搜索

[27025] 2020-06-24_WINHEX之从数据恢复到删盘跑路

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2020-06-24_WINHEX之从数据恢复到删盘跑路 W I N H E X 之 从 数 据 恢 复 到 删 盘 跑 路 M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 0 6 - 2 4 以 下 文 章 来 源 于 酒 仙 桥 六 号 部 队   ， 作 者 队 员 编 号 0 1 0 这 是   酒 仙 桥 六 号 部 队 酒 仙 桥 六 号 部 队   的 第   1 1   篇 文 章 。 全 文 共 计 2 2 1 6 个 字 ， 预 计 阅 读 时 长 8 分 钟 。 背 景 话 说 平 时 部 门 里 面 的 老 哥 们 一 个 个 都 不 声 不 响 的 ， 开 了 公 众 号 后 才 发 现 一 个 个 都 是 人 才 ， 说 话 还 好 听 ， 呜 呼 ～ ～ 小 弟 不 才 ， 简 单 讲 解 下 我 会 的 一 项 小 技 能 ， 希 望 能 帮 到 阅 读 文 章 的 师 傅 们 。 观 前 提 示 ： 1 .   无 相 关 基 础 的 老 哥 看 到 w i n h e x 自 动 数 据 恢 复 ， 基 本 就 满 足 大 部 分 需 要 了 。 后 面 可 能 有 点 难 理 解 ， 只 会 增 加 一 些 奇 怪 的 知 识 。 酒 仙 桥 六 号 部 队 酒 仙 桥 六 号 部 队   . 知 其 黑 ， 守 其 白 。   分 享 知 识 盛 宴 ， 闲 聊 大 院 趣 事 ， 备 好 酒 肉 等 你 ！
2 .   有 一 定 基 础 的 老 哥 可 以 尝 试 手 工 恢 复 ， 好 久 之 前 学 习 到 的 技 能 了 ， 写 的 不 好 希 望 大 佬 们 轻 喷 （ 嘤 嘤 嘤 ） 。   什 么 是 W I N H E X W I N H E X 是 一 款 用 于 查 看 和 编 辑 底 层 十 六 进 制 数 据 的 软 件 。 我 们 可 以 利 用 这 个 软 件 修 改 文 件 格 式 数 据 ， 从 而 达 到 数 据 恢 复 的 效 果 。 当 然 ， W I N H E X 也 不 仅 仅 用 于 数 据 恢 复 ， 也 可 以 用 于 磁 盘 恢 复 ， R A I D 重 组 ， 镜 像 转 换 ， C T F 隐 写 杂 项 等 等 。 下 载 网 址 ： [ h t t p s : / / w w w . x - w a y s . n e t / w i n h e x / i n d e x - m . h t m l ] W I N H E X   支 持 中 文 ， 可 在 设 置 栏 中 进 行 修 改 。 W I N H E X   基 本 界 面 如 下 ， 我 们 数 据 恢 复 用 到 的 功 能 很 少 因 此 只 介 绍 一 部 分 。
在 安 装 和 了 解 W I N H E X 的 基 本 结 构 后 ， 我 们 就 可 以 愉 快 的 进 行 数 （ 删 ） 据 （ 盘 ） 恢 （ 跑 ） 复 （ 路 ） 了 。 w i n h e x 自 动 数 据 恢 复 如 同 字 面 意 思 一 样 ， 自 动 恢 复 就 是 利 用 H I N H E X 自 动 在 存 储 数 据 的 扇 区 中 搜 索 文 件 类 型 （ 根 据 文 件 头 进 行 判 断 ） ， 并 自 动 进 行 查 找 数 据 进 行 恢 复 。 自 动 恢 复 不 需 要 我 们 掌 握 技 术 原 理 ， 操 作 方 式 如 下 ： 首 先 打 开 你 错 删 文 件 存 储 的 磁 盘 ， 我 这 里 删 除 的 是 C 盘 的 文 件 ， 因 此 需 要 打 开 的 C 盘 ：
然 后 选 择 工 具   - >   磁 盘 工 具   - >   按 文 件 类 型 进 行 恢 复 。 这 里 要 注 意 恢 复 的 文 件 最 好 是 在 一 个 新 的 磁 盘 中 ， 以 免 造 成 文 件 覆 盖 。 选 中 我 们 要 恢 复 的 数 据 类 型 （ 可 以 多 选 ） ， 选 中 输 出 目 录 ， 点 击 确 定 ：
恢 复 速 度 和 磁 盘 大 小 有 关 ， 耐 心 等 待 数 据 恢 复 就 好 ： 恢 复 成 功 ， 不 少 黑 历 史 都 被 搞 出 来 了 e m m m m m m . . . . . . . . 虽 然 恢 复 出 来 了 ， 但 是 问 题 还 是 有 很 多 的 ： 按 照 文 件 类 型 恢 复 的 数 据 量 多 而 复 杂 （ 因 为 是 无 差 别 寻 找 ） ， 在 其 中 查 找 我 们 想 要 的 数 据 也 要 花 费 不 少 时 间 ； 按 照 文 件 类 型 恢 复 的 数 据 名 会 丢 失 （ 因 为 在 文 件 系 统 中 ， 数 据 内 容 和 数 据 名 不 是 存 放 在 一 个 地 方 ） 。 因 此 ， 如 果 我 们 想 完 整 的 恢 复 特 定 的 文 件 ， 还 是 需 要 进 行 手 动 操 作 恢 复 的 。 而 在 进 行 手 动 恢 复 之 前 ， 我 们 需 要 了 解 以 下 基 础 知 识 。
什 么 是 文 件 系 统 就 像 电 脑 对 应 的 操 作 系 统 一 样 ， 我 们 日 常 使 用 的 移 动 介 质 中 ， 也 存 在 相 应 的 文 件 系 统 ， 每 种 文 件 系 统 有 自 己 的 存 储 方 式 （ 大 同 小 异 ） ， 而 比 较 常 见 的 文 件 系 统 如 下 ： 1 .   F A T 3 2 / 6 4   常 见 于 U 盘 ， 内 存 卡 等 文 件 系 统 2 .   N T F S   W I N 的 文 件 系 统 3 .   A P F S   M A C 的 文 件 系 统 由 于 文 章 篇 幅 原 因 ， 这 里 我 们 只 讲 解 最 常 见 的 N T F S 文 件 系 统 ， 也 就 是 使 用 W I N H E X 基 于 W I N D O W S 的 数 据 恢 复 。 既 然 我 们 知 道 数 据 是 存 储 在 N T F S 系 统 中 ， 那 么 我 们 就 要 了 解 下 N T F S 文 件 系 统 的 存 储 规 则 。 N T F S   文 件 存 储 规 则 在 使 用 W I N H E X 查 看 N T F S 文 件 系 统 的 时 候 ， 我 们 能 看 见 一 些 以 $ 开 头 的 文 件 ， 这 些 文 件 就 是 N T F S 操 作 系 统 的 元 文 件 ， 元 文 件 用 于 管 理 存 储 介 质 中 的 内 容 ：
在 N T F S 文 件 系 统 的 结 构 如 下 ： 其 中 每 个 元 文 件 的 功 能 如 下 ： 1 .   $ M F T 又 叫 主 文 件 表 ， 用 于 存 储 数 据 名 和 文 件 区 间 的 索 引 （ 简 单 理 解 就 是 这 里 存 放 着 文 件 名 信 息 在 内 的 文 件 属 性 信 息 ， 是 我 们 数 据 恢 复 重 点 关 注 的 对 象 ） 。 2 .   $ M F T M I R R   就 是 $ M F T 的 备 份 文 件 （ 但 是 只 备 份 一 部 分 ） 3 .   $ B O O T   引 导 文 件 ， 记 录 了 用 于 引 导 的 数 据 4 .   $ D B R   备 份 文 件   ， 其 中 $ D B R   源 文 件 在 0 号 扇 区 $ M F T   元 文 件 结 构 上 文 我 们 知 道 文 件 属 性 存 储 在 $ M F T ， 那 么 接 下 来 我 们 需 要 了 解 部 分 数 据 属 性 具 体 在 $ M F T 中 的 存 储 状 况 ： $ M F T   结 构 结 构       用 途 用 途
1 0 属 性   文 件 标 准 信 息 （ 创 建 / 修 改 时 间 等 等 ）     3 0 属 性   存 储 文 件 名 属 性 （ 主 要 是 文 件 名 ） 8 0 属 性   存 储 文 件 数 据 内 容 信 息 （ 数 据 过 大 会 存 储 地 址 ） 在 W I N H E X 中 表 现 如 下 ： 其 中 文 件 名 是 存 储 在 3 0 属 性 中 的 ， 而 文 件 内 容 是 存 储 在 8 0 属 性 中 ， 然 而 8 0 属 性 的 容 量 一 般 无 法 存 储 文 件 所 有 的 数 据 ， 因 此 ， 这 里 涉 及 到 了 一 个 " 簇 流 运 行 " 的 概 念 。 什 么 是 簇 流 运 行 " 簇 流 " 是 指 存 放 数 据 的 一 块 区 域 ， 而 " 簇 流 运 行 " 就 是 指 记 录 " 簇 流 " 文 件 具 体 在 那 个 位 置 的 数 据 （ 这 里 涉 及 了 8 0 属 性 的 一 个 " 常 驻 属 性 " 和 " 非 常 驻 属 性 " 的 概 念 ） 。 简 单 说 ， " 簇 流 运 行 " 就 是 指 文 件 存 储 位 置 的 一 段 字 节 。 而 " 簇 流 运 行 " 中 存 储 数 据 有 自 己 的 一 套 规 则 。 举 个 例 子 ， 某 " 簇 流 运 行 " 结 构 如 下 ： 这 里 可 能 有 点 难 理 解 ， 我 猜 你 的 表 情 应 该 是 下 面 这 个 样 子 ：
删 除 文 件 后 N T F S 的 变 化 在 我 们 彻 底 删 除 一 个 文 件 后 ， 在 N T F S 中 到 底 是 有 什 么 变 化 呢 ？ 在 彻 底 删 除 一 个 文 件 后 ， 只 是 在 $ M F T 中 的 1 0 属 性 发 生 变 化 了 ， 表 示 这 个 文 件 可 以 被 写 入 数 据 （ 这 也 是 为 什 么 我 们 不 建 议 对 要 数 据 恢 复 的 磁 盘 进 行 写 入 操 作 的 原 因 ， 害 怕 会 覆 盖 掉 我 们 要 进 行 数 据 恢 复 的 文 件 ） 。 但 是 数 据 和 数 据 属 性 仍 然 存 在 。 也 就 是 数 据 恢 复 的 基 础 。
了 解 N T F S 文 件 的 存 储 规 律 后 ， 接 下 来 数 据 恢 复 的 思 路 就 很 明 显 了 。 我 们 使 用 W I N H E X 定 位 到 M F T 或 者 M F T M I R R 文 件 ， 再 从 M F T / M F T M I R R 文 件 中 找 到 要 恢 复 的 文 件 属 性 和 数 据 存 储 扇 区 ， 导 出 扇 区 中 的 数 据 进 行 数 据 恢 复 了 。 可 能 听 起 来 有 点 懵 逼 ， 所 以 我 们 接 下 来 手 动 尝 试 一 遍 。 使 用 w i n h e x 手 工 数 据 恢 复 首 先 ， s h i f t + d e l e t e 彻 底 删 除 一 张 图 片 作 为 数 据 恢 复 的 对 象 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理