exFAT文件系统解析及其数据恢复原理探究.docVIP

exFAT文件系统解析及其数据恢复原理探究 　　摘要：作为针对移动存储设备开发的新一代的文件系统，exFAT文件系统正在被愈来愈广泛应用。该文第一部分对exFAT文件系统做了介绍，包括exFAT文件系统的由来、优点以及DBR及其保留区、FAT、簇位图等系统结构内容；第二部分结合实例，对exFAT文件系统的文件删除进行了分析，并提出了恢复原理。 　　关键词：exFAT；文件系统；数据恢复 　　中图分类号：TF391 文献标识码：A 文章编号：1009-3044（2015）18-0073-02 　　随着信息时代的高速发展，人们对信息依赖性的提高，信息量爆炸式增长，以数据为载体的信息安全越来越受到人们的重视。人们在享受信息所带来方便的同时，也发现了数据丢失所带来的风险。在工作生活中，由于误操作、病毒人侵、硬件故障、黑客攻击等多种原因导致数据被破坏或丢失，一旦重要数据被破坏或丢失，就会对个人、企业造成重大的影响，甚至是难以弥补的损失。而近年来，可移动存储设备的发展、普及迅猛，为适应电脑终端与移动设备互操作能力而生的exFAT文件系统正被广泛应用。在数据恢复研究领域，国内研究较多的是基于FAT32文件系统和NTFS文件系统的数据恢复，针对exFAT文件系统的数据恢复研究尚少。针对这一需求，本文将对exFAT文件系统进行解析，并针对exFAT文件系统数据恢复技术的原理进行探究。 　　1.exFAT文件系统解析 　　1.1exFAT文件系统的诞生 　　exFAT（ExtendedFileAllocationTableFileSystem，扩展FAT）是Microsoft在WindowsEmbeded5.0以上（包括WindowsCE5.0、6.0、WindowsMobile5、6、6.1）中引入的一种适合于闪存的文件系统。传统的FAT文件系统能够管理的空间有限，而NTFS文件系统又不适合使用在闪存介质上（NTFS文件系统是日志式文件系统，需要记录详细的读写操作，不断的读写对闪存芯片损耗较大）。为了解决这些问题，微软推出了exFAT文件系统。 　　1.2exFAT文件系统的优点 　　1）增强了台式电脑与移动设备的互操作能力； 　　2）单文件理论大小最大可达16EB（16x1024x1024TB）； 　　3）簇大小可高达32MB； 　　4）采用了剩余空间分配表，剩余空间分配性能改进； 　　5）同一目录下最大文件数可达2，796，202个； 　　6）支持访问控制； 　　7）支持TFAT。 　　1.3exFAT文件系统结构总览 　　exFAT文件系统由DBR及保留扇区、FAT、簇位图文件、大写字符文件、用户数据区五个部分组成。 　　1）DBR及其保留扇区 　　DBR的全称为DOSBootRecord，含义是DOS引导记录，也称为操作系统引导记录。在DBR之后往往有一些保留扇区，其中12号扇区为DBR的备份。exFAT文件系统的DBR由6部分组成，分别为跳转指令、OEM代码、保留扇区、BPB参数、引导程序和结束标志。 　　2）FAT 　　FAT的全称为FileAllocationTable，含义是文件分配表。exFAT文件系统一般只有一份FAT，它们由格式化程序在对分区进行格式化时创建。FAT表是由FAT表项（简称FAT项）构成的，exFAT的每个FAT项由4字节（即32位）构成。FAT项编号从0开始，FAT表的前两个FAT项有专门的用途，0号FAT项通常用来存放分区所在的介质类型，1号FAT项一般都是4字节的“FF”。分区的数据区中的每一个簇都会映射到FAT表中的唯一一个FAT项，exFAT文件系统FAT表的功能主要是登记不连续存储的文件的簇链。 　　3）簇位图文件 　　簇位图文件是exFAT文件系统中的一个元文件，用来管理分区中簇的使用情况。簇位图文件中的每一个位，映射到数据区中的每一个簇。如果某个簇分配给了文件，该簇在簇位图文件中对应的位就会被填入“1”，表示该簇已经占用；如果没有使用的空簇，它们在簇位图文件中对应的位就是“0”。 　　4）大写字符文件 　　大写字符文件是exFAT文件系统中的第二个元文件，类似于NTFS文件系统中的元文件$UpCase，Unicode字母表中的每一个字符在这个文件中都有一个对应的条目，用于比较、排序、计算Hash值等方面。大写字符文件固定大小为5836字节。 　　5）用户数据区 　　用户数据区是exFAT文件系统的主要区域，用来存放用户的文件及目录。 　　1.4exFAT文件系统的目录项 　　分区中的每个文件及文件夹（也称为目录）都被分配多个大小为32字节的目录项，用以描述文件及文件夹的名称、属性、大小、起始簇号和时间、日期等信息。exFAT文件系统目