数据恢复实战 FAT32格式化与数据恢复 FAT32的格式化分析.pptVIP

《数据恢复实战》课程 Data Recovery Practical 主讲教师 刘俊 移动通信技术专业教学资源库 深圳信息职业技术学院电子与通信学院 FAT32 格式化分析 目录 01 格式化前的底层分析 02 格式化后的底层分析 03 格式化后的具体恢复 1.格式化前的底层分析 EDITED BY LIUJUN * 数据恢复实战 格式化就是给分区创建一个文件系统 一个FAT32分区中有一个文件“sjhf.jpg”和一个文件夹“123” 文件夹“123”下有一个文件“456.jpg” 格式化前的底层分析 EDITED BY LIUJUN * 数据恢复实战 观察该分区的FAT表 格式化前的底层分析 EDITED BY LIUJUN * 数据恢复实战 观察该分区根目录，根目录中有三个目录项 卷标目录项 文件夹“123”目录项 文件“sjhf.jpg”目录项 格式化前的底层分析 EDITED BY LIUJUN * 数据恢复实战 观察该分区子目录，根目录中有三个目录项，文件“456.jpg”文件目录项之前还有两个目录项，它们是“.”目录和“..”目录的目录项 格式化前的底层分析 EDITED BY LIUJUN * 数据恢复实战 现在将这个FAT32分区格式化 使用WinHex进入底层数据观察有何变化 2.格式化后的底层分析 EDITED BY LIUJUN * 数据恢复实战 格式化后再来看这个分区的FAT表 FAT表除了0号FAT项、1号FAT项和2号FAT项以外已被完全清空 格式化后的底层分析 EDITED BY LIUJUN * 数据恢复实战 跳转到根目录 根目录区也被完全清零 格式化后的底层分析 EDITED BY LIUJUN * 数据恢复实战 跳转到子目录 文件夹“123”下的文件“456.jpg”的目录项还在 3.格式化后的具体恢复 EDITED BY LIUJUN * 数据恢复实战 FAT32文件系统格式化后，FAT表的簇链全部清零 根目录中的文件目录项也被清零，所以根目录下的文件就很难被恢复，因为没有目录项就无法知道这些文件名及存放的地址 子目录的目录项还保存着，没有被清零，所以子目录下的文件是有机会恢复的 只要从39号簇所在扇区开始，连续选中845941个字节，并另外保存 格式化后的具体恢复 EDITED BY LIUJUN * 数据恢复实战 保存后的图如下 总结 1.FAT32文件系统格式化后FAT表会改变吗? 2.FAT32文件系统格式化后根目录会改变吗? 3.FAT32文件系统格式化后子目录会存在吗? 谢 谢 主讲教师 刘俊 移动通信技术专业教学资源库 深圳信息职业技术学院电子与通信学院