数据恢复实战 FAT16文件系统DBR分析 FAT16文件系统DBR分析.ppt

《数据恢复实战》课程 Data Recovery Practical 主讲教师 刘俊 移动通信技术专业教学资源库 深圳信息职业技术学院电子与通信学院 FAT16文件系统 DBR分析 目录 01 DBR结构 02 DBR分析 03 DBR定位 1. DBR结构 EDITED BY LIUJUN * 数据恢复实战 DBR即磁盘引导记录，位于FAT16文件系统的第一个扇区，DBR由五部分组成，分别为 ①跳转指令 ②OEM代号 ③BPB ④引导程序 ⑤结束标志 特别注意：除了第五部分结束标志是固定不变之外，其余四个都不是完全确定的，因操作系统版本的不同而不同，也因硬盘的逻辑参数的变化而变化 2. DBR分析 EDITED BY LIUJUN * 数据恢复实战 跳转指令 ①跳转指令 本身占用2字节，执行程序流程跳转到引导程序处 DBR中的“EB 3C”, 代表汇编语言的“JMP 3C” 需要注意该指令本身占用2字节，计算跳转目标地址时以该指令的下一字节为基准，实际执行的下一条指令应该位于3E 紧接着跳转指令的是一条空指令NOP(90H) DBR的分析 EDITED BY LIUJUN * 数据恢复实战 OEM代号 ② OEM代号 占8字节，内容由创建文件系统的OEM厂商具体安排，例如微软的Windows95将此处设置为“MSWIN4.0”，Windows98则设置为“MSWIN4.1”，Windows2000以上的操作系统设置为“MSWIN5.0” 当前DBR中的OEM代号为“MSWIN5.0”，说明这个FAT16分区由微软的Windows2000以上的操作系统格式化创建的 使用WinHex可以很轻易地改变这个OEM代号，不过即使改动也不影响文件系统的使用 DBR的分析 EDITED BY LIUJUN * 数据恢复实战 BPB ③ BPB BPB 即BIOS Parameter Block，含义为BIOS 参数块 BPB从DBR的第12字节开始，占用51字节 记录了有关该文件系统的重要信息 DBR的分析 EDITED BY LIUJUN * 数据恢复实战 每扇区字节数：记录每个逻辑扇区的大小，其常见值为512字节，但512并不是固定值。该值可以由程序定义，合法值包括512、1024、2048和4096字节 DBR保留扇区数：指DBR本身占用的扇区以及其后保留扇区的总和，也就是DBR到FAT1之间的扇区总数，或者说是FAT1的开始扇区号 DBR的分析 EDITED BY LIUJUN * 数据恢复实战 每簇扇区数：记录着文件系统的簇大小，即由多少个扇区组成一个簇 “簇”是文件系统下数据的最小存储单元，一个簇由一组连续的扇区组成，簇所含的扇区数必须是2的整数次幂，如1、2、4、8、16、32、64或128 在FAT文件系统中，所有的簇从2开始进行编号，每个簇都有一个自己的地址编号，但所有的簇都位于数据区内，在数据区之前是没有簇的 DBR的分析 EDITED BY LIUJUN * 数据恢复实战 FAT个数：描述了该文件系统中有几个FAT表，一般在FAT文件系统中都有两个FAT，即FAT1和FAT2，FAT2是FAT1的备份；但依照微软的规定，一些小的存储介质可以只有一个FAT表 每FAT扇区数：指每个FAT表包含的扇区数，FAT2是FAT1的镜像，每个FAT一样大 DBR的分析 EDITED BY LIUJUN * 数据恢复实战 隐藏扇区数：是指本分区之前使用的扇区数，对于主磁盘分区来讲，是MBR到到分区DBR之间的扇区数；对于扩展分区中的逻辑驱动器来讲，是其EBR到该分区DBR之间的扇区数 分区总扇区数：对于大于32MB的分区，其扇区总数记录在这个位置 DBR的分析 EDITED BY LIUJUN * 数据恢复实战 ④引导程序 占用448字节 在Windows98之前的系统，这段代码负责完成DOS三个系统文件的装入 在Windows200之后的系统中，其负责完成将系统文件NTLDR装入 对于一个没有安装操作系统的分区来讲，这段程序没有用处 ⑤结束标志55AA DBR的分析 EDITED BY LIUJUN * 数据恢复实战 BPB参数模板含义 DBR的分析 EDITED BY LIUJUN * 数据恢复实战 DBR中的参数意义 3.DBR的定位 EDITED BY LIUJUN * 数据恢复实战 MBR是磁盘的第一个扇区，找到分区表 MBR 分区表 计算出隐藏扇区数00 08 00 00，即2048扇区