第4章 数据恢复--手动恢复文件系统.ppt

手动恢复文件系统 手动恢复FAT16 手动恢复FAT32 手动恢复NTFS 1 手动恢复FAT16 FAT16的原理 FAT16下如何查找文件 利用WinHex手动恢复FAT16删除的文件 WinHex手动恢复FAT16的DBR 1.1 FAT16分区的原理--各个区域的相互关系 (1) FAT16分区下的DBR: 文件系统的参数都记录在DBR的BPB中,系统依靠它来确定FAT,FDT和DATA的位置,如下图: 1.1 FAT16分区的原理--各个区域的相互关系 (2)FAT16分区下的FAT文件分配表 FAT占用的扇区数量: (格式化时确定 ) FAT占用的扇区数量的计算公式: (格式化时确定 ) 1.2 FAT16下如何查找文件 1.2.1 FAT16根目录下文件的管理 文件目录表的起始位置 FAT16下FDT项的含义 1.2.1 FAT16根目录下文件的管理 例子: 在FAT16下 根目录下建立一个文件file.txt, 来分析FAT16的FDT. 参考 教材 1.3 利用WinHex手动恢复FAT16删除的文件 实验 1.4 WinHex手动恢复FAT16的DBR 1.4 修改FAT16的DBR引导扇区中的参数 FAT32分区被格式化后，在其第一个扇区（DBR中存储有FAT32分区的系统参数，如果这些参数被破坏，则FAT32分区仍然无法正常打开。在不同的FAT32分区中，DBR中的程序代码是不变的，只时参数不同而已。因此，如果要修复DBR，只需要拷贝其他的FAT32的DBR覆盖，并修改关键参数即可。 在菜单“视图”--》“模版”中选择 “启动扇区FAT32”列举了这些参数，其中我们需要修改的有： 扇区数/簇： 保留扇区数： 隐藏扇区数： 分区扇区数目 扇区数/FAT： 根目录的第一个簇： 2.1 FAT32原理 FAT32的组织结构 数据空间的管理方式 FAT与FDT的关系 FDT 2.2 FAT32下如何查找文件 2.3 FAT32下恢复删除的文件 文件删除的实质 恢复被删除的文件 2.4 恢复FAT32的DBR 2.3 修改FAT32的DBR引导扇区中的参数（续） （1）保留扇区数和 扇区数目/FAT： 从分区开始到 FAT的扇区都属于保留扇区，而FAT是以F8 FF FF 0F 开始的 因此从分区开始往后可以搜索到两个 F8 FF FF 0F ，这两位置相减即为 FAT的大小 3.3 修改FAT32的DBR引导扇区中的参数（续） （2）根据FAT的大小和分区的大小 计算 扇区数/簇： 首先确定这个分区的大小，由于FAT32没有明确的结束标志，可以认为下一个分区的开始之前为结束； 因为FAT中的每四个字节对应管理一个簇，因此 FAT可以对应的簇的个数=FAT扇区数目* 512/4 FAT对应管理的空间≈分区大小（单位：扇区）=簇的个数*N N= 分区大小/簇的个数 且N为2的n次方 所以N就是需要计算的扇区数/簇 3.3 修改FAT32的DBR引导扇区中的参数（续） （3）保留扇区数： 一般表示虚拟MBR占用的扇区数，一般为63 （4）根目录的第一个簇 一般为2，即根目录的第一个簇也是分区的第一个簇 2.1 修改FAT32的DBR引导扇区中的参数 FAT32分区被格式化后，在其第一个扇区（DBR中存储有FAT32分区的系统参数，如果这些参数被破坏，则FAT32分区仍然无法正常打开。在不同的FAT32分区中，DBR中的程序代码是不变的，只时参数不同而已。因此，如果要修复DBR，只需要拷贝其他的FAT32的DBR覆盖，并修改关键参数即可。 在菜单“视图”--》“模版”中选择 “启动扇区FAT32”列举了这些参数，其中我们需要修改的有： 扇区数/簇： 保留扇区数： 隐藏扇区数： 分区扇区数目 扇区数/FAT： 根目录的第一个簇： 2.2 修改FAT32的DBR引导扇区中的参数（续） （1）保留扇区数和 扇区数目/FAT： 从分区开始到 FAT的扇区都属于保留扇区，而FAT是以F8 FF FF 0F 开始的 因此从分区开始往后可以搜索到两个 F8 FF FF 0F ，这两位置相减即为 FAT的大小 2.3 修改FAT32的DBR引导扇区中的参数（续） （2）根据FAT的大小和分区的大小 计算 扇区数/簇： 首先确