陳培德,吳建平,王麗清

(云南大學(xué) 信息學(xué)院 云南省高校數(shù)字媒體技術(shù)重點(diǎn)實(shí)驗(yàn)室,云南 昆明 650223)

Ghost后數(shù)據(jù)恢復(fù)的研究與實(shí)現(xiàn)

陳培德,吳建平,王麗清

(云南大學(xué) 信息學(xué)院 云南省高校數(shù)字媒體技術(shù)重點(diǎn)實(shí)驗(yàn)室,云南 昆明 650223)

Windows用戶在使用Ghost工具軟件安裝操作系統(tǒng)時(shí)，有時(shí)會(huì)將“選擇鏡像文件到分區(qū)”誤操作為“選擇鏡像文件到磁盤”；操作完成后，整個(gè)硬盤成為一個(gè)大C盤，造成各邏輯盤丟失。針對(duì)這一情況，以Ghost8.0為實(shí)驗(yàn)軟件，Windows 7為平臺(tái)，WinHex 15.08為分析工具，對(duì)Ghost后硬盤中MBR分區(qū)結(jié)構(gòu)進(jìn)行分析，提出了兩種恢復(fù)Ghost后硬盤分區(qū)的基本思路與方法。第一種是通過各邏輯盤的DBR所在扇區(qū)號(hào)和總扇區(qū)數(shù)，在硬盤0號(hào)扇區(qū)重建各邏輯盤的MBR分區(qū)表來恢復(fù)各邏輯盤；另一種是通過重建硬盤0號(hào)扇區(qū)擴(kuò)展分區(qū)表來恢復(fù)各邏輯盤。實(shí)驗(yàn)結(jié)果表明：誤Ghost后除第1個(gè)邏輯盤中前面的部分?jǐn)?shù)據(jù)被覆蓋后無法恢復(fù)外，只要恢復(fù)各邏輯盤的MBR分區(qū)表，后續(xù)邏輯盤中的數(shù)據(jù)均可完整恢復(fù)。通過實(shí)踐表明，這兩種恢復(fù)方法不僅實(shí)用而且方便、快捷。

Ghost；鏡像文件；分區(qū)表；數(shù)據(jù)恢復(fù)

0 引 言

Ghost是目前較多使用的快速地在硬盤上安裝操作系統(tǒng)，備份和恢復(fù)數(shù)據(jù)的一款工具軟件[1]。它實(shí)現(xiàn)了FAT16、FAT32、NTFS、OS2等多種硬盤分區(qū)格式的分區(qū)及硬盤數(shù)據(jù)的備份和還原功能[2]。

在微軟視窗操作系統(tǒng)廣為流傳的基礎(chǔ)上，為避開視窗操作系統(tǒng)原始完整安裝的費(fèi)時(shí)和重裝系統(tǒng)后驅(qū)動(dòng)應(yīng)用程序再裝的麻煩，許多軟件安裝人員把自己做好的干凈系統(tǒng)用Ghost來備份和還原[3]。為使操作簡(jiǎn)潔，其流程被一鍵Ghost、一鍵還原精靈等進(jìn)一步簡(jiǎn)化，它的易用很快得到了軟件安裝人員的喜愛[4]。將視窗操作系統(tǒng)Windows XP、Windows VISTA、Windows 7等軟件與系統(tǒng)引導(dǎo)文件、硬盤分區(qū)工具等集成為一體，進(jìn)一步進(jìn)行配套，這樣用戶在需要重裝系統(tǒng)時(shí)能有效且簡(jiǎn)便地完成系統(tǒng)的快速重裝。然而，用戶在使用Ghost軟件安裝系統(tǒng)時(shí)，由于操作不慎，會(huì)誤將選擇分區(qū)操作為選擇整個(gè)硬盤[5]，導(dǎo)致安裝系統(tǒng)后，只有一個(gè)分區(qū)，其分區(qū)的大小為整個(gè)硬盤的大小[6]。文中對(duì)Ghost后數(shù)據(jù)恢復(fù)進(jìn)行了大量實(shí)驗(yàn)，發(fā)現(xiàn)Ghost后大部分?jǐn)?shù)據(jù)可以完整恢復(fù)。

1 實(shí)驗(yàn)環(huán)境及實(shí)驗(yàn)素材準(zhǔn)備

1)實(shí)驗(yàn)環(huán)境。

(1)操作系統(tǒng)：Windows 7；

(2)Ghost版本：8.0；

(3)數(shù)據(jù)恢復(fù)軟件及分析工具：WinHex 15.08。

2)制作目標(biāo)盤實(shí)驗(yàn)素材。

(1)Windows 7操作系統(tǒng)下，使用Windows 7的虛擬磁盤管理功能在D盤的根目錄上建立一個(gè)名為abcd1.vhd的文件，文件大小為20 GB。

(2)將abcd1.vhd文件附加為虛擬磁盤1，分區(qū)類型為MBR，并將磁盤1劃分為兩個(gè)分區(qū)，即主分區(qū)和擴(kuò)展分區(qū)。主分區(qū)的大小為3 GB，對(duì)應(yīng)的盤符為F:；擴(kuò)展分區(qū)大小為17 GB，在擴(kuò)展分區(qū)中再建立三個(gè)邏輯盤，即G盤、H盤和I盤。將各邏輯盤進(jìn)行格式化，磁盤1中各邏輯盤基本情況如下：

·F盤，文件系統(tǒng)：FAT32，容量：2.93 GB；

·G盤，文件系統(tǒng)：NTFS，容量：4.88 GB；

·H盤，文件系統(tǒng)：NTFS，容量：5.86 GB；

·I盤，文件系統(tǒng)：NTFS，容量：6.32 GB。

(3)分別在F盤、G盤、H盤和I盤中存儲(chǔ)一些文件夾和文件。

(4)使用WinHex軟件查看0號(hào)扇區(qū)的分區(qū)表為“00 20 21 00 0B 92 54 7E 00 08 00 00 00 0C 5D 00”和“00 92 55 7E 05 FE FFFF 00 C8 5D 00 00 28 22 02”，第1個(gè)分區(qū)表對(duì)應(yīng)F盤，第2個(gè)分區(qū)表對(duì)應(yīng)擴(kuò)展分區(qū)。

(5)F盤的基本情況為：已用磁盤空間：480 MB；可用磁盤空間：2.45 GB；總?cè)萘浚?.92 GB。每個(gè)扇區(qū)的字節(jié)數(shù):512，每個(gè)簇的扇區(qū)數(shù)：8；保留扇區(qū)：4 414；隱藏扇區(qū)：2 048；總扇區(qū)數(shù)：6 144 000；每個(gè)FAT表所占扇區(qū)數(shù)：5 985，已使用簇號(hào)：2～123 066；未使用簇號(hào)：123 067～765 953。

至此，Ghost前的目標(biāo)盤已制作完成。

3)制作源盤實(shí)驗(yàn)素材。

(1)使用Windows 7的虛擬磁盤管理功能在D盤的根目錄下再建立一個(gè)名為abcd2.vhd的文件，文件大小為500 MB。

(2)將該文件附加為磁盤2；分區(qū)類型為MBR，在磁盤2中建立一個(gè)分區(qū)，文件系統(tǒng)選擇FAT32，并將其進(jìn)行格式化，使用WinHex查看0號(hào)扇區(qū)的分區(qū)表為“00 02 03 00 0B FE 3F 3E 80 00 00 00 00 88 0F 00”，所對(duì)應(yīng)的盤符為J盤，J盤大小為497 MB。

(3)在J盤的根目錄下連續(xù)存儲(chǔ)一些文件和文件夾。J盤的基本情況為：已用磁盤空間：213 MB；可用磁盤空間：279 MB；總?cè)萘浚?93 MB。每個(gè)扇區(qū)的字節(jié)數(shù):512,每個(gè)簇的扇區(qū)數(shù)：8；保留扇區(qū)：6 218；隱藏扇區(qū)：128；總扇區(qū)數(shù)：1 017 856；每個(gè)FAT表所占扇區(qū)數(shù)：987；已使用簇號(hào)：2～54 555；未使用簇號(hào)：54 556～126 209。

(4)使用Ghost軟件將J盤做成一個(gè)鏡像文件，文件名為:abcd3.gho，鏡像文件大小為212 MB。

至此，Ghost前的鏡像文件已制作完成。

2 Ghost前硬盤整體布局

Ghost前，各邏輯盤在磁盤1中的分布情況如圖1所示。

在磁盤1的0號(hào)扇區(qū)有兩個(gè)分區(qū)，即主分區(qū)(對(duì)應(yīng)的盤符為F盤)和擴(kuò)展分區(qū)[6]；在擴(kuò)展分區(qū)中有G盤分區(qū)表和H盤鏈接項(xiàng)、H盤分區(qū)和I盤鏈接項(xiàng)、I盤分區(qū)[7]。各邏輯盤分區(qū)表情況如表1所示。

表1 Ghost前各邏輯盤和擴(kuò)展分區(qū)情況

圖1 Ghost前磁盤1各邏輯盤分布圖

3 Ghost操作步驟

以Windows 7操作系統(tǒng)為平臺(tái)，使用Ghost軟件以abcd3.gho為源文件，以磁盤1為目標(biāo)盤，進(jìn)行Ghost操作。

操作步驟如下：

(1)Local→Disk→From Image；

(2)從彈出的“Image File name to restore from”窗口中選擇“abcd3.gho”；

(3)在彈出的“Select local destination drive by clicking on the drive number”窗口中選擇目標(biāo)驅(qū)動(dòng)器—磁盤1[6]。

4 Ghost后硬盤整體布局

Ghost后，各邏輯盤在磁盤1中的分布情況如圖2所示。即在磁盤1的0號(hào)扇區(qū)建立了一個(gè)分區(qū)，主分區(qū)所對(duì)應(yīng)的盤符為新F盤，新F盤的大小為整個(gè)磁盤1的容量。

圖2 Ghost后磁盤1布局圖

從Ghost前和Ghost后對(duì)比圖可知，Ghost后，目標(biāo)文件abcd3.gho只覆蓋了Ghost前F盤的一部分?jǐn)?shù)據(jù)，F(xiàn)盤未覆蓋的部分可以使用按文件名的形式進(jìn)行恢復(fù)。G盤、H盤和I盤中所存儲(chǔ)的文件夾和文件沒有被覆蓋，可以全部恢復(fù)。

注：Ghost后，由于0號(hào)扇區(qū)的擴(kuò)展表已刪除，所以G盤分區(qū)表、H盤鏈接項(xiàng)、H盤分區(qū)表、I盤鏈接項(xiàng)和I盤分區(qū)表已不再起作用，如圖2中的虛線部分。其分區(qū)表情況如表2所示。

5 數(shù)據(jù)恢復(fù)的方法與步驟

經(jīng)過大量實(shí)驗(yàn)，發(fā)現(xiàn)對(duì)于Ghost后，可以通過兩種方法來恢復(fù)數(shù)據(jù)：

方法一：

(1)恢復(fù)G盤、H盤和I盤三個(gè)邏輯盤在0號(hào)扇區(qū)偏移地址0X01CE～0X01FD的主分區(qū)表；

(2)調(diào)整新F盤分區(qū)表中的總扇區(qū)數(shù)(扇區(qū)偏移為0X01CA～0X01CD)；

表2 Ghost后各分區(qū)情況

(3)調(diào)整新F盤FAT32_DBR中的總扇區(qū)數(shù)(扇區(qū)偏移為0X020～0X023)。

完成以上操作就可以恢復(fù)Ghost前G盤、H盤和I盤中的所有文件夾和文件；同時(shí)也可以查看新F盤的全部文件夾和文件。恢復(fù)后的各分區(qū)表與各邏輯盤分布圖如圖3所示。

圖3 恢復(fù)后磁盤1中各邏輯盤的分布圖

恢復(fù)步驟為：

(1)啟動(dòng)WinHex軟件，通過NTFS_DBR的特征值(注：NTFS_DBR的特征值為扇區(qū)前三個(gè)字節(jié)的值為“EB5290”[8])查找NTFS_DBR所在扇區(qū)號(hào)。

(2)分別在6 146 048號(hào)扇區(qū)、16 388 095號(hào)扇區(qū)等找到；經(jīng)確認(rèn)各NTFS_DBR作用如表3所示。

表3 磁盤1中NTFS_DBR和NTFS_DBR備份所在扇區(qū)號(hào)

(3)從表3可以計(jì)算出磁盤1中Ghost前G盤、H盤和I盤在0號(hào)扇區(qū)的分區(qū)，如下所示：

·G盤“00 01 01 00 07 FE FF FF 00 D0 5D 00 00 40 9C 00”

·H盤“00 01 01 00 07 FE FF FF 00 18 FA 00 00 80 BB 00”

·I盤 “00 01 01 00 07 FE FF FF 00 A0 B5 01 00 50 CA 00”

對(duì)G盤、H盤和I盤分區(qū)表說明如下：

①由于G盤、H盤和I盤均不引導(dǎo)系統(tǒng)，各分區(qū)表中第1個(gè)字節(jié)的值為“00”[9]；

②目前硬盤的存取方式均為L(zhǎng)BA，分區(qū)表中第2～4字節(jié)未定義，可以填充任意值，這里填充“01 01 00”[9]；

③由于要恢復(fù)的邏輯盤的文件系統(tǒng)均為NTFS，分區(qū)標(biāo)志為“07”[10-11]；

④分區(qū)表中第6～8字節(jié)未定義，可以填充任意值，這里填充“FE FF FF”[9]；

⑤分區(qū)表中第9～12字節(jié)為相對(duì)扇區(qū)，即各邏輯盤NTFS_DBR所在扇區(qū)號(hào)；

⑥分區(qū)表中第13～16字節(jié)為總扇區(qū)數(shù)，即各邏輯盤所占扇區(qū)數(shù)[12]。

(4)調(diào)整新F盤分區(qū)表中的總扇區(qū)數(shù)，由于G盤NTFS_DBR所在扇區(qū)號(hào)為6 146 048，所以可以推算出新F盤的結(jié)束扇區(qū)號(hào)為6 146 047，而新F盤分區(qū)表中的相扇區(qū)為63，所以新F盤總扇區(qū)數(shù)為6 418 033。新F盤分區(qū)表為“00 01 01 00 0C FE FF FF 3F 00 00 00 C1 CF 5D 00”。

(5)將計(jì)算好的3個(gè)分區(qū)表填充0扇區(qū)偏移0X01CE～0X01FD處，并將第1個(gè)分區(qū)表總扇區(qū)數(shù)(偏移地址為0X01CA～0X01CD)修改為“C1 CF 5D 00”。

(6)將光標(biāo)移到63號(hào)扇區(qū)，即F盤FAT32_DBR所在扇區(qū)，將F盤FAT32_DBR中總扇區(qū)數(shù)(扇區(qū)偏移地址為0X020～0X023)修改為“C1 CF 5D 00”。

(7)存盤并退出WinHex，到資源管理器可以查看到恢復(fù)出來的G盤、H盤和I盤中的文件夾和文件，以及新F盤中的文件夾和文件。

方法二：

(1)恢復(fù)Ghost前0號(hào)扇區(qū)的擴(kuò)展分區(qū)表；

(2)調(diào)整Ghost后新F盤分區(qū)表中的總扇區(qū)數(shù)；

(3)調(diào)整新F盤FAT32_DBR中的總扇區(qū)數(shù)。

完成以上操作就可以恢復(fù)Ghost前G盤、H盤和I盤中所有文件夾和文件；同時(shí)也可以查看Ghost后F盤的全部文件夾和文件?；謴?fù)后的各邏輯盤結(jié)構(gòu)圖如圖1所示，即Ghost前的結(jié)構(gòu)圖。

恢復(fù)步驟為：

(1)啟動(dòng)WinHex軟件，通過特征值來查找G盤分區(qū)表和H盤鏈接項(xiàng)所在扇區(qū)號(hào)(注：特征值為扇區(qū)最后兩個(gè)字節(jié)的值為“55AA”[12])。

(2)在6 146 048號(hào)扇區(qū)找到，即擴(kuò)展分區(qū)表的相對(duì)扇區(qū)為6 146 048。

(3)由于整個(gè)硬盤的總扇區(qū)數(shù)為41 943 041，可以估算擴(kuò)展分區(qū)表的結(jié)束扇區(qū)號(hào)為41 943 020，即擴(kuò)展分區(qū)在整個(gè)硬盤中扇區(qū)號(hào)為6 146 048～41 943 020，擴(kuò)展分區(qū)中總扇區(qū)數(shù)為35 794 925。

(4)擴(kuò)展分區(qū)在0號(hào)扇區(qū)偏移0X01CE～0X01DD處的分區(qū)表為“00 01 01 00 05 FE FF FF 00 C8 5D 00 EC 37 22 02”。

對(duì)擴(kuò)展分區(qū)表說明如下：

①擴(kuò)展分區(qū)表不引導(dǎo)系統(tǒng)，第1個(gè)字節(jié)的值為“00”；

②第2～4字節(jié)未定義，可以填充任意值，這里填充“01 01 00”；

③第5個(gè)字節(jié)為擴(kuò)展分區(qū)標(biāo)志位，取值為“05”或“0F”，這里取“05”[13]；

④第6～8字節(jié)未定義，可以填充任意填，這里填充“FE FF FF”；

⑤第9～12字節(jié)為相對(duì)扇區(qū)，即G盤分區(qū)表和H盤鏈接項(xiàng)所在扇區(qū)號(hào)，其值為6 146 048，在分區(qū)表中的存儲(chǔ)形式為“00 C8 5D 00”；

⑥第13～16字節(jié)為總扇區(qū)數(shù)，即擴(kuò)展分區(qū)表所占總扇區(qū)數(shù)，其值為35 794 925，在分區(qū)表中存儲(chǔ)形式為“EC 37 22 02”。

(5)由于在6 146 048號(hào)扇區(qū)找到G盤分區(qū)表和H盤鏈接項(xiàng)，確定新F盤的結(jié)束扇區(qū)號(hào)為6 146 047。即新F盤所占扇區(qū)號(hào)為63～6 146 047，分區(qū)表中總扇區(qū)數(shù)為6 145 985，在分區(qū)表中的存儲(chǔ)形式為“C1 C7 5D 00”；即新F盤的分區(qū)表修改為“00 01 01 00 0C FE FF FF 3F 00 00 00 C1 C7 5D 00”。

(6)將計(jì)算好的擴(kuò)展分區(qū)表填入至0號(hào)扇區(qū)偏移0X01CE～0X01DD處，并將第1個(gè)分區(qū)表總扇區(qū)數(shù)(扇區(qū)偏移地址為0X01CA～0X01CD)修改為“C1 C7 5D 00”。

(7)將光標(biāo)移到63號(hào)扇區(qū)，即F盤FAT32_DBR所在扇區(qū)，將F盤FAT32_DBR中總扇區(qū)數(shù)(扇區(qū)偏移地址為“0X020～0X023”[14])修改為“C1 C7 5D 00”。

(8)存盤并退出WinHex，到資源管理器可以查看到恢復(fù)出來的G盤、H盤和I盤中的文件夾和文件，以及新F盤中的文件夾和文件。

至此，Ghost前的G盤、H盤和I盤中所存儲(chǔ)的全部文件夾和文件均已被完整恢復(fù)出來。如果要恢復(fù)的文件內(nèi)容存儲(chǔ)于原來F盤未被覆蓋的區(qū)域，可以使用WinHex按文件類型功能進(jìn)行恢復(fù)。

6 結(jié)束語

除使用Ghost8.0做實(shí)驗(yàn)外，還使用Ghost11.0.1做了大量實(shí)驗(yàn)。實(shí)驗(yàn)結(jié)果發(fā)現(xiàn)：Ghost后，除被覆蓋的區(qū)域外，還將G盤分區(qū)表、H盤鏈接項(xiàng)、H盤分區(qū)表和I盤分區(qū)表刪除，只留下I盤鏈接項(xiàng)。對(duì)于這種情況，使用方法一來恢復(fù)更為方便一些，但方法一只能恢復(fù)4個(gè)分區(qū)表，如果分區(qū)多于四個(gè)可以先恢復(fù)四個(gè)分區(qū)，將各邏輯中的文件復(fù)制出來后，再通過修改分區(qū)表的形式恢復(fù)剩余分區(qū)中的文件夾和文件。

對(duì)于方法二，使用Ghost11.0.1后，如果G盤分區(qū)表、H盤鏈接項(xiàng)、H盤分區(qū)表和I盤分區(qū)表四個(gè)分區(qū)表被刪除，只留下I盤鏈接項(xiàng)，這種情況的恢復(fù)思路如下:

(1)計(jì)算擴(kuò)展分區(qū)表；

(2)計(jì)算G盤分區(qū)表、H盤鏈接項(xiàng)、H盤分區(qū)表和I盤分區(qū)表；

(3)計(jì)算G盤分區(qū)表和H盤鏈接項(xiàng)所在扇區(qū)號(hào)；

(4)計(jì)算H盤分區(qū)表和I盤鏈接項(xiàng)所在扇區(qū)號(hào)；

(5)計(jì)算I盤分區(qū)表所在扇區(qū)號(hào)；

(6)將擴(kuò)展分區(qū)表填入至0號(hào)扇區(qū)偏移0X01CE～0X01DD處，將G盤分區(qū)表和H盤鏈接項(xiàng)填入所在扇區(qū)偏移0X01BE～0X01DD處，將H盤分區(qū)表和I盤鏈接項(xiàng)填入所在扇區(qū)偏移0X01BE～0X01DD處，將I盤分區(qū)表填入所在扇區(qū)偏移0X01BE～0X01CD處；

(7)調(diào)整Ghost后新F盤分區(qū)表中的總扇區(qū)數(shù)和新F盤FAT32_DBR中的總扇區(qū)數(shù)。

綜上所述，Ghost后整個(gè)硬盤分區(qū)變?yōu)橐粋€(gè)大分區(qū)，恢復(fù)Ghost前邏輯盤中全部數(shù)據(jù)的核心工作在于重建分區(qū)表。

[1] 賀惠萍,榮 彥,張 蘭,等.Windows+7萬能Ghost啟動(dòng)盤仿真軟件的設(shè)計(jì)與實(shí)現(xiàn)[J].實(shí)驗(yàn)技術(shù)與管理,2014,31(5):127-130.

[2] 張鐘澍,陳代軍,李新萌.修復(fù)和維護(hù)你的硬盤[M].北京:北京希望電子出版社,2002:298.

[3] 丁一鈞.利用GHOST重裝操作系統(tǒng)疑難問題解析[J].電腦編程技巧與維護(hù),2013(14):122-123.

[4] 楊海瑞.試談機(jī)房使用Ghost恢復(fù)系統(tǒng)的方法[J].電腦編程技巧與維護(hù),2013(20):111-112.

[5] 陳培德,吳建平,王麗清.NTFS文件系統(tǒng)實(shí)例詳解[M].北京:國防工業(yè)出版社,2015.

[6] 劉 偉.數(shù)據(jù)恢復(fù)技術(shù)深度揭秘[M].北京:電子工業(yè)出版社,2010.

[7] 馬 林.數(shù)據(jù)重現(xiàn)─文件系統(tǒng)原理精解與數(shù)據(jù)恢復(fù)最佳實(shí)踐[M].北京:清華大學(xué)出版社,2009:43-51.

[8] Carrier B.File system forensic analysis[M].[s.l.]:Addison Wesley Professional,2005:160.

[9] 汪中夏,張京生,劉 偉.RAID數(shù)據(jù)恢復(fù)技術(shù)揭秘[M].北京:清華大學(xué)出版社,2010:102-115.

[10] 戴士劍,涂彥暉.數(shù)據(jù)恢復(fù)技術(shù)[M].北京:電子工業(yè)出版社,2005:97.

[11] 劉乃琦,郭建東,張 可.系統(tǒng)與數(shù)據(jù)恢復(fù)技術(shù)[M].成都:電子科技大學(xué)出版社,2008:46.

[12] Fathi B.深入解析Windows操作系統(tǒng)(第5版·英文版)[M].北京:人民郵電出版社,2009.

[13] Hogan T.The programmer's PC sourcebook[M].USA:Microsoft Press,1988:60.

[14] Ivens K,Gardinier K.Windows 2000:the complete reference[M].[s.l.]:McGraw-Hill Companies,2000:531.

Research and Implementation for Data Recovery after Ghost

CHEN Pei-de,WU Jian-ping,WANG Li-qing

(Key Laboratory of Digital Media Technology of Universities and Colleges in Yunnan Province, School of Information Science and Engineering,Yunnan University,Kunming 650223,China)

When the Windows users install the operating system with the Ghost tool software to their computers,they should make wrong operation of “to disk from image” instead of “to partition from image”.After having finished it,the whole hard disk partition changes into a big Drive C,leading to the result that the primary partition in hard disk and the logical disk have lost.To aim the case,Ghost 8.0 is used as the experimental software,and the Windows 7 as the platform,and WinHex 15.08 as the analysis tool to analyze the primary partition structure in the hard disk after Ghost.The two thought and methods are put forward for recovering the partition in the disk.The first one is to rebuild the MBR partition table in the 0 sector for very logic disk by the DBR’s sector number and total sectors for very logic disk in DBR,to recover all data in every logic disk.The second is to rebuild the extension partition table in the 0 sector for recovery of all data in every logic disk.The results of experiments indicate that the part of data in the front of disk could not be recovered,and the other data in the behind disk would be recovered integrally with,if the partition table would be recovered.The practice demonstrates that the two methods are not only useful,but also quick and easy.

Ghost;image file;partition table;data recovery

2016-03-23

2016-06-29

時(shí)間：2017-01-04

云南省科技創(chuàng)新強(qiáng)省計(jì)劃項(xiàng)目(2014AB021);云南省高校數(shù)字媒體重點(diǎn)實(shí)驗(yàn)室開放基金項(xiàng)目(2015KFKT002)

陳培德(1966-),男,工程師,研究方向?yàn)槲募到y(tǒng)與數(shù)據(jù)恢復(fù)技術(shù)。

http://www.cnki.net/kcms/detail/61.1450.TP.20170104.1102.100.html

TP311.12

A

1673-629X(2017)01-0112-05

10.3969/j.issn.1673-629X.2017.01.025