FAT32格式下数据恢复的深度分析

1、FAT32格式下数据恢复的深度分析中山火炬职业技术学院信息工程系文戈1摘要:本文分析了在FAT32格式下不同大小文件对文件分配表的影响,讨论了簇位图的变化对于文件恢复的影响,纠正了常见文献对数据恢复的不正确的描述。关键词:数据恢复,文件分配表,簇位图一、引言FAT32格式被广泛应用在优盘等移动存储设备中,由于FAT32格式和优盘本身的特点,数据恢复就成了经常性的工作,为了讨论方便,下面的实例中,我们采用winhex软件对优盘进行分析。优盘经过格式化后,存放的文件不多,以保证簇的高位为零,而且以文本文件作为分析的对象,这样简化分析的过程,起到抛砖引玉的作用。二、FAT32特点分析在DBR中,有几

2、个重要的参数对于FAT32的分析至关重要,见下表2.1:字节偏移长度(字节含义000B 2 每个扇区的字节数000D 1 每簇扇区数000E 2 DBR本身占用的扇区数,或者FAT1表的在DBR中的开始扇区位置0010 1 FAT表的个数0024 4 每个FAT占用的扇区数,即:FAT表的大小FAT即文件分配表,它的特点如下:1、FAT由系统的格式化程序在进行格式化时创建,一般有两份FAT,FAT1是活动的FAT,FAT2是作为备份而存在;2、FAT1位于DBR之后,具体位置由DBR得BPB参数中偏移量为0EH0FH的两字节描述,FAT2位于FAT1之后。所以,数据区的位置由下列公式决定(数值

3、见图2.1:DBR的大小+FAT表的大小23、FAT表由FAT 表项构成,每个表项为4个字节,此编号从零开始。即:第一个表项是0号FAT项,以此类推。4、FAT表的前两个表项有专门的用途:0号FAT项用来存放分区所在的介质类型,例如硬盘的类型为“F8”,1号FAT项用来存放文件系统的“肮脏”标志,表示文件系统的簇链有错误。5、根据上面的描述,那么数据区中的第一个簇对应着FAT表的编号就为2号簇,以此类推。6、文件以簇为单位存放在数据区中,一个文件至少占用一个簇,如果文件的大小续存放的,尤其是在对文件进行了修改后。对FAT表中的每个FAT项可取值的含义见下表,表2.2。实际在winhex中是倒序

4、显示。FAT32项值(十六进制含义0000 0000 空簇,即未使用的簇0000 00020FFF FFFE 已分配给文件的簇号0FFF FFF00FFF FFF6 未用0FFF FFF7 坏簇,说明文件分配表无法表示文件的位置0FFF FFF80FFF FFFF 文件结束簇,表示文件结束三、实例分析我们在优盘中建立一个文本文件ABC.TXT,此文件的内容为“abcdefghijk123456789”,进入winhex软件,我们可以看到此文件的簇号为5,见图3.1的方框的内容(注意是倒序显示。 在FAT中找到5号簇,显示内容为“FF FF FF 0F”,见图3.2。 DBR中显示本分区的每簇大

5、小为8个扇区,即4096字节,而本文件的大小只有22个字节,没有超过每簇的大小,所以在FAT中的5号簇统一填写“FF FF FF 0F”,表明这个文件就占用一个簇号,在磁盘中占用4096字节。当然,如果文件的长度大于每簇的大小,那么在FAT中就会占用多个簇,多簇的特点是簇号连续,但是在硬盘的位置却不一定连续,尤其是在文件修改之后,其在硬盘的位置一般是不连续的。现在我们将abc.txt文件删除,使用winhex观察其目录区和FAT表的变化,如图3.3和图3.4。 图3.3 文件被删除后根目录表的变化从图3.3可以看到,文件abc.abc被删除后,其第一个字符的ASCII码变成了“E5”,这个是F

6、AT类型文件格式的特点,二十多年以来未曾变过!文件的大小为“14 00”(倒序显示,实际为14H,换成十进制为“20字节”,可见,文件的内容还在。为了恢复这个文件,我们尝试将“E5”修改为“41”(即:字母“a”的ASCII码。 图3.4 文件被删除后FAT表的变化同时,如图3.4,我们在FAT表中看到,第5号簇的值变成了“00”,这个是因为文件被删除,故FAT表相应的簇号被清零,以供其它文件使用。如上所述,文件的大小为20字节,不够一个簇的大小,所以,我们只需将“00”修改为“FF FF FF 0F”。完成以上两步,即完成了文件的恢复,这个和NTFS格式的文件恢复是完全不同的。四、数据恢复的几点说明1、我们这个实验之前,先对优盘进行了格式化,并且优盘上的文件也不多,这样做的目的是保证了簇号的连续性,而且也方便找到被删除的文件。2、文件删除后,虽然文件的内容不会被清除,但是其所占用的簇号会被释放,给别的文件使用,这样就覆盖了被删除的文件,这种情况下的数据无法恢复。3、文件删除后,虽然文件的内容不会被清除,如果文件有碎片,也就是不连续存放,高位簇号被清零,这样导致无法找到与文件相应的簇号。这样的文件也无法恢复。这里可见,平时注意“碎片整理”不仅是提高计算机的速度,还对于今后数据的恢复能够起到关键的作用。参考