硬盘数据结构分析.pptVIP

硬盘数据结构分析Andy Tsai2008/05/20 4 分区的磁盘结构图 FAT 格式分区内数据 FAT分析 如图，FAT表以F8 FF FF FF 开头，此2 字节为介质描述单元，并不参与FAT表簇链关系。小红字标出的是FAT扇区每2 字节对应的簇号。相对偏移0x4~0x5 偏移为第2 簇(顺序上第1 簇)，此处为FF,表示存储在第2 簇上的文件(目录)是个小文件，只占用1 个簇便结束了。第3 簇中存放的数据是0x0005，这是一个文件或文件夹的首簇。其内容为第5 簇，就是说接下来的簇位于第5 簇——〉 FAT表指引我们到达FAT表的第5簇指向，上面写的数据是FF FF,意即此文件已至尾簇。第4 簇中存放的数据是0x0006，这又是一个文件或文件夹的首簇。其内容为第6 簇，就是说接下来的簇位于第6 簇——〉FAT表指引我们到达FAT表的第6 簇指向，上面写的数据是0x0007，就是说接下来的簇位于第7 簇——〉FAT表指引我们到达FAT表的第7 簇 指向……直到根据FAT链读取到扇区相对偏移0x1A~0x1B，也就是第13 簇，上面写的数据是0x000E，也就是指向第14 簇——〉14 簇的内容为FF FF，意即此文件已至尾簇。后面的FAT表数据与上面的道理相同。不再分析。 FAT目录项定义 主引导扇区 DPT 内容详解 第1字节 引导标志。若值为80H表示活动分区；若值为00H表示非活动分区。 第2、3、4字节 本分区的起始磁头号、扇区号、柱面号 第5字节 分区类型符： 00H——表示该分区未用 06H——FAT16基本分区 0BH——FAT32基本分区 05H——扩展分区 07H——NTFS分区 0FH——（LBA模式）扩展分区 83H—— Linux分区 第6、7、8字节 本分区的结束磁头号、扇区号、柱面号 第9、10、11、12字节 本分区之前已用了的扇区数 第13、14、15、16字节 本分区的总扇区数 第一分区的首个扇区 第二分区的首个扇区 FAT引导扇区内容 字节位移 字段长度 字段名 0x00 3 个字节 跳转指令 0x03 8 个字节 厂商标志和os 版本号 0x0B 53 个字节 BPB 0x40 26 个字节 扩展BPB 0x5A 420 个字节引导程序代码 0x01FE 2 个字节有效结束标志 FAT BPB内容 0x0B 扇区字节数(Bytes Per Sector) 0x0D 每簇扇区数(Sectors Per Cluster) 0x0E 保留扇区数(Reserved Sectors) 第一个FAT 开始之前的扇区数，包括引导扇区。本字段的十进制值一般为32。 0x10 FAT 数(Number of FAT) 该分区上FAT 的副本数。本字段的值一般为2。 0x11 根目录项数(Root Entries)只有FAT12/FAT16 使用此字段。对FAT32 分区而言,本字段必须设置为 0。 0x13 小扇区数(Small Sector)(只有FAT12/FAT16 使用此字段)对FAT32 分区而言，本字段必须设置为0。 0x15 媒体描述符( Media Descriptor)提供有关媒体被使用的信息。值0xF8 表示硬盘，0xF0 表示高密度的3.5寸软盘。 0x16 每FAT 扇区数(Sectors Per FAT)只被FAT12/FAT16 所使用,对FAT32 分区而言，本字段必须设置为0。 0x18 每道扇区数(Sectors Per Track) 0x1A 磁头数(Number of Head) 0x1C 隐藏扇区数(Hidden Sector)该分区上引导扇区之前的扇区数。在引导序列计算到根目录的数据区的绝对位移的过程中使用了该值。 0x20 总扇区数(Large Sector) 本字段包含FAT32 分区中总的扇区数。 FAT EPB内容 0x24 每FAT 扇区数(Sectors Per FAT)(只被FAT32 使用)该分区每个FAT 所占的扇区数。计算机利用这个数和 FAT 数以及隐藏扇区数(本表中所描述的)来决定根目录从哪里开始。该计算机还可以从目录中的项数决定该分区的用户数据区从哪里开始 0x28扩展标志(Extended Flag)(只被FAT32 使用)该两个字节结构中各位的值为： 位0-3：活动 FAT 数(从0 开始计数，而不是1).只有在不使用镜像时才有效 位4-6：保留 位7：0 值意味着在运行时FAT 被映射到所有的FAT1 值表示只有一个FAT是活动的 位8-15：保留 0x2A 文件系统版本(File ystem Version)只供FAT32 使用,高字节是主要的修订号，而低字节是次要的修订号。本字段支持将来对该FAT32 媒