winhex手工恢复FAT16文件系统

winhex 手工恢复手工恢复 FAT16 文件系统文件系统 根目录项 Root entries 为 512 每个目录项占用 32 字节 所以 FDT File Directory Table 共占用 512 32 512 32 个扇区 这 512 个目录项是根目录下所有登记项的总和 包括 卷标 子目录和文件 公式 精确方法 FAT 扇区数 扇区总数 2 每簇扇区数 32 保留扇区数 256 每簇 扇区数 例 FAT 扇区数 3915713 128 32 256 64 238 99029541015625 239 扇区 粗略方法 FAT 扇区数 FAT 用两个字节记录一个簇 例 FAT 扇区数 总簇数 2 512 3915713 64 256 238 99615478515625 239 扇区 FAT16 文件系统结构 一个文件或子目录在磁盘上的存储位置 逻辑扇区号 为 1 2 FAT 扇区数 FDT 扇区数 起始簇号 2 每簇扇区数 解释 1 代表 DBR 扇区 起始簇号 2 代表用户文件从 2 号簇开始计算的 这样的话 第一个文件的起点 第 2 簇 紧随 FDT DBR 引导 DBR 与分区的位置关系 每个分区的 DBR 都位于此分区的第一个扇区 主分区 DBR 由 MBR 来制定 扩展分区由 虚拟 MBR 指定 DBR 与分区表的位置关系 第一个主分区的 DBR 一般距离 MBR 的扇区个数为 62 个 MBR 0 DBR 63 由于 每个扩展分区都有一个虚拟 MBR 所以每个扩展分区 DBR 都距离虚拟 MBR 62 个扇区 这里再回忆下分区表链的读取方法 主分区直接由 MBR 表项中的 本分区之前扇区数 来 定位 扩展分区要加上一个偏移 即 MBR 中制定的 扩展分区之前扇区数 而且此偏移在所 有的虚拟 MBR 中都不变 这点有点与想当然不一样 记住就可以了 FAT File Associate Table FAT 紧接着 DBR 扇区存放 磁盘上的每个簇在 FAT 中有且只有一个登记项 表项值有 三个状态 占用 空闲或坏簇 FAT 的位数有 12 16 和 32 12 位表项值可表示 4096 个簇 16 位表示 65536 个簇 一般每簇不多于 64 个扇区 32KB 这样 FAT16 最多管理 32 655 36 2GB FAT32 即使每簇 4KB 大 也可以管理 16TB 的分区 FAT 文件定位 由 FAT FDT 来定位 FDT 每 32 个字节表示一个文件 其中最重要的是偏移 1A 1B 两字 节 表示此文件的开始簇号 此簇号有两个用处 一是定位文件的 DATA 二是在 FAT 中找文 件的下一簇 例子如图 我们找 Winhex 教程 pdf 先搜索 ASCII 来到 FDT FAT1 起始偏移为 0 x200 文件长度 0 x86A0F3 因此我们要定位的偏移为 0 x16B2 我们继续走 发现簇链都是连着的 貌似没有碎片 OK Winhex 教程 pdf 的簇范围为 0 xA59 0 xB66 2649 2918 簇 文件长度 0 xF3A08600 由字节 簇 32 768 可知 每簇 64 扇区 32768 0 x8000 0 x86 A0F3 MOD 0 x8000 0 x20F3 即最后一