HC1309152 基于文件系统的数据恢复

©2015HuaweiTechnologiesCo.,Ltd.Allrightsreserved.HC1309152基于文件系统级别数据恢复基础Copyright©2015HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page2学习完本章节后，您将能够：掌握LUN、磁盘、分区、文件系统的基本概念和应用了解Windows和Linux下常用文件系统NTFS、Ext3掌握Windows下文件系统常见高危操作、故障、解决方法掌握Linux下文件系统常见高危操作、故障、解决方法掌握常用数据恢复工具的使用方法目标Copyright©2015HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page3目录1.磁盘应用的整体架构2.Windows基本磁盘3.NTFS文件系统4.Windows下常见故障及处理方案5.Ext3文件系统及相关命令介绍6.Ext3常见故障及处理方案Copyright©2015HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page4磁盘分区和文件系统磁盘格式基本磁盘（MBR磁盘、GPT磁盘）动态磁盘（LDM数据库）分区|卷分区(主分区、扩展分区)卷(简单、条带、跨区、镜像、RAID5)文件系统Windows：Fat、NTFSLinux:Ext2/3/4、XFS等Copyright©2015HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page5Windows下LUN的使用1、映射给主机的LUN—裸设备；2、初始化—初始化为MBR磁盘、GPT磁盘、动态磁盘，分别写入各类分区的结构信息；3、新建磁盘分区—选择合适的容量创建分区，写入分区的起始、终止、容量大小等信息；4、格式化—选择合适的文件系统（NTFS或FAT32）对分区进行格式化5、分配盘符—给文件系统分区分配盘符，使主机能够访问该数据空间；Copyright©2015HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page6目录1.磁盘应用的整体架构2.Windows基本磁盘3.NTFS文件系统4.Windows下常见故障及处理方案5.Ext3文件系统及相关命令介绍6.Ext3常见故障及处理方案Copyright©2015HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page7磁盘分区—基本磁盘（MBR磁盘）MBR磁盘查看某磁盘（“我的电脑”-“管理”-“磁盘管理”)，该磁盘分为3个主分区究竟MBR磁盘分区系统是如何管理这些分区的呢？默认的磁盘格式。在MBR磁盘上，分区分为主分区和扩展分区。主分区和主扩展分区的总数不超过4，主分区最多4个，主扩展分区最多1个。主扩展分区上必须划分逻辑分区后才可以FS或RAW方式使用。单个分区大小上限为2T。Copyright©2015HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page8磁盘分区—基本磁盘（GPT磁盘）GPT磁盘是什么？即GUIDPartitionTable(GUID分区表)的简写形式，它是WindowsServer2003中的一种磁盘架构，是一种由基于Itanium计算机中的可扩展固件接口(EFI)使用的磁盘分区架构。GPT磁盘的优势：它允许每个磁盘有多达128个分区(MBR磁盘最多只能有4个主分区，或者3个主分区加一个主扩展分区)。支持高达18EB的卷大小(MBR磁盘支持的最大卷为2TB)。允许将主磁盘分区表和备份磁盘分区表用于冗余。支持唯一的磁盘和分区ID(GUID)。性能更加稳定。GPT磁盘结构包括保护MBR、EFI信息、分区表、保留分区、数据区、备份区。Copyright©2015HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page9目录1.磁盘应用的整体架构2.Windows基本磁盘3.NTFS文件系统4.Windows下常见故障及处理方案5.Ext3文件系统及相关命令介绍6.Ext3常见故障及处理方案Copyright©2015HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page10文件系统—NTFSNTFS是目前Windows下最常见的文件系统，它的设计思想：稳定性、安全性、支持大容量的存储设备。NTFS文件系统将所有的数据都视为文件，文件系统的元文件也像普通文件一样的存放。NTFS基本概念：MFT：每个目录和文件的属性信息都包含在MFT中，MFT项纪录了文件和目录的名称、大小、数据存放的位置等信息簇：文件的空间分配单位，取值范围为512字节~64KB，默认为4KB。引导区(DBR):DBR存放着关于文件系统的重要参数信息以及系统引导代码。Copyright©2015HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page11文件系统—NTFS建立文件系统后磁盘的总体布局如下所示：Copyright©2015HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page12目录1.磁盘应用的整体架构2.Windows基本磁盘、动态磁盘布局3.NTFS文件系统4.Windows下常见故障及处理方案5.Ext3文件系统及相关命令介绍6.Ext3常见故障及处理方案Copyright©2015HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page13Windows下常见故障及高危操作人为误操作、高危操作1.误删除文件2.误格式化文件系统(快速格式化、低格）3.文件系统受损后或误删除文件后，继续往该文件系统进行读写操作4.文件系统受损后，重启主机，会自动触发CHKDSKCopyright©2015HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page14Windows下常见故障1磁盘分区丢失，磁盘显示“未指派”故障的原因：磁盘MBR扇区分区表损坏解决办法：使用Winhex搜索丢失分区Copyright©2015HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page15Windows下常见故障2文件系统内某个文件夹打不开，提示“文件或目录损坏且无法读取”故障的原因：该文件夹的元数据损坏解决办法：使用Winhex打开该文件夹，恢复出该文件夹下的子文件。Copyright©2015HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page16Windows下常见故障3NTFS文件系统不能打开，提示“未格式化”或显示“RAW”状态故障可能的原因：文件系统DBR或元文件部分数据损坏解决办法：利用Winhex查看并打开文件系统Copyright©2015HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page17Windows下常见故障4NTFS文件系统文件被误删除故障可能的原因：人为误操作将重要的文件(shift+delete)删除或回收站也被清空解决办法：利用Winhex打开该文件系统，将误删除的文件恢复Copyright©2015HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page18Windows故障信息收集1“控制面板”-”管理工具”-“事件查看器”-“Windows日志”应用程序：记载服务器上面软件程序运行方面的一些事件。系统：记载服务器程序运行状况。Copyright©2015HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page19Windows故障信息收集2“我的电脑”-”管理”-“磁盘管理”Copyright©2015HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page20目录1.磁盘应用的整体架构2.Windows基本磁盘3.NTFS文件系统4.Windows下常见故障及处理方案5.Ext3文件系统及相关命令介绍6.Ext3常见故障及处理方案Copyright©2015HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page21Linux—Ext3文件系统ExtX发展历史Extx“thexthextendedfilesystem”是linux下应用最为广泛的一种文件系统。Ext21992年，对minix文件系统扩展而来，以block为存储单元Ext32001年发布，是一种日志文件系统，在ext2的基础上增加了日志功能，兼容ext2Ext42006年发布，是ext3的增强版本，采用基于extent分配方式，向下兼容，支持大文件Copyright©2015HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page22Ext3文件系统基本结构ExtX文件系统存储单位块（Block）：由若干连续的扇区组成，通常为2、4、8个扇区。块地址由0开始，0号块起始于文件系统的第一个扇区。全局编号，分组使用。块组（group）：由若干连续的块组成，块组内块的数量由块大小决定，块大小（byte）*8即为每个块组内块的数目。超级块（SuperBlock):存储Ext3文件系统基本信息，比如块大小、i节点数、总块数等信息。i节点（inode):每个i节点对应1个文件，它存放着描述文件的大小、文件存放的位置等信息。块组1…块组2超级块…i节点表…块组m文件系统块组0Copyright©2015HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page23Ext3文件系统相关命令命令名称命令作用命令格式mount挂载文件系统mount/dev/xxx/mntumount卸载文件系统umount/dev/xxxmkfs.ext3格式化ext3文件系统mkfs.ext3/dev/xxxhexdump十六进制查看器hexdump–C/dev/xxxdumpe2fs查看文件系统参数信息dumpe2fs/dev/xxxfsck.ext3修复文件系统fsck.ext3/dev/xxxCopyright©2015HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page24Ext3文件系统故障信息收集1/var/log/message主机日志信息Copyright©2015HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page25Ext3文件系统故障信息收集2mount1.用于查看文件系统挂载状态rw:读写状态挂载ro:只读状态挂载2.mount失败记录打印信息Copyright©2015HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page26文件系统修复——fsck格式：fsck[-tfstype][filesys...][fs-specific-options]注意：执行fsck之前，必须将文件系统umount。切忌随意对正常运行文件系统进行fsck。常用参数：fsck.ext2和fsck.ext3常用的几个选项：-y：自动进行文件系统修复；-n：不对文件系统做任何改变，只是以只读方式检测是否有问题；Copyright©2015HuaweiTechnologiesCo.,Ltd.Allrightsr