模塊4數(shù)據(jù)安全存儲與恢復(fù)復(fù)習(xí)題

1、模塊4數(shù)據(jù)安全存儲與恢復(fù)復(fù)習(xí)題、單項選擇題（25）1. 檢查、排除計算機的故障，應(yīng)遵循（）的原則A）由內(nèi)到外，由軟到硬。B）由外到內(nèi)、由軟到硬C）由內(nèi)到外、由硬到軟D）由外到內(nèi)、由硬到軟答案：A2. 下列文檔的擴展名哪一個是批處理文件的擴展名？（）A)A.bakB)B.basC)C.batD)D.cab答案：C3.主引導(dǎo)扇區(qū)位于整個硬盤的那個位置：（)A) A.0磁道0柱面0扇區(qū)B) B.0磁道0柱面1扇區(qū)C) C.0磁道1柱面1扇區(qū)D) D.1磁道1柱面1扇區(qū)答案：B4.系統(tǒng)中一般有幾個 FAT：（）A) A.1個B) B.2個C) C.3個D) D.4個答案：B5.硬盤數(shù)【據(jù)的幾個部分中，

2、那個部分是唯一的：（/)A) A.MBRB) B.DBRC) C.FATD) D.DATA區(qū)答案：A6.Easy RRecovery 工具的作用是：（）A) A.磁盤鏡象B) B.數(shù)據(jù)恢復(fù)C) C.DBR恢 復(fù)D) D.MBF恢復(fù)答案：B7. NTFS把磁盤分成兩大部分，其中大約12%分配給（），以滿足不斷增長的文件數(shù)量。該文件對這12%勺空間享有獨占權(quán)，余下的88%勺空間被分配用來存儲文件。A) A. MBRB) B. DBRC) C. FATD) D. MFT答案：D& 捷波的"恢復(fù)精靈”(Recovery Genius )的作用是()。A) A.硬盤保護卡B) B.主板

3、BIOS內(nèi)置的系統(tǒng)保護C) C.虛擬還原工具D) D.殺毒軟件提供的系統(tǒng)備份答案：C9. 數(shù)據(jù)恢復(fù)的第一步一般是做什么的恢復(fù)：()A) A.分區(qū)恢復(fù)B) B.主引導(dǎo)扇區(qū)記錄C) C.文件分配表的恢復(fù)D) D.數(shù)據(jù)文件的恢復(fù)答案：A10. 當用戶將需要數(shù)據(jù)恢復(fù)的設(shè)備送來時，需要向用戶了解的信息有：()A) A.數(shù)據(jù)丟失發(fā)生的原因，當時進行了什么操作，之后有無任何其它操作B) B.存儲設(shè)備的使用年限；容量大小，操作系統(tǒng)版本和分區(qū)的類型、大小C) C.要恢復(fù)的數(shù)據(jù)在什么分區(qū)上，什么目錄里；什么文件類型；大概數(shù)量D) D.以上都是答案：D11. 附加的收費可能來自：()A) A.加急費B) B.數(shù)據(jù)刻

4、錄或轉(zhuǎn)儲成本費C) C.上門服務(wù)費D)D.以上都是答案：D12. FDT在FAT12/16中采用()方式，在 FAT32中采用()方式。A) A.固定、固定B) B.非固定、固定C) C.固定、非固定D) D非固定、非固定答案：C13. 關(guān)于NTFS的元文件，以下論述正確的是：()A) A. $MFTMirr是$MFT的完整映像，所以，為了安全可靠，每個NTFS分區(qū)，都有兩份完全一樣的$MFT 就象FAT分區(qū)的FAT表B) B. $MFTMirr是$MFT的完整部分像C) C. $Boot文件就是其DBRD) D. $Root是該分區(qū)中的根目錄，是最高一級目錄答案：D14. 進入正式數(shù)據(jù)恢復(fù)操

5、作流程以后，如果與初檢結(jié)果判斷偏差較大，操作風(fēng)險和費用等急劇升高時，要:( )A) A.停止繼續(xù)工作，先行與用戶溝通，取得書面認可(補充協(xié)議)后，再繼續(xù)進行B) B.先進行恢復(fù)，然后再與用戶溝通C) C.取消服務(wù)答案：A15. 進行數(shù)據(jù)恢復(fù)工作的首要原則是：()A) A.決不能對送修數(shù)據(jù)產(chǎn)生新的傷害(二次損傷，再次損傷)B) B.必須簽定數(shù)據(jù)恢復(fù)服務(wù)流程工作單(服務(wù)合同書)C) C.遇到問題及時與客戶協(xié)商答案：A16. 聯(lián)機存儲器又可以稱為：()A) A.近線存儲器B) B.在線存儲器C) C.離線存儲器答案：B17. 數(shù)據(jù)恢復(fù)時，我們應(yīng)該選擇什么樣的備份方式：()A) A.磁盤到磁盤的備份B

6、) B.文件到文件的備份C) C.扇區(qū)到扇區(qū)的備份答案：C18. 下面不屬于電存儲技術(shù)的設(shè)備是：()A) A. CMOS芯片B) B.閃存C) C. Zip 磁盤答案：C19. 下面所列文檔中含有不屬于 EasyRecovery可以修復(fù)的組是：()A) A. ACCESS WORQOUTLOOKB) B. EXCEL POWERPOINTZIPC) C. ACESS WORDJPEG答案：C20. 已經(jīng)知道，MBF可以定位DBR同樣DBF又可以定位很多的項，選擇下面不是直接由DBF確定的項：( )A) A. FAT1的起始扇區(qū)B) B. FDT的起始扇區(qū)C) C.文件的結(jié)束簇號答案：C21.

7、在Windows 95系統(tǒng)中，文件或目錄實際存儲著兩個名字，一個短文件名和一個長文件名。如果是短文件名，則存儲在8.3格式的32字節(jié)的目錄項中。當創(chuàng)建一個長文件名時，其對應(yīng)短文件名的存儲按以下幾個原則處理，其中不正確的是：()A) A. Windows 95取長文件名的前6個字符加上“1 ”形成短文件名，其擴展名不變B) B.如果已存在這個名字的文件，則符號“”后的數(shù)字自動增加C) C.如果有DOS和Windows 3.x非法的字符，則取消創(chuàng)建相應(yīng)的短文件名 答案：C22. 操作易損壞硬盤，故不應(yīng)經(jīng)常使用。A) A.高級格式化B) B 低級格式化C) C.硬盤分區(qū)D) D.向硬盤拷答案：B23

8、. 硬盤驅(qū)動器 。A) A.全封閉，耐震性好，不易損壞B) B.不易碎，不象顯示器那樣要注意保護C) C.耐震性差，搬運時要注意保護D) D.不用時應(yīng)套入紙?zhí)?，防止灰塵進入答案：C24. 磁盤的載體表面涂有一層，用于存儲信息。A) A.塑料B) B.磁性材料C) C.去磁物D) D.防霉物答案：B25. 磁盤一個扇區(qū)的容量為 。A)A.128BB)B.256BC)C.512BD)D.1024B答案：C二、判斷題(44)1. 一塊磁盤可以分4個主分區(qū)和一個擴展分區(qū)。答案：錯誤2. NTFS文件系統(tǒng)的DBR中讀出的分區(qū)大小就是該分區(qū)的實際大小答案：錯誤3. FAT表中每個FAT表項的值是文件下一簇

9、的簇號。答案：正確4. Diskgenius是一款分區(qū)表修復(fù)軟件，是國人李大海編寫的。答案：正確5. 用WINHE幽理打開磁盤時不會讀取 DBF參數(shù)。答案：正確6. Mhdd是一款磁盤檢測工具，它能讀取磁盤的P表進行壞道修復(fù)。答案：錯誤7. 數(shù)據(jù)恢復(fù)人員在恢復(fù)磁盤時，為保護源盤數(shù)據(jù)安全，要養(yǎng)成做鏡像的好習(xí)慣。答案：正確8 分區(qū)被格式化后，在恢復(fù)根目錄下的文件時，只能按照不依賴文件系統(tǒng)來恢復(fù)。答案：錯誤9. FAT32文件系統(tǒng)中的 DBF備份扇區(qū)號，是 DBR1區(qū)號加上6。答案：正確10. 索引項中的文件名是 ANSI編碼的。答案：錯誤11. 一般不將擴展 DOS分區(qū)設(shè)為活動分區(qū)。答案：正確12

10、. MBR就是硬盤的主引導(dǎo)記錄。答案：正確13. 把制作好的光盤映象ISO刻錄成實際物理光盤，一定要刻錄機和刻錄軟件。答案：正確14. 在本地計算機中，只能運行一臺虛擬計算機系統(tǒng)。答案：錯誤15. 虛擬計算機系統(tǒng)中的硬件有變化時，本地計算機也要重新配置BIOS。答案：錯誤16. 一般地，要構(gòu)造虛擬計算機系統(tǒng)，本地計算機系統(tǒng)中的內(nèi)存容量要盡量的大。答案：正確17. 在本地計算機系統(tǒng)中要與虛擬WINDOW系統(tǒng)計算機進行網(wǎng)絡(luò)通信，就要求一定要連接網(wǎng)絡(luò)連接線。答案：錯誤18. 一般硬盤可以分區(qū)為兩個擴展分區(qū)和一個主分區(qū)答案：錯誤利用GHOSTS件可以對WINDOWS X系統(tǒng)進行備份答案：正確如果把操作

11、系統(tǒng)所在分區(qū)升級成動態(tài)磁盤后，也可以還原為基本磁盤答案：錯誤把基本磁盤升級為動態(tài)磁盤后，其上的數(shù)據(jù)不會丟失，可以直接使用答案：正確在硬盤的分區(qū)表遭到各種情況的破壞后，利用DISKGEN軟件，都可以進行修復(fù)答案：正確在進行了 0磁道損壞的修復(fù)后，就不能再利用FDISK來對硬盤進行分區(qū)了答案：錯誤文件在任意情況下的刪除，只要不被覆蓋，都是可以恢復(fù)的答案：正確從理論上來講，文檔的密碼總是可以破解的，但是，在實際中，如果破解時間太長，工程上也認為是不可破解。答案：正確當硬盤上的分區(qū)有數(shù)據(jù)時，如果該硬盤的分區(qū)表損壞后，數(shù)據(jù)就不可能再恢復(fù)了答案：錯誤在FAT32文件系統(tǒng)中，如果用命令“ SHIFT+DEL

12、來刪除了文件，當使用恢復(fù)工具軟件來進行恢復(fù)時，一般情況下是不正常的答案：錯誤要恢復(fù)操作系統(tǒng)所在分區(qū)上的被刪除的文件，一般情況下恢復(fù)的幾率比較小，這也說明了不要在操作系統(tǒng)所在分區(qū)上保存文件答案：正確硬盤上一般用于保存數(shù)據(jù)的分區(qū)，最好使用NTFS文件系統(tǒng)答案：正確U盤使用NTFS文件系統(tǒng)要優(yōu)于FAT32文件系統(tǒng)。答案：錯誤在日常工作中，最好事先就安裝好數(shù)據(jù)恢復(fù)工具軟件，一旦岀現(xiàn)文件的誤刪除， 就可以馬上進行恢復(fù),成功率是最高的；19.20.21.22.23.24.25.26.27.28.29.30.31.答案：正確32. winrar密碼的加密強度比office密碼加密強度下，所以相同密碼的條件下

13、更容易答案：錯誤33. Adobe Acrobat的存取限制密碼是文檔的所有者用于保護文檔而設(shè)置的，該密碼不影響使用者打開和瀏覽PDF文檔，但保護文檔不被修改、打印、選取文字和圖形（包括將它們拷貝至剪貼板）、添加/修改注釋等。（）答案：正確34. FinalData 也可以用以恢復(fù)數(shù)碼存儲設(shè)備上的數(shù)據(jù)。（）答案：正確35. PhotoRescue支持多種數(shù)碼相機儲存介質(zhì)， 包括Smart Media記憶卡、Compact Flash （CF卡）、MemoryStick記憶卡、MicroDrive （微型硬盤）等。（）答案：正確36. Word Recovery作為Word插件，可以修復(fù)沒有密碼

14、保護的文檔，不能修復(fù)有密碼保護的文檔，即使知道其密碼。（）答案：正確37. 凡僅有兩種穩(wěn)定的物理狀態(tài)，能方便地檢測出屬于哪種穩(wěn)定狀態(tài)，兩種穩(wěn)定狀態(tài)又容易相互轉(zhuǎn)換的物質(zhì)或元器件，都可以用來記憶二進制代碼“0”和“ 1”，稱這樣的物質(zhì)或元器件為存儲介質(zhì)或記錄介質(zhì)。（）答案：正確38. 邏輯恢復(fù)指的是病毒感染、誤格式化、誤分區(qū)、誤克隆、誤操作、網(wǎng)絡(luò)刪除、操作時斷電等數(shù)據(jù)丟失的恢復(fù)。（）答案：正確39. 命令“ FDISK/MBR除可以重新建立主磁盤的主引導(dǎo)記錄外，還可以清除分區(qū)表。（）答案：錯誤40. 使用EasyRecovery修復(fù)文檔時，由于 EasyRecovery不能自動對待修復(fù)的文檔進行備

15、份，所以，在修復(fù)前必須對待修復(fù)文件進行備份，以防損壞。（）答案：錯誤41. 數(shù)據(jù)恢復(fù)，簡單地說，就是把遭受破壞、或由硬件缺陷導(dǎo)致不可訪問或不可獲得、或由于誤操作等各種原因?qū)е聛G失的數(shù)據(jù)還原成正常數(shù)據(jù)。（）答案：錯誤42. 因為GHOS可以對硬盤進行備份，所以，無論用哪種方式和參數(shù)使用GHOSTS要恢復(fù)數(shù)據(jù)的硬盤做過備份后，都可以放心的對原硬盤進行恢復(fù)，如果不成功，還可以使用GHOSTS份的數(shù)據(jù)再次進行恢復(fù)。（ ）答案：錯誤43. 硬盤的分區(qū)規(guī)則是：一個分區(qū)的所有扇區(qū)必須連續(xù)，硬盤可以有最多4個物理上的分區(qū)，這 4個物理分區(qū)可以是1個主分區(qū)或者3個主分區(qū)加一個擴展分區(qū)。（）答案：錯誤44. 硬盤

16、低級格式化（low level format）簡稱低格，也稱硬盤物理格式化（physical format ）。它的作用是檢測硬盤磁介質(zhì)，劃分磁道，為每個磁道劃分扇區(qū)，并根據(jù)用戶選定的交叉因子安排扇區(qū)在磁道中的排列順序等。（）答案：正確三、填空題（31）1. 進行數(shù)據(jù)恢復(fù)以前，一般先用 軟件對源盤進行磁盤健康檢測，測試硬盤的磁頭是否健康、磁盤壞道量和壞道位置、磁盤是否加密或剪切等等；然后用 軟件對源盤進行扇區(qū)級鏡像，對鏡像數(shù)據(jù)分析而不是直接分析源盤數(shù)據(jù)。答案：mhdd winhex2. 數(shù)據(jù)恢復(fù)領(lǐng)域涉及到的文件系統(tǒng)有WINDOW下的、，LINUX下的，UNIX 下的，MAC下的。答案：Fat

17、Ntfs Ext2/Ext3 Ufs1/Ufs2 Hfs+3. 手工分析與恢復(fù)數(shù)據(jù)最好的軟件是 ;自動恢復(fù)數(shù)據(jù)常用的軟件有兩種，分別是和Recover My Files ，其中前一中自動恢復(fù)軟件對依賴文件系統(tǒng)的恢復(fù)比較有效，后一種對不依賴文件系統(tǒng)的文件比較有效。答案：winhex easyrecovery4. FAT文件系統(tǒng)由 、四部分構(gòu)成，根目錄的FDT表存在于 部分中。答案：DBR FAT1 FAT2數(shù)據(jù)區(qū) 數(shù)據(jù)區(qū)5. FAT中每一個文件或文件夾都有一個目錄項，由目錄項可得到該文件或文件夾的和兩個重要信息，但是對于高位簇清0的問題不適用。答案：起始簇號 文件占有簇數(shù)6. FAT中對于不連續(xù)

18、文件的恢復(fù)，通常需要分析該文件的 。答案：文件結(jié)構(gòu)7. 主引導(dǎo)記錄 MBF中有分區(qū)表信息，分區(qū)表一共有 分區(qū)表項。答案：48 如果一塊磁盤提示未初始化，通常是它的MBR中的標志被破壞，只要用十六進制編輯9.10.11.12.13.14.15.16.17.18.19.器重寫該標志就可解決問題。答案：55AA擴展分區(qū)中每個邏輯分區(qū)中的 DBR都有一個隱含扇區(qū)大小參數(shù)，該隱含扇區(qū)大小的參考起始位置是 擴展分區(qū)中的。答案：第一個EMBRNTFS中一個文件的起始簇號和文件占用的簇數(shù)這兩個重要信息，從該文件的屬性中可得到。答案：80NTFS中的文件都由 管理，它的起始位置可以由 得到。答案：MFT表DBR

19、中BPBNTFS中每個文件的文件名存在于三個地方，分別是MFT項的屬性中、該文件的索引項中、日志文件中，文件名都是以 碼存放的。答案：30 UnicodeNTFS中每個MFT項的大小是 （即兩個扇區(qū)的大?。?。答案：1kRAID的實現(xiàn)有兩種，分別是由專門的RAID控制器實現(xiàn)的和由軟件實現(xiàn)的。常用的 RAID組合有、。答案：硬 RAID 軟 RAID RAID10 RAID53計算機系統(tǒng)是由硬件系統(tǒng)和 兩大系統(tǒng)構(gòu)成的。磁盤存儲器屬于存儲器，一般分為軟盤存儲器和硬盤存儲器。答案：軟件外硬盤驅(qū)動器由 、和三個部分組成。答案：盤體電路部分接口硬盤的類型參數(shù)中，柱面數(shù)的英文縮寫為 ，磁頭數(shù)的英文縮寫為 ，

20、扇區(qū)數(shù)的英文縮寫為。答案：c h sDOS環(huán)境下檢測磁盤最好的工具是 軟件,該工具軟件還具有修復(fù)壞道功能，除此工具軟件外，工具軟件也不錯。答案：MHDD HDDRMFT主文件表（Master File Table ）的簡稱，它是 NTFS文件系統(tǒng)的核心。 MFT由一個一個的 （也稱為文件記錄）組成，每個文件記錄占用 個字節(jié)的空間。分區(qū)中每個文件和文件夾的信息都生成一個文件記錄存于 MFT中。訪問文件和文件夾時都要先訪問 MFT在MFT中找到該文件的記錄,20.21.22.23.24.25.26.27.28.29.30.31.根據(jù)記錄中的信息找到文件內(nèi)容并對其進行訪問答案：MFT項1024NTF

21、S文件系統(tǒng)被創(chuàng)建時，會同時建立一些重要的系統(tǒng)信息，這些系統(tǒng)信息也是以文件的形式存在，被稱為。該類文件的文件名以“ ”符號開頭，表示其為隱藏的系統(tǒng)文件，用戶不能直接訪問。一共有個。答案：元文件$ 16如果一個NTFS分區(qū)的大小超過2G則該分區(qū)的簇的大小默認是 .答案：4kNTFS文件系統(tǒng)比FAT32更穩(wěn)定、更安全。視整個分區(qū)都是數(shù)據(jù)區(qū)，文件以 為單位分配存儲空間，簇編號從 開始。答案：簇0MBR中引導(dǎo)代碼損壞的修復(fù)如果使用DOS命令法，該命令為 C:>答案：FDISK /MBR硬盤分區(qū)的類型有 、擴展分區(qū)，在擴展分區(qū)基礎(chǔ)上可以建 分區(qū)。答案：主分區(qū)邏輯FAT短文件名目錄項中文件名是大寫的

22、碼答案：ASCII碼FAT32文件系統(tǒng)中存儲長文件名是 碼.答案：UNICODENTFS中文件名出現(xiàn)在三個地方，分別是 中、中、日志文件中。都是 碼表示。答案：30屬性中、索引項中 、UNICODE硬盤在使用前，需先經(jīng)過和高級格式化，才能存放數(shù)據(jù)。答案：分區(qū)FAT32文件系統(tǒng)中DBR的備份位于其DBR扇區(qū)之后個扇區(qū)，NTFS文件系統(tǒng)的DBR備份位于位置。他們的DBF備份有個。答案：6本分區(qū)的最后一個扇區(qū) 1MBR是 指。答案：主引導(dǎo)扇區(qū)DBR是指。答案：操作系統(tǒng)引導(dǎo)扇區(qū)四、問答題（9）1. 1、MBR勺開始標志是什么，有哪幾部分構(gòu)成？FAT和NTFS文件系統(tǒng)的開始標志是什么？答案： 開始標志是

23、33 CO 8E有4部分構(gòu)成，分別是開始標志 33 CO 8E、引導(dǎo)代碼、分區(qū)表、結(jié)束標志55AAFAT文件系統(tǒng)的開始標志 EB 58 90NTFS文件系統(tǒng)的開始標志 EB 52 902. 、FAT文件系統(tǒng)下，有一個文件名為“ 123456789.TXT”的文件，該文件存儲時會產(chǎn)生長文件名目錄項嗎，為什么？寫該文件的短文件名，并指岀短見文件名和長文件名分別用什么碼表示？答案：會的，因為該文件名的字符數(shù)已經(jīng)超岀了短文件名的8.3結(jié)構(gòu)短文件名為：1234561.TXT短文件名用ANSI碼表示長文件名用Unicode碼表示3. FAT文件系統(tǒng)下，文件被完全刪除的特點是什么？格式化的特點是什么？答案：

24、刪除特點：清空與該文件相關(guān)的FAT表項、父目錄的FDT表中短文件名目錄項首字節(jié)修改為E5、文件起始簇號的高16位清0、文件數(shù)據(jù)區(qū)內(nèi)容不變。格式化特點：重寫 DBR FAT表和根目錄的FDT表均被清空，子目錄的 FDT表不變。4. NTFS文件系統(tǒng)的 MFT表由一個一個的 MFT項構(gòu)成，$Mft和$Root元文件的 MFT項號分別是多少？每個 項的大小是多少？給出 10、30、80、90、A0 B0屬性的名稱。答案：$Mft和$Root元文件的MFT項號分別是0號項和5號項，每個項的大小事 1KB10屬性：標準信息屬性，含有文件建立時間和修改時間30屬性：文件名屬性，含有該文件的文件名80屬性：

25、數(shù)據(jù)屬性，含有該文件的起始簇號和文件占有簇數(shù)90屬性：索引跟屬性，含有該目錄下子目錄和文件的索引項A0屬性：索引分配屬性，含有索引項緩沖區(qū)的地址和大小B0屬性：位圖屬性，含有 MFT表的占有情況5. 硬盤常用的接口有哪幾種？答案：IDE SATA SCSI SAS6. GHOST®像和WINHE競像的區(qū)別。答案：用GHOST軟件對磁盤或分區(qū)進行的鏡像，是一種文件系統(tǒng)層的操作。該鏡像不包含由于刪除和格式化而丟失的數(shù)據(jù)。例如：500G的硬盤存有10G的數(shù)據(jù)，鏡像后的容量還是 10GWINHEX勺鏡像指一種基于物理層面的、扇區(qū)級的鏡像，是一種真正意義上的克隆。例如：500G的硬盤不管存有多

26、少數(shù)據(jù)，要扇區(qū)級鏡像至少需要一個500G容量的硬盤接收。7. 什么情況下需要鏡像答案：（1）誤刪除、格式化、分區(qū)等操作丟失數(shù)據(jù)時。目的是防止操作系統(tǒng)寫入數(shù)據(jù)覆蓋有用數(shù)據(jù)。（2） 需要進行不可逆的操作。例如進行CHKDSK自動修復(fù)分區(qū)命令）操作。（3）磁盤存有壞道。對源盤操作可能加大壞道范圍。（4） 更換磁頭組建。防止換磁頭時劃傷盤片。（5） 陣列恢復(fù)。陣列由多塊磁盤構(gòu)成，陣列重組必須要分析結(jié)構(gòu)，計算參數(shù)。這要求所有盤都掛到恢復(fù)用機上，這很困難。（6）電子取證。要求不能對源盤產(chǎn)生任何的寫入操作。8 MBF扇區(qū)損壞的原因有哪些？答案：1、計算機運行中突然斷電2、計算機運行中非法關(guān)機3、計算機運行中

27、非法重啟4、病毒破壞9. 請問該硬盤共有幾個分區(qū)？分別叫什么分區(qū)？（主分區(qū)、擴展分區(qū)、邏輯分區(qū)等，順序上的第幾個分區(qū)）。（如答：有 N個分區(qū)；第一個分區(qū)是 XX分區(qū)，）答案：4個、第一個是主分區(qū)、第二個是主分區(qū)、第三個是擴展分區(qū)中第一邏輯分區(qū)、第四個是第二邏 輯分區(qū)五、分析與設(shè)計題（11）1. 一個文件，文件名為“ SJHF.DOC ,ANSI碼為53 4A 48 46 2E 44 4F 43,如果該文件被完全刪除，分 別寫出在FAT和NTFS文件系統(tǒng)下的手工恢復(fù)方法。答案：FAT系統(tǒng)下：（1）搜索e5 4A 48 46 2E 44 4F 43,得到該文件的目錄項（2）由目錄項得到該文件的起始

28、簇號和占有的簇數(shù)（3） 定位該文件，復(fù)制文件到新文件，以DOC呆存該文件NTFS系統(tǒng)下：（1） 搜索 53 00 4A 00 48 00 46 00 2E 00 44 00 4F 00 43 00，得到該文件的 MFT項（2）分析該MFT項中的80屬性，由數(shù)據(jù)運行計算文件的開始簇號和占有的簇數(shù)（3） 定位該文件，復(fù)制文件到新文件，以DOC呆存該文件2. 一個文件的80屬性的數(shù)據(jù)運行列表，列表值為21 20 ED 05 22 48 07 48 22 21 28 C8 DB，根據(jù)列表值計算該文件的每一部分的起始簇號和簇數(shù)。答案：第一部分 21 20 ED 05起始簇號：5ED （1517） 大?。?/p>

29、20 （32簇）第二部分 22 48 07 48 22起始簇號：5ED+2248 （1517+8776） 大?。?48 （1864 簇）第三部分21 28 C8 DB起始簇號：5ED+2248+DBC& 1517+8776-9272 ） 大小：28 （ 40 簇）3. 一個客戶的硬盤的 D分區(qū)是FAT文件系統(tǒng)，打開時提示“未格式化"，用WINHEX邏輯打開該分區(qū)， 搜索“ EB 58 90 ”未果，搜索“ F8 FF FF 0F ”，假設(shè)在1660扇區(qū)處發(fā)現(xiàn)該標志，由上可得該分區(qū)的 DBR和FAT1損壞，F(xiàn)AT2完好，假設(shè)該分區(qū)有卷標“ wxd',給出恢復(fù)該分區(qū)的方法

30、。答案：（1）搜索卷標名“ wxd ,得到該卷標的目錄項所在位置就是根目錄的FDT表起始扇區(qū)（2） 由根目錄FDT表位置往上退一個扇區(qū)，該扇區(qū)號減去FAT2起始扇區(qū)號得到FAT表大?。? ）由FAT2起始位置和大小，修復(fù) FAT1（4） 求出相鄰的兩個目錄之間的扇區(qū)數(shù)和簇數(shù)（搜索兩個相鄰的2E 20 20獲得參數(shù)），得到 每簇 扇區(qū)數(shù)=簇數(shù)/扇區(qū)數(shù)（5）物理打開磁盤，讀取分區(qū)表得到該分區(qū)的大小和隱含扇區(qū)數(shù)（6） 復(fù)制一個好的FAT系統(tǒng)的DBR覆蓋該系統(tǒng)的DBR 將每簇扇區(qū)數(shù)、分區(qū)大小、隱含扇區(qū)數(shù)填寫 至U DBR 中。（7 ）重啟系統(tǒng)4. 假設(shè)NTFS系統(tǒng)下有一個文件“校歷.xls ”，請使用

31、30和80屬性恢復(fù)刪除的文件。答案：（1）先在一個文本文件中輸入文件名“校歷 .xsl ”，以unicode碼保存。（2 ）將“校歷.xsl ”的unicode碼輸入到“搜索”中，通過搜索文件名所在的30屬性，從而定位到該文件的MFT項。（3）從MFT項中分析其80屬性的數(shù)據(jù)運行，從而找到該文件的開始簇號及文件的大小。（4）定位該文件，選中所有內(nèi)容，保存。5. 給出利用90、A0屬性定位一個文件的方法。（ 例如： 打印機xy校歷.xsl ）答案：分析根目錄的 MFT（ 5號），由A0屬性的數(shù)據(jù)運行可以先找到根目錄的索引緩沖區(qū)，緩沖區(qū) 里有根目錄下所有文件和文件夾的索引項，通過搜索“打印機&qu

32、ot;文件名，找到“打印機”文件夾的索引項，該索引項中有“打印機”文件夾的MFT項號。定位到“打印機”文件夾的MFT項號，同理，分析該項找到它的索引緩沖區(qū)，找到文件“ xy校歷.xsl ”的索引項，由索引項找到該文件的 MFT項號,定位到該文件的 MFT項，由80屬性得到該文件。6. 通過$Mft元文件的MFT項中的B0屬性（位圖屬性），分析 MFT表的使用情況。答案：定位到$Mft元文件的MFT項（0號項），分析B0屬性的數(shù)據(jù)運行，找到 B0屬性中指定的緩沖 區(qū)，這里有 MFT表的使用情況（每個字節(jié) 8位，每一位對應(yīng) MFT表中的一個MFT項，“ 1”表示該項 占用，“ 0”表示未占用）。7. 使用30和80屬性恢復(fù)刪除的文件（例如：校歷 .xsl ）。答案：（1）先在一個文本文件中輸入文件名“校歷 .xsl ”，以unicode碼保存。（2 ）將“校歷.xsl ”的unicode碼輸入到“搜索”中，通過搜索文件名所在的30屬性，從而定位到該文件的MFT項。（3）從MFT項中分析其80屬性的數(shù)據(jù)運行，從而找到該文件的開始簇號及文件的大小。（4）定位該文件，選中所有內(nèi)容，保存。& 分析DBR中 BPB各個的參數(shù)的含義。1 : BPB中讀