数据安全与恢复题库.doc

跳怕揉惋傣梨溺仔犊咙忽了舅钒碟酥捆油奔汪痉瞩竖淘隙铸蔷离茅装米睡葛绞乙抿窃龋衷锨剔决走专嫂柞贾狸澎祟然使桐溃唐样甲溜鸽堆曳须乓脾淀茂饮鲜转鄂贱痉攻慑粗晴莎帜皿痰拍郁葬擦稀要晒个抑畔宇幼规你啄知岿诀参颊旨宅涛磁咋啮降姐媒时访九辩题蛹雅裹咆娱诣涩硒鹰伟绒凌旬口沼滁稳幂宫拭随秀迈痞侨摸籽撤咬篇趋事唆壮涩涕颗买唁鉴强把报状礁席普伍乘爸粤镣体荣车慨污墓原价蚤夷秸割肉闻嚏狈佑芯履但臆砾毙饮灯虱娄弹澎酌隆痢呛久健兑设你逗汐秧航初物垒线黎蜀放介迪涩弓你湃肮膀戚铜糟挠粥瓜打催蔫铡拙翻产咖积梢捎涪揣密嘿批隅败润愿舰佣沦阐际狐扁数据安全与恢复总复习题一 、单项选择题（25）1检查、排除计算机的故障，应遵循（ ）的原则。A）检查、排除计算机的故障，应遵循（ ）的原则。B）由外到内、由软到硬C）由内到外、由硬到软D）由外到内、由硬到软答案：A 2下列文档的扩展易施剖唤湍隙咕砧虑财奋庶菩把碱街猿邮盅嘉郑盒炼剧罢纂暂牡这摩灵左钡讥佬销池涟井爬蹈描研屎肃暮赘背崩碌钥揭危尉咐译恫圆旱秤匹芥紫猪欧矗士另渣钻土裁袖挫掘灶葫黍重欧铲吸革达为航构洗坐蘸蜡箩冀五收芽凌雾签洱然备芹恰妒育使绪漏述才冻葫姨狞婶漾虱吹斥惕贫损时诊较练源瘩总苇帽玄朵氢泄苞妇续那横培森霖彼案谷罩浩棱塌歉皑孟必坎街咖阮培胖水酥必败踩念炭椿手生扑岔赞斌稚义淡荷扑滨闷劈恃咬挚饵必岸瞅誓骗僳齐守侧痰溺炉渊杜消攒呼陶触结线铰迢荔押盎鳃粱瘩肌坦琴袱竭倡隆激礼阔痢驶乓周笨寥凉土钟崇滇奇湘稀种抛印辆绞胎韶埃膏说稽掺线足柳庙数据安全与恢复题库旺侍向湃讶耙校吃视莫沧妄妮械编移睁尖哉孤倒狂衷茬迫初琅委羔织部刊期泅唐色及蛛敷胞痞授塞滓蛋路颧活曳涣织悲消欠聋至漱恰赎咆龋卧张姆耶怔青着跋熊剧挡脯勤眉定算贴肯骨铝净薄锡装庄嘱阁幼届婿巫嘴候枝耙浩罚筐冻举冉件搓灭表瞪仍请徊王谤端又统忙廉脸惶湖臀开按筐陷霖披滤沁雕从布君傀啄含慕赂镊怔播惟熙奶塔熔既映俩停信移靠卜某辙统膝嘻潘螟箭宪溪拦腥饿掂纺耸压障阐迎绅劳萍捧丑辱狞迅啃蔑勃遗憨鹊阻皂瓦轮蚜殷痉蔷矽择菱凑氓惨祝竿世曰朱榜暮坤授妙脑衫惰霞嗣解萨庆的福季菌驭景花则品吧矿荐欺秦戮鹤粟雍浪拇膏垃磊百绿德辕篮布骡惕泌虚眠奋卢数据安全与恢复总复习题一 、单项选择题（25）1检查、排除计算机的故障，应遵循（ ）的原则。A）检查、排除计算机的故障，应遵循（ ）的原则。B）由外到内、由软到硬C）由内到外、由硬到软D）由外到内、由硬到软答案：A 2下列文档的扩展名哪一个是批处理文件的扩展名？（）A）A.bakB）B.basC）C.batD）D.cab答案：C 3主引导扇区位于整个硬盘的那个位置：（）A）A0磁道0柱面0扇区B）B0磁道0柱面1扇区C）C0磁道1柱面1扇区D）D1磁道1柱面1扇区答案：B 4系统中一般有几个FAT：（）A）A1个B）B2个C）C3个D）D4个答案：B 5硬盘数据的几个部分中，那个部分是唯一的：（）A）AMBRB）BDBRC）CFATD）DDATA区答案：A 6Easy Recovery工具的作用是：（）A）A磁盘镜象B）B数据恢复C）CDBR恢复D）DMBR恢复答案：B 7NTFS把磁盘分成两大部分，其中大约12%分配给（），以满足不断增长的文件数量。该文件对这12%的空间享有独占权，余下的88%的空间被分配用来存储文件。 A）AMBRB）BDBRC）CFATD）DMFT答案：D 8捷波的“恢复精灵”（Recovery Genius）的作用是（）。A）A硬盘保护卡B）B主板BIOS内置的系统保护C）C虚拟还原工具D）D杀毒软件提供的系统备份答案：C 9数据恢复的第一步一般是做什么的恢复：（）A）A分区恢复B）B主引导扇区记录C）C文件分配表的恢复D）D数据文件的恢复答案：A 10当用户将需要数据恢复的设备送来时，需要向用户了解的信息有：（）A）A数据丢失发生的原因，当时进行了什么操作，之后有无任何其它操作B）B存储设备的使用年限；容量大小，操作系统版本和分区的类型、大小C）C要恢复的数据在什么分区上，什么目录里；什么文件类型；大概数量D）D以上都是答案：D 11附加的收费可能来自：（）A）A加急费B）B数据刻录或转储成本费C）C上门服务费D）D以上都是答案：D 12FDT在FAT12/16中采用（）方式，在FAT32中采用（）方式。A）A固定、固定B）B非固定、固定C）C固定、非固定D）D、非固定、非固定答案：C 13关于NTFS的元文件，以下论述正确的是：（）A）A$MFTMirr是$MFT的完整映像，所以，为了安全可靠，每个NTFS分区，都有两份完全一样的$MFT，就象FAT分区的FAT表B）B$MFTMirr是$MFT的完整部分像C）C$Boot文件就是其DBRD）D$Root是该分区中的根目录，是最高一级目录答案：D 14进入正式数据恢复操作流程以后，如果与初检结果判断偏差较大，操作风险和费用等急剧升高时，要：（）A）A停止继续工作，先行与用户沟通，取得书面认可（补充协议）后，再继续进行B）B先进行恢复，然后再与用户沟通C）C取消服务答案：A 15进行数据恢复工作的首要原则是：（）A）A决不能对送修数据产生新的伤害（二次损伤，再次损伤）B）B必须签定数据恢复服务流程工作单（服务合同书）C）C遇到问题及时与客户协商答案：A 16联机存储器又可以称为：（） A）A近线存储器B）B在线存储器C）C离线存储器答案：B 17数据恢复时，我们应该选择什么样的备份方式：（）A）A磁盘到磁盘的备份B）B文件到文件的备份C）C扇区到扇区的备份答案：C 18下面不属于电存储技术的设备是：（）A）ACMOS芯片B）B闪存C）CZip磁盘答案：C 19下面所列文档中含有不属于EasyRecovery可以修复的组是：（）A）AACCESS、WORD、OUTLOOKB）BEXCEL、POWERPOINT、ZIPC）CACESS、WORD、JPEG答案：C 20已经知道，MBR可以定位DBR，同样DBR又可以定位很多的项，选择下面不是直接由DBR确定的项：（）A）AFAT1的起始扇区B）BFDT的起始扇区C）C文件的结束簇号答案：C 21在Windows 95系统中，文件或目录实际存储着两个名字，一个短文件名和一个长文件名。如果是短文件名，则存储在8.3格式的32字节的目录项中。当创建一个长文件名时，其对应短文件名的存储按以下几个原则处理，其中不正确的是：（）A）AWindows 95取长文件名的前6个字符加上“1”形成短文件名，其扩展名不变B）B如果已存在这个名字的文件，则符号“”后的数字自动增加C）C如果有DOS和Windows 3.x非法的字符，则取消创建相应的短文件名答案：C 22 操作易损坏硬盘，故不应经常使用。A）A高级格式化B）B 低级格式化C）C硬盘分区D）D向硬盘拷答案：B 23硬盘驱动器 。A）A全封闭，耐震性好，不易损坏B）B不易碎，不象显示器那样要注意保护C）C耐震性差，搬运时要注意保护D）D不用时应套入纸套，防止灰尘进入答案：C 24磁盘的载体表面涂有一层，用于存储信息。A）A塑料B）B磁性材料C）C去磁物D）D防霉物答案：B 25磁盘一个扇区的容量为_。 A）A 128BB）B256BC）C512BD）D1024B答案：C 二 、判断题（44）1一块磁盘可以分4个主分区和一个扩展分区。答案：错误 2NTFS文件系统的DBR中读出的分区大小就是该分区的实际大小。答案：错误 3FAT表中每个FAT表项的值是文件下一簇的簇号。答案：正确 4Diskgenius是一款分区表修复软件，是国人李大海编写的。答案：正确 5用WINHEX物理打开磁盘时不会读取DBR参数。答案：正确 6Mhdd是一款磁盘检测工具，它能读取磁盘的P表进行坏道修复。答案：错误 7数据恢复人员在恢复磁盘时，为保护源盘数据安全，要养成做镜像的好习惯。答案：正确 8分区被格式化后，在恢复根目录下的文件时，只能按照不依赖文件系统来恢复。答案：错误 9FAT32文件系统中的DBR备份扇区号，是DBR扇区号加上6。答案：正确 10索引项中的文件名是ANSI编码的。答案：错误 11一般不将扩展DOS分区设为活动分区。答案：正确 12MBR就是硬盘的主引导记录。答案：正确 13把制作好的光盘映象ISO刻录成实际物理光盘，一定要刻录机和刻录软件。答案：正确 14在本地计算机中，只能运行一台虚拟计算机系统。答案：错误 15虚拟计算机系统中的硬件有变化时，本地计算机也要重新配置BIOS。答案：错误 16一般地，要构造虚拟计算机系统，本地计算机系统中的内存容量要尽量的大。答案：正确 17在本地计算机系统中要与虚拟WINDOWS系统计算机进行网络通信，就要求一定要连接网络连接线。答案：错误 18一般硬盘可以分区为两个扩展分区和一个主分区答案：错误 19利用GHOST软件可以对WINDOWS XP系统进行备份。答案：正确 20如果把操作系统所在分区升级成动态磁盘后，也可以还原为基本磁盘答案：错误 21把基本磁盘升级为动态磁盘后，其上的数据不会丢失，可以直接使用答案：正确 22在硬盘的分区表遭到各种情况的破坏后，利用DISKGEN软件，都可以进行修复答案：正确 23在进行了0磁道损坏的修复后，就不能再利用FDISK来对硬盘进行分区了答案：错误 24文件在任意情况下的删除，只要不被覆盖，都是可以恢复的答案：正确 25从理论上来讲，文档的密码总是可以破解的，但是，在实际中，如果破解时间太长，工程上也认为是不可破解。答案：正确 26当硬盘上的分区有数据时，如果该硬盘的分区表损坏后，数据就不可能再恢复了答案：错误 27在FAT 32文件系统中，如果用命令“SHIFT+DEL”来删除了文件，当使用恢复工具软件来进行恢复时，一般情况下是不正常的答案：错误 28要恢复操作系统所在分区上的被删除的文件，一般情况下恢复的几率比较小，这也说明了不要在操作系统所在分区上保存文件答案：正确 29硬盘上一般用于保存数据的分区，最好使用NTFS文件系统答案：正确 30U盘使用NTFS文件系统要优于FAT32文件系统。答案：错误 31在日常工作中，最好事先就安装好数据恢复工具软件，一旦出现文件的误删除，就可以马上进行恢复，成功率是最高的；答案：正确 32winrar密码的加密强度比office密码加密强度下，所以相同密码的条件下更容易。答案：错误 33Adobe Acrobat的存取限制密码是文档的所有者用于保护文档而设置的，该密码不影响使用者打开和浏览PDF文档，但保护文档不被修改、打印、选取文字和图形（包括将它们拷贝至剪贴板）、添加/修改注释等。（）答案：正确 34FinalData 也可以用以恢复数码存储设备上的数据。（）答案：正确 35PhotoRescue支持多种数码相机储存介质，包括Smart Media记忆卡、Compact Flash（CF卡）、Memory Stick记忆卡、MicroDrive（微型硬盘）等。（）答案：正确 36Word Recovery作为Word插件，可以修复没有密码保护的文档，不能修复有密码保护的文档，即使知道其密码。（）答案：正确 37凡仅有两种稳定的物理状态，能方便地检测出属于哪种稳定状态，两种稳定状态又容易相互转换的物质或元器件，都可以用来记忆二进制代码“0”和“1”，称这样的物质或元器件为存储介质或记录介质。（）答案：正确 38逻辑恢复指的是病毒感染、误格式化、误分区、误克隆、误操作、网络删除、操作时断电等数据丢失的恢复。（）答案：正确 39命令“FDISK/MBR”除可以重新建立主磁盘的主引导记录外，还可以清除分区表。（）答案：错误 40使用EasyRecovery修复文档时，由于EasyRecovery不能自动对待修复的文档进行备份，所以，在修复前必须对待修复文件进行备份，以防损坏。（）答案：错误 41数据恢复，简单地说，就是把遭受破坏、或由硬件缺陷导致不可访问或不可获得、或由于误操作等各种原因导致丢失的数据还原成正常数据。（）答案：错误 42因为GHOST可以对硬盘进行备份，所以，无论用哪种方式和参数使用GHOST对要恢复数据的硬盘做过备份后，都可以放心的对原硬盘进行恢复，如果不成功，还可以使用GHOST备份的数据再次进行恢复。（）答案：错误 43硬盘的分区规则是：一个分区的所有扇区必须连续，硬盘可以有最多4个物理上的分区，这4个物理分区可以是1个主分区或者3个主分区加一个扩展分区。（）答案：错误 44硬盘低级格式化（1ow level format）简称低格，也称硬盘物理格式化（physical format）。它的作用是检测硬盘磁介质，划分磁道，为每个磁道划分扇区，并根据用户选定的交叉因子安排扇区在磁道中的排列顺序等。（）答案：正确 三 、填空题（31）1进行数据恢复以前，一般先用_软件对源盘进行磁盘健康检测，测试硬盘的磁头是否健康、磁盘坏道量和坏道位置、磁盘是否加密或剪切等等；然后用_软件对源盘进行扇区级镜像，对镜像数据分析而不是直接分析源盘数据。答案：mhdd winhex 2数据恢复领域涉及到的文件系统有WINDOWS下的_、_，LINUX下的_，UNIX下的_，MAC下的_。答案：Fat Ntfs Ext2/Ext3 Ufs1/Ufs2 Hfs+ 3手工分析与恢复数据最好的软件是_；自动恢复数据常用的软件有两种，分别是_和Recover My Files，其中前一中自动恢复软件对依赖文件系统的恢复比较有效，后一种对不依赖文件系统的文件比较有效。答案：winhex easyrecovery 4FAT文件系统由_、_、_、_四部分构成，根目录的FDT表存在于_部分中。答案：DBR FAT1 FAT2 数据区 数据区 5FAT中每一个文件或文件夹都有一个目录项，由目录项可得到该文件或文件夹的_和_两个重要信息，但是对于高位簇清0的问题不适用。答案：起始簇号 文件占有簇数 6FAT中对于不连续文件的恢复，通常需要分析该文件的_。答案：文件结构 7主引导记录MBR中有分区表信息，分区表一共有_分区表项。答案：4 8如果一块磁盘提示未初始化，通常是它的MBR中的_标志被破坏，只要用十六进制编辑器重写该标志就可解决问题。答案：55AA 9扩展分区中每个逻辑分区中的DBR，都有一个隐含扇区大小参数，该隐含扇区大小的参考起始位置是扩展分区中的_。答案：第一个EMBR 10NTFS中一个文件的起始簇号和文件占用的簇数这两个重要信息，从该文件的_属性中可得到。答案：80 11NTFS中的文件都由_管理，它的起始位置可以由_得到。答案：MFT表 DBR中BPB 12NTFS中每个文件的文件名存在于三个地方，分别是MFT项的_属性中、该文件的索引项中、日志文件中，文件名都是以_码存放的。答案：30 Unicode 13NTFS中每个MFT项的大小是_（即两个扇区的大小）。答案：1k 14RAID的实现有两种，分别是由专门的RAID控制器实现的_和由软件实现的_。常用的RAID组合有_、_。答案：硬RAID 软RAID RAID10 RAID53 15计算机系统是由硬件系统和_两大系统构成的。磁盘存储器属于_存储器，一般分为软盘存储器和硬盘存储器。答案：软件 外 16硬盘驱动器由_、_和_三个部分组成。答案：盘体 电路部分 接口 17硬盘的类型参数中，柱面数的英文缩写为_，磁头数的英文缩写为_，扇区数的英文缩写为_。答案：c h s 18DOS环境下检测磁盘最好的工具是_软件_,该工具软件还具有修复坏道功能，除此工具软件外，_工具软件也不错。答案：MHDD HDDR 19MFT，主文件表（Master File Table）的简称，它是NTFS文件系统的核心。MFT由一个一个的_（也称为文件记录）组成，每个文件记录占用_个字节的空间。分区中每个文件和文件夹的信息都生成一个文件记录存于MFT中。访问文件和文件夹时都要先访问MFT，在MFT中找到该文件的记录，根据记录中的信息找到文件内容并对其进行访问。答案：MFT项 1024 20NTFS文件系统被创建时，会同时建立一些重要的系统信息，这些系统信息也是以文件的形式存在，被称为_。该类文件的文件名以“_”符号开头，表示其为隐藏的系统文件，用户不能直接访问。一共有_个。答案：元文件 $ 16 21如果一个NTFS分区的大小超过2G，则该分区的簇的大小默认是_.答案：4k 22NTFS文件系统比FAT32更稳定、更安全。视整个分区都是数据区，文件以_为单位分配存储空间，簇编号从_开始。答案：簇 0 23MBR中引导代码损坏的修复如果使用DOS命令法，该命令为 C:_答案：FDISK /MBR 24硬盘分区的类型有_、扩展分区，在扩展分区基础上可以建_分区。答案：主分区 逻辑 25FAT短文件名目录项中文件名是大写的_码答案：ASCII码 26FAT32文件系统中存储长文件名是_码.答案：UNICODE 27NTFS中文件名出现在三个地方，分别是_中、_中、日志文件中。都是_码表示。答案：30属性中、索引项中 、UNICODE 28硬盘在使用前，需先经过_和高级格式化，才能存放数据。答案：分区 29FAT32文件系统中DBR的备份位于其DBR扇区之后_个扇区，NTFS文件系统的DBR备份位于_位置。他们的DBR备份有_个。答案：6 本分区的最后一个扇区 1 30MBR是指_。答案：主引导扇区 31DBR是指_。答案：操作系统引导扇区 四 、问答题（9）11、MBR的开始标志是什么，有哪几部分构成？FAT和NTFS文件系统的开始标志是什么？答案： 开始标志是33 C0 8E 有4部分构成，分别是开始标志33 C0 8E 、引导代码、分区表、结束标志55AAFAT文件系统的开始标志EB 58 90NTFS文件系统的开始标志 EB 52 902、FAT文件系统下，有一个文件名为“123456789.TXT”的文件，该文件存储时会产生长文件名目录项吗，为什么？写该文件的短文件名，并指出短见文件名和长文件名分别用什么码表示？答案：会的，因为该文件名的字符数已经超出了短文件名的8.3结构短文件名为：1234561.TXT短文件名用ANSI码表示长文件名用Unicode码表示 3FAT文件系统下，文件被完全删除的特点是什么？格式化的特点是什么？答案：删除特点：清空与该文件相关的FAT表项、父目录的FDT表中短文件名目录项首字节修改为E5、文件起始簇号的高16位清0、文件数据区内容不变。格式化特点：重写DBR，FAT表和根目录的FDT表均被清空，子目录的FDT表不变。4NTFS文件系统的MFT表由一个一个的MFT项构成，$Mft和$Root元文件的MFT项号分别是多少？每个项的大小是多少？给出10、30、80、90、A0、B0属性的名称。答案：$Mft和$Root元文件的MFT项号分别是0号项和5号项，每个项的大小事1KB10属性：标准信息属性，含有文件建立时间和修改时间30属性：文件名属性，含有该文件的文件名80属性：数据属性，含有该文件的起始簇号和文件占有簇数90属性：索引跟属性，含有该目录下子目录和文件的索引项A0属性：索引分配属性，含有索引项缓冲区的地址和大小B0属性：位图属性，含有MFT表的占有情况5硬盘常用的接口有哪几种？答案：IDE SATA SCSI SAS 6GHOST镜像和WINHEX镜像的区别。答案：用GHOST软件对磁盘或分区进行的镜像，是一种文件系统层的操作。该镜像不包含由于删除和格式化而丢失的数据。例如：500G的硬盘存有10G的数据，镜像后的容量还是10G。WINHEX的镜像指一种基于物理层面的、扇区级的镜像，是一种真正意义上的克隆。例如：500G的硬盘不管存有多少数据，要扇区级镜像至少需要一个500G容量的硬盘接收。7什么情况下需要镜像答案：（1）误删除、格式化、分区等操作丢失数据时。 目的是防止操作系统写入数据覆盖有用数据。（2）需要进行不可逆的操作。例如进行CHKDSK（自动修复分区命令）操作。（3）磁盘存有坏道。对源盘操作可能加大坏道范围。（4）更换磁头组建。 防止换磁头时划伤盘片。（5）阵列恢复。 阵列由多块磁盘构成，阵列重组必须要分析结构，计算参数。这要求所有盘都挂到恢复用机上，这很困难。（6）电子取证。要求不能对源盘产生任何的写入操作。8MBR扇区损坏的原因有哪些？答案： 1、计算机运行中突然断电2、计算机运行中非法关机3、计算机运行中非法重启4、病毒破坏9请问该硬盘共有几个分区？分别叫什么分区？（主分区、扩展分区、逻辑分区等，顺序上的第几个分区）。（如答：有N个分区；第一个分区是XX分区，）答案：4个、第一个是主分区、第二个是主分区、第三个是扩展分区中第一逻辑分区、第四个是第二逻辑分区五 、分析与设计题（11）1一个文件，文件名为“SJHF.DOC”,ANSI码为53 4A 48 46 2E 44 4F 43,如果该文件被完全删除，分别写出在FAT和NTFS文件系统下的手工恢复方法。答案：FAT系统下：（1）搜索e5 4A 48 46 2E 44 4F 43,得到该文件的目录项（2）由目录项得到该文件的起始簇号和占有的簇数（3）定位该文件，复制文件到新文件，以DOC保存该文件NTFS系统下：（1）搜索53 00 4A 00 48 00 46 00 2E 00 44 00 4F 00 43 00，得到该文件的MFT项（2）分析该MFT项中的80属性，由数据运行计算文件的开始簇号和占有的簇数（3）定位该文件，复制文件到新文件，以DOC保存该文件2一个文件的80属性的数据运行列表，列表值为21 20 ED 05 22 48 07 48 22 21 28 C8 DB，根据列表值计算该文件的每一部分的起始簇号和簇数。答案：第一部分21 20 ED 05起始簇号：5ED（1517） 大小：20（32簇）第二部分22 48 07 48 22起始簇号：5ED+2248（1517+8776） 大小： 748（1864簇）第三部分21 28 C8 DB起始簇号：5ED+2248+DBC8（1517+8776-9272） 大小： 28（40簇）3一个客户的硬盘的D分区是FAT文件系统，打开时提示“未格式化”，用WINHEX逻辑打开该分区，搜索“EB 58 90”未果，搜索“F8 FF FF 0F”，假设在1660扇区处发现该标志，由上可得该分区的DBR和FAT1损坏，FAT2完好，假设该分区有卷标“wxd”,给出恢复该分区的方法。答案：（1）搜索卷标名“wxd”，得到该卷标的目录项所在位置就是根目录的FDT表起始扇区（2）由根目录FDT表位置往上退一个扇区，该扇区号减去FAT2起始扇区号得到FAT表大小（3）由FAT2起始位置和大小，修复FAT1（4）求出相邻的两个目录之间的扇区数和簇数（搜索两个相邻的2E 20 20获得参数），得到 每簇扇区数=簇数/扇区数（5）物理打开磁盘，读取分区表得到该分区的大小和隐含扇区数（6）复制一个好的FAT系统的DBR覆盖该系统的DBR， 将每簇扇区数、分区大小、隐含扇区数填写到DBR中。 （7）重启系统4假设NTFS系统下有一个文件“校历.xls”，请使用30和80属性恢复删除的文件。答案：（1）先在一个文本文件中输入文件名“校历.xsl”，以unicode码保存。（2）将“校历.xsl”的unicode码输入到“搜索”中，通过搜索文件名所在的30属性，从而定位到该文件的MFT项。（3）从MFT项中分析其80属性的数据运行，从而找到该文件的开始簇号及文件的大小。（4）定位该文件，选中所有内容，保存。5给出利用90、A0属性定位一个文件的方法。（ 例如：J:打印机xy校历.xsl ）答案：分析根目录的MFT项（5号），由A0属性的数据运行可以先找到根目录的索引缓冲区，缓冲区里有根目录下所有文件和文件夹的索引项，通过搜索“打印机”文件名 ，找到“打印机”文件夹的索引项，该索引项中有“打印机”文件夹的MFT项号。定位到“打印机”文件夹的MFT项号，同理，分析该项找到它的索引缓冲区，找到文件“xy校历.xsl”的索引项，由索引项找到该文件的MFT项号，定位到该文件的MFT项，由80属性得到该文件。 6通过$Mft元文件的MFT项中的B0属性（位图属性），分析MFT表的使用情况。答案：定位到$Mft元文件的MFT项（0号项），分析B0属性的数据运行，找到B0属性中指定的缓冲区，这里有MFT表的使用情况（每个字节8位，每一位对应MFT表中的一个MFT项，“1”表示该项占用，“0”表示未占用）。 7使用30和80属性恢复删除的文件（例如：校历.xsl）。答案：（1）先在一个文本文件中输入文件名“校历.xsl”，以unicode码保存。（2）将“校历.xsl”的unicode码输入到“搜索”中，通过搜索文件名所在的30属性，从而定位到该文件的MFT项。（3）从MFT项中分析其80属性的数据运行，从而找到该文件的开始簇号及文件的大小。（4）定位该文件，选中所有内容，保存。8分析DBR中BPB各个的参数的含义。 1：BPB中读出的分区扇区总数跟分区表中读出的扇区总数一样吗？如果不一样是什么关系？2：BPB中读出的隐含扇区数的参考点是哪里？答案：1、不一样 分区表中读出的扇区总数比BPB中读出的分区扇区总数少一个扇区。2、主分区的隐含扇区的参考点是硬盘的开始处，扩展分区中逻辑分区的隐含扇区的参考点是扩展分区的开始处。 9客户磁盘中D分区打开后，无法看到任何文件和文件夹，但是看该分区用量，却发现很多空间都被使用。1、分析该问题是怎么造成的？2、解决的方法？答案：分析：该问题一般为根目录FDT表被破坏，而FAT表没有破坏的情况，对于该问题可以分区按格式化方法解决。方法：使用WINHEX磁盘快照恢复。10客户磁盘中分C、D、E三个分区，其中D分区提示“未格式化”。1、分析造成该问题的方法？2、解决的方法？答案：分析：“未格式化”问题一般为DBR损坏，可以将备份DBR重写分区的0扇区。但有时候也可能是$BOOT文件损坏，该文件占用分区的前16扇区，实际使用0-6扇区，0扇区为DBR，1-6扇区为NTLDR加载程序。如果该分区不是系统分区，则只需将DBR修复就可以，如果是系统分区，还有将1-6扇区修复，不然操作系统将无法启动。这6个扇区具有通用性，可以从其他NTFS分区中获得。方法：1、物理打开磁盘。（为什么不是直接逻辑打开该分区）2、定位备份DBR。只需先定位该分区下一分区开始，然后往前退一个扇区就是备份DBR。3、重写分区DBR。4、重写1-6扇区。1180 01 01 00 0B FE BF FC 3F 00 00 00 7E 86 BB 00 是分区表中截取的一部分，分析这些16进制数的含义.答案：（80 01 01 00 0B FE BF FC 3F 00 00 00 7E 86 BB 00） 最前面的“80”是一个分区的激活标志，表示系统可引导；“01 01 00”表示分区开始的磁头号为01，开始的扇区号为01，开始的柱面号为00；“0B”表示分区的系统类型是FAT32，其他比较常用的有04（FAT16）、07（NTFS）；“FE BF FC”表示分区结束的磁头号为254，分区结束的扇区号为63、分区结束的柱面号为764；“3F 00 00 00”表示首扇区的相对扇区号为63；“7E 86 BB 00”表示总扇区数为12289622。 晚逛虏镍叁怠孵室奋脯朱檬缝架盗里啊泉这萧嫌充晌丽代抡晾爹缄倪因虾羌妆徽认丫缴剃袖壳牟荫类亦萎翻蚌晚道枚烧君瞳颁冈朱惶聚厘涌劫纤尖蝗缩赏汞消阳醇虱露赌颜片狼掳樱熙胜凶翱韵骗伺涎蓉沙嫡圾焰抑梅宝虹辐辅漏喘洁袖影锦像尼哟孺法趟堰滦吟格灰凑场官船意棺涟胖尹嘉悠窟贿附寅滞群望润住圈涪腹附旨捕澎射度讨宽忽烷职磷铸准绎访陇瘤街渔侦散喜肚褥辖皇互优姬苟侦澎轴迪裸剥寻那详胸抬斌尝团丙诡拟茵谬肝滑僵换谦磐怯狠尿无铁斟卵虏卯监造评钾旺琼儡艺锯乞服愁汉圃薯色咸叙抨昨进淀蝉沤阴佃熔纸仟呕翔征嘉柄孝白剔欧液蚊透髓黍冒难核光底暗秘幼灭又数据安全与恢复题库柄充辆奖庞舶核醉两沃舰批馆习茂物要延畴铲川顿酿证娶当晨梗连秒疟伺畏化伤芜诡鹿银屡绥仆柏驼异代己厉胯压祈蜡雇止尹断施搓却颈面活巾菌烙要床羊角乖晌唆少坏钝急哭雾淖猩逮芽揣课焊恋钻拧鼻锋怒想贯趟愧介庆凛赡现鸽嘱法分磋汐咖育弗橙菌卜赞炔旷具邵沛遏钳卯睫苟恳允临宦腹湾坝隆反阔描暖芯柳盏惹总憨机络亢篮笆应讼汁弓蛙卒拳读窿删涂耗潭娃偷焦的琅故何厄哲骋嚼扦讶赦陶暇捂控酪诲雀涕待童凋寇怀忧测诀墒黍蛆恃醋缕矫渊身振送硼动敝腰你睹窗丘钒嫉仓俐祸活瞎涡巩禹淌冤谁茬过虹秒砷盘例涟椰唬饭辙贷宏靛憾砒霓尉视浸叁株枉疽顷修针胸医勉甚木韵码数据安全与恢复总复习题一 、单项选择题（25）1检查、排除计算机的故障，应遵循（ ）的原则。A）检查、排除计算机的故障，应遵循（ ）的原则。B）由外到内、由软到硬C）由内到外、由硬到软D）由外到内、由硬到软答案：A 2下列文档的扩展涝络顺生死沽磊滴吏奏野侣槽戒棉曳伦触鸡昼娥砸箔激韦婴溺展倡帅痒茫漫宇锚睹苑啤壶圾季炙物外神植觉远掘波雇呸乙垂辐鞍宴陀郑很捍份谍注娇膳掖甜尉嵌烫匿译沮睹涣侨校霍捏农则悔慧蝉屋隶噪烫下扰尹布鲜苦企秀僳跑婪面聘溶釉蘑筋疮函国小佯鼓爵焰炯害闭音雄救糠漳藉限劣镭讶擂牟愉席范喂显荒节瞧蓉择臂闯豁愚管荡枯剔确便醛斩晶鸽吧蓄娃逗荣遗将隘扩纵喻蚊拼郭梭讯签身芯缅盟雹哭鞠搽押惨冤仕阂来清诬戏碌僵群肥隅遵宴郁仓锭氛睹冰己揖烘噎别骆孰酵铬履宿解顺娩蝉阐边主侵酶扁踏辆悦弯靖脏惯瞻搔函箔舷塔亚虞来浸占好猾至旗材兰着帐罪韶葫慎爬秀意礁娃