FAT32数据恢复.docVIP

FAT32数据恢复实验 【实验思考】 使用WinHex分析其它WINDOWS文件系统，比较它们与FAT32的不同。 【实验原理】 硬盘数据存储区域 FAT16和FAT32文件系统硬盘上的数据按照其不同的特点和作用大致可分为5部分：MBR区、DBR区、FAT区、FDT区和DATA区。MBR由分区软件创建，DBR区、FAT区、FDT区和DATA区由高级格式化程序创建。文件系统写入数据时只是改写相应的FAT区、FDT区和DATA区。这5个区域共同作用才使整个硬盘的管理系统有条不紊。 MBR区 MBR区，即主引导记录区，位于整个硬盘的0磁道0柱面1扇区。在总共512字节的主引导扇区中，MBR的引导程序占用其中的前446个字节，随后的64个字节为DPT(Disk Partition Table，硬盘分区表)，最后的两个字节“55AA”(偏移1FEH－偏移1FFH)是分区有效结束标志。由它们共同构成硬盘主引导记录，也称主引导区。有时硬盘主引导记录专指MBR的引导程序。 DBR区 DBR(DOS Boot Record)，操作系统引导记录区。通常位于硬盘0柱1面1扇区，是操作系统可以直接访问的第一个扇区。它包括一个引导程序和一个被称为BPB(BIOS Parameter Block)的本分区参数记录表。引导程序的主要任务是，当MBR将系统控制权交给它时，判断本分区根目录前两个文件是不是操作系统的引导文件。以DOS为例，即是IO.SYS和MSDOS.SYS。Windows与DOS是一个家族，所以Windows也沿用这种管理方式，只是文件名不一样。如果确定存在，就把IO.SYS读入内存，并把控制权交给IO.SYS，BPB参数块记录着本分区的起始扇区、结束扇区、文件存储格式、硬盘介质描述符、根目录大小和FAT个数，分配单元的大小等重要参数。 FAT区 在DBR之后就是FAT(File Allocation Table，文件分配表)区。同一个文件的数据并不一定完整地存放在磁盘的一个连续的区域内，往往会分成若干段，像一条链子一样存放。这种存储方式称为文件的链式存储。硬盘上的文件常常要进行创建、删除、增长和缩短等操作。这样的操作做得越多，盘上的文件就可能分的越零碎(每段至少是1簇)，但是，由于硬盘上保存着段与段之间的连接信息(即FAT)，操作系统在读取文件时，总是能够准确地找到各段的位置并正确的读出。但是这种以簇为单位的存储法也是有其缺陷的，主要表现在对空间的利用上。每个文件的最后一簇都可能有未被完全利用的空间。一般来说，当文件个数比较多时，平均每个文件要浪费半个簇的空间。 为实现文件的链式存储，硬盘上必须准确地记录哪些簇已经被文件占用，还必须为每个已经占用的簇指明存储后继内容的下一个簇的簇号。对一个文件的最后一簇，则要指明本簇后无后继簇，这些都由FAT表来保存。表中有很多选项，每项记录一个簇的信息。由于FAT对于文件管理的重要性，所以，FAT有一个备份，位置在原FAT的后面再建一个同样的FAT，即FAT2。最初形成的FAT中，所有项都标明为“未占用”。如果磁盘有局部损坏，格式化程序会检测出损坏的簇，在相应的项中标为“坏簇”，以后存文件时就不会再使用这个簇。FAT的项数与硬盘上的总簇数相当，每一项占用的字节数也与总簇数相适应，因为其中需要存放簇号。FAT的格式有多种，最为常见的是FAT16和FAT32。其中FAT16是指文件分配表使用两个字节即16位表示一个簇。由于16位分配表最多能管理65536个簇，而每个簇的存储空间最大只有32KB，所以，在使用FAT16管理硬盘时，每个分区的最大存储容量就只有65536×32KB＝2048KB，即2GB。由于FAT16对硬盘分区的容量限制，所以当硬盘容量超过2GB之后，用户只能将硬盘划分成多个2GB的分区后才能正常使用。为此，微软公司从Windows 95 OSR2版本开始使用FAT32标准，即使用32位表示一个簇的文件分配表来管理硬盘文件，这样系统就能为文件分配多达4294967296(即2的32次方)个簇，所以在簇同样为32KB时，每个分区容量最大可达128TB以上。此外，使用FAT32管理硬盘时，每个逻辑盘中的簇大小也比使用FAT16标准管理的同等容量的逻辑盘小很多。由于文件存储在硬盘上占用的磁盘空间以簇为最小单位，所以，某一个文件即使只有几十个字节也必须占用整个簇，因此，逻辑盘的簇单位容量越小越能合理利用存储空间，所以FAT32更适用于大容量硬盘。 FDT区 FDT(File Directory Table，文件目录表)是根目录区，紧接着FAT2(即备份的FAT表)之后，记录着根目录下每个文件或目录的起始单元，文件的属性等。定位文件位置，操作系统根据FDT中的起始单元，结合FAT表就可确定文件在硬盘中的具