西站DOS分区磁盘数据恢复

对于DOS分区体系的磁盘进行数据恢复及电子取证时需要注意哪些事项呢?

基于DOS分区体系的磁盘,不管是主文件系统分区还是二级文件系统分区,大都起,始于距MBR扇区或EBR扇区63个扇区的位置。MBR和EBR只占用一个扇区,它们与文件系统分区间会有62个扇区的空闲空间。这部分空闲空间中有可能被用于存放附加的引导代码、被病毒*利用或者残留有以前的文件系统下保存的数据,当然也可能被用于隐藏数据。Windows XP在对磁盘进行分区操作时不对这部分空间进行清除。

理论上,对于操作系统而言,EBR分区表内*多只允许记录两个分区表项,而且必须是一个用于描述一个文件系统分区,另一个用以描述一个扩展分区。否则操作系统则认为其为非法。我们通过实验还发现,Winhex和R-Studio并不对此进行严格要求。另外还发现,如果只是主分区表遭到破坏,Winhex仍然可以识别出各个分区,并标明所有的分区为“丢失”状态。如果有十分把握,也可以将主分区表的各个表项值计算出来,直接填入主分区表,这样可以节省大量的数据导出时间,尤其在数据量比较大的时候。

并不是所有的操作系统都对分区类型值进行强制执行。据称,Windows操作系统会根据这个分区类型值判断哪个分区是可以被加载的。但实验中发现,Windows XP似乎只是根据这个类型值判断一个分区是否为隐藏分区而决定是否对其进行加载,在分区类型值为非隐藏分区类型值时,并不完全只凭这个类型值就判定分区是否可以被支持,而是会深入到文件系统分区的引导扇区进行判断。

磁盘数据恢复服务中心地址:兰州市七里河区西津西路24号建兰大厦18楼1804室

(从老凤祥金店右侧建兰大厦大厅入口进入乘坐电梯上18楼1804室)  

上班时间:周一至周日9:00-18:30(节假日无休)我们将竭尽为大家服务!