模塊4 數(shù)據(jù)安全存儲與恢復 復習題

1、模塊4 數(shù)據(jù)安全存儲與恢復 復習題 一 、單項選擇題（25）1檢查、排除計算機的故障，應(yīng)遵循（ ）的原則。A）由內(nèi)到外，由軟到硬。B）由外到內(nèi)、由軟到硬C）由內(nèi)到外、由硬到軟D）由外到內(nèi)、由硬到軟答案：A 2下列文檔的擴展名哪一個是批處理文件的擴展名？（）A）A.bakB）B.basC）C.batD）D.cab答案：C 3主引導扇區(qū)位于整個硬盤的那個位置：（）A）A0磁道0柱面0扇區(qū)B）B0磁道0柱面1扇區(qū)C）C0磁道1柱面1扇區(qū)D）D1磁道1柱面1扇區(qū)答案：B 4系統(tǒng)中一般有幾個FAT：（）A）A1個B）B2個C）C3個D）D4個答案：B 5硬盤數(shù)據(jù)的幾個部分中，那個部分是唯一的：

2、（）A）AMBRB）BDBRC）CFATD）DDATA區(qū)答案：A 6Easy Recovery工具的作用是：（）A）A磁盤鏡象B）B數(shù)據(jù)恢復C）CDBR恢復D）DMBR恢復答案：B 7NTFS把磁盤分成兩大部分，其中大約12%分配給（），以滿足不斷增長的文件數(shù)量。該文件對這12%的空間享有獨占權(quán)，余下的88%的空間被分配用來存儲文件。 A）AMBRB）BDBRC）CFATD）DMFT答案：D 8捷波的“恢復精靈”（Recovery Genius）的作用是（）。A）A硬盤保護卡B）B主板BIOS內(nèi)置的系統(tǒng)保護C）C虛擬還原工具D）D殺毒軟件提供的系統(tǒng)備份答案：C 9數(shù)據(jù)恢復的第一步一般是做什么的

3、恢復：（）A）A分區(qū)恢復B）B主引導扇區(qū)記錄C）C文件分配表的恢復D）D數(shù)據(jù)文件的恢復答案：A 10當用戶將需要數(shù)據(jù)恢復的設(shè)備送來時，需要向用戶了解的信息有：（）A）A數(shù)據(jù)丟失發(fā)生的原因，當時進行了什么操作，之后有無任何其它操作B）B存儲設(shè)備的使用年限；容量大小，操作系統(tǒng)版本和分區(qū)的類型、大小C）C要恢復的數(shù)據(jù)在什么分區(qū)上，什么目錄里；什么文件類型；大概數(shù)量D）D以上都是答案：D 11附加的收費可能來自：（）A）A加急費B）B數(shù)據(jù)刻錄或轉(zhuǎn)儲成本費C）C上門服務(wù)費D）D以上都是答案：D 12FDT在FAT12/16中采用（）方式，在FAT32中采用（）方式。A）A固定、固定B）B非固定、固定C）

4、C固定、非固定D）D、非固定、非固定答案：C 13關(guān)于NTFS的元文件，以下論述正確的是：（）A）A$MFTMirr是$MFT的完整映像，所以，為了安全可靠，每個NTFS分區(qū)，都有兩份完全一樣的$MFT，就象FAT分區(qū)的FAT表B）B$MFTMirr是$MFT的完整部分像C）C$Boot文件就是其DBRD）D$Root是該分區(qū)中的根目錄，是最高一級目錄答案：D 14進入正式數(shù)據(jù)恢復操作流程以后，如果與初檢結(jié)果判斷偏差較大，操作風險和費用等急劇升高時，要：（）A）A停止繼續(xù)工作，先行與用戶溝通，取得書面認可（補充協(xié)議）后，再繼續(xù)進行B）B先進行恢復，然后再與用戶溝通C）C取消服務(wù)答案：A 15進

5、行數(shù)據(jù)恢復工作的首要原則是：（）A）A決不能對送修數(shù)據(jù)產(chǎn)生新的傷害（二次損傷，再次損傷）B）B必須簽定數(shù)據(jù)恢復服務(wù)流程工作單（服務(wù)合同書）C）C遇到問題及時與客戶協(xié)商答案：A 16聯(lián)機存儲器又可以稱為：（） A）A近線存儲器B）B在線存儲器C）C離線存儲器答案：B 17數(shù)據(jù)恢復時，我們應(yīng)該選擇什么樣的備份方式：（）A）A磁盤到磁盤的備份B）B文件到文件的備份C）C扇區(qū)到扇區(qū)的備份答案：C 18下面不屬于電存儲技術(shù)的設(shè)備是：（）A）ACMOS芯片B）B閃存C）CZip磁盤答案：C 19下面所列文檔中含有不屬于EasyRecovery可以修復的組是：（）A）AACCESS、WORD、OUTLOOK

6、B）BEXCEL、POWERPOINT、ZIPC）CACESS、WORD、JPEG答案：C 20已經(jīng)知道，MBR可以定位DBR，同樣DBR又可以定位很多的項，選擇下面不是直接由DBR確定的項：（）A）AFAT1的起始扇區(qū)B）BFDT的起始扇區(qū)C）C文件的結(jié)束簇號答案：C 21在Windows 95系統(tǒng)中，文件或目錄實際存儲著兩個名字，一個短文件名和一個長文件名。如果是短文件名，則存儲在8.3格式的32字節(jié)的目錄項中。當創(chuàng)建一個長文件名時，其對應(yīng)短文件名的存儲按以下幾個原則處理，其中不正確的是：（）A）AWindows 95取長文件名的前6個字符加上“1”形成短文件名，其擴展名不變B）B如果已存

7、在這個名字的文件，則符號“”后的數(shù)字自動增加C）C如果有DOS和Windows 3.x非法的字符，則取消創(chuàng)建相應(yīng)的短文件名答案：C 22 操作易損壞硬盤，故不應(yīng)經(jīng)常使用。A）A高級格式化B）B 低級格式化C）C硬盤分區(qū)D）D向硬盤拷答案：B 23硬盤驅(qū)動器 。A）A全封閉，耐震性好，不易損壞B）B不易碎，不象顯示器那樣要注意保護C）C耐震性差，搬運時要注意保護D）D不用時應(yīng)套入紙?zhí)祝乐够覊m進入答案：C 24磁盤的載體表面涂有一層，用于存儲信息。A）A塑料B）B磁性材料C）C去磁物D）D防霉物答案：B 25磁盤一個扇區(qū)的容量為_。 A）A 128BB）B256BC）C512BD）D1024B答

8、案：C  二 、判斷題（44）1一塊磁盤可以分4個主分區(qū)和一個擴展分區(qū)。答案：錯誤 2NTFS文件系統(tǒng)的DBR中讀出的分區(qū)大小就是該分區(qū)的實際大小。答案：錯誤 3FAT表中每個FAT表項的值是文件下一簇的簇號。答案：正確 4Diskgenius是一款分區(qū)表修復軟件，是國人李大海編寫的。答案：正確 5用WINHEX物理打開磁盤時不會讀取DBR參數(shù)。答案：正確 6Mhdd是一款磁盤檢測工具，它能讀取磁盤的P表進行壞道修復。答案：錯誤 7數(shù)據(jù)恢復人員在恢復磁盤時，為保護源盤數(shù)據(jù)安全，要養(yǎng)成做鏡像的好習慣。答案：正確 8分區(qū)被格式化后，在恢復根目錄下的文件時，只能按照不依賴文件系統(tǒng)來恢復。答

9、案：錯誤 9FAT32文件系統(tǒng)中的DBR備份扇區(qū)號，是DBR扇區(qū)號加上6。答案：正確 10索引項中的文件名是ANSI編碼的。答案：錯誤 11一般不將擴展DOS分區(qū)設(shè)為活動分區(qū)。答案：正確 12MBR就是硬盤的主引導記錄。答案：正確 13把制作好的光盤映象ISO刻錄成實際物理光盤，一定要刻錄機和刻錄軟件。答案：正確 14在本地計算機中，只能運行一臺虛擬計算機系統(tǒng)。答案：錯誤 15虛擬計算機系統(tǒng)中的硬件有變化時，本地計算機也要重新配置BIOS。答案：錯誤 16一般地，要構(gòu)造虛擬計算機系統(tǒng)，本地計算機系統(tǒng)中的內(nèi)存容量要盡量的大。答案：正確 17在本地計算機系統(tǒng)中要與虛擬WINDOWS系統(tǒng)計算機進行網(wǎng)

10、絡(luò)通信，就要求一定要連接網(wǎng)絡(luò)連接線。答案：錯誤 18一般硬盤可以分區(qū)為兩個擴展分區(qū)和一個主分區(qū)答案：錯誤 19利用GHOST軟件可以對WINDOWS XP系統(tǒng)進行備份。答案：正確 20如果把操作系統(tǒng)所在分區(qū)升級成動態(tài)磁盤后，也可以還原為基本磁盤答案：錯誤 21把基本磁盤升級為動態(tài)磁盤后，其上的數(shù)據(jù)不會丟失，可以直接使用答案：正確 22在硬盤的分區(qū)表遭到各種情況的破壞后，利用DISKGEN軟件，都可以進行修復答案：正確 23在進行了0磁道損壞的修復后，就不能再利用FDISK來對硬盤進行分區(qū)了答案：錯誤 24文件在任意情況下的刪除，只要不被覆蓋，都是可以恢復的答案：正確 25從理論上來講，文檔的密

11、碼總是可以破解的，但是，在實際中，如果破解時間太長，工程上也認為是不可破解。答案：正確 26當硬盤上的分區(qū)有數(shù)據(jù)時，如果該硬盤的分區(qū)表損壞后，數(shù)據(jù)就不可能再恢復了答案：錯誤 27在FAT 32文件系統(tǒng)中，如果用命令“SHIFT+DEL”來刪除了文件，當使用恢復工具軟件來進行恢復時，一般情況下是不正常的答案：錯誤 28要恢復操作系統(tǒng)所在分區(qū)上的被刪除的文件，一般情況下恢復的幾率比較小，這也說明了不要在操作系統(tǒng)所在分區(qū)上保存文件答案：正確 29硬盤上一般用于保存數(shù)據(jù)的分區(qū)，最好使用NTFS文件系統(tǒng)答案：正確 30U盤使用NTFS文件系統(tǒng)要優(yōu)于FAT32文件系統(tǒng)。答案：錯誤 31在日常工作中，最好事

12、先就安裝好數(shù)據(jù)恢復工具軟件，一旦出現(xiàn)文件的誤刪除，就可以馬上進行恢復，成功率是最高的；答案：正確 32winrar密碼的加密強度比office密碼加密強度下，所以相同密碼的條件下更容易。答案：錯誤 33Adobe Acrobat的存取限制密碼是文檔的所有者用于保護文檔而設(shè)置的，該密碼不影響使用者打開和瀏覽PDF文檔，但保護文檔不被修改、打印、選取文字和圖形（包括將它們拷貝至剪貼板）、添加/修改注釋等。（）答案：正確 34FinalData 也可以用以恢復數(shù)碼存儲設(shè)備上的數(shù)據(jù)。（）答案：正確 35PhotoRescue支持多種數(shù)碼相機儲存介質(zhì)，包括Smart Media記憶卡、Compact F

13、lash（CF卡）、Memory Stick記憶卡、MicroDrive（微型硬盤）等。（）答案：正確 36Word Recovery作為Word插件，可以修復沒有密碼保護的文檔，不能修復有密碼保護的文檔，即使知道其密碼。（）答案：正確 37凡僅有兩種穩(wěn)定的物理狀態(tài)，能方便地檢測出屬于哪種穩(wěn)定狀態(tài)，兩種穩(wěn)定狀態(tài)又容易相互轉(zhuǎn)換的物質(zhì)或元器件，都可以用來記憶二進制代碼“0”和“1”，稱這樣的物質(zhì)或元器件為存儲介質(zhì)或記錄介質(zhì)。（）答案：正確 38邏輯恢復指的是病毒感染、誤格式化、誤分區(qū)、誤克隆、誤操作、網(wǎng)絡(luò)刪除、操作時斷電等數(shù)據(jù)丟失的恢復。（）答案：正確 39命令“FDISK/MBR”除可以重新建立

14、主磁盤的主引導記錄外，還可以清除分區(qū)表。（）答案：錯誤 40使用EasyRecovery修復文檔時，由于EasyRecovery不能自動對待修復的文檔進行備份，所以，在修復前必須對待修復文件進行備份，以防損壞。（）答案：錯誤 41數(shù)據(jù)恢復，簡單地說，就是把遭受破壞、或由硬件缺陷導致不可訪問或不可獲得、或由于誤操作等各種原因?qū)е聛G失的數(shù)據(jù)還原成正常數(shù)據(jù)。（）答案：錯誤 42因為GHOST可以對硬盤進行備份，所以，無論用哪種方式和參數(shù)使用GHOST對要恢復數(shù)據(jù)的硬盤做過備份后，都可以放心的對原硬盤進行恢復，如果不成功，還可以使用GHOST備份的數(shù)據(jù)再次進行恢復。（）答案：錯誤 43硬盤的分區(qū)規(guī)則是

15、：一個分區(qū)的所有扇區(qū)必須連續(xù)，硬盤可以有最多4個物理上的分區(qū)，這4個物理分區(qū)可以是1個主分區(qū)或者3個主分區(qū)加一個擴展分區(qū)。（）答案：錯誤 44硬盤低級格式化（1ow level format）簡稱低格，也稱硬盤物理格式化（physical format）。它的作用是檢測硬盤磁介質(zhì)，劃分磁道，為每個磁道劃分扇區(qū)，并根據(jù)用戶選定的交叉因子安排扇區(qū)在磁道中的排列順序等。（）答案：正確  三 、填空題（31）1進行數(shù)據(jù)恢復以前，一般先用_軟件對源盤進行磁盤健康檢測，測試硬盤的磁頭是否健康、磁盤壞道量和壞道位置、磁盤是否加密或剪切等等；然后用_軟件對源盤進行扇區(qū)級鏡像，對鏡像數(shù)據(jù)分析而不是直接

16、分析源盤數(shù)據(jù)。答案：mhdd winhex 2數(shù)據(jù)恢復領(lǐng)域涉及到的文件系統(tǒng)有WINDOWS下的_、_，LINUX下的_，UNIX下的_，MAC下的_。答案：Fat Ntfs Ext2/Ext3 Ufs1/Ufs2 Hfs+ 3手工分析與恢復數(shù)據(jù)最好的軟件是_；自動恢復數(shù)據(jù)常用的軟件有兩種，分別是_和Recover My Files，其中前一中自動恢復軟件對依賴文件系統(tǒng)的恢復比較有效，后一種對不依賴文件系統(tǒng)的文件比較有效。答案：winhex easyrecovery 4FAT文件系統(tǒng)由_、_、_、_四部分構(gòu)成，根目錄的FDT表存在于_部分中。答案：DBR FAT1 FAT2 數(shù)據(jù)區(qū) 數(shù)據(jù)區(qū) 5F

17、AT中每一個文件或文件夾都有一個目錄項，由目錄項可得到該文件或文件夾的_和_兩個重要信息，但是對于高位簇清0的問題不適用。答案：起始簇號 文件占有簇數(shù) 6FAT中對于不連續(xù)文件的恢復，通常需要分析該文件的_。答案：文件結(jié)構(gòu) 7主引導記錄MBR中有分區(qū)表信息，分區(qū)表一共有_分區(qū)表項。答案：4 8如果一塊磁盤提示未初始化，通常是它的MBR中的_標志被破壞，只要用十六進制編輯器重寫該標志就可解決問題。答案：55AA 9擴展分區(qū)中每個邏輯分區(qū)中的DBR，都有一個隱含扇區(qū)大小參數(shù)，該隱含扇區(qū)大小的參考起始位置是擴展分區(qū)中的_。答案：第一個EMBR 10NTFS中一個文件的起始簇號和文件占用的簇數(shù)這兩個重

18、要信息，從該文件的_屬性中可得到。答案：80 11NTFS中的文件都由_管理，它的起始位置可以由_得到。答案：MFT表 DBR中BPB 12NTFS中每個文件的文件名存在于三個地方，分別是MFT項的_屬性中、該文件的索引項中、日志文件中，文件名都是以_碼存放的。答案：30 Unicode 13NTFS中每個MFT項的大小是_（即兩個扇區(qū)的大?。４鸢福?k 14RAID的實現(xiàn)有兩種，分別是由專門的RAID控制器實現(xiàn)的_和由軟件實現(xiàn)的_。常用的RAID組合有_、_。答案：硬RAID 軟RAID RAID10 RAID53 15計算機系統(tǒng)是由硬件系統(tǒng)和_兩大系統(tǒng)構(gòu)成的。磁盤存儲器屬于_存儲器，一般

19、分為軟盤存儲器和硬盤存儲器。答案：軟件 外 16硬盤驅(qū)動器由_、_和_三個部分組成。答案：盤體 電路部分 接口 17硬盤的類型參數(shù)中，柱面數(shù)的英文縮寫為_，磁頭數(shù)的英文縮寫為_，扇區(qū)數(shù)的英文縮寫為_。答案：c h s 18DOS環(huán)境下檢測磁盤最好的工具是_軟件_,該工具軟件還具有修復壞道功能，除此工具軟件外，_工具軟件也不錯。答案：MHDD HDDR 19MFT，主文件表（Master File Table）的簡稱，它是NTFS文件系統(tǒng)的核心。MFT由一個一個的_（也稱為文件記錄）組成，每個文件記錄占用_個字節(jié)的空間。分區(qū)中每個文件和文件夾的信息都生成一個文件記錄存于MFT中。訪問文件和文件夾

20、時都要先訪問MFT，在MFT中找到該文件的記錄，根據(jù)記錄中的信息找到文件內(nèi)容并對其進行訪問。答案：MFT項 1024 20NTFS文件系統(tǒng)被創(chuàng)建時，會同時建立一些重要的系統(tǒng)信息，這些系統(tǒng)信息也是以文件的形式存在，被稱為_。該類文件的文件名以“_”符號開頭，表示其為隱藏的系統(tǒng)文件，用戶不能直接訪問。一共有_個。答案：元文件 $ 16 21如果一個NTFS分區(qū)的大小超過2G，則該分區(qū)的簇的大小默認是_.答案：4k 22NTFS文件系統(tǒng)比FAT32更穩(wěn)定、更安全。視整個分區(qū)都是數(shù)據(jù)區(qū)，文件以_為單位分配存儲空間，簇編號從_開始。答案：簇 0 23MBR中引導代碼損壞的修復如果使用DOS命令法，該命令

21、為 C:>_答案：FDISK /MBR 24硬盤分區(qū)的類型有_、擴展分區(qū)，在擴展分區(qū)基礎(chǔ)上可以建_分區(qū)。答案：主分區(qū) 邏輯 25FAT短文件名目錄項中文件名是大寫的_碼答案：ASCII碼 26FAT32文件系統(tǒng)中存儲長文件名是_碼.答案：UNICODE 27NTFS中文件名出現(xiàn)在三個地方，分別是_中、_中、日志文件中。都是_碼表示。答案：30屬性中、索引項中 、UNICODE 28硬盤在使用前，需先經(jīng)過_和高級格式化，才能存放數(shù)據(jù)。答案：分區(qū) 29FAT32文件系統(tǒng)中DBR的備份位于其DBR扇區(qū)之后_個扇區(qū)，NTFS文件系統(tǒng)的DBR備份位于_位置。他們的DBR備份有_個。答案：6 本分區(qū)

22、的最后一個扇區(qū) 1 30MBR是指_。答案：主引導扇區(qū) 31DBR是指_。答案：操作系統(tǒng)引導扇區(qū)  四 、問答題（9）11、MBR的開始標志是什么，有哪幾部分構(gòu)成？FAT和NTFS文件系統(tǒng)的開始標志是什么？答案： 開始標志是33 C0 8E 有4部分構(gòu)成，分別是開始標志33 C0 8E 、引導代碼、分區(qū)表、結(jié)束標志55AAFAT文件系統(tǒng)的開始標志EB 58 90NTFS文件系統(tǒng)的開始標志 EB 52 902、FAT文件系統(tǒng)下，有一個文件名為“123456789.TXT”的文件，該文件存儲時會產(chǎn)生長文件名目錄項嗎，為什么？寫該文件的短文件名，并指出短見文件名和長文件名分別用什么碼表示？

23、答案：會的，因為該文件名的字符數(shù)已經(jīng)超出了短文件名的8.3結(jié)構(gòu)短文件名為：1234561.TXT短文件名用ANSI碼表示長文件名用Unicode碼表示 3FAT文件系統(tǒng)下，文件被完全刪除的特點是什么？格式化的特點是什么？答案：刪除特點：清空與該文件相關(guān)的FAT表項、父目錄的FDT表中短文件名目錄項首字節(jié)修改為E5、文件起始簇號的高16位清0、文件數(shù)據(jù)區(qū)內(nèi)容不變。格式化特點：重寫DBR，F(xiàn)AT表和根目錄的FDT表均被清空，子目錄的FDT表不變。4NTFS文件系統(tǒng)的MFT表由一個一個的MFT項構(gòu)成，$Mft和$Root元文件的MFT項號分別是多少？每個項的大小是多少？給出10、30、80、90、A

24、0、B0屬性的名稱。答案：$Mft和$Root元文件的MFT項號分別是0號項和5號項，每個項的大小事1KB10屬性：標準信息屬性，含有文件建立時間和修改時間30屬性：文件名屬性，含有該文件的文件名80屬性：數(shù)據(jù)屬性，含有該文件的起始簇號和文件占有簇數(shù)90屬性：索引跟屬性，含有該目錄下子目錄和文件的索引項A0屬性：索引分配屬性，含有索引項緩沖區(qū)的地址和大小B0屬性：位圖屬性，含有MFT表的占有情況5硬盤常用的接口有哪幾種？答案：IDE SATA SCSI SAS 6GHOST鏡像和WINHEX鏡像的區(qū)別。答案：用GHOST軟件對磁盤或分區(qū)進行的鏡像，是一種文件系統(tǒng)層的操作。該鏡像不包含由于刪除和

25、格式化而丟失的數(shù)據(jù)。例如：500G的硬盤存有10G的數(shù)據(jù)，鏡像后的容量還是10G。WINHEX的鏡像指一種基于物理層面的、扇區(qū)級的鏡像，是一種真正意義上的克隆。例如：500G的硬盤不管存有多少數(shù)據(jù)，要扇區(qū)級鏡像至少需要一個500G容量的硬盤接收。7什么情況下需要鏡像答案：（1）誤刪除、格式化、分區(qū)等操作丟失數(shù)據(jù)時。 目的是防止操作系統(tǒng)寫入數(shù)據(jù)覆蓋有用數(shù)據(jù)。（2）需要進行不可逆的操作。例如進行CHKDSK（自動修復分區(qū)命令）操作。（3）磁盤存有壞道。對源盤操作可能加大壞道范圍。（4）更換磁頭組建。 防止換磁頭時劃傷盤片。（5）陣列恢復。 陣列由多塊磁盤構(gòu)成，陣列重組必須要分析結(jié)構(gòu)，計算參數(shù)。這要

26、求所有盤都掛到恢復用機上，這很困難。（6）電子取證。要求不能對源盤產(chǎn)生任何的寫入操作。8MBR扇區(qū)損壞的原因有哪些？答案： 1、計算機運行中突然斷電2、計算機運行中非法關(guān)機3、計算機運行中非法重啟4、病毒破壞9請問該硬盤共有幾個分區(qū)？分別叫什么分區(qū)？（主分區(qū)、擴展分區(qū)、邏輯分區(qū)等，順序上的第幾個分區(qū)）。（如答：有N個分區(qū)；第一個分區(qū)是XX分區(qū)，）答案：4個、第一個是主分區(qū)、第二個是主分區(qū)、第三個是擴展分區(qū)中第一邏輯分區(qū)、第四個是第二邏輯分區(qū) 五 、分析與設(shè)計題（11）1一個文件，文件名為“SJHF.DOC”,ANSI碼為53 4A 48 46 2E 44 4F 43,如果該文件被完全

27、刪除，分別寫出在FAT和NTFS文件系統(tǒng)下的手工恢復方法。答案：FAT系統(tǒng)下：（1）搜索e5 4A 48 46 2E 44 4F 43,得到該文件的目錄項（2）由目錄項得到該文件的起始簇號和占有的簇數(shù)（3）定位該文件，復制文件到新文件，以DOC保存該文件NTFS系統(tǒng)下：（1）搜索53 00 4A 00 48 00 46 00 2E 00 44 00 4F 00 43 00，得到該文件的MFT項（2）分析該MFT項中的80屬性，由數(shù)據(jù)運行計算文件的開始簇號和占有的簇數(shù)（3）定位該文件，復制文件到新文件，以DOC保存該文件2一個文件的80屬性的數(shù)據(jù)運行列表，列表值為21 20 ED 05 22 4

28、8 07 48 22 21 28 C8 DB，根據(jù)列表值計算該文件的每一部分的起始簇號和簇數(shù)。答案：第一部分21 20 ED 05起始簇號：5ED（1517） 大小：20（32簇）第二部分22 48 07 48 22起始簇號：5ED+2248（1517+8776） 大?。?748（1864簇）第三部分21 28 C8 DB起始簇號：5ED+2248+DBC8（1517+8776-9272） 大小： 28（40簇）3一個客戶的硬盤的D分區(qū)是FAT文件系統(tǒng)，打開時提示“未格式化”，用WINHEX邏輯打開該分區(qū)，搜索“EB 58 90”未果，搜索“F8 FF FF 0F”，假設(shè)在1660扇區(qū)處發(fā)現(xiàn)該

29、標志，由上可得該分區(qū)的DBR和FAT1損壞，F(xiàn)AT2完好，假設(shè)該分區(qū)有卷標“wxd”,給出恢復該分區(qū)的方法。答案：（1）搜索卷標名“wxd”，得到該卷標的目錄項所在位置就是根目錄的FDT表起始扇區(qū)（2）由根目錄FDT表位置往上退一個扇區(qū)，該扇區(qū)號減去FAT2起始扇區(qū)號得到FAT表大?。?）由FAT2起始位置和大小，修復FAT1（4）求出相鄰的兩個目錄之間的扇區(qū)數(shù)和簇數(shù)（搜索兩個相鄰的2E 20 20獲得參數(shù)），得到 每簇扇區(qū)數(shù)=簇數(shù)/扇區(qū)數(shù)（5）物理打開磁盤，讀取分區(qū)表得到該分區(qū)的大小和隱含扇區(qū)數(shù)（6）復制一個好的FAT系統(tǒng)的DBR覆蓋該系統(tǒng)的DBR， 將每簇扇區(qū)數(shù)、分區(qū)大小、隱含扇區(qū)數(shù)填寫到

30、DBR中。 （7）重啟系統(tǒng)4假設(shè)NTFS系統(tǒng)下有一個文件“校歷.xls”，請使用30和80屬性恢復刪除的文件。答案：（1）先在一個文本文件中輸入文件名“校歷.xsl”，以unicode碼保存。（2）將“校歷.xsl”的unicode碼輸入到“搜索”中，通過搜索文件名所在的30屬性，從而定位到該文件的MFT項。（3）從MFT項中分析其80屬性的數(shù)據(jù)運行，從而找到該文件的開始簇號及文件的大小。（4）定位該文件，選中所有內(nèi)容，保存。5給出利用90、A0屬性定位一個文件的方法。（ 例如：J:打印機xy校歷.xsl ）答案：分析根目錄的MFT項（5號），由A0屬性的數(shù)據(jù)運行可以先找到根目錄的索引緩沖區(qū)，

31、緩沖區(qū)里有根目錄下所有文件和文件夾的索引項，通過搜索“打印機”文件名 ，找到“打印機”文件夾的索引項，該索引項中有“打印機”文件夾的MFT項號。定位到“打印機”文件夾的MFT項號，同理，分析該項找到它的索引緩沖區(qū)，找到文件“xy校歷.xsl”的索引項，由索引項找到該文件的MFT項號，定位到該文件的MFT項，由80屬性得到該文件。 6通過$Mft元文件的MFT項中的B0屬性（位圖屬性），分析MFT表的使用情況。答案：定位到$Mft元文件的MFT項（0號項），分析B0屬性的數(shù)據(jù)運行，找到B0屬性中指定的緩沖區(qū)，這里有MFT表的使用情況（每個字節(jié)8位，每一位對應(yīng)MFT表中的一個MFT項，“1”表示該項占用，“0”表示未占用）。 7使用30和80屬性恢復刪除的文件（例如：校歷.xsl）。答案：（1）先在一個文本文件中輸入文件名“校歷.xsl”，以unicode碼保存。（2）將“校歷.xsl”的unicode碼輸入到“搜索”中，通過搜索文件名所在的30屬性，從而定位到該文件的MFT項。（3）從MFT項中分