硬盘与文件系统深度解析
1. 硬盘高级操作实践
在进行硬盘分析时,有一些操作可以帮助我们更好地理解和处理数据。例如,我们可以进行如下操作:
1. 右键点击状态栏,选择“默认编辑模式”,并在十六进制显示中将其设置为“可编辑”。
2. 选择前三个字节,然后依次点击“编辑”“修改数据”,添加十六进制数“11”,最后点击“确定”。
3. 将文件保存为“image_edit.JPG”,并打开编辑后的图像(完整路径为“E:\IMG_edit.JPG”)。
数据解释器窗口能根据所选数据类型,将插入点的十六进制值转换为十进制。默认数据类型包括 8 位、16 位和 32 位有符号数,还可以通过双击“数据解释器”窗口或选择“选项”再选择“数据解释器”来获取更多选项。不同的数据类型包括查看汇编语言代码、数据格式、双精度、全局唯一标识符(GUID)和其他整数类型。
2. 恢复删除的分区
主要的分区方案有 MBR 和 GPT,它们各有独特的特征,可用于在硬盘中识别分区。
- MBR 分区表 :由四个主分区或三个主分区和一个扩展分区组成,扩展分区允许有多个逻辑分区。每个逻辑分区包含一个扩展引导记录(EBR),其结构与 MBR 相似,但 EBR 中 MBR 前 446 字节的引导代码通常被置为“0”,且四个记录中仅使用前两个。在 MBR 和 EBR 中,分区表的最后两个字节作为签名(“0x55 AA”),可在法医调查中用于检测主分区和逻辑分区。
- GPT 分区表 :定义了多个分区表项,通常最多可达 128 个分区,每个扇区(512 字节)有四个条目。每个 GP
超级会员免费看
订阅专栏 解锁全文

1161

被折叠的 条评论
为什么被折叠?



