fat32文件系统-2017年11月.pptVIP

FAT32文件系统下文件误删除的数据恢复 数据恢复的分类 逻辑恢复：在数据存储设备正常的情况下进行的数据恢复工作，称逻辑恢复。也就是说数据遭受的破坏是逻辑破坏，比如格式化、删除、重新分区等情况。 常见的文件系统 Windows常用的分区格式有三种，分别是FAT16、FAT32、NTFS格式。 在Linux操作系统里有Ext2、Ext3、Linux swap和VFAT四种格式。 FAT32文件系统数据恢复的主要内容 本 讲 主 要 内 容 一、 文件的各部分结构分析 二、 文件删除后的变化 三、 文件删除后的恢复 四、 专业数据恢复工具的使用 五、 小结 一、文件的各部分结构分析 FAT32文件系统由DOS引导记录（DBR）扇区、FAT表、数据区三个部分组成。 FAT32把目录当做文件来管理，所以没有独立的目录区，所有的文件目录项都是在数据区里面的。 1.1 DBR分析 DBR（DOS BOOT RECORD，DOS引导记录），位于柱面0，磁头1，扇区1，即逻辑扇区0 ; 它包括一个引导程序和一个BPB(本分区参数记录表 ); DOS 引导程序完成DOS系统文件（IO.SYS，MSDOS.SYS）的定位与装载 ; BPB用来描述本DOS分区的磁盘信息，比如：本分区的起始扇区、 结束扇区等等。 注意：搜索DBR的标志： FAT16的DBR:EB 3C 90，无备份的DBR FAT32的DBR:EB 58 90，有备份的DBR，通常在该分区的第6扇区 NTFS的DBR: EB 52 90，有备份的DBR，通常在该分区的最后一个扇区 DBR的构成 BPB的3个重要参数： (1)保留扇区(RS-Reserved Sector)由DOS指定的被保留用作引导区的扇区数。Windows系统一般有32个保留扇区。(2)介质描述(MD-Media Description)向DOS提供的所用磁盘的性质。介质描述栏中的值DOS所能识别的十六进制数，不同的介质(即不同的磁盘类型)具有不同的介质描述值。硬盘的介质描述符为“F8“，不同的软盘所对应的介质描述符也不同。 (3)隐含扇区数(HS-Hidden Sectors)隐含扇区一般用于硬盘分区，所以在软盘中该值为0。在硬盘分区中，它表示从磁盘起始扇区至当前分区之前的总扇区数。 1.2 FAT表分析 FAT （File Allocation Table） 簇（Cluster）是文件数据区被划分成的具有大小相等的区域用于磁盘文件的计量分配单位。 文件分配表是位于磁盘0扇区上的一个特殊的文件，它包含了磁盘上的文件的大小以及文件存放的簇的位置等信息。 文件的首簇号存放在FDT（根目录）登记项中，后续簇号存放在FAT中。 FAT的功能 记录磁盘类型 FAT前2簇为保留簇，不分配给文件使用。 FAT16：F8 FF FF FAT32：F8 FF FF 0F FF FF FF 7F 记录文件占用的各簇的簇号 一个FAT表项值表明了文件占用的一个簇号并指明下一簇号的位置。 记录可用簇和坏簇 1.3 根目录及数据区分析 FDT文件目录表（File Directory Table） 文件目录表（FDT）是由若干个32字节的表项构成的。它记录着每个文件（目录）的文件名、扩展名，是否支持长文件名，起始单元（这是最重要的）、文件的属性、大小，创建日期等内容。 用FORMAT命令对磁盘进行格式化的时候，就已经为整个磁盘建立了一个根目录FDT。 根目录下的所有文件及其子目录在根目录的文件目录表（FDT）中都有一个“目录登记项”或简称为“目录项”。每个目录登记项占用32个字节，分为8个区域，提供有关文件或子目录的信息。其中包括了DOS的系统文件（IO.SYS、MSDOS.SYS、和COMMAND.COM）的目录项。 二、 文件删除后的变化 文件目录项的第一个字节被改为“E5” ，文件名的其他字节并没有变化 ； ”文件开始簇号“这个值发生了改变 ； 文件删除后其FAT表的簇链全部清零 ； 文件数据区的内容并没有改变 。 二、 文件删除后的变化 文件名是 10 朋友别哭.mp3 二、 文件删除后的变化 FAT表一部分 二、 文件删除后的变化 未删除以前的数据区 一部分 二、 文件删除后的变化 删除文件后发生的改变 文件目录项：首字节被改成了E5 二、 文件删除后的变化 FAT 表 已经被清零 二、 文件删除后的变化 数据区 无变化 三、 文件删除后的恢复 选中数据区有两种方法： 1、文件大小（字节）/16(每行16个字节)=文件数据区的行数； 2、文件的总扇区数