文档介绍：FAT32文件系统下文件误删除的数据恢复
主讲:tech03
数据恢复的分类
逻辑恢复:在数据存储设备正常的情况下进行的数据恢复工作,称逻辑恢复。也就是说数据遭受的破坏是逻辑破坏,比如格式化、删除、重新分区等情况。
物理恢复:在数据存储设备不正常的情况下进行的数据恢复工作,称物理恢复。物理恢复往往要先进行设备的恢复,硬盘开盘操作就属于数据恢复的物理恢复。
常见的文件系统
Windows常用的分区格式有三种,分别是FAT16、FAT32、NTFS格式。
在Linux操作系统里有Ext2、Ext3、Linux swap和VFAT四种格式。
ExFAT文件系统:微软的最新文件系统,主要是为了
解决大容量闪存需要使用FAT文件系统的需要。
FAT32下文件误删除的恢复
FAT32下分区误格式化的恢复
FAT32下文件系统损坏的恢复
1
2
3
FAT32文件系统数据恢复的主要内容
一、文件的各部分结构分析
二、文件删除后的变化
三、文件删除后的恢复
四、专业数据恢复工具的使用
五、小结
本讲主要内容
一、文件的各部分结构分析
FAT32文件系统由DOS引导记录(DBR)扇区、FAT表、数据区三个部分组成。
FAT32把目录当做文件来管理,所以没有独立的目录区,所有的文件目录项都是在数据区里面的。
DBR分析
DBR(DOS BOOT RECORD,DOS引导记录),位于柱面0,磁头1,扇区1,即逻辑扇区0 ;
它包括一个引导程序和一个BPB(本分区参数记录表);
DOS 引导程序完成DOS系统文件(,)的定位与装载; BPB用来描述本DOS分区的磁盘信息,比如:本分区的起始扇区、结束扇区等等。
注意:搜索DBR的标志:
FAT16的DBR:EB 3C 90,无备份的DBR
FAT32的DBR:EB 58 90,有备份的DBR,通常在该分区的第6扇区
NTFS的DBR: EB 52 90,有备份的DBR,通常在该分区的最后一个扇区
DBR的构成
偏移量
长度/字节
组成部分
00H
3
跳转指令
03H
8
操作系统厂商标识及版本号
08H
80
分区参数表(又称BPB),里面存放着对该分区进行读写操作时所必备的参数
5AH
420
DOS引导代码,、
FEH
2
结束标志字”55AA”
BPB的结构
偏移地址
长度(字节)
意义
0BH
2
每个扇区的字节数,常取512。
0DH
1
每簇扇区数;可以是1, 2, 4, 8, 16, 32, 64, 128,取决于文件系统格式及分区大小。
0EH
2
为操作系统保留的扇区数;FAT32时多为十进制的32,FAT16时为1,有的格式化工具可能将它设为36或63。
10H
1
FAT表的个数;常取2。
11H
2
在FAT16中存放系统根目录中允许登记的目录项个数,FAT32中用于标注系统采用的是否为FAT32文件系统。其值为0000H表示磁盘使用FAT32文件系统。
13H
2
值为00H,为保持兼容性而保留,未使用。
15H
1
磁盘介质标志,硬盘为F8。
16H
2
未使用,值为00H。
18H
2
每个磁道的扇区数。
1AH
2
磁盘的磁头数。
1CH
4
分区前隐藏扇区的个数。
20H
4
逻辑磁盘中的扇区总数。
24H
4
每个FAT表所占的扇区数。
28H
2
FAT表镜像标志,值为0表示系统保存2份互为备份的FAT表,值为1表示系统仅保存1份FAT表。
2AH
2
文件系统的主次版本(保留)。
2CH
4
磁盘根目录的起始簇号。
30H
2
文件系统参数的扇区号,通常位于引导扇区的下一个扇区。
32H
2
备份分区引导扇区的逻辑扇区号。
34H
12
保留,未使用。
40H
1
中断13呼叫的预设值,指明访问的设备;软盘为00H,硬盘为80H。
41H
1
用于中断13呼叫。
42H
1
磁盘读写参数扩展标志,其值为29H。
43H
4
格式化时随机产生的磁盘卷的序列号。
47H
11
格式化时人工输入的磁盘卷标号。
52H
8
文件系统的标识号(FAT32)。