Data Extractor说明书 (2)

4.4 程序的主菜单

主菜单的内容：

任务

设置

服务

帮助

退出

各菜单的主要功能将在以下进行解释

4.4.1 TASK任务

当点击TASK，会出现新建、打开以及以前打开过的文件的记录

它可以建立以下三个主要的任务：

从故障盘中拷贝数据

从一个转换表出错的盘中恢复数据

从一个逻辑结构受损的盘中恢复数据

选择你所要的模式，回答相应问题后，你就会进入相关模式

当你建立一个目录后，所有该项操作的内容都会存入这个目录中

当执行一个拷贝的操作，你可以有两个选择：一个是建立映像文件，一个是直接拷贝到另

一个好盘，需要注意的是映像文件一旦建立，就不可更改大小。

映像文件的名字将会是XXXX.bin，放在对应的TASK目录下，XXXX表示文件的扇区数LBA的大

小。拷贝前请检查硬盘空间是否足够。

4.4.2 OPEN 打开

当打开一个映像文件时，要接好一个容量相同或大于原盘的好盘。如果硬盘的参数不合适

的话，打开操作会被取消。

4.4.3INFO 信息

在这一项操作中，可以看到硬盘的型号、序列号、容量等各项参数

4.4.1.3先前打开过的文件列表

4.4.2 SERVICE 服务

4.4.2.1硬盘管理

这一项操作是为高级用户设定的，可以对硬盘进行一些有限的操作，以利于以后的数据恢

复工作。

4.4.2.2电源管理

方便用户在操作时对硬盘的电源进行控制。

4.4.2.3 休眠

方便用户进行热交换操作

4.4.2.4重新校验

方便用户在热交换后对硬盘进行唤醒

4.4.2.5硬盘软件复位

4.4.2.6硬盘硬件复位

4.4.2.7综合初始化

它包括了硬件复位、软件复位、初始化、重新校验

4.4.2.8校验

这项操作方便确定扇区的范围。包括坏扇区的范围

当恢复一个转换表出错的硬盘时，这项功能就可以发挥作用

在操作时，先设定扇区的范围值，然后点START,当前进度及结果会在窗口下方显示出来，

这个结果有助于找到数据的偏移点。

举例说：如果你扫描的范围内发现一些扇区没有通过校验，你几乎就能确定这就是偏移

点。不幸的是，硬盘厂家对硬盘转换表及坏道表的定义是不公开的，保密的，所以这项操

作不一定能成功。

从校验的结果可以找到很多有用的信息

4.4.2.9通过数据片段查找

这个模式是对误格式化的硬盘进行，用户可以修改目录中的关键词以方便查找，本软件也

提供了一些帮助

4.4.2.10.1 EXPLORER浏览器

这个模式的主要目的是目标硬盘的数据结构的虚拟再现，它的名字叫EXPLORER是因为它的

界面跟浏览器IE很相似。

4.4.2.10.2软件的界面如图(略)

4.4.2.10.3EXPLORER的对象及特性

     通常情况下，显示出来的对象是硬盘的各项逻辑结构元素

如MBR

文件分配表

EPR

启动区

目录

文件

浏览器中的每一个对象，对应着一定的信息，可以进行一定的操作，通过鼠标右键或

ALT+DOWN来展开菜单。

所有的对象都能用的操作方式是：扫描和查看第一个扇区

扫描的用意是重新读取对象的全部信息、并将新获取的信息反映出来，这对于各对象来说

自然是十分有用的了。

查看第一个扇区是看指定对象的第一个扇区中的数据

除此外，还可以加上以下操作：

对象图  

扇区列表

保存

对象图

对象图，允许查看硬盘上的目录和文件

扇区列表，可以看到指定的文件或目录的扇区链

保存，将指定对象进行存盘。

当恢复一个NTSF格式的硬盘时，将会看到显示MFT属性的选项

与启动分区相关的对象有着很严格的规定，不同的文件系统有不同的操作。

例如，对于FAT格式来说，可以有机会选择备份1还是备份2来进行下一步的操作，选择出

最佳的备份进行编辑存盘或加载进内存，载入内存，可以加快硬盘的拷贝速度。

对于NTFS格式来说，可以有两种方式可选：

针对记录显示MFT的属性

扫描MFT

要理解它的含义，需要了解一些与NTFS分区数据结构相关的基本知识，在NTFS分区中的数

据结构要比FAT结构要复杂得多，用户必须了解以下几件事：

在NTFS中的数据要比FAT中要容易恢复，在任何一个NTFS分区中，包含有一些表MFT，里面

带有文件的全部存放信息，而且还有表的镜像文件.

一部分的MFT表就完整的包含了对象的文件信息，如果你已经用浏览器打开了一个NTFS分区

或文件夹，不要只把目光停留在你所看到的东西上，你不用去努力打开前15个MFT表，在很

多情况下，即使你看不到任何分区信息，你也可以使用这个功能SCAN MFT扫描主文件分配

表。

如果一部分MFT被破坏了，与之相关的数据就不能恢复了

根据记录显示MFT属性这一功能，可以通过窗口看到数据的处理过程，在某些情况下，特别

是当转换表被破坏的情况下，会变得非常有用。

扫描MFT还可以根据现存的MFT记录和启动区的数据，帮助你建立一个虚拟分区。

图8是为MFT扫描输入参数

在扫描过程中，要注意随时停下，你有可能会看到你要找的文档信息，直接打开就行了，

不用扫描完全部的MFT, 实在不行，只能扫描完全部了。

4.4.2.10.4工作在对象图模式

说到对象图，用户很容易想到硬盘数据结构的每一个对象，都很直观的按磁道的顺序显示

在图中。

这个模式就是在这张图中进行虚拟的工作，它有助于理解数据对象是如何存放在磁盘上

的，当执行数据拷贝模式时，可以看到拷贝的过程及当遇到坏区时，是如何填满数据的

在窗口的顶部有相关的地图指南按钮，通过这些按钮可以移动地图。

说到这个地图，有两个方面要记住：对象绝对是关联和相配的，坐标关系是否连续主要是

看硬盘的损坏程度。当我们说到移动的时候，就意味着关联移动。

在这个窗口中间是对象的图形。用鼠标左键单击这个四方的图形，相应的关系就会显示出

来，要注意区别交替删除的扇区系列。