第4章FAT文件系统数据恢复.pptxVIP

第4章 FAT文件系统数据恢复;4.1.1FAT文件管理系统的基本思想与发展过程 FAT文件管理系统最早是在软盘上实现的，当时为FAT12。 随着存储介质容量的加大，微软在FAT12的基础上推出FAT16，FAT16是一个具有高度兼容性的文件系统，目前仍然广泛应用于个人电脑尤其是移动存储设备中。随着存储空间的进一步扩大，微软又推出了FAT32文件管理系统。 FAT文件系统之所以有12，16，32不同的版本之分，其根本区别在于FAT表用来记录任意一簇链接的二进制位数。对于FAT12来说，就是用12个二进制位（也就是一个半字节）来表示簇号。其最大可以表示的簇号为0xFFF（十进制为4095）。少于32680个扇区（约为16MB）的分区，系统通常会将其格式化成12位的FAT，FAT12是FAT的初始实现形式，是针对小型介质的。;FAT16最大可以表示的簇号为0xFFFF(十进制的65535)，以32K为簇的大小的话，FAT16可以管理的最大磁盘空间为：32KB×65535=2048MB,这就是为什么FAT16不支持超过2GB分区的原因。 FAT32将记录簇链的二进制位数扩展到了32位，故而这种文件系统称为FAT32。32位二进制位的簇链决定了FAT表最大可以寻址2T个簇。这样即使簇的大小为1扇区，理论上仍然能够寻址1TB范围内的分区。但实际中FAT32是不能寻址这样大的空间的，随着分区空间大小的增加，FAT表的记录数会变得臃肿不堪，严重影响系统的性能。WINDOWS系统自带的分区功能对FAT32支持分区的大小最大为32GB。但通过第三方软件建立的FAT32分区，可以支持大于32G分区的正常读写。;FAT文件管理系统磁盘分区大致分为以下几个部分：系统引导保留区、文件链表区、目录区、数据区。 不同版本的FAT系统略有不同，FAT32文件系统把目录区与数据区合并在一块。下图为一个FAT32文件管理系统的典型磁盘布局情况。 ;4.2.1 DBR作用与形成 DBR(DOS BOOT RECORD)即操作系统引导记录的意思，通常占用分区的第0扇区共512个字节(特殊情况也要占用其它保留扇区)。 DBR的引导过程：当系统把引导权交给DBR以后，系统首先读取DBR前边的BPB系统参数，并据此参数寻找用于系统进一步启动的IO.SYS、SYSTEM.SYS、NTLDR等文件，把系统引导权移交给相应的程序，完成系统启动。 DBR的作用：保证分区文件管理系统的正确加载。 DBR的形成：一个分区的DBR是在分区格式化时就产生的。它保证了对本分区文件的读写管理，都按指定的系统参数统一进行。 ;对于不同的文件系统来说，系统引导保留区是不同的，FAT12没有保留区，只有引导扇区，而FAT16除引导扇区以外，还有一个扇区作为系统的保留区。FAT32，除了系统引导扇区以外，还会有31~37个系统保留扇区。其中，有第6扇区有系统引导扇区（DBR）的一个完整备份。 ;下图是某个FAT32分区引导扇区的截屏图。;从中，我们可以看到，这一扇区 的数据结构大致分为以下几个部分: 1.跳转指令 跳转指令本身占用2个字节，它将程序执行流程跳转到引导程序处，比如当前DBR中的“EB 58”，就是代表汇编语言的“JMP 58”。需要注意该指令本身占用2个字节，计算跳转目标地址时以该指令的下一字节为基准，所以实际执行的下一条指令应该位于5A。紧接着跳转指令的是一条空指令NOP(90H)。 2．OEM代号 这部分占8个字节，其内容由创建该文件系统的OEM厂商具体安排。 ;3．BPB(BIOS Parameter Block)参数表 FAT32的BPB从DBR的第12（0BH偏移处）个字节开始，占用79个字节，记录了有关该文件系统的重要信息，其各个参数的含义见表4.1。. 4．引导程序 FAT32的DBR引导程序占用420个字节（5AH~1FDH），在Windows 98之前的系统之下，这段代码负责完成DOS三个系统文件的装入，在Windows 2000之后的系统中，其负责完成将系统文件NTLDR装入，对于一个没有安装操作系统的分区来讲，这段程序没有用处。 5．结束标志 扇区的最后两个字节与我们所熟悉的MBR、EBR相同，55AA——引导扇区有效标志。 以上5个部分共占用512个字节，正好是一个扇区，因此称它为DOS引导扇区。该部分的内容中除了第5部分结束标志是固定不变之外，其余4个部分都是不完全确定的，都因操作系统版本的不同而不同，也因硬盘的逻辑盘参数的变化而变化。 ;1.FAT32分区的BPB字段 ;;;;一个FAT32分区“J”双击打开时出现如图4-3所示的提示信息。一般情况下，用户会选择“是”，格式化分区，带来的后果是分区下的文件全部丢失，这时用户想要得到原来的文件只能采取分区格