数据备份与恢复 课中：任务讲解与实施 FAT32文件系统删除文件的分析(PPT).pptxVIP

课程名称：数据备份与恢复知识点：FAT32文件系统删除文件的分析四川邮电职业技术学院 成友才FAT32文件系统文件删除操作方式使用Shift+Delete删除文件删除子目录删除将文件通过回收站删除使用其他软件删除格式化FAT32文件系统的文件删除分析文件的数据定位涉及到FDT、FAT及根目录位置，所以通过对比文件删除前后的磁盘低层数据的变化，找到文件删除的原理，总结恢复数据的操作要点。文件恢复采用逻辑推理的方法得出原来位置可能出现的数据，然后进行数据补全。不管哪种文件删除方式，如果文件内容所存储位置的数据发生了改变，一般情况下，意味着无法恢复。FAT32文件系统的文件删除前后对比目录项：首字节被改为E5H（包括长目录项），簇高十六位被清零。删除前删除后FAT32文件系统的文件删除前后对比FAT：对应簇位置被清零，表示这些簇的空间可用。删除前删除后FAT32文件系统的文件删除前后对比数据区（文件内容）：未发生改变。（前提：未向该部分扇区写入内容）删除前删除后FAT32文件系统的目录删除前后对比彻底删除目录操作FAT32文件系统的目录删除前后对比下图是目录彻底删除前的情况。根目录子目录FAT32文件系统的目录删除前后对比下图是目录彻底删除前的情况。根目录数据有变化，子目录数据无变化。根目录子目录FAT32文件系统通过回收站删除文件的分析将文件放入回收站，再清空回收站或在回收站中删除该文件。通过对比操作前后的目录项，发现仅首字节改为“E5”，而起始簇号的高位没有清零。通过对比FAT表数据，发现对应FAT簇链被清空。通过对比数据区，发现数据区没有任何变化。谢谢观看！