一、概述
我们将探讨 ZIP 文件的结构体。 了解 Header 的构成方式，以及每个 Header 所包含的信息是如何分类的。 磁盘可以分为主存储和辅助存储。 简单了解磁盘的工作原理和结构（MBR、VBR），并理解在实际计算机中的工作原理。 此外，我们将了解 HDD 和 SSD 的区别，以及与速度相关的读写、删除和复制操作的差异。 为了通过 FTK Imager 进行 Image dump 操作，并使用 HxD 分析 MBR 和 VBR（后续文章将详细介绍）。
Ⅱ. ZIP 结构
我推荐一篇关于 ZIP 文件结构的博客，该博客内容详细，建议大家阅读。
ZIP 文件的结构非常简单，主要包括以下几个部分： 本地文件头，中央目录文件头这些压缩后的独立文件都存在于最后。 中央目录记录头本文将以“...”结尾。接下来，我们将分别介绍每个Header的组成部分。
本地文件头
本地文件头部的结构如下，具体细节请参考之前的博客。 橙色的 Signature、Version、Flags 等部分是静态的，即固定值。 然而，绿色的 File Name、Extra Field、Data 部分则可能是可变的。 举个例子，在记事本中，标题和内容的长度都可能不同。
中央目录文件头
中央目录文件头部的结构如下，Local File Header 提供了更详细的数据信息。其中包含压缩大小、文件描述、版本、修改日期等更详细的信息。
中央目录结束
上述的“Local File Header”或“Central Directory File Header”可能数量取决于压缩文件的数量，但“End of Central Directory Header”正如其名称所示，它包含了压缩的 ZIP 文件中的所有信息。 最后，一个标题因此，在最末尾的 0xB0, 0xC0 部分，可以找到整个中央目录的数量或大小、ZIP 文件的描述等信息。
※ 通过实际操作 ZIP 我编写了一个自动化的 Python 脚本，用于从文件中读取二进制数据，并提取每个 Header 和其属性。虽然这个代码非常复杂，但我认为实际操作比阅读代码更能帮助理解其结构，因此没有公开分享。 实际上，您可以对提取出的十六进制值进行修改，例如更改日期、更改标题或更改内容。 不过，这是一种可以轻松进行的活动。
※ 值得注意的是，这种压缩文件结构在几乎所有常见的文件格式中都有应用。您可能见过韩语文件中的 hwpx 和 Excel 的 xlsx 扩展名。这些都是压缩文件格式。
Ⅲ. 磁盘
磁盘其种类有： 主存储器哇 辅助记忆设备那里有。 以前的数据是 按顺序接下来，要找到中间的数据，实际上非常困难。而且，这些数据还具有非持久性，而现代的硬盘... “会计控制的随机访问方法” 通过这种技术，我们得以改进它。 周期性存储通常是… 随机存取内存 (RAM)被称为……， 易挥发的数据用于存储这些数据。 之前我们已经对这种内存进行了更详细的说明。 值得注意的是，虽然闪存（如USB）不是像RAM那样易失性，但其速度是影响计算机性能的重要因素之一。 辅助存储设备可以确保即使我们每次启动电脑，安装的程序和编写的文档等内容仍然存在。 永久存储设备与 주기억存储器（RAM）不同的是 非挥发性数据虽然可以存储数据，但速度较慢，通常被称为“辅助存储设备”。
还有一个名为“Disc”的东西，但它与“Disk”不同。 包括：光盘（CD）、只读光盘（CD-ROM）、只读光盘（DVD-ROM）、只读光盘（DVD-RAM）等。 这里指的是光盘。有些光盘只能用于读取，可以与计算机随时断开连接，并且可以存储或多次存储内容（如音乐、视频等）。 类似于CD，在使用VMware处理网络时，也需要与光盘进行接口。 集成驱动电子 或者 ATA（高级技术附件）然而，从“并行”这个角度来看 PATA（并行高级技术附件）被称为……
PATA 方式
SATA 接口
PATA 曾经是一种常用的方式，但现在，人们更倾向于使用改进了现有 IDE 的方法。 SATA（串联高级技术接口）它使用了SATA接口。SATA1接口的传输速度为每秒150MB，SATA2接口的传输速度为每秒300MB。而SATA2之后，就可以像使用USB一样，通过扩展坞连接多个硬盘，无需关闭电脑。 热插件 功能也得到了增强。
※ SCSI（小型计算机系统接口）： 也有使用银行卡接口的硬盘。 速度比普通硬盘快得多，每秒可达 320MB。 这种硬盘主要用于服务器或工作站（工作站是一种性能与小型电脑相似的高性能电脑，比普通电脑更快），需要单独购买扩展卡。 SAS（串联 SCSI - 用于服务器等大型计算机）它正在不断发展和完善，并逐渐取代旧的模式。
当我们查看启动过程，可以得出以下结论：
您可能在电脑启动时听到过“哔——”的声音。这通常意味着…… 自检启动 (POST)这部分涉及读取硬件设备，并检查电源是否正常工作。在完成整体硬件检查后，我们会进行… BIOS 用户可以看到屏幕。如果您熟悉不同的格式设置，您可能已经尝试过在这里进行调整。BIOS 允许您管理硬件设置，并且提供一些 存储空间 (ROM)在进行格式化时，您可以选择启动盘，或者进行超频。
接下来 MBR（主引导记录）这部分非常重要，如果损坏，会导致系统无法启动。因为在启动时，BIOS 会读取 MBR 中的启动扇区。如果对整个硬盘进行 512 字节的备份，首先会看到 0 号扇区的内容。 主分区和辅助分区，共计4个分区的信息每个分区可以存储信息，每个分区包含 16 字节的信息，从第一个分区开始，到最后一个分区，每个分区的信息从 446 字节开始，减去最后一个分区的 2 字节，即每个分区包含 510 字节的信息。
分区表详细分类
※ 这里的 行业我们可以通过分析磁盘结构来理解这一点。 磁盘被划分为多个扇区，用于存储和管理数据。 最后一个 4 字节的信息，并非整个磁盘的扇区，而是单个分区的总扇区数。 多个扇区组合起来... 集群这是因为，当数据块越大，读取速度就越快。与一次性读取单个扇区相比，一次性读取整个数据块自然更快。然而，数据块越大，未使用的空间也会变得越多，造成资源浪费。
由于只有文字描述可能会让人难以理解，建议您参考下面的图片，这样会更容易理解。MBR 空间可达 446 字节。 启动代码并拥有...，接下来 分区表这共有4个，从446字节到510字节。最后一个是2字节。 签名这是指，在MBR中记录的分区（Partition）是可启动的分区列表。一个磁盘可能只有一个分区，也可能有多個分区。当您首次安装磁盘时，您会看到分区操作，其中也会显示分区信息。您可能已经将C盘和D盘分开使用，其中D盘通常用于备份。当然，这两个盘也可以是独立的磁盘。
※ MBR（主引导记录）如果被损坏，会导致系统无法启动，并且没有备份，因此恢复起来非常困难。
以前 机械硬盘 (HDD)虽然之前经常使用，但现在 固态硬盘 (SSD)我们将使用这种方法。HDD 使用的是上面提到的 MBR 方式，而 SSD 则… GPT（引导分区表） 这种方式被使用。与MBR相比，GPT的主要区别在于，MBR只能创建四个分区，而GPT则没有分区数量的限制，且分区容量限制为2TB，因此在分区管理方面，GPT具有更高的便利性和优势。
※ 逻辑驱动盘哇 物理硬盘 这里有一个概念：逻辑驱动器指的是分区驱动器，而物理驱动器指的是实际的硬盘，如HDD或SSD。
当MBR和GPT完成分区设置后，会进行文件系统的设置，就像图片所示。 VBR（启动卷信息记录）啊 主文件表通过此功能，您可以读取和写入文件。它能够管理数据在哪个分区中存储，并且实际数据存储方式与图片中显示的一致。 数据区域这些数据存储在系统中，并与主文件表进行关联管理。由于有备份，因此恢复也比较容易，但如果无法启动系统，则可能会遇到问题。您在使用 Windows 时，可能会在格式化时看到这个 VBR。 FAT, NTFS 实际上，这就是文件系统。FAT文件系统的最大文件大小限制在4GB以下，并且由于是32位系统，也存在长度限制。然而，NTFS在克服了FAT的这些缺点，取消了4GB的限制，并且在整体上得到了改进，因此它将被广泛使用。
当然，FAT也有改进的版本，即FAT32。此外，FAT32中，在VBR之后，还存在一个预留区域，用于存储启动扇区、文件系统基本信息等。FAT1和FAT2（具有镜像关系，结构相同）会记录分配给文件的信息。然后是MFT（文件信息存储的表）。
NTFS（下一代文件系统）哇 文件分配表 (FAT)主文件表负责读取、写入和删除文件。通常，在创建文件时， MBR访问分区，获取分区相关信息。 VBR (NTFS, FAT)访问 VBR。 MFT（主文件表）根据这些信息，系统会计算出 Data Area 中可用于存储新文件的可用空间，然后将 Data Area 可用空间的信息存储到 MFT 中，最后将文件实际存储。在复制或移动文件时，可能会出现速度上的差异。
复制 | 移动 | |
同一分区 | 缓慢 | 快速 |
其他分区 | 缓慢 | 缓慢 |
* 针对 NTFS 格式，如果文件大小较小，则不会将文件内容存储在 Data Area 中，而是全部记录在 MFT 中。
这种差异产生的原因是：
通过这张图片，您应该能更容易理解。 在同一个分区内如果是复制操作，则需要将文件复制到数据区，并更新 MFT 中的信息（如文件名、日期、大小、存储位置等）。但如果是移动操作，只需要更新 MFT 中的信息，因此速度更快。 其他分区由于其复制方式与在同一分区内的复制类似，需要修改MFT（主文件表）以及在数据区域中写入新的文件信息，因此速度较慢。 移动操作也是如此。 然而，与... 删除是
关于MTF的 仅删除数据区域的链接信息因为它可以直接实现，所以速度非常快。如果使用覆盖功能，会发生什么呢？
覆盖写操作是一种常见的操作，但无法恢复。这是因为覆盖会破坏原有文件的数据区，从而导致 MFT 的头部信息损坏。也就是说，MFT 中的信息会被覆盖后的数据的信息所取代。因此，原始文件的信息将无法保留。这里涉及到 HDD 和 SSD 的区别： 虽然硬盘可以进行数据擦除，但固态硬盘通常无法进行。 修剪技术 因此，过去人们利用硬盘恢复时无法覆盖的功能，故意覆盖需要隐藏的数据，从而使恢复变得困难。然而， 随机采用这种 Trim 技术，可以实现… 定期不使用的文件数据的管理实际上，只需用 0 和 1 来覆盖，就可以完成。但是，如果这样做，则会被视为已删除。由于 Trim 实际上是在删除时（即 MFT 和数据之间的链接中断时）找到并将其设置为无效状态，并且速度非常快，因此覆盖操作比较困难。
* 之前在 Windows XP 系统中，有垃圾回收机制，但在 Windows 7 中，引入了“Trim”功能。
※ 复制文件时，生成时间可能比修改时间更慢。这种情况发生在通过互联网或USB设备复制文件，即，是从一个分区复制到另一个分区，而不是直接在同一个分区内操作。通过互联网获取的文件，在CMD中使用“dir”命令时，会显示“Zone.Identifier”。而通过USB设备连接时，设备会立即被识别，并安装驱动程序。
与速度相关的另一个方面是： 碎片化这是一个概念。
如图所示，传统的硬盘将文件数据分割存储。因此，要读取文件，需要… 链接（如果您已经学习过编程，那么想到链表，就能更容易理解。）我们需要逐个读取文件中的数据。由于一次性读取文件比分散读取速度更快，所以在以前…… 磁片碎片汇集他们肯定会这样做。但现在的情况不同，因为文件是连续存储在一个文件中，而不是分散存储，因此在速度方面更高效。 此外，关于速度的另一个概念是： 南 形态和 NOR 它具有特定的形态。NAND是半导体的单元。 串联由于其结构方式，可以按顺序读取数据，因此速度比 NOR 慢。然而，它易于扩展容量，并且写入速度快，无需单独存储每个单元的地址。这种 NAND 形式的存储设备 USB接口或固态硬盘这里有 NOR 功能。NOR 逻辑门 并列虽然可以通过随机访问快速读取数据，但由于每次只能记录一个单元格，因此写入速度较慢。因此，这种方式适合用于高性能、需要快速读取的应用，例如高端服务器或移动设备。 移动设备在移动设备上，读取数据的频率通常高于写入数据。
※ 类似于汽车发动机的转速（RPM），盘子也有其相应的转速概念。 转速 (每分钟转数)速度越快，性能越好。一般来说，硬盘的转速为7200RPM，而用于移动设备或笔记本电脑的硬盘速度会稍慢。
Ⅳ. 磁盘相关实践
首先，需要进行以下实践： 磁盘数据备份/导出工作简单来说，这个“덤프”就是将前面提到的磁盘结构，全部转化为图像格式，并通过“Imager”程序进行读取。从法律角度来看，如果原始数据被破坏，就不能作为证据。然而，在实际的取证过程中，无法使用原始数据。因此，取证协会发布的“FTK Imager”程序是唯一的合法的工具，所以我们将使用这个程序来创建磁盘的“덤프”。
与该程序相关的部分
请参考此网页。
运行 FTK Imager 后，
可能会出现这样的画面。 假设这里连接了USB，我们将尝试进行USB数据备份。
点击“创建磁盘镜像”
我需要确认您打算使用哪种类型的驱动器。由于“Logical Drive”指的是分区，而“Image File”指的是现有的磁盘镜像，因此我将直接选择“Physical Drive”，并为您选择USB。
选择合适的实际垃圾清理磁盘，然后点击“完成”按钮。
在这里，您可以通过“Add”选项来指定图像类型。最常用的方式是 Encase 的 E01 格式。 建议您进一步查阅相关信息。
如果您继续提供，
用户需要选择保存的位置和文件名。在这里，“Image Fragment Size”表示将图像文件分割成多块进行存储时，每块的大小。而“Compression”则表示压缩的程度。当“Compression”值接近9时，文件会进行更强的压缩，从而减小文件大小，但可能会降低图像文件的创建速度。
然后，点击“开始”按钮，程序将开始生成图像文件。
评论
学习 DISK 概念时，感觉就像撞到了墙。不过，通过撰写这些帖子，并进行多次实践和复习，我逐渐开始理解其结构。我计划在下一篇帖子中，进一步复习 DISK 相关的内容。