数据恢复技术一详解.ppt

（Dos引导记录DBR） DBR的组成。 BPB作用。 DBR由跳转指令、厂商标识和版本号、BPB、引导程序和结束标志5部分组成。 记录着本分区的起始扇区、结束扇区、文件存储区格式、硬盘介质描述符、根目录大小、FAT个数、分配单元（Allocation Unit）的大小等重要参数。 （1）跳转指令 最开始即是一条跳转指令，让程序执行流程跳转到引导代码。 （2）厂商标识和系统版本号 这段数据占8个(03~0A)字节，其内容随系统版本不同而略有变化。 （3）磁盘参数块 磁盘参数块也称为BIOS参数块BPB (BIOS Parameter Block)。它从第12 (0BH)个字节开始，占用52 (0B~3E， FAT12/FAT16格式)或80 (0B~5A， FAT32格式)个字节，各字节内容及地址分配如表2-6所示。表中记录了磁盘的每扇区字节数、磁头数、目录起始簇等重要信息，该部分的内容随磁盘类型的不同而变化。 4 (4) DOS引导程序 这段引导程序通常称为DOS引导程序，其实，并非单指DOS操作系统，而是对各类操作系统进行初始引导的磁盘引导程序，即BOOT(自举)扇区。它占用448字节(3E~1FD )或420字节(5A~1FD)，负责完成相关操作系统初始系统文件的装入。 (5)结束标志 DBR的结束标志与分区表的结束标志相同，为“55AA，占用两个字节。 以上5个部分共占用512个字节，正好是一个扇区，该扇区的内容除第5部分结束标志字固定不变外，其余4个部分都是不确定的，会根据操作系统的版本，安装的磁盘类型不同而变化。 磁介质描述符(Media Description)表明磁盘介质，根据磁盘性质的不同取不同的值。通常的数据如表所示。 4 .2 FAT32文件系统 4 1 2 3 5 文件目录表分析 文件删除原理及恢复 文件分配表分析 FAT32文件系统结构 课后操作题 2、文件分配表分析 3.2、簇与FAT链 簇(Cluster) 为了便于管理，系统将磁盘划分为一个一个大小相等的块，这些块就被称为簇。一般情况下，FAT32中每簇占用4KB大小。 FAT DATA区 簇 0 簇 1 簇 2 簇 3 簇 4 簇 5 簇 n ……………….. 3、文件分配表FAT分析 FAT概念 FAT（File Allocation Table）：文件分配表，表示文件在硬盘中存储位置的登记表，是系统中文件的寻址系统。 FAT不真正存储文件的内容。为了数据安全起见，FAT一般生成有两个，第二个FAT为第一个FAT的备份。 FAT 簇 0 簇 1 簇 2 簇 3 簇 4 簇 5 簇 n ……………….. FAT1 FAT2 0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 … … … … n FAT表结构特点 FAT表由FAT表项构成，每个FAT表项32位（4字节）。 FAT前2簇为保留簇(簇0和簇1)，不分配给文件使用。 文件的结束簇标记： 一个FAT表项值表明了文件占用的一个簇号并指明下一簇号的位置。 FF FF FF 0F FAT 簇 0 簇 1 簇 2 簇 3 簇 4 簇 5 簇 n ……………….. 0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 … … … … n 每簇大小4K 文件A大小3K 文件B大小9K 结束标记 4 5 结束标记 在磁盘上创建三个文件：swk.jpg 、 山东政法学院.txt 、 信科系简介.txt。 FAT表分析 簇2 簇3 簇0 簇1 簇4 簇5 簇6 簇链 簇链 FAT表项与簇一一对应，系统在创建一个新文件时，会逐一扫描FAT，跳过己经分配的簇，将簇分配给文件，同时其簇号作为该文件的首簇号被记录到文件的目录项中。如果文件只需一个簇就可以存下，则首簇号对应的FAT表项中将存放文件最后一簇的标记(一般为FFFFFF0FH)。 若文件大小大于一个簇，则系统会继续寻找FAT表中未分配的簇，找到后将该簇的簇号存到上一簇对应的FAT表项中。这样，上一个FAT