淺談基于虛擬機的Windows系統數據恢復技術實踐教學

屠浩毓

摘 要 文章針對數據恢復技術教學中，實訓設備配置昂貴，硬件耗損過高，教學靈活度不足等問題，通過實例闡述了可以運用VMware虛擬機技術，讓用戶在自定義配置的虛擬系統中運行相關數據恢復工具軟件，模擬數據恢復的過程，使數據恢復技術在教學上達到理論與實踐相結合，提高教學效率和效果的觀點。

關鍵詞 數據恢復 VMware虛擬機 WinHex DiskGenius 文件系統。

中圖分類號：G633.67 文獻標識碼：A 文章編號：1002-7661（2016）20-0009-02

在數據恢復技術中，Windows系統的MBR磁盤主引導記錄結構與作用，硬盤主分區表和擴展分區表的結構，FAT16、FAT32、NTFS文件系統的結構與工作原理等內容是進行數據恢復技術學習和操作必備的知識點。

在數據恢復學習過程中，除了要掌握理論知識以外，還需要大量的實踐操作練習。這樣的實操練習會對計算機硬盤進行大量的讀取、修改、保存的操作，操作過程中稍有不慎，將會對計算機系統造成破壞性的影響，甚至引起計算機硬件的損壞。

現在不少學校的教學機房為了防止網絡病毒的攻擊或避免學生在使用的過程中因為誤操作而造成的系統崩潰等問題，都在計算機中安裝了系統還原軟件，這些系統還原軟件時常會與教學專用系統或軟件出現不兼容的現象，導致實驗無法進行。有時因教學所需，要使用新的操作系統或軟件，機房管理員在安裝維護時也因為系統還原軟件的存在而降低了效率。從而影響到教學的整體效率。這一缺陷在數據恢復教學中顯得尤為突出。

因此，可以引入VMware虛擬機軟件來改善這一現象，使用VMware虛擬機搭建所需的教學和實驗環境，在功能上與真實系統并無差別，并且在使用中不會影響到承載該虛擬機的宿主主機，同時可以減少學校的硬件投入、減輕機房管理員的工作強度，為數據恢復教學提供一個靈活、高效的實訓平臺。

一、VMware簡介

VMware Workstation是一款桌面計算機虛擬軟件，它功能強大，能夠在一臺真實計算機的操作系統中虛擬出多個虛擬計算機環境，這臺真實的計算機一般稱為宿主主機，在VMware Workstation中運行的虛擬計算機和系統一般稱為客戶機，其實質就是宿主機中的一系列文件。VMware Workstation的計算機虛擬能力、性能以及與宿主機之間的隔離效果非常突出，通過虛擬化技術，它能夠模擬出一個標準的x86計算機環境。這個虛擬的環境與真實的計算機一樣，都擁有CPU、芯片組、內存、網卡、聲卡、外存儲器、串/并口、USB控制器等設備，如圖1。VMware Workstation的窗口即為虛擬主機的顯示器，如圖2。

當然，這些硬件都不是真實的設備，是通過VMware Workstation虛擬出來的。VMware虛擬化的工作原理是：在計算機硬件或宿主機操作系統上面插入一個精簡的軟件層。該軟件層包含一個以動態和透明方式分配硬件資源的虛擬機監視器（或稱“管理程序”）。在使用過程中，這臺虛擬主機與真正的計算機沒有太多區別，可以進行硬件設備添加與移除、硬盤分區與格式化、安裝操作系統和各種應用軟件等，在使用的感覺上與真實的計算機無異。

二、基于虛擬機環境下的數據恢復實驗

在虛擬環境中安裝了Windows XP操作系統，以此為例，結合Windows PE預裝環境，在該環境下進行幾個數據恢復的實驗，通過實驗，可以了解和學習數據恢復技術的一些基本方法和過程。

（一）主引導記錄（MBR）損壞的修復

MBR類型的磁盤分區都有一個引導扇區，稱為主引導記錄MBR，它位于整個硬盤的第一個扇區，按照C/H/S地址描述即0磁道0柱面1扇區，按照LBA地址描述即為0號扇區。該扇區容量為512字節，其中引導程序占用了前446個字節，隨后的64個字節則用于記錄硬盤分區表信息，最后的兩個字節為結束標志，通常記為“55AA”。MBR扇區在計算機啟動過程中有著重要的作用，當MBR被破壞，計算機系統便無法正常引導系統。

在模擬MBR恢復實驗時，虛擬機安裝的是Windows XP系統。通過VMware虛擬機中的虛擬光驅加載Win PE預裝環境啟動ISO文件，在Win PE預裝環境中利用WinHex軟件，在虛擬系統硬盤中的MBR扇區隨機填入一些無意義或空白數據，人為模擬MBR扇區被破壞的過程，完成這一過程后，退出Win PE預裝環境。接下來啟動虛擬機，此時學生可以觀察到WindowsXP系統無法正常啟動。為了使系統能恢復啟動，此時需要將被破壞的MBR進行修復，再次通過虛擬機加載Win PE預裝環境，在預裝環境中使用DiskGenius工具軟件中的“重建主引導記錄”命令進行MBR修復，或者利用WinHex軟件手動將完整的MBR引導程序正確覆蓋至MBR扇區后進行保存，完成了MBR修復操作后退出預裝環境，再次啟動虛擬機，此時可以看到系統可以正常啟動Windows XP系統。

（二） 分區表的修復

硬盤分區表也存放在硬盤MBR扇區中，它位于該扇區偏移1BEH至偏移1FDH之間，用占用64個字節的存儲空間。分區表是用來管理硬盤分區的，如果分區表因某種原因遭到破壞或清除，那么磁盤的分區將會丟失，使得分區中存儲的數據信息難以訪問。當遇到這樣的故障，如果掌握了硬盤邏輯結構方面的知識，可以在Win PE預裝環境中使用WINHEX軟件分析故障硬盤的邏輯結構，通過對硬盤中特殊扇區如主分區DBR，擴展分區及其邏輯驅動器的EBR、DBR等扇區中的分區參數進行分析和推算，判斷出硬盤的分區狀況，并利用該軟件的磁盤編輯功能進行手動恢復分區表的操作。當然，還可以直接使用DiskGenius這樣的磁盤管理軟件來進行分區表半自動恢復的操作。

在虛擬實驗中，可以讓學生采取使用DiskGenius磁盤管理軟件的方法來進行分區表恢復的模擬操作練習。首先人為模擬破壞硬盤的分區表，方法與MBR恢復實驗的類似，之后在虛擬機中進入Win PE預裝環境，啟動DiskGenius軟件，使用“工具”菜單中的“搜索已丟失分區（重建分區表）”命令，按照彈出對話框中的提示搜索并保存硬盤分區，當所有分區都保存完畢后，再次通過虛擬硬盤啟動，此時操作系統已能夠正常引導。

（三）基于文件系統下的數據恢復

為了能夠高效的使用和管理硬盤中存儲的數據，操作系統會通過文件系統將這些數據以文件的形式存儲在硬盤里，例如Windows系列操作系統中的文件系統主要有FAT、NTFS和ExFAT。這些文件系統有著各自不同的邏輯組織方式。如要對硬盤進行高級管理和對數據進行有效恢復，這就需要用戶了解并掌握文件在硬盤上存儲的相關原理和機制，利用虛擬機可以幫助我們進行相關知識的學習。例如可以在虛擬系統中利用WinHex軟件，通過人工模擬文件系統存儲和管理文件的過程，來使學生掌握相關的數據恢復知識和技能。

以FAT32文件系統的教學為例，FAT32文件系統由DBR及其保留扇區、文件分配表FAT1、文件分配表備份FAT2以及數據區（包含目錄區）DATA四部分組成。在虛擬實驗中，可以進行FAT32分區根目錄文件丟失后恢復的實驗。

首先，啟動虛擬Windows XP系統，在系統中FAT32分區的根目錄中存入一命名為tupian.jpg的文件，隨后打開文件查看并確認其內容。關閉文件后，將此文件放入回收站并徹底刪除。此時，該FAT32分區中已經無法看到此文件。

其次，打開WinHex軟件，利用“MBR模板工具”分析該分區所在磁盤的邏輯結構，在確定分區DBR所在的扇區號后，使用軟件的扇區跳轉功能，跳轉至DBR所在扇區，利用“DBR模板工具”查看BPB參數，根據相關的參數計算出該分區FAT1，FAT2，及DATA區等部分的起始扇區號，由于此時文件已經刪除，在文件分配表FAT中該文件的簇鏈已經清零，因此可以直接跳轉至DATA區查找其文件目錄項，因為分區中存儲的文件不多，所以能夠較容易的找到該文件的文件目錄項。通過觀察，可以發現此文件目錄項的首字節已經變為“E5H”，表示此文件已經被刪除。

接下來，應用短目錄項模板查看該文件數據的存儲位置的起始簇號，并計算其數據存儲位置的結束簇號。最后跳轉至該文件的起始位置，將所有數據內容復制并另存為123.jpg文件，存放于系統桌面。返回系統桌面后，便能看見名為123.jpg的文件，打開這個文件，查看其內容，可以發現與之前刪除的tupian.jpg文件一致。至此，文件恢復完畢。

當FAT32分區中存儲的文件較多時，文件數據恢復的步驟會更為繁瑣。此外，NTFS文件系統作為另一種常用的文件系統，其邏輯結構和工作原理相比FAT而言也要復雜得多，這些情形下的數據恢復實踐教學同樣也能在虛擬環境中進行模擬操作和練習，具體方法和步驟在此不再一一贅述。

三、結束語

虛擬機技術在數據恢復教學中的應用不僅降低了教學成本，緩解了教學資源緊缺的問題，更為重要的是它為教學實驗平臺的搭建提供了一種高效、便捷的方式，在很大程度上克服了數據恢復課程教學中實驗環境難以設計，教學過程不夠直觀等難點。另外，在實踐課程中還可以靈活模擬數據恢復工作的各種故障場景，使得學生能夠在大量的模擬練習中逐步掌握數據恢復技術。因此，虛擬機技術在數據恢復教學中的應用是值得推廣的，它定會為數據恢復技術的教學過程和教學效果等方面帶來積極的影響。

參考文獻：

[1]劉偉.數據恢復技術深度揭秘[M].北京：電子工業出版社，2013.

[2]馬林.數據重現——文件系統原理精解與數據恢復最佳實踐[M].北京：清華大學出版社，2009.

（責任編輯 陳 利）