计算机数据恢复技术(梁宇恩)第2章介绍.ppt

表2-6 文件Sample-File.txt的FDT分析 　　参考表2-3分析。文件的建立日期数值为3852H，转化为二进制是0011 1000 1001 0010。前7位二进制0011100表示年份，转化成十进制为28，年份还需加上1980，得出的年份值为28+1980=2008；中间4位二进制0010表示月份，转化成十进制为2；最后5位二进制10010表示日期，用十进制表示就是18。因此该文件的建立日期即为2008年2月18日，与图2-33文件列表中的数据一致。 　　文件的建立时间数值为55EC15H，转化为二进制为0101 0101 1110 1100 0001 1001。前5位二进制01010表示小时，为10；接着的6位二进制101111(十进制为47)代表分钟；下面的5位二进制01100(十进制为12)为秒数，是2秒的倍数，这里真实的秒数为12×2=24；最后8位是以10毫秒为单位的秒数。该文件的建立时间即为10时47分24秒。　　文件大小为FDT登记项的最后4字节，读取多字节数据前应注意低位在前高位在后，读出数值为0000A4B5H，转化为十进制就是42165。 　　FAT32文件首簇号共4个字节，分别放置在FDT登记项的第20、21、26、27字节。Sample-File.txt首簇号高16位是0003H，低16位是23FAH，首簇号是000323FAH，转化成十进制为205818。在WinHex中点击访问按钮，选择FAT1菜单，定位到FAT1起始扇区。Sample-File.txt的下一簇号存放地址=FAT1起址+首簇号×4，计算得4000H+323FAH×4=CCFE8H，如图2-34所示。在地址CCFE8H中存放的下一簇号为000323FBH。 图2-34 文件Sample-File.txt的FAT登记项 　　依次计算可以得知，本例的Sample-File.txt占用1个簇，加上首簇共2个簇。FAT表用0FFFFFFFH表示簇链结束。在WinHex中点击菜单“位置”→“转到扇区”，在弹出的对话框中输入首簇号205818，如图2-35所示。　　确定后跳转到Sample-File.txt的数据区，如图2-36所示。 图2-35 转到文件Sample-File.txt的 图2-36 Sample-File.txt的数据区部分 　　综上所述，文件Sample-File.txt本身存放在数据区，FDT登记项记录文件的基本情况(名称、属性、大小、首簇号、建立日期等)，FAT表登记项记录文件在数据区占用空间的情况。因此，FAT32管理文件是通过FDT、FAT、DATA三部分协同工作共同管理完成的。 2.3.2 子目录管理　　观察图2-37子目录Part的FDT登记项，发现该登记项的第11字节值为10H，查表2-4得10H)表示子目录，同时表示文件大小的最后4个字节被置零，这是子目录FDT登记项的两个特点。采用上节的方法读出子目录首簇号00000D93H(十进制为3475)，点击WinHex的“位置”→“转到扇区”菜单项，输入十进制首簇号，跳转到子目录下文件的FDT登记项，如图2-38所示。 图2-37 子目录Part 图2-38 子目录下文件的FDT登记项 　　从图2-38可以查看到Part子目录下的Part0.par、Part1.par文件登记项和图2-37所示的一致(由于篇幅所限，其他文件不再显示)。由于该目录有被删除的文件，所以留下很多置E5H的登记项。如果一个簇放不下子目录文件登记项，那么在FAT表上会有一个簇链，用于分配若干个簇存放子目录文件登记项。　　图2-39中，Part子目录文件登记项中有名为NewPart的目录登记项，表明子目录Part下还有子目录。FAT32就是通过目录的一层层嵌套完成子目录管理的。 图2-39 包含子目录的文件FDT登记项 2.3.3 长文件名管理　　文本文件Sample-XPWindowSV2-Microsoft.txt的FDT登记项如图2-40所示。 图2-40 长文件名的FDT登记项 　　由于文件名超过8个字符，单个FDT登记项容纳不下全部文件名，所以FAT32文件系统用多个FDT登记项来记录长文件名。观察图2-40并结合2.2.1节的内容知，FAT32文件系统做了这样的安排：长文件名由若干个FDT长文件名登记项(见表2-5)和一个短文件FDT登记项构成。本例中，短文件FDT登记项的32个字节位于文件Sample-XPWindowSV2-Microsoft.txt后面，如图2-40所示。短文件FDT登记项记录文件名前6个字符，再加上~1，其余内容和文件FDT一样。 　　长文件名登记项位于前面，由若干个(本例为3个)32