数据恢复实用技术课件：恢复exFAT文件系统数据.pptxVIP

恢复exFAT文件系统数据

任务4.1恢复exFAT文件系统的DBR

4.1.1exFAT文件系统整体结构1.exFAT文件系统与FAT文件系统的区别1）FAT表FAT32的FAT表28位exFAT的FAT表32位2）文件系统大小FAT32文件系统大小只用4字节表示，理论上最大支持2TB分区。exFAT文件系统的大小用8字节表示，理论上最大支持8ZB分区。系统支持最大分区位512TB。3）单个文件大小FAT324GBExFAT直接最大支持16EB，簇大小可高达32MB，同一目录下最大文件数可达65536个。

4.1.1exFAT文件系统整体结构2.exFAT文件系统的整体结构

4.1.2exFAT文件系统的DBR数据结构DBR位于exFAT文件系统的0号扇区，由6部分组成：跳转指令（EB7690）、OEM代号、保留区、BPB参数、引导程序和结束标志。（1）00H~02H：跳转指令0xEB7690，代表汇编语言的JMP76。（2）03H~0AH：OEM代号，即明文exFAT。（3）0BH~3FH：保留区，暂时不用，目前均为00H。（4）40H~77H：BPB参数块。（5）78H~1FDH：共390字节的引导程序。（6）1FE~1FF：55AA结束标志。

4.1.2exFAT文件系统的DBR数据结构BPB参数区的重要参数①40H~47H：分区的起始扇区号，也称为隐藏扇区数，是指本分区前的物理扇区数。②48H~4FH：分区的总扇区数。③50H~53H：FAT表的起始扇区号,即从DBR到FAT的扇区数。④54H~57H：FAT表占用的扇区数，它与分区大小、簇大小有关。⑤58H~5BH：数据区的起始扇区号。一般是指簇位图的起始位置。⑥5CH~5FH：分区内的总簇数。⑦60H~63H：根目录的起始簇号。⑧6CH~6CH：每扇区字节数（exFAT中每扇区字节数用2的N次方的形式表示，一般总是09H，表示512）。⑨6DH~6DH：每簇扇区数（2的N次方），exFAT支持512B到32MB的簇大小。⑩6E~6E：FAT表的个数

任务4.2恢复exFAT文件系统中丢失的文件

4.2.1FAT表和簇位图1.FAT表只有一个FAT表，由FAT表项构成，每个FAT表项由4字节构成，从0开始编号。以FFFFFFF8H开始，分区的数据区从2号簇开始，通常分配给元文件簇位图文件。每个文件至少占用一个簇。如果文件存放在连续的簇中，FAT表项则不登记这些连续的簇链，均为“00000000”。2.簇位图文件簇位图文件是exFAT文件系统中的第一个元文件，类似于NTFS文件系统中的元文件$BitMap,用来管理分区中簇的使用情况。分区的总扇区数可以用簇位图文件的总字节数与簇大小计算得到。

4.2.2目录项数据结构3.目录项的结构文件与子目录均被分配一个或多个大小为32字节的目录项，用来描述文件或子目录的属性、大小、起始簇号和时间、日期、名称等信息。目录项的第一个字节来描述目录项的类型。1）目录项的类型①卷标目录项，以83H或03H开头；②簇位图文件的目录项，以81H开头；③大小写转换表的目录项，以82H开头；④用户文件（文件夹）的目录项，以85H或者05H开头。

4.2.2目录项数据结构3.目录项的结构2）卷标目录项字节偏移字段长度(字节）内容及含义0x00183H：正常卷标项03H：没有卷标项0x011卷标字符数0x0222卷标0x188保留(也可用)表4-2卷标目录项的含义卷标目录项用于描述分区的卷标信息。卷标可以在创建分区时命名，也可以在创建分区后重命名。

4.2.2目录项数据结构3.目录项的结构3）簇位图文件的目录项簇位图文件的目录项用于描述簇位图文件的相关信息，包括簇位图文件的大小及起始簇号。簇位图文件描述分区中簇的使用情况。字节偏移字段长度（字节）内容及含义0x001特征值为“81H”0x011保留0x0218保留0x144起始簇号表4-3exFAT簇位图文件目录项的含义

4.2.2目录项数据结构3.目录项的结构4）大小写转换表文件的目录项大小写转换表文件的目录项用于描述分区的大小写转换表文件信息，包括其起始簇号及文件总字节数。字节偏移字段长度（字节）内容及含义0x001特征值为“82H”0x013保留0x0414保留0x144起始簇号0x188文件大小表4-4exFAT大小写转换表目录项的含义

4.2.2目录项数据结构3.目录项的结构5）用户文件（文件夹）目录项每个用户文件都有3个或者更多个单元目录项组成（每32个字节为一个单元目录项）用户文件目录项的类型值含义：85H：文件属性目录项1，用来记录文件的附加目录项数、校验、等属性，具体含义见表4-5。C0H：文件属性目录项2，记录着文件是否