数据备份与恢复 课中：任务讲解与实施 FAT32文件系统的DBR分析(PPT).pptx

课程名称：数据备份与恢复知识点：FAT32文件系统的DBR分析四川邮电职业技术学院 成友才FAT32的DBR的概念和组成DBR（DOS Boot Record），含义是DOS引导记录，也称为操作系统引导记录。FAT32文件系统的DBR（即操作系统引导记录）大体可以分为5个部分，分别为：跳转指令，OEM代号，BPB（BIOS Parameter Block，BIOS参数块），引导程序，结束标志(55AA)。FAT32文件系统的DBR功能模块结构FAT32文件系统的DBR由5部分组成：跳转指令：跳转到引导程序代码。OEM代号： 占用8个字节，这个说明了微软不同的操作系统版本。BPB：BIOSParameter Block，BIOS参数块。引导程序： 完成微软操作系统文件的装入。结束标志：为固定值“55 AA”。FAT32文件系统的DBR分析 跳转指令跳转指令本身占用2个字节，它将程序执行流程跳转到引导程序处，比如当前DBR中的“EB 58”，就是代表汇编语言的“JMP 58”。需要注意该指令本身占用2字节，计算跳转目标地址时以该指令的下一个字节为基准，所以实际执行的下一条指令应该位于5A。紧接着跳转指令的是一条空指令NOP（90H）。 OEM代号这部分占８字节，由创建该文件系统的OEM厂商具体安排。当前DBR中的OEM代号为“MSDOS5.0”，说明这个FAT32分区是由微软的Windows 2000以上的操作系统格式化创建的。FAT32文件系统的DBR分析 BPB（BIOS Parameter Block，BIOS参数块）：FAT32的BPB从DBR的第12（0BH偏移处）个字节开始，占有79个字节，具体内容如下：字节偏移字段长度字段名与定义　　　　　　　　　　　　　　字节偏移字段长度字段名与定义0X0B2每扇区字节数0X282标记0X0D1每簇扇区数0X2A2版本0X0E2DOS保留扇区数0X2C4根目录首簇号0X101FAT个数0X302文件系统信息扇区号0X112未用0X322DBR备份扇区号0X132未用0X3412保留0X151介质描述符0X401BIOS驱动器号0X162未用0X411未用0X182每磁道扇区数0X421扩展引导标记0X1A2磁头数0X434卷序死列号0X1C4隐藏扇区数0X4711卷标0X204该分区的扇区总数0X528文件系统类型0X244每FAT扇区数　　　FAT32文件系统的DBR分析 引导程序FAT32的DBR引导程序占用420字节(5AH~1FDH)，在Windows98之前的系统之下，这段代码负责完成DOS三个系统文件的装入，在Windows 2000之后的系统中，其负责完成将系统文件NTLDR装入，对于一个没有安装操作系统的分区来讲，这段程序没有任何作用。 结束标志DBR的结束标志与MBR，EBR的结束标志都相同，为“55 AA”。以上五个部分共占用512字节，正好是一个扇区，因此成它为DOS引导扇区。前面4个部分会因操作系统版本的不同而不同，也因硬盘的逻辑盘参数的变化而变化。 FAT32文件系统的DBR中BPB的分析 0B-0C:每扇区字节数 每扇区字节数记录每个逻辑扇区的大小，其常见的值为512，但是并不是固定的值。该值可以由程序定义，合法值包括512，1024，2048，4096。本例中为0200H（低位在前，高位在后），即512字节。0D:每簇扇区数 表示由多少个扇区组成一个簇。一个簇由一组连续的扇区组成，簇所含的扇区数必须是2的整数次幂，如1，2，4，8，16，32，64，128。在本例中为80H，表示每簇为128扇区，即64kB，是格式化时选择的簇的大小或分配单元大小。 在FAT文件系统中，所有的簇都位于数据区，每个簇都有一个自己的地址编号。在数据区之前没有簇。FAT32文件系统的DBR中BPB的分析 0E-0F:DBR及保留扇区数 是DBR到FAT1表之间的扇区数，即FAT1的开始扇区号。本例为26H，即38扇区。10:FAT个数 一般都为2。本例为02H，表示共有两个FAT表，即FAT1和FAT2。15:介质描述符 F8?代表硬盘。FAT32文件系统的DBR中BPB的分析18-19:每磁道扇区数 一般其值为63。1A-1B:磁头数 一般都为255。1C-1F:隐藏扇区数 ?该值与分区表中所描述的该分区的起始扇区数一致。对主磁盘来说，是MBR到DBR之间的扇区数，对于扩展分区中逻辑驱动顺来说，是其EBR到DBR。本例中的数值，即隐藏扇区为2048个扇区。FAT32文件系统的DBR中BPB的分析20-23:该分区的扇区总数 FAT32分区的大小。本例中扇区大小为0D007000H，即共218132480个扇区，分区容量为104GB。24-27:FA