计算机数据恢复技术 课件 第3章 Windows系统的数据恢复技术.pptxVIP

海南软件职业技术学院

第3章Windows系统的数据恢复技术

主编：王平均;

1.FAT32文件系统的结构

FAT32文件系统是从Windows95系统的OSR2版本开始使用的。它能够支持容量

大于32MB且小于32GB的分区。虽然第三方的格式化程序可以把容量超过32GB的分区格式化为FAT32文件系统，但微软系统不允许将容量大于32GB的分区格式化为FAT32文件系统。

FAT32文件系统由DBR及其保留扇区、FAT1、FAT2、DATA区4个部分组成，如;

FAT32文件系统这4部分是在分区被格式化时创建出来的。它们的含义如下。

DBR及其保留扇区：DOS引导记录(DosBootRecord,DBR)又称操作系统引导记录，

而在DBR之后往往有一些保留扇区。

FAT1:FAT32文件系统一般有两个文件分配表(FileAllocationTable,FAT),

FAT1是FAT32文件系统的第一个文件分配表，也是主FAT。

FAT2:FAT2是FAT32文件系统的第二个文件分配表，也就是FAT1的备份，又称备份FAT。

DATA区：也就是数据区，是FAT32文件系统的主要区域，其中也包含目录区。;

Offset;

1)跳转指令

跳转指令占用2个字节。它将程序执行流程跳转到引导程序处，比如当前DBR中的“EB58”,就代表了汇编语言的“JMP58”。因为计算跳转目标地址是以该指令的下一个字节为基准，所以实际执行的下一条指令应该位于5A。跳转指令的下一条指令是一条空指令NOP(90H)。

2)OEM代号

OEM代号占用8个字节。OEM代号由创建该文件系统的OEM厂商设定。当前

DBR中的OEM代号为“MSDOS5.0”,说明此FAT32文件系统是由Windows2000以上

的操作系统格式化创建的。;

偏移地址;

标题

.LNKFILERecord

盛.LNKFILERecord(non-Unicode)

ExFAT用户文件目录项

ExFAT用户文件目录项

exfa引导扇区

一Ext2/Ext3节点

一Ext2/Ext3目录项

Ext2/Ext3组描述

一Ext2/Ext3/Ext4超级选块

=FAT目录项

=FAT引导扇区

FAT长文件名项

GPT保护MBH模板

=GPT磁盘分区表

二GPT分区表

GPT头备份模板

=GPT头模板

=HFS+B-TreeHeader;FAT32扇区

100024

100028

100028

10002A

10002C

100030

100032

100034

100040

100041

100042

100043

100043

100047

100052

1001FE;

3)BPB

(1)OBH～OCH:每扇区字节数，以记录每个逻辑扇区的大小。在一般情况下，每个扇区有512个字节。但???个扇区字节数并不是固定值，可以由程序定义，其合法值包括512、1024、2048和4096等。

(2)ODH～0DH:每簇扇区数，以记录FAT32文件系统的簇的大小，即记录每个簇中有多少个扇区。

FAT32文件系统最高能支持128个扇区的簇。在FAT32文件系统中，所有的簇均从2开始进行编号，每个簇拥有一个自己的地址编号，且所有的簇都位于数据区内，在数据区之前是没有簇的。;

3)BPB

(3)OEH～0FH:DBR保留扇区数。DBR保留扇区数是指DBR本身占用的扇区数及其后保留扇区数的总和，也就是DBR到FATI之间的扇区总数，或者说是FATI的开始扇区号。

对于FAT32文件系统来说，DBR保留扇区数的取值范围是32～38。

(4)10H:FAT个数。FAT个数描述了在FAT文件系统中存在着几个FAT,一般在FAT文件系统中都有两个FAT。

(5)11H～12H:未用。这两个字节在FAT16文件系统中用来表示FDT最大能容纳的目录项数。因FAT32文件系统没有固定的FDT,所以不使用这个参数。;

(6)13H～14H:未用。这两个字节在FAT16文件系统中用来表示小于32MB分区的扇区总数。因FAT32文件系统的分区总是大于32MB,所以不使用这个参数。

(7)15H:介质描述符。介质描述符是描述磁盘介质的参数，一般会根据磁盘性质的不同取不同的值。

(8)16H～17H:未用。这两个字节在FAT16文件系统中用来表示每个FAT包含的扇区数，但在FAT32文件系统不使用这个参数。

(9)18H～19H:每磁道扇区数。这是逻辑C/H/S中的一个参数，其值一般为