第16讲-FAT表结构分析

项目四：文件系统数据恢复任务1

FAT32文件系统结构分析子任务4.1.3FAT表结构分析主讲人

高灵霞、廖艳CONTENT目录课前学情FAT表结构分析0102总结与拓展教学内容04工单任务-FAT32分区文件数据的提取03教学目标>项目四

文件系统数据恢复任务1FAT32文件系统结构分析子任务4.1.2FAT32文件目录表分析素质目标知识目标能力目标1.通过数据破坏的原理分析，培养学生良好的职业道德教育2.通过FAT表分析学生能立足专业，使学生遵守数据恢复工程师职业操守和注意事项1.学生掌握FAT32分区中FAT表的结构信息。2.学生能够理解文件数据提取组合方式。3.学生能够熟悉文件恢复的方法。1.学生能够熟练分析FAT32分区结构，文件目录表，分析FAT表，遍历文件所在的簇的信息。2.学生能够根据文件目录项和分析FAT表，读取文件数据进行恢复。3.学生通过文件数据读取，全面提升分析、计划、实施和监控数据备份与恢复任务的能力思政点：自立（立足专业，奋发有为）【育人案例】

2021年4月6日工信部：60款APP因违规未完成整改被下架，这些App在3月11日就曾被通报存在侵害用户权益行为教学重点与难点

教学重点1.FAT表结构，用户占用簇链表2.依据文件目录表和FAT表读取文件数据展现文件内容>

教学难点文件数据的提取与组合课前学情01学情分析信安2004班MOOC签到信息信安2004班练习信息学情分析信安2005班MOOC签到信息信安2005班练习信息学情分析信安2003班MOOC签到信息信安2003班练习信息课堂活动讨论1：在FAT32分区内部组成结构，根目录在几号簇？讨论2：文件目录表结构？

文件目录项占（

）字节？任务引导工程师小王在分析了文件目录表后，知道了文件起始簇号的位置，但大多数文件占用了不止一个簇，那么文件的其他部分是放在哪里的呢？它们是如何组织在一起的呢？带着这些疑问，小王再次用Winhex工具打开了一个FAT32分区。FAT32分区中的文件占用簇的信息在哪里呢？FAT表结构分析02一、文件分配表结构在FAT32分区中，文件分配表（FAT）记录了位于数据区的簇的使用情况，同时也记录了文件分配簇的位置，因此地位格外重要，FAT分区因此而得名。硬盘中的FAT有两份，系统在存储文件的时候会将信息同时写入两份FAT，但读取的时候只会读第一份FAT，即使遇到错误也不会读第二份，因此第二份FAT仅做备份。一、文件分配表结构文件存储的逻辑结构有三种：连续结构、链表结构和索引结构，FAT系统采用链表存储结构。FAT有12位、16位和32位三种，即每个FAT项占用字节数为1.5字节、2字节和4字节。系统在建立文件时，在目录表中给出了该文件的起始簇号，而FAT表中该簇项记录着链表中下一簇的簇号，一直到结束标志为止。一、文件分配表结构第1行0号簇

1号簇

2号簇

3号簇第2行

4号簇

5号簇

6号簇

7号簇第3行

8号簇

9号簇

10号簇

11号簇第4行

12号簇

13号簇

14号簇

15号簇第5行

16号簇

17号簇

18号簇

19号簇第6行

20号簇

21号簇

22号簇

23号簇第7行

24号簇

25号簇

26号簇27号簇FAT表记录数据区每个簇的使用信息FAT32分区每个簇占几个字节？含义？一、文件分配表结构（1）FAT系统采用链表存储结构（2）FAT32，即每个FAT项占用字节数为4字节。（3）在目录表中给出了该文件的起始簇号（4）FAT表中该簇项记录着链表中下一簇的簇号，一直到结束标志为止。（5）FAT表的起始标志

簇的空闲标志：

文件最后1个簇标志：FFFFFF0F

坏簇标志：

F7FFFF0F重点一、文件分配表结构对FAT32的FAT项进行分析，要求能遍历文件的FAT簇链。对FAT链表的理解可采用客房记录表形象化：假设0代表空房间，997代表坏房间，999代表最后一个房间。房号101102103104105106107状态1021031050107997999工单任务-FAT32分区文件数据的提取03任务实施

工单任务

项目四

任务4.1.3FAT32分区用户文件数据读取自足专业奋发有为总结与拓展04总结1.FAT32分区文件目录表结构。2.文件属性字段重要作用。3.FAT表结构信息，起始标志，文件簇号结束标志，簇空闲标志。4.通过文件所在的簇号，提取文件数据，组合还原文件内容。评价能在规定时间内顺利完成任务得80分对重点和难点理解