預備知識

硬碟儲存原理

硬碟儲存是指以硬碟為儲存介質的儲存方式，是一種採用磁介質的資料儲存裝置，資料儲存在密封於潔淨的硬碟驅動器內腔的若干個磁碟片上。這些碟片一般是在以鋁為主要成分的片基表面塗上磁性介質所形成，在磁碟片的每一面上，以轉動軸為軸心、以一定的磁密度為間隔的若干個同心圓就被劃分成磁軌（track），每個磁軌又被劃分為若干個扇區（sector），資料就按扇區存放在硬碟上。在每一面上都相應地有一個讀寫磁頭（head），所以不同磁頭的所有相同位置的磁軌就構成了所謂的柱面（cylinder）。

傳統的硬碟讀寫都是以柱面、磁頭、扇區為定址方式的（CHS定址）。硬碟在上電後保持高速旋轉（5400轉/min以上），位於磁頭臂上的磁頭懸浮在磁碟表面，可以通過步進電機在不同柱面之間移動，對不同的柱面進行讀寫。所以在上電期間如果硬碟受到劇烈振盪，磁碟表面就容易被劃傷，磁頭也容易損壞，這都將給盤上儲存的資料帶來災難性的後果。

硬碟的第一個扇區（0道0頭1扇區）被保留為主引導扇區。在主引導區內主要有兩項內容：主引導記錄和硬碟分割槽表。主引導記錄是一段程式程式碼，其作用主要是對硬碟上安裝的作業系統進行引導；硬碟分割槽表則儲存了硬碟的分割槽資訊。計算機啟動時將讀取該扇區的資料，並對其合法性進行判斷（扇區最後兩個位元組是否為0x55AA或0xAA55 ），如合法則跳轉執行該扇區的第一條指令。所以硬碟的主引導區常常成為病毒攻擊的物件，從而被篡改甚至被破壞。可引導標誌：0x80為可引導分割槽型別標誌；0表示未知；1為FAT12；4為FAT16；5為擴充套件分割槽等等。

winhex

是一款以通用的 16 進位制編輯器為核心，專門用來對付計算機取證、資料恢復、低階資料處理、以及 IT 安全性、各種日常緊急情況的高階工具： 用來檢查和修復各種檔案、恢復刪除檔案、硬碟損壞、數碼相機卡損壞造成的資料丟失等。

Final data

FinalData具有強大的資料恢復功能當檔案被誤刪除（並從回收站中清除）、FAT表或者磁碟根區被病毒侵蝕造成檔案資訊全部丟失、物理故障造成FAT表或者磁碟根區不可讀，以及磁碟格式化造成的全部檔案資訊丟失之後，FinalData都能夠通過直接掃描目標磁碟抽取並恢復出文件資訊（包括檔名、檔案型別、原始位置、建立日期、刪除日期、檔案長度等），使用者可以根據這些資訊方便地查詢和恢復自己需要的檔案。甚至在資料檔案已經被部分覆蓋以後，專業版FinalData也可以將剩餘部分檔案恢復出來。

操作結果截圖

任務一：用Winhex檢視硬碟資訊

1、為虛擬機器新增一塊硬碟

2、安裝winhex

任務二：用Winhex找回被刪除檔案

1、建立反刪除目標檔案

任務三：用Final data恢復被刪除的檔案

1、開啟桌面上tools\finaldata資料夾，找到應用程式“FdWizard”

課後習題

分析與思考

1、finaldata可以恢復，而且回覆完全。winhex處理磁碟格式化，可能會損壞該磁碟類容

2、在 WinHex 中點“檔案一開啟”，找到儲存在電腦中的映象檔案開啟。