数据恢复实战 ExFAT文件系统目录项 ExFAT目录项分析.pptVIP

《数据恢复实战》课程 Data Recovery Practical 主讲教师 刘俊 移动通信技术专业教学资源库 深圳信息职业技术学院电子与通信学院 ExFAT目录项分析 目录 01 目录项的作用及特点 02 ExFAT 的卷标目录项 03 簇位图和大写字符目录项 1.目录项的作用及特点 EDITED BY LIUJUN * 数据恢复实战 目录项对于ExFAT文件系统来讲是非常重要的组成部分，其主要作用及结构特点如下： （1）分区中的每个文件和文件夹（也称为目录）都被分配多个大小为32字节的目录项，用以描述文件或文件夹属性、大小、起始簇号和时间、日期等信息，当然还会把文件名或目录名也记录在目录项中 （2）在ExFAT文件系统中，目录也被视为特殊类型的文件，所以每个目录也与文件一样有目录项 （3）在ExFAT文件系统下，分区根目录下的文件及文件夹的目录项存放在根目录区中，分区子目录下的文件及文件夹的目录项存放在数据区相应的簇中 目录项的作用及特点 EDITED BY LIUJUN * 数据恢复实战 （4）ExFAT文件系统目录项的第一个字节用来描述目录项的类型，剩下的31字节用来记录文件的相关信息 （5）根据目录项的作用和结构特点，可以把目录项分为四种类型： ①卷标目录项 ②簇位图文件的目录项 ③大写字符文件的目录项 ④用户文件的目录项 2. ExFAT 的卷标目录项 EDITED BY LIUJUN * 数据恢复实战 卷标就是一个分区的名字，可以在格式化分区时创建，也可以随时修改 ExFAT文件系统把卷标当作文件，用文件目录项进行管理 卷标的目录项占用32字节，其中第一二字节是特征值，用来描述类型。卷标目录项的特征值为“83H”,如果没有卷标或者将卷标删除，该特征值为“03H” ExFAT 的卷标目录项 EDITED BY LIUJUN * 数据恢复实战 字节偏移0x00，占用一个字节，含义为目录项的类型（卷标目录项的特征值为“83H”） 字节偏移0x01，占用一个字节，含义为卷标字符数 字节偏移0x02，占用22个字节，含义为卷标 字节偏移0x18，占用8个字节，含义为保留（也可以用） ExFAT 的卷标目录项 EDITED BY LIUJUN * 数据恢复实战 卷标的目录项有如下特点： （1）对于ExFAT格式的分区，卷标的字符数理论上要求在11个之内，但最多可以达到15个，卷标使用Unicode码字符 （2）卷标的目录项中不记录起始簇号和大小 （3）卷标的目录项中不记录时间戳 3.簇位图和大写字符目录项 EDITED BY LIUJUN * 数据恢复实战 ExFAT文件系统格式化会创建一个簇位图文件，并为其建一个目录项，放在根目录区中 簇位图文件的目录项占用32字节，其中第一个字节是特征值，用来描述类型，簇位图文件目录项的特征值为“81H” 簇位图和大写字符目录项 EDITED BY LIUJUN * 数据恢复实战 字节偏移0x00，占用一个字节，含义为目录项的类型（簇位图文件目录项的特征值为“81H”） 字节偏移0x01，占用一个字节，含义为保留 字节偏移0x02，占用18个字节，含义为保留 字节偏移0x14，占用4个字节，含义为起始簇号 字节偏移0x18，占用8个字节，含义为文件大小 簇位图和大写字符目录项 EDITED BY LIUJUN * 数据恢复实战 ExFAT文件系统格式化会创建一个大写字符文件，并未其建一个目录项，放在根目录区中。 目录项占用32字节，其中第一个字节是特征值，用来描述类型，特征值为“82H”。 簇位图和大写字符目录项 EDITED BY LIUJUN * 数据恢复实战 字节偏移0x00，占用一个字节，含义为目录项的类型（特征值为“82H”） 字节偏移0x01，占用一个字节，含义为保留 字节偏移0x02，占用18个字节，含义为保留 字节偏移0x14，占用4个字节，含义为起始簇号 字节偏移0x18，占用8个字节，含义为文件大小 总结 1.ExFAT文件系统的每一个目录项占用多少个字节? 2.ExFAT文件系统卷标目录项、簇位图目录项、大写字符目录项的特征值是什么？ 3.ExFAT文件系统卷标的目录项中记录起始簇号和大小吗？ 数据恢复实战 * EDITED BY LIUJUN 谢 谢 主讲教师 刘俊 移动通信技术专业教学资源库 深圳信息职业技术学院电子与通信学院