电子数据取证分析师四级中级工 详细题库

基于系统架构进行数据恢复的方法 题目预览

• 第 1 题 单选题
  在NTFS文件系统中，文件记录位于MFT中，其中包含数据属性，但若文件数据较大，则数据属性中存储的是（ ）。
  • A. 文件数据本身
  • B. 指向文件数据的指针
  • C. 文件数据的哈希值
  • D. 文件数据的压缩标志
  解析：NTFS中，小文件数据直接存储在MFT记录中，但对于大文件，数据属性中存储的是指向数据运行（data runs）的指针，即簇号范围。
• 第 2 题 单选题
  当FAT32文件系统的FAT表完全损坏时，若已知某个文件的起始簇号，则恢复整个文件最可靠的方式是（ ）。
  • A. 根据文件大小假设连续簇
  • B. 扫描目录项中的文件大小字段
  • C. 遍历所有簇号尝试拼接
  • D. 利用文件头签名重建FAT表
  解析：FAT表损坏后，若文件不连续，仅靠起始簇号和文件大小无法恢复准确链，而通过扫描文件头签名可以识别文件类型并重建FAT表或直接提取数据，这是常用方法。
• 第 3 题 单选题
  在ext4文件系统中，文件数据块地址通过inode中的直接指针、间接指针等结构描述，其中间接指针指向（ ）。
  • A. 一个包含数据块地址的块
  • B. 多个直接指针的数组
  • C. 另一个间接指针块
  • D. 文件的扩展属性
  解析：ext4的间接指针指向一个数据块，该数据块中存储的是数据块地址（即直接指针），而非直接数据。
• 第 4 题 单选题
  基于MBR分区的硬盘中，若分区表被清零，但数据区未被覆盖，恢复分区结构需依赖（ ）。
  • A. 硬盘固件中的分区信息
  • B. 文件系统的超级块或引导扇区
  • C. 磁盘0柱面0磁头1扇区的备份
  • D. 操作系统缓存的分区记录
  解析：MBR分区表丢失后，可以通过扫描各分区起始位置的引导扇区（如NTFS的$Boot）或文件系统超级块（如ext的superblock）来推断分区边界，进而重建分区表。
• 第 5 题 判断题
  在FAT32文件系统中，根目录的起始簇号固定为2号簇，因此即使目录项丢失，也能通过扫描2号簇恢复所有文件和子目录。
  • A. 对
  • B. 错
  解析：FAT32根目录起始簇号确实固定为2，但目录项存储的是文件名、起始簇号等信息，若目录项本身被覆盖或损坏，仅扫描2号簇无法获取完整目录结构，且子目录的簇号可能分散。
• 第 6 题 判断题
  在NTFS文件系统中，即使MFT表被严重破坏，只要文件数据区未被覆盖，仍可通过文件签名（如文件头魔术字）进行数据恢复。
  • A. 对
  • B. 错
  解析：文件签名恢复不依赖于文件系统元数据，而是直接扫描磁盘数据块中的特定字节序列来识别文件类型，因此即使MFT损坏，只要数据存在即可恢复。
• 第 7 题 多选题
  在基于系统架构的数据恢复中，常见的文件系统结构包括（ ）。
  • A. FAT32
  • B. NTFS
  • C. ext4
  • D. HFS+
  • E. APFS
  解析：这些均为常见的文件系统类型，FAT32、NTFS用于Windows，ext4用于Linux，HFS+和APFS用于macOS，都是系统架构恢复的基础。
• 第 8 题 多选题
  针对已删除文件的恢复，基于系统架构的方法通常需要分析（ ）。
  • A. 目录项中的文件名和起始簇号
  • B. MFT记录中的$FILE_NAME和$DATA属性
  • C. 文件内容中的头部特征码
  • D. 文件分配表中的空闲簇标记
  • E. 文件系统的日志或事务记录
  解析：删除文件后，目录项和MFT记录可能仍保留，文件分配表标记空闲，文件头签名可辅助，日志可提供历史信息，所有选项均为可能用到的系统架构相关数据。