第九FAT32目录项和删除格式化原理.ppt

FAT32文件目录项和删除格式化原理 FAT32的保留扇区和开始簇号 跳转到95号扇区 是因为63号扇区后边有保留扇区 0E 0F 95号扇区F8FFFF0F起始是0号簇 根目录在2号簇 3号簇是文件开始簇 在磁盘形式下 是没办法跳转到簇的 接下来打开逻辑盘 跳转到个目录后能发现根目录下边的文件名称 同样是每32个字节为一个文件目录项 FAT32的文件目录项 高位2个字节低位2个字节4个字节 00000003组合到一起后 高位在前 低位在后 4132005B0031005D002E000F008D38002E0072006100720000000000FFFFFFFF325F315F387E31205241522000B8367F293E2A3E00000278253E0300BE1D2600 文件大小和开始簇号的位置 根据实际情况判断 1C 1F是文件的大小 如果文件名过长 那么有可能是3C 3F才是文件的大小 根据实际情况判断 1A 1B是文件的开始簇号 可根据实际情况来判断 也有可能是3A 3B 在FAT16开始簇号是2个字节来表示的 但是在FAT32里边 开始簇号是由4个字节来表示的 由高位和地位构成组合到一起构成 用2个字节表示 低位 14 15 34 35 也用2个字节表示 高位 高位和地位是由4个字节隔开的 例如 4132005B0031005D002E000F008D38002E0072006100720000000000FFFFFFFF325F315F387E31205241522000B8367F293E2A3E4F8B0278253E9EH6BE1D2600读取这个开始簇号应该这么读 8B4FH69E 文件夹的目录项表示形式 根据上图做解释如下1 扩展名因为文件没有扩展名 所以48 4A只能是2020202 文件大小判断文件夹在WINHEX里是没有大小表示的 所以5C 5F都是00000000综上所述 此目录项代表的就是文件夹文件 那么这个文件的开始簇号应该是 0000098B换算成簇号应该是2443 跳转到此簇号 就代表着此文件夹的数据区 FAT32各个文件夹的簇号推断 第一个文件占用的簇 开始0号簇向下数到FFFFFF0F结束共18个簇 那么下一个文件就应该从地19号簇开始 第二个文件的簇 上边64个字节是文件默认的 和 然后下一个文件的起始簇号是 00000014换算成簇号就是 20号簇 后4个字节都是00000000 那么代表里边还有一个文件夹 FAT32的格式化 在FAT16格式化 1 FAT1和FAT2全部清零2 FDT文件目录项清零 根目底下的文件目录项 3 重写DBR FAT32格式化 1 FAT1和FAT2清零2 重写DBR3 根目录文件目录项清零 文件的删除 FAT16删除删除前删除后 文件的删除 FAT32的文件删除删除前删除后 15 15是人为修改 文件的删除 FAT16文件删除 文件名首字节标志成E5 其他地方不变 FAT中的相应的簇号 清零 如果簇号是连续的可以恢复 数据区不变FAT32文件删除 文件名首字节标志成E5 起始簇号高位清零 那么这个文件的起始簇号就会发生变化 FAT中的相应的簇号 清零 数据区不变 Fat32删除文件的变化 文件名首字节标志成E5 起始簇号高位清零 那么这个文件的起始簇号就会发生变化 如果文件考前 上述不考虑变化 如果文件靠后 那么起始簇号发生变化 那么这个文件目前就不能通过簇号寻找来进行恢复 所以在很多FAT32的格式化或者删除 在做数据恢复的时候总也恢复不过来 或者恢复后打不开 就是因为文件的起始簇号发生变化 而造成的 因此在做数据恢复的时候要对比的观察 学习 上述是FAT32根目录下进行的删除 FAT32下子目录的删除 首先跳转到子目录文件的数据区 在根目录下找到子目录的开始簇号 然后跳转到子目录开始的簇 在分区下删除子目录 然后在子目录的数据区里看数据 这是会发现子目录下的所有文件的开始字节 全都变成E5开始的 但是如果起始扇区和文件大小数值没有变化 是可以进行恢复的 如果起始簇号的高位不为0 那么文件删除后