1、EER-STUDIOnetoxkedition-DriveviefiriveCreatetoolsViewHelpTypeDateTimeTextXR“dy革命O该软件是一个数据恢复从业文件系统广泛，R-S任何补丁的情1图形化进程节省程ID0、1、5、跨区等。R-STUDIO是加拿大R-TT公司的问鼎戈着该类软件由功能单一的命令式操作向髙软件重纟横国据恢复市场多年，它的诞生标志互式操作转变，着实引起了业内一场的最基础工具。R-STUDIO具有以下特点：支持DOWS环境下的多文
2、件系统兼容模式，可以在不打UNIX、LINUX、MAC文件系统数据；提供丰富而完整的据更为简单；可挑选磁盘空间上的任意区域进行分析扫描，大大的原始镜像制作，挂载工具；强大的磁盘编辑功能；更为稳定的远映射技术，足不出户，解决全球数据恢复疑难；强大的虚拟磁盘阵列模块，可
3、R-STUDIO主界面分为菜单栏，功能键栏，对象框，对象属性表和操作日志几部分。其中菜单栏下属驱动器、创建、工具、查看和帮助等主菜单。“驱动器”主菜单是与之数据恢复功能联系最为紧密的菜单。“远程主机磁盘映射”子项代表了该软件成熟的网络数据恢复技术，从上至下需填入计算"R-STUDIOnetorkedition-Driveview口回冈机IP地址或计算机名称，映射端口（默认3174）,远程计算机访问密码。注意在启动该功"R-STUDIOnetork
5、"R-STUDIOnetorkedition-Driveview口回冈DrivetToRemotePROptnLocalDr>v,SXRefreshCtrl+RRefreshSelected建Op@nDriveFilesRecovtr^11Files...耕Scan-…8QStvScanInfor■■UgTjOptnSquiInforxation.pSfttleitScnIafomatioaXLabelFSStw-tSize
6、ATA(2:2)149....HTFS31.5KB147GBQTTFS|!47GB134.4GBF500A1UXr>Proprti*sXNameVUue■Dr:v-Typ#.|VolumezDitkANameDMountPointsDAOSObject\e{S320865d-0920-11de-
7、-Size134.4GB(^81844380sec)SectorSize512BPartitionOffset147GB(30732345see)PartitionSize1344GBC281844360see)PetitionNumber2PartitionTypeJTTFS/KPFSId1TFSInforBationClusterSize4KB(8sec)▼HFTRecordSize1KB▼
8、MFTPosition3GB(6291456sec)MFTMirrorPosition67.2GB(140922178sec)IndexBlockSire4KBSectorSize512BVolumeSi“1344GB(281844359sc)[)Dri▼ControlMaximumTransfer128KB▼1/0Umt512B▼BufferAligjwient2B1/0Tries
9、QPhysicalDrireGeometryCylinders19457—「一TracksPerCylindtr2S5SectorsPerTrack63SectorSize512BQSCSIAddressV⑨Properties|a>LogXTypeDateTimeTextAOFilesystem2009-3-59:43:19[Fileld：12444]MFTrecordchild*sclaime
10、dparentmismatchabortQFilesystem2009-3-59:43:20[Fileld：1964]MFTrecordchild*sclaimedparentmmatcKabortingQ/Systg2009-3-59:43:20Enunerti&onoffilesfinishedforD：V<1>，CR—STUDIOnetoxkedition-FileVieD:onDC1D1600JS-58HCB110.02E02日回團Drivev
11、iew<1r>xFoldersSRoot口Root(B口0{2田!国田ffi□^20070711001□Q200804161642□^2008081207130081田-口Q200835球口2外国文学田口^3中园文学1:ffiae)4中園文学2□N658alC04bb270f0945aed038a0ac口巴6历史□O9-"f_易语盲41!破解补丁□巴9法律经济军爭□O[E书无限R经典祇书]世界文学□O[E书无P氐之经典就书]古典文学□」aybook.cn_)inyxia
12、oschutj1027□」bcrypt7S□bestcryptv712.02.cr□QBixP□亡)c2008heNET3.5pt□亡JChatClient□ConfigUsi□ODBCo(ww
13、008-9-1112:54352008-9-111310:423332008-9-1112:54352007-11-1613:4.Lo
14、ordchildscltimedparentmisaatcKabortingEnumerationoffilesfinishedforD：VRtady田从上图看出，ROOT以下的目录树已经完整展现，其中红色叉号标记的是丢失、删除、或操作系统下无法访问的临时文件区。“恢复所有数据”即不分优劣，将目录树中展示出的数据一并还原，点击后出现“文件恢
15、"R-STUDIOnetorkedition-Driveview口回冈复”控制台，上方是本地保存路径，也就是你要把数据恢复到什么地方，输入或选择即可。下面的选项框是一些恢复过滤功能。分别是在成功恢复出的数据中智能挑选最符合需求的文件、恢
16、复目录结构、恢复元文件（MFT）、选择性恢复数据流、恢复文件自带的安全方案如加密压缩等、恢复文件扩展属性和恢复时取消文件隐藏属性等。左下角可以定义文件掩实现更复杂更高级的过滤。Recover"R-STUDIOnetorkedition-Driveview口回冈"R-STUDIOnetorkedition-Driveview口回冈Outputfolder:0Condensesuccessfulrestorationevents0RestorefolderstructureIIRestorefrom
17、root[~IRecovermetafilesDefineFileMaskOKB0Recoveralternalivedatastreams□RecoversecurityPIRecovergxtendedattributesIIRemovehiddenattributesCancel"R-STUDIOnetorkedition-Driveview口回冈"R-STUDIOnetorkedition-Driveview口回冈过滤现有文件、使用正则表达式、显示
18、空文件目录等。还可以根据表达式和通配符进行细致过滤。这里要注意正则表达式是数据恢高境界迈进的必经之路。在本书WINHEX补充教程中将有详细介绍。文件掩码有复貝口FilesExtensions:y|ppt;doc;txtExample:txt;doc;xIs□Matchcase0Deletedfiles0Showemptyfolders0ExistingfilesFileMask符倒（按照文件扩展名进行过滤，注意同时输入多个扩展名用；隔开）是部分正A至z共26个字母再加一可匹配cha
19、pter,可匹配chapter,上图是简单的文件掩码，含义是显示出文件名为所有b打头中间可以数第二个为X最后为任意单个符号的文件。比较绕口吧，认真学会有回则表达式示例。/[一8-Z]//ter\b//\Bapt//Windows(=95INT)/|98或dows98或WindowsNT,当找到一个匹配后,可匹配Wi始进行下一次的检索匹配。上图是是为了匹配RO而编写的正则表达式，\w是匹配所有常用数字字母的意思，代表占位符。过滤结果如下：riv
21、扫描是每个数据恢复工具的基本功能，该软件的扫描颇有特色，不仅视图丰富、选择灵活、还同时支持RAW恢复模式。描Start:4546465sec(置、扫描结束位置、文件系统选择、文件签名类型选择、工程进度保存腐中）等。我们做个试验，填入Size:120.5GB选择对象驱动最上方是扫描对象的容量，接下后，开始扫描。eR-STUDIOnetworkedition-FileVieRecofnizedlonD:EBEfiriv
22、eCrttleToolsViewH
23、DVD-H818At0202E：0DriveviewD：<1r>ScanInformatonX以二、D■1344GB(144304312320bytes,281844360sectors)240893Sectorsp^r7^Block■■UnusedrSpecificFileDocuments4452■RTFSDirectoriesEntries16■FATFATEntries109■FATBootSectors0■UFS/FFSSup
24、erBlock0■MFS/HFS*BTree+Node0■Unreco^nized■NTFSMFTFileEntries1NTFSBootSectors1FATDirectoriesEntries0Ext2FSSuperBlock0■HFS/HFS*VolwneHeader0eR-STUDIOnetworkedition-FileVieRecofnizedlonD:EBEeR-STUDIOnetworkedition-FileVieRecofnizedlonD
25、:EBEProperties凹ScanInformationar>eR-STUDIOnetworkedition-FileVieRecofnizedlonD:EBEeR-STUDIOnetworkedition-FileVieRecofnizedlonD:EBE不同颜色代表不同文件系统的关键扇区,文件表、超级块等。最下方有日志，记』红色标记就是寻找到的一种文件繇双击便可展开。9区、件目录树、文件分配表、主控凑或特殊事件，提供判断思路。上图中代表文件系统破坏严
26、重，绿色代表正常,TypeDateTimeTxt^System2009-3-510:09:35EnumerationoffilesfinishedforD：(^System2009-3-510:58:07ScanstartedforD：.Syxtem2009-3-510:58:14Scanh
27、4r>xFoldersX二OBeco^nizcdlSD|jJHtafiles曰口匕□OF%vontsRoot□ILjSystemVolumeInformation!!□ExtraFoundFilesContentsXNwe▲SixeCreatedModifitdFilL:_Favorites02008-2T411□1^SystemVolume■02008-2-1411□Qrautonminf842008-2-141145:012008
28、-2-1411:45:0144:502008-2-1411:44:5545:022005-5-1213:25:14Driveview^D：RecognizedleR-STUDIOnetworkedition-FileVieRecofnizedlonD:EBEeR-STUDIOnetworkedition-FileVieRecofnizedlonD:EBELogXTypeDateTimeTextSystem2009-3-510:58:14Scubttn
29、compltdforDin7.563sV1System2009-3-511:01:02EnumerationoffilesstartedforReco^nizedlSystem2009-3-511:01:02EnumerationoffilesfimshedforRecocnizedlV
31、建”主菜单的第一个子项“创建区域”非常有用，可以在介来。我们数据恢复时，会大致判断有用数据存在的范鈕加效率。假如某块硬盘分区丢失，我们又知道其驱云心了J项就是划分出的这块空间，里面果然包含一个NTFS分区，可以直
32、rR-StudioDemo一Drivevie<口回冈IJrivtrttttfoolsViewSlp<1r>，DriveviewPropertiesNuDriveType二Si"PartitionOffsetPartitionSizeQITFSInformationClusterSizeMFTRecordSizeMFTPosilionMFTMirrorPositionIndexBlockSizeSectorSizeVolumeSi”Vtlut|P%rtition
33、Region0on胃DCID1600JS-58NCB11002E0215GB(31457280nc)31.5KB(63sec)15GB(31457280“c)4KB(8see)1KB3GB(6291456xec)64KB(128sec)4KB512B147GB(30732281sc)TypeDateTimeTextRetdy下面的二级子项都跟磁盘阵列有关，该塑阵列模式。新版中加入了条带分RAID5来说，软件已经默i后在右边的阵列容器RAIDO、
34、RAID1.RAID5、跨区卷等穴由用户自由调节数据分布和校验走向。对四种排列。操作非常简单，点击创建RAIDS,然添力1菜单中的驱动器选项即可orR-StudioDeao一Drivevie匚I回冈firiveCreateloolsView^elp
35、SS&般⑨HxaLogXkkkssse.11-1rpDDDTooo
36、alttoolsViewJftlpDriveviewDrivesPxirentsDevict/Disk▲VirtuURAIDS1-298.1GB(320083722240byt环625163520sectors)曰"TDCrD1600JS-58ICB.ATA(2:2)149....y▼NTFS31.5KB147GByd：▼新址毛—MTFS14.7GB134.4GBSRes：on0onIDCWD.HTFS31.5KB15GBDirect
37、ol\eNTFS一15GB曰*ASUSDVD-E818Al.02o—3：二0200MBVoluihtstsandRAIBsJVirtuaRAIB51|0I^QElLabelSttrtSizeB2!.o“「oGpuzTdisksorvolumestothlistboxtoaRAIDsetAlsoyouconusthwshortcutmenuto“theRAIDsetDevice/DiskLabelFSSta
38、rtSizeOffsetfS^WDCWD1600JS-58N：B110ATA(2：2)149I：B0secMissingDiskMissingDiskWDCWD16OOJ…llissincDisk亠1一24■■5MissingDiskBlocksize:64KBvBlocksorder:佃nous(Standard)vParityDigit,ClwAllrR-StudioDeao一Drivevie匚I回冈Propertiej|Pa
39、rentsDateTimeText2009-3-514:46:392009-3-514:46:39Can*tregenerateRAIDSparity2009-3-514:46:39e1<11KPDDDTooo
40、“工具”主菜单非常容易学习，依次如RAID卷，空间等。除日志、保存日志、删除创建的工程（日志选项涉及数据恢复涉及的所有对象，巨细无遗）磁盘编辑器是该软件的自带功能，比较强大，可以定位.修改、填充.解码磁盘和文件数据。从下图看出，和WINHEX布局非常相似，左边是定位控制台，可以搜索扇区，字节等,还给出了详细的文件系统模板，和WINHEX不相上下。右边是编辑阅览区，以HEX码的形式呈现。不要小看这个磁盘编辑器，麻雀虽小五脏俱全。EiR-StudioDeao-fDCTO1600JS-58ICB110.02E02口叵）冈EiR-Stu
41、dioDeao-fDCTO1600JS-58ICB110.02E02口叵）冈FileEditNavigateViewToolsHelpgoffsettogotoSectorsPropertiesDataInterpreterdOffsetSector1Binarydata0:FA33CO8EDOBC007C--8BF4500750IF10:BF0006B90001F2A5-EA1D060000
42、BE20:B304803C8074OE80--3C00751783C630:CB75EFCD188BEE83--C610FECB743340：00aF4BE1007B406--B000B707B90050:18B24FCD10B6OAE8--9E00E8A400B660:9600BE6007E89900--B
43、400CD16EA0070:FFBF0300B441BBAA--55B280CD137280：FB55AA753DF6Cl01--7438BEAD07Bl90：040046E2FABEAD07--C60410C64402a0:4404007C8B460889--44088B46OA89b0:B80042B2
44、80CD1373--2933COCD134Fc0:EB188BF58B148B4C--02BB007CB801d0:1373OF33COCD134F--75E8BE2807EAeO:0000BE4707BFFE7D--813D55AA7507fO:EA007C0000E94EFF--B402B700B208
45、100:C3AC3C007409BB07-00B4OECD10EB110:496E76616C696420--706172746974120:6E207461626C6500--4572726F7220130:6164696E67206F70--65726174696E上图显示出了模板种类，分别为MBR、EBR、FAT12|16DBR、F
46、AT32|DBR、NTFSDBR、FAT目录项、FAT32长文件名、MFT、LDM私有头、LDM内容表、LDM数据库头、LDM数据库内容、LDM处理日志、AVI视频和媒体列表等。最上方的文本框可以填入扇区或偏移量定位数据位置。上方的工具栏中的编码方式也可以自由调节。
47、iR-StudioDeso—D叵MilegditNavisatwViewloolsHelpOffsetA4t>StciorsPropertiesDataInttrpreterSector1(Parent:WDCUDI610：10:20：30:40：50:60:70：80：90:aO:bO:cO:dO:eO:fO：100:110：120:1
48、30:140：150:160:170:180:190:laO:IbO:lcO:ldO:leO:lfO:EL000000F6008E1008OFB716740300OFB466661A01FFC3B4EB20OD6E6D202000520000000000D8E8CDB6C924040666854258F7000206AO01F265OA67
49、70437200900000OC0000E85313DI6600FE1C50OC8A66Fl86CD10r-8BC3724E00727465004E00100I00I00I00:16i0073180:F7CD06000600:16:58FED6：13100:01FOOD17254OD16572
50、73001ReadySize144304312320OffsetOxSector1(NTFSReadOnlyBinaryd^taUnalteredOffsetBinarydataOEMUNICODEUNICODE*ANSISector1(Parent:VDCVD1600JS-58NCB110.02E020:EB52904E544653202020200002080000PhTFS10：E9S0000000
51、0□0F80000BF00FF0039FOD401|..1.9鹑20:0000000080008000879Acc100000000030：0000OC0000000000A8C9OC0100000000)}40：F6000000010000007D3A9E38479E38C2
52、}:G.50:00000000FA33CO8EDOBC007CFBB8CO07…？欤届160:8ED8E81600B800OD8ECO33DBC606OE00庁？殽3燮…70:10E853006800OD686k02CB8A162400B4hhj菖$80:08CD13730
53、5B9FFFF8kFl66OFB6C64066s？姪f镀90:OFB6DI80E23FF7E286CDCOED064166OF堆？廃嚨理AW.aO:B7C9匚口F7El66A32000C3B441BBAA558A飞工麽么A华U.bO:162400CD1372OF81FB55AA7509Cl01
54、cO:7404FE061400C36660IE0666Al100066dO:03061C00663B062000OF823A00IE666A"eO:0066500653666810000100803E140000fP.Sfh>to：OF85OC00E8B3FF803E140000OF
55、846100>dI100:B4428A16240016IF8BF4CD1366585B07瘠？$爛？X[110:66586658IFEB2D6633D266OFB7OE1800fXfX.f3r？…120：66F7FlFEC28ACA668BDO66ClEA10F736t馥娛t繳t陵？130:1
56、A0086D68A1624008AE8COE406OACCB8嗪？$姻冷谈140：0102CD13OF8219008CCO0520008ECO66150:FF061000FFOEOE00OF856FFF07IF6661...fa160:C3AOF801E80900AOFB01E80300FBE
57、BFE膿？？航？170:B4018BFOAC3C007409B4OEBB0700CD10罐？<180：EBF2C3ODOA41206469736B2072656164榆？Adiskread190：206572726F72206F6363757272656400erroroccurred.laO:ODOA4E5
58、44C4452206973206D69737369NTLDRismissiIbO:6E6700ODOA4E544C445220697320636Fng...NTLDRiscoIcO:6D7072657373656400ODOA5072657373impressed.PressldO:204374726C2B416C74
59、2B44656C20746FCtrl+Alt+DeltoleO:2012657374617274ODOA000000000000restartlfO:000000000000000083AOB3C9000055AA僦成USector:30732346)Sector:30732347)WTFS.9.)).)：G<飲曆|殽3燮…
60、庁？…诵3堆魔哮理hhj<5^$姪f镀阮飞f麼2么A华U.....t；..fj.fP.Sfh>...琮>進？$娴？X[fXfX.f3瘵t馥.娛t繳t陵？唸？$娓冷谈尷.幫W...fa膿？？航？MS.Adiskreaderroroccurred..NTLDRismissing...NTLDRiscompressed..PressCtr1+Alt+Del
61、torestart僦成UI肋^D.t…適呎半",.-.y.u咳…OC鹏口A紀似8…軀□賢.□ooo^oKSh牲繭口勅梔4Bdd□JMd.眺口心權舉Di□积口帧□蜃評粤口□期脏瞰疵||$0□…V琏心昆口旳□啊曲.舌U：晒j旳」尧耀口.借勿悴墜.訓□韜□易,墜墜0qDOD.啤…旋口I7諂醴皿@.53廨缺.aD&J-D.E&BH□口谀IC…薔口丘悠D.QDiR.星口□NDDaeo^□
62、.謁V.DeD.□□搠猱敲概D-DtSO擦牲牯漠捣卒敲d新瀚捌呎□徹滓猱模上口到集第祎上□割弟澗g呎□毬执灭敲猫損伦敲探轴徼教d□ffi.H.孜潴躍汲□篁□汶；堰徼僧谑nnSector2(Parent:VDCWD1600JS-58NCB110.02E02ReadySize144304312320Offset0x0000000000000000Sector1R“dOnlyBinuydataUnaltered（右半边四种文本字符集同时显示，要取消单击即可）
63、E3R^StudioDe>o—D:在编辑区点右键，出现磁盘编辑器管理菜单。第一项“查看”主要控制字符集类型，窗体显示内容等。第二
64、项的含义是从当前位置导入模板，下图中明显是一个引导扇区，我们选择相应模板，再单击此项，就可以在模板中直观地查看参数了。第三项第四项是寻找同类型模板匹配标记的意思、一个向下找一个向上找。有兴趣的朋友可以尝试先将引导扇区模板设为当前选项，在磁盘起始处点击该键，编辑器会自动定位到63DBR扇区，MBRMFT超级块亦然。第四项第五项第六项都跟标记有关，在字节上选择第四项，则该字节被打上标记，剩下两项都是回到上一个标记或定位下一个标记的意思，不用赘述。都是打开新窗口的意思,种以HEX方式打开新窗口，另一种只显示文项第八项E3R^StudioDeo—D:F
65、ileEditNavigateViewToolsHelpTemplateOffsetBinarydataAXSIUNICODEBootsectorNTFSKameSistatureJ1IPinstructionOEMIDItBIOSParaoeterByttsptr&Valueisinvalid544653Sector1(Parent:UDCUD1600JS-58NCB110.02E02Sector:30732346)Block0Sectorsper…0Reserved
66、s@0(^lwtyszero)(unused)lledidescr(unused)SectorsperNumberofH.00F800003F00FF00614974680:10:20:30:40:50：60：70：80：90：■DataCSetTemplatePositionTextCFindTemplateSignatureHext7SectorsCBookmark7BYTESPreviousBookmarkANSI】NextBoohnarkOEHOpenInNrWindowAsData7UNICODEUNICODE+9鹤.咀？…力}:G8.I.3燮1j$江镀淞強理匕|肋亏口…？y…骇