数据恢复实战 FAT32文件系统FAT表分析 FAT32文件系统FAT表分析.ppt

《数据恢复实战》课程 Data Recovery Practical 主讲教师 刘俊 移动通信技术专业教学资源库 深圳信息职业技术学院电子与通信学院 FAT32 FAT表分析 目录 01 FAT表的作用及特点 02 FAT表的实际应用 03 定位FAT1表FAT2表 1.FAT表的作用及结构特点 EDITED BY LIUJUN * 数据恢复实战 FAT32的FAT表是由FAT表项构成的，每个FAT项的大小由32位，相当于4字节 FAT32文件系统的FAT项是32位的，但是Windows系统只能用到26位 从windows2000系统开始，系统能管理的簇大小可以达到128个扇区，而FAT32最多可管理的簇数FAT32文件系统的FAT表中，未使用的簇对应的FAT项用“00 00 00 00 ”这4个字节表示 坏簇对应的FAT项用“0F FF FF F8”这4字节的十六进制值表示 2.FAT表的实际应用 EDITED BY LIUJUN * 数据恢复实战 该分区是刚格式化的一个分区，把分区格式化为FAT32文件系统时，格式化程序会把分配给FAT表的所有扇区都清零，然后写入0号FAT项和1号FAT项 每个FAT项占用4字节 0号FAT项描述介质类型，首字节为“F8”，表示介质类型为硬盘 1号FAT项为肮脏标志 2号FAT项是一个结束标志，根目录首簇号是2，而2号FAT项是一个结束标志，说明根目录只占用一个簇 3号FAT项开始往后都是空FAT项，表示它们对应的簇为可用簇 0号FAT项 1号FAT项 2号FAT项 3号FAT项 FAT1表 FAT表的实际应用 EDITED BY LIUJUN * 数据恢复实战 FAT2的内容跟FAT1完全一样，除了0号FAT项和1号FAT项以外，如果一个FAT项为非零值，有三种可能 该FAT项映射的簇是一个不可用的坏簇，那么该FAT项的值为坏簇标志“0F FF FF F7” 该FAT项映射的簇是某个文件的最后一个簇，那么该FAT项中的值为结束标志“0F FF FF FF” 该FAT项映射的簇被某个文件占用，但并不是文件最后一个簇，那么该FAT项中的值是文件下一个簇的簇号 0号FAT项 1号FAT项 2号FAT项 3号FAT项 FAT2表 3.定位FAT1表和FAT2表 EDITED BY LIUJUN * 数据恢复实战 模拟一下操作系统定位FAT32文件系统FAT表的方法，首先定位FAT1表 系统通过该分区的分区表信息，定位到其DBR扇区 通过分区表可以得知，分区的隐藏扇区数为2048，跳转2048号扇区，去到分区DBR 定位FAT1表和FAT2表 EDITED BY LIUJUN * 数据恢复实战 读取DBR的BPB，通过读取0EH~0FH偏移处“DBR保留扇区数”这个参数 读取到“DBR保留扇区数”这个参数的值为8214 往下跳转8214个扇区，去到FAT1表 FAT1表 定位FAT1表和FAT2表 EDITED BY LIUJUN * 数据恢复实战 读取DBR的BPB，通过读取0EH~0FH偏移处“DBR保留扇区数”这个参数 读取到“DBR保留扇区数”这个参数的值为 读取DBR的24H~27H偏移处，得到“每FAT扇区数”的值16373 往下跳转个扇区24587，去到FAT2表 FAT2表 总结 1.每个FAT项占用多少个字节？ 2.FAT1表和FAT2表有什么区别？ 3.FAT表的0号FAT项是什么？ 谢 谢 主讲教师 刘俊 移动通信技术专业教学资源库 深圳信息职业技术学院电子与通信学院