数据恢复实战 ExFAT文件系统DBR分析 ExFAT文件系统DBR分析.pptVIP

《数据恢复实战》课程 Data Recovery Practical 主讲教师 刘俊 移动通信技术专业教学资源库 深圳信息职业技术学院电子与通信学院 ExFAT的DBR分析 目录 01 ExFAT文件系统结构总览 02 ExFAT文件系统DBR分析 03 ExFAT文件系统DBR的BPB 1.ExFAT文件系统基本介绍 EDITED BY LIUJUN * 数据恢复实战 ExFAT文件系统由DBR及保留扇区、FAT、簇位图、大写字符文件、用户数据区五个部分组成，其结构如下 ①DBR及保留扇区：DBR是含义是DOS引导记录，也称为操作系统引导记录。在DBR之后往往有一些保留扇区，其中12号扇区为DBR的备份 ②FAT：文件分配表 ③簇位图文件：簇位图文件是ExFAT文件系统中的一个元文件，类似于NTFS文件系统文件中的元文件$BitMap，用来管理分区中簇的使用情况 ① ② ③ ④ ⑤ ExFAT文件系统基本介绍 EDITED BY LIUJUN * 数据恢复实战 ④大写字符文件：是ExFAT文件系统中的第二个元文件，类似于NTFS文件系统中的元文件$UpCase，Unicode字母表中每一个字符在这个文件中都有一个对应的条目，用于比较、排序、计算Hash值等方面 ⑤用户数据区：是ExFAT文件系统的主要区域，用来存放用户的文件及目录 ① ② ③ ④ ⑤ 2.ExFAT文件系统DBR分析 EDITED BY LIUJUN * 数据恢复实战 DBR开始于ExFAT文件系统的第一个扇区 计算机启动时首先由BIOS读入引导盘MBR的内容，以确定各个逻辑驱动器及其起始地址，然后调入活动分区的DBR，将控制权交给DBR，由DBR来引导操作系统 EXFAT文件系统的DBR由6部分组成，分别为跳转指令、OEM代号、保留区、BPB参数、引导程序和结束标志，该图是一个完整的ExFAT 文件系统的DBR ExFAT文件系统DBR分析 EDITED BY LIUJUN * 数据恢复实战 1.跳转指令 跳转指令本身占用两个字节，它将程序执行流程跳转到引导程序处 2.OEM代号 这部分占8字节，其内容由创建该文件系统的OEM厂商具体安排。例如，微软的Windosws Vista系统将此处设置为文件系统类型“ExFAT“ ExFAT文件系统DBR分析 EDITED BY LIUJUN * 数据恢复实战 3.保留区 从DBR的0BH~3FH处是原来的FAT文件系统BPB所占用的空间，ExFAT文件系统不使用这些字节 4.BPB ExFAT的BPB从第DBR的40BH偏移处开始，占用56字节，记录了有关该文件系统的重要信息 ExFAT文件系统DBR分析 EDITED BY LIUJUN * 数据恢复实战 5.引导程序 ExFAT引导程序占用390字节。这部分字节对于ExFAT来说也说很重要的，如果这些数据被破坏，文件系统将无法使用 6.结束标志 ExFAT的DBR结束标志与FAT的DBR结束标志一样，也是“55AA”。 在ExFAT的DBR之后还有很多保留扇区，其中12号扇区为DBR备份 3. ExFAT文件系统DBR的BPB EDITED BY LIUJUN * 数据恢复实战 （1）0x40~0x47 隐藏扇区数 隐藏扇区数是指本分区之间使用的扇区数，该值与分区表中所描述的该分区的起始扇区数一致 （2）0x48~0x4F 分区总扇区数 扇区总数数指分区的总扇区数，由8字节组成 （3）0x50~0x53 FAT起始扇区数 该值相对于文件系统起始号扇区而言，也就是从DRB到FAT表之间到扇区数 ExFAT文件系统DBR的BPB EDITED BY LIUJUN * 数据恢复实战 （4）0x54~0x57 FAT扇区数 是值FAT表包含的扇区数，ExFAT文件系统只有一份FAT表 （5）0x58~0x5B 首簇起始扇区号 该值用于描述文件系统中的第一个簇的起始扇区号。与传统FAT文件系统一样，ExFAT文件系统第一个簇也是2号簇，通常2号簇分配给簇位图文件使用，因此，该值也就是簇位图文件的起始扇区号 ExFAT文件系统DBR的BPB EDITED BY LIUJUN * 数据恢复实战 （6）0x5C~0x5F 分区内的总簇数 分区内的总簇数是值从分区内的第一个簇算起，到分区末尾所包含的簇总数 （7）0x60~0x63 根目录首簇号 通常分区中的第一个簇被分配给簇位图文件使用，簇位图文件之后是大写字符文件，大写字符文件的下一个簇就根目录的起始位置了 （8）0x6C~0x6C 每簇扇区数 本例该值为“08”，即每簇扇区数为2的8次方=256 总