用户的文件。通常会有一个到多个文件系统分区。标号1：签名值——PM标号2：分区个数标号3：分区起始扇区标号4：分区总扇区标号5：分区总称标号6：分区类型标号7：数据区起始扇区号标号8：数据区总扇区标号9：分区的状态标号10：引导代码起始扇区标号11：引导代码扇区数标号12：引导代码装载地址

6.1.2HFS+文件系统结构分析1.HFS+文件整体结构

6.1.2HFS+文件系统结构分析2.HFS+文件系统卷头实例图6-8卷头

6.1.2HFS+文件系统结构分析2.HFS+文件系统卷头实例字节偏移字段长度（字节）字段名00H~01H2签名值02H~03H2版本04H~07H4属性08H~0BH4最后加载版本0CH~0FH4日志信息块10H~13H4创建时间(非GMT时间，而是本地时间)14H~17H4修改时间(非GMT时间，而是本地时间)18H~1BH4备份时间(非GMT时间，而是本地时间)1CH~1FH4最后检查时间(非GMT时间，而是本地时间)20H~23H4文件数目24H~27H4目录数目28H~2BH4每块字节数2CH~2FH4总块数表6-1HFS+文件系统的卷头结构30H~33H4空闲块数34H~37H4下一个分配块号38H~3BH4资源分支的块大小3CH~3FH4数据分支的块大小40H~43H4下一目录的ID44H~47H8写记数48H~4FH32文档编码位旧50H~6FH80系统引导信息(FinderInfo)(具体见表6-13)70H~BFH80分配文件的信息C0H~10FH80盘区溢出文件的信息110H~15FH80编录文件的信息160H~1AFH80属性文件的信息1B0H~1FFH80启动文件的信息

6.1.2HFS+文件系统结构分析2.HFS+文件系统卷头实例字节偏移字段长度（字节）字段名00H~07H8分支的总字节数08H~0BH4分支的块组大小0CH~OFH4分支的总块数10H~4FH648个盘区描述符(具体见表6-15)表6-2分支数据结构字节偏移字段长度（字节）字段名00H~03H4起始块号04H~07H4块数表6-3盘区数据结构

任务6.2恢复HFS+文件系统中丢失的文件

6.2.1HFS+文件系统节点分析1.HFS+文件系统的节点基本结构（1）节点结构节点的类型：头节点、位图节点、索引节点、叶节点

6.2.1HFS+文件系统节点分析字节偏移(相对偏移)字段长度(字节)字段名和定义00H~03H4下一个节点的节点号，如果已经是最后一个，则置004H~07H4上一个节点的节点号，如果当前就是第一个，则置008H~08H1节点类型09H~09H1本节点在B-树中的高度，各种类型节点的高度为:头节点高度为0;叶节点高度为1:索引节点的高度比它指向的子节点的高度高一层0AH~OBH2该节点中的记录数0CH~0DH2保留表6-4节点描述符的结构节点类型占用一个字节，每个类型的节点对应的数值是如下：1）头节点：0x012）位图节点:0x023）索引节点:0x004）叶节点:0xFF也就是-11.HFS+文件系统的节点基本结构（2）节点描述符

6.2.1HFS+文件系统节点分析1.HFS+文件系统的节点基本结构（2）节点描述符节