数据恢复实战 ExFAT文件系统FAT表分析 ExFAT的FAT及簇位图分析.pptVIP

《数据恢复实战》课程 Data Recovery Practical 主讲教师 刘俊 移动通信技术专业教学资源库 深圳信息职业技术学院电子与通信学院 ExFAT的FAT及簇位图分析 目录 01 FAT表的结构特点 02 FAT表的实际应用 03 簇位图的文件分析 1.FAT表的结构特点 EDITED BY LIUJUN * 数据恢复实战 FAT即文件分配表，对于ExFAT文件系统来讲也是很重要的一个组成部分，其主要作用及结构特点如下： ①ExFAT文件系统一般只有一份FAT,它们由格式化程序在对分区进行格式化时创建 ②FAT表跟在DBR之后，其具体地址在DBR的BPB中有描述 ③FAT表是由FAT表项构成的，我们把FAT表项简称为FAT项，ExFAT的每个FAT项由4字节构成，也就是32位的表项 FAT表的结构特点 EDITED BY LIUJUN * 数据恢复实战 ④每个FAT项都有一个固定的编号，这个编号从0开始，也就是说，第一个FAT项是0号FAT项，第二个FAT项是1号FAT项，以此类推 ⑤FAT表的前两个FAT项有专门的用途，0号FAT项通常用来存放分区所在的介质类型，比如硬盘的介质类型为“F8” ⑥分区的数据区中每一个簇都会映射到FAT表中的唯一一个FAT项,因为0号FAT项和1号FAT项有特殊用途，无法与数据区中的簇形成映射，只能从2号FAT项开始于数据区第一个簇映射，所以数据区中的第一个簇也就编号为2号簇，这也是没有0号簇和1好簇的原因 FAT表的结构特点 EDITED BY LIUJUN * 数据恢复实战 ⑦分区格式化后，分区的两个元文件及用户文件都以簇为单位存放在数据区中，一个文件至少占用一个簇。当一个文件占用多个簇时，这些簇的簇号可能是连续的，也可能是不连续的。如果文件存放的簇不连续，这些簇的簇号就以簇链的形式登记在FAT表中；而如果文件存放在连续的簇中，FAT表则不登记这些连续的簇链 ⑧ExFAT文件系统FAT表的功能主要上记录不连续存储的文件的簇链，所以在FAT中看到数值0的FAT项，并不能说明该FAT项对应的簇是可用簇 2.FAT表的实际应用 EDITED BY LIUJUN * 数据恢复实战 每个FAT项占用4个字节：其中0号FAT项描述介质类型，其首字节为“F8”,表示介质类型为硬盘 1号FAT项写入4个“FF” 从2号FAT项开始对应2号簇，3号FAT项对应3号簇，一直到最后一个簇 目前2、3、4三个FAT项中都是结束标志，说明簇位图文件、大写字符文件、根目录各占一个簇 0号FAT项 1号FAT项 2号FAT项 3号FAT项 4号FAT项 FAT表的实际应用 EDITED BY LIUJUN * 数据恢复实战 该分区是刚格式化的一个分区，把分区格式化为ExFAT文件系统时，格式化程序会把分配给FAT表的第一个扇区清零，然后写入0号FAT项和1号FAT项，另外还会写入簇位图文件。大写字符文件及根目录所占簇对应的FAT项 0号FAT项 1号FAT项 2号FAT项 3号FAT项 4号FAT项 3.簇位图的文件分析 EDITED BY LIUJUN * 数据恢复实战 ExFAT文件系统的FAT表之后就是数据区 但数据区并不一定紧跟在FAT表之后，FAT表后面可能还会有一些保留扇区 首簇起始扇区号，就是数据区的开始，数据区中第一个簇就是2号簇，2号簇一般都分配给簇位图文件使用 簇位图文件是在分区格式化时创建的，该文件不允许用户访问和修改 簇位图 簇位图的文件分析 EDITED BY LIUJUN * 数据恢复实战 该扇区中只有一个字节“07H”，这就是簇位图文件的内容 它的作用是用来管理分区中簇的使用情况 如果某个簇分配给了文件，该簇在簇位图文件中对应的位就会被填入“1”，表示该簇已占用 如果没有使用的空簇，它们在簇位图文件中对应的位就是“0” 簇位图 簇位图的文件分析 EDITED BY LIUJUN * 数据恢复实战 簇位图文件的内容为“07H”，换算成二进制等于 8位就对应数据区的8个簇，也就是2号簇到9号簇这八个簇 很明显的看出2、3、4这三个簇是被使用的，其他五个簇未被使用 2、3、4这三个簇正是被簇位图文件、大写字符、根目录所占用的 簇位图 总结 1.ExFAT文件系统FAT表后面有保留扇区吗? 2.ExFAT文件系统FAT主要登记的是什么? 3.ExFAT文件系统簇位图能否观察簇的使用情况? 数据恢复实战 * EDITED BY LIUJUN 谢 谢 主讲教师 刘俊 移动通信技术专业教学资源库 深圳信息职业技术学院电子与通信学院