數(shù)據(jù)恢復(fù)技術(shù)FAT32分區(qū)結(jié)構(gòu)課件

FAT32分區(qū)結(jié)構(gòu)FAT32分區(qū)結(jié)構(gòu)M5-2本單元主要內(nèi)容FAT32分區(qū)結(jié)構(gòu)一分析引導(dǎo)扇區(qū)二簇的概念三四修復(fù)引導(dǎo)扇區(qū)四計(jì)算數(shù)據(jù)區(qū)位置五M5-2本單元主要內(nèi)容FAT32分區(qū)結(jié)構(gòu)一分析引導(dǎo)扇區(qū)二簇M5-2本單元重難點(diǎn)重點(diǎn)FAT32文件系統(tǒng)結(jié)構(gòu)及主要參數(shù)簇的概念修復(fù)DBR扇區(qū)難點(diǎn)重要的BPB參數(shù)含義計(jì)算數(shù)據(jù)區(qū)起始位置M5-2本單元重難點(diǎn)重點(diǎn)一、FAT32分區(qū)結(jié)構(gòu)FAT文件系統(tǒng)是一種用于個(gè)人計(jì)算機(jī)小型操作系統(tǒng)的文件管理方案，最初由IBM公司用于DOS操作系統(tǒng)。FAT文件系統(tǒng)結(jié)構(gòu)較簡(jiǎn)單，管理方便，但不具備用于商業(yè)系統(tǒng)的安全性、容錯(cuò)性、保密性等特點(diǎn)。FAT12用于軟盤，F(xiàn)AT16用于早期操作系統(tǒng)，F(xiàn)AT32用于現(xiàn)代操作系統(tǒng)及大容量硬盤。一、FAT32分區(qū)結(jié)構(gòu)FAT文件系統(tǒng)是一種用于個(gè)人計(jì)算機(jī)小型一、FAT32分區(qū)結(jié)構(gòu)在FAT32分區(qū)內(nèi)部，由保留扇區(qū)、FAT表和數(shù)據(jù)區(qū)三個(gè)部分組成。引導(dǎo)扇區(qū)，也稱DBR扇區(qū)，該扇區(qū)是最重要的一個(gè)扇區(qū)，系統(tǒng)訪問該分區(qū)時(shí)首先訪問它。FAT1FAT2根目錄數(shù)據(jù)區(qū)引導(dǎo)扇區(qū)保留區(qū)FAT32分區(qū)一、FAT32分區(qū)結(jié)構(gòu)在FAT32分區(qū)內(nèi)部，由保留扇區(qū)、FA一、FAT32分區(qū)結(jié)構(gòu)保留扇區(qū)是指分區(qū)內(nèi)FAT表之前的扇區(qū)，也包括引導(dǎo)扇區(qū)。在硬盤中FAT有兩份，系統(tǒng)在寫入信息時(shí)會(huì)同時(shí)寫入兩份FAT，但只會(huì)讀取第一份的內(nèi)容。格式化程序會(huì)創(chuàng)建文件系統(tǒng)，也就是劃分該分區(qū)的各部分的位置，并寫入適當(dāng)?shù)膮?shù)。同時(shí)，格式化后首先會(huì)創(chuàng)建根目錄，由于目錄也被當(dāng)做文件處理，因此根目錄通常位于數(shù)據(jù)區(qū)的起始位置。一、FAT32分區(qū)結(jié)構(gòu)保留扇區(qū)是指分區(qū)內(nèi)FAT表之前的扇區(qū)，二、分析引導(dǎo)扇區(qū)引導(dǎo)扇區(qū)，也稱DBR扇區(qū)，它由BPB（BIOS參數(shù)塊）、DBR（磁盤引導(dǎo)記錄）、以及引導(dǎo)扇區(qū)結(jié)束標(biāo)志（55AA）組成。BPB中記錄了該分區(qū)的各項(xiàng)參數(shù)信息，因此至關(guān)重要，如果BPB部分被破壞，此分區(qū)將不可用。DBR在安裝系統(tǒng)的時(shí)候?qū)懭耄@是一段系統(tǒng)引導(dǎo)代碼，如果這部分缺失或被破壞，則該分區(qū)不可用于啟動(dòng)系統(tǒng)。引導(dǎo)扇區(qū)結(jié)束標(biāo)志用于引導(dǎo)程序判斷該扇區(qū)是否為引導(dǎo)扇區(qū)。二、分析引導(dǎo)扇區(qū)引導(dǎo)扇區(qū)，也稱DBR扇區(qū)，它由BPB（BIO二、分析引導(dǎo)扇區(qū)跳轉(zhuǎn)指令，跳至引導(dǎo)程序處BPB記錄了該分區(qū)的參數(shù)信息DBR負(fù)責(zé)執(zhí)行系統(tǒng)引導(dǎo)功能引導(dǎo)扇區(qū)結(jié)束標(biāo)志55HAAH二、分析引導(dǎo)扇區(qū)跳轉(zhuǎn)指令，跳至引導(dǎo)程序處BPB記錄了該分區(qū)的二、分析引導(dǎo)扇區(qū)偏移長(zhǎng)度描述0H3B跳轉(zhuǎn)指令，跳至后面引導(dǎo)記錄開始處（FAT32從5AH處開始）3H8B文件系統(tǒng)和版本的OEM標(biāo)志（MSDOS5.0或MSWIN4.1）0BH2B每扇區(qū)字節(jié)數(shù)（通常為200H）0DH1B每簇扇區(qū)數(shù)（值為2的N次方，通常小于64）*0EH2B保留扇區(qū)數(shù)（本分區(qū)中FAT表之前的扇區(qū)總數(shù)，通常FAT16為1，F(xiàn)AT32為20H或24H）*10H1BFAT表個(gè)數(shù)（通常為2）11H2BFAT16系統(tǒng)為根目錄最大項(xiàng)，F(xiàn)AT32系統(tǒng)為013H2B小卷（<32MB）的分區(qū)扇區(qū)總數(shù)，大硬盤為015H1B介質(zhì)描述，恒為F816H2B在小卷中為每FAT占用扇區(qū)數(shù)，大硬盤為018H2B每磁道扇區(qū)數(shù)（通常為3FH，63）1AH2B磁頭數(shù)（通常為FFH，255）1CH4B隱含扇區(qū)數(shù)（本分區(qū)前的扇區(qū)總數(shù)，也就是本分區(qū)的起始邏輯扇區(qū)號(hào)）20H4B大卷的本分區(qū)占用扇區(qū)數(shù)*24H4B大卷的每FAT占用扇區(qū)數(shù)*28H2B延遲標(biāo)記（通常為0）二、分析引導(dǎo)扇區(qū)偏移長(zhǎng)度描述0H3B跳轉(zhuǎn)指令，跳至后面引二、分析引導(dǎo)扇區(qū)偏移長(zhǎng)度描述2AH2B版本（通常為0）2CH4B根目錄起始簇號(hào)（通常為02）30H2BFS信息扇區(qū)，即BOOT扇區(qū)占用扇區(qū)數(shù)（通常為1）32H2B備份引導(dǎo)扇區(qū)的位置34H12B保留未用（全為0）40H1B磁片的BIOS驅(qū)動(dòng)信息（軟盤從0開始，硬盤從80H開始）41H1B未用42H1B擴(kuò)展引導(dǎo)標(biāo)記（通常為29H）43H4B卷序列號(hào)（由格式化程序隨機(jī)產(chǎn)生）47H12B卷標(biāo)（如果沒有設(shè)定卷標(biāo)，則為“NONAME”）52H8B文件系統(tǒng)名稱的文本標(biāo)識(shí)，如：FAT325AH420BDBR引導(dǎo)程序（FAT32通常從此處開始）1FEH2B結(jié)束標(biāo)識(shí)“55HAAH”注：帶星號(hào)的是重要字段二、分析引導(dǎo)扇區(qū)偏移長(zhǎng)度描述2AH2B版本（通常為0）2三、簇的概念FAT分區(qū)的數(shù)據(jù)區(qū)用于存儲(chǔ)文件數(shù)據(jù)，存儲(chǔ)文件的基本單位是簇。一個(gè)簇由1～128個(gè)扇區(qū)組成，但必須是2的n次方倍。一個(gè)分區(qū)中的簇大小是固定的，在格式化的時(shí)候決定，其大小在引導(dǎo)扇區(qū)的BPB中給出。如果簇設(shè)置得大些，則會(huì)造成浪費(fèi)空間較多，如果簇空間過小，則會(huì)造成FAT項(xiàng)增大，使得鏈表加長(zhǎng)，增加管理成本，而且使訪問速度降低。簇大小一般由格式化程序自動(dòng)指定，在32位系統(tǒng)中一般為4KB～16KB。三、簇的概念FAT分區(qū)的數(shù)據(jù)區(qū)用于存儲(chǔ)文件數(shù)據(jù)，存儲(chǔ)文件的基四、修復(fù)引導(dǎo)扇區(qū)在BPB參數(shù)中有一個(gè)參數(shù)是備份引導(dǎo)扇區(qū)位置，通常位于6號(hào)扇區(qū)。如果主引導(dǎo)扇區(qū)受到破壞，可以使用這個(gè)備份引導(dǎo)扇區(qū)進(jìn)行修復(fù)。演示通過備份引導(dǎo)扇區(qū)修復(fù)分區(qū)的實(shí)驗(yàn)過程。準(zhǔn)備好故障分區(qū)的演示環(huán)境，如虛擬機(jī)、Winhex等。演示故障分區(qū)的訪問出錯(cuò)情況。用Winhex復(fù)制備份的引導(dǎo)扇區(qū)進(jìn)行修復(fù)。檢查修復(fù)結(jié)果。四、修復(fù)引導(dǎo)扇區(qū)在BPB參數(shù)中有一個(gè)參數(shù)是備份引導(dǎo)扇區(qū)位置，五、計(jì)算數(shù)據(jù)區(qū)起始位置在PBP中唯一沒有直接給出的值就是數(shù)據(jù)區(qū)的起始扇區(qū)位置，它可以通過計(jì)算得來。FAT32文件系統(tǒng)沒有專門的根目錄區(qū)，數(shù)據(jù)區(qū)的起始位置也就是首簇地址，因此數(shù)據(jù)區(qū)的起始扇區(qū)位置為：保留扇區(qū)數(shù)+FAT表扇區(qū)數(shù)×2五、計(jì)算數(shù)據(jù)區(qū)起始位置在PBP中唯一沒有直接給出的值就是數(shù)據(jù)五、計(jì)算數(shù)據(jù)區(qū)起始位置如果連備份引導(dǎo)扇區(qū)也被破壞，則只有從其他容量相近的FAT32分區(qū)復(fù)制引導(dǎo)扇區(qū)，但復(fù)制后需要對(duì)BPB的關(guān)鍵參數(shù)信息進(jìn)行修改。演示對(duì)BPB關(guān)鍵參數(shù)的逆推算過程。搜尋FAT和數(shù)據(jù)區(qū)的起始位置。根據(jù)得到的數(shù)據(jù)算出每FAT占用扇區(qū)數(shù)。將保留扇區(qū)數(shù)、每FAT占用扇區(qū)數(shù)、每簇占用扇區(qū)數(shù)寫入到BPB中對(duì)應(yīng)的位置。檢查分區(qū)訪問是否正常。五、計(jì)算數(shù)據(jù)區(qū)起始位置如果連備份引導(dǎo)扇區(qū)也被破壞，則只有從其總結(jié)1.FAT32分區(qū)的組成結(jié)構(gòu)2.引導(dǎo)扇區(qū)中的重要BPB參數(shù)3.計(jì)算數(shù)據(jù)區(qū)起始扇區(qū)位置總結(jié)1.FAT32分區(qū)的組成結(jié)構(gòu)作業(yè)請(qǐng)?jiān)谧约旱挠?jì)算機(jī)上尋找一個(gè)FAT分區(qū)（虛擬機(jī)系統(tǒng)也可），仔細(xì)觀察并寫出BPB的重點(diǎn)字段，然后計(jì)算出數(shù)據(jù)區(qū)的起始扇區(qū)號(hào)。作業(yè)請(qǐng)?jiān)谧约旱挠?jì)算機(jī)上尋找一個(gè)FAT分區(qū)（虛擬機(jī)系統(tǒng)也可），F(xiàn)AT32分區(qū)結(jié)構(gòu)FAT32分區(qū)結(jié)構(gòu)M5-2本單元主要內(nèi)容FAT32分區(qū)結(jié)構(gòu)一分析引導(dǎo)扇區(qū)二簇的概念三四修復(fù)引導(dǎo)扇區(qū)四計(jì)算數(shù)據(jù)區(qū)位置五M5-2本單元主要內(nèi)容FAT32分區(qū)結(jié)構(gòu)一分析引導(dǎo)扇區(qū)二簇M5-2本單元重難點(diǎn)重點(diǎn)FAT32文件系統(tǒng)結(jié)構(gòu)及主要參數(shù)簇的概念修復(fù)DBR扇區(qū)難點(diǎn)重要的BPB參數(shù)含義計(jì)算數(shù)據(jù)區(qū)起始位置M5-2本單元重難點(diǎn)重點(diǎn)一、FAT32分區(qū)結(jié)構(gòu)FAT文件系統(tǒng)是一種用于個(gè)人計(jì)算機(jī)小型操作系統(tǒng)的文件管理方案，最初由IBM公司用于DOS操作系統(tǒng)。FAT文件系統(tǒng)結(jié)構(gòu)較簡(jiǎn)單，管理方便，但不具備用于商業(yè)系統(tǒng)的安全性、容錯(cuò)性、保密性等特點(diǎn)。FAT12用于軟盤，F(xiàn)AT16用于早期操作系統(tǒng)，F(xiàn)AT32用于現(xiàn)代操作系統(tǒng)及大容量硬盤。一、FAT32分區(qū)結(jié)構(gòu)FAT文件系統(tǒng)是一種用于個(gè)人計(jì)算機(jī)小型一、FAT32分區(qū)結(jié)構(gòu)在FAT32分區(qū)內(nèi)部，由保留扇區(qū)、FAT表和數(shù)據(jù)區(qū)三個(gè)部分組成。引導(dǎo)扇區(qū)，也稱DBR扇區(qū)，該扇區(qū)是最重要的一個(gè)扇區(qū)，系統(tǒng)訪問該分區(qū)時(shí)首先訪問它。FAT1FAT2根目錄數(shù)據(jù)區(qū)引導(dǎo)扇區(qū)保留區(qū)FAT32分區(qū)一、FAT32分區(qū)結(jié)構(gòu)在FAT32分區(qū)內(nèi)部，由保留扇區(qū)、FA一、FAT32分區(qū)結(jié)構(gòu)保留扇區(qū)是指分區(qū)內(nèi)FAT表之前的扇區(qū)，也包括引導(dǎo)扇區(qū)。在硬盤中FAT有兩份，系統(tǒng)在寫入信息時(shí)會(huì)同時(shí)寫入兩份FAT，但只會(huì)讀取第一份的內(nèi)容。格式化程序會(huì)創(chuàng)建文件系統(tǒng)，也就是劃分該分區(qū)的各部分的位置，并寫入適當(dāng)?shù)膮?shù)。同時(shí)，格式化后首先會(huì)創(chuàng)建根目錄，由于目錄也被當(dāng)做文件處理，因此根目錄通常位于數(shù)據(jù)區(qū)的起始位置。一、FAT32分區(qū)結(jié)構(gòu)保留扇區(qū)是指分區(qū)內(nèi)FAT表之前的扇區(qū)，二、分析引導(dǎo)扇區(qū)引導(dǎo)扇區(qū)，也稱DBR扇區(qū)，它由BPB（BIOS參數(shù)塊）、DBR（磁盤引導(dǎo)記錄）、以及引導(dǎo)扇區(qū)結(jié)束標(biāo)志（55AA）組成。BPB中記錄了該分區(qū)的各項(xiàng)參數(shù)信息，因此至關(guān)重要，如果BPB部分被破壞，此分區(qū)將不可用。DBR在安裝系統(tǒng)的時(shí)候?qū)懭耄@是一段系統(tǒng)引導(dǎo)代碼，如果這部分缺失或被破壞，則該分區(qū)不可用于啟動(dòng)系統(tǒng)。引導(dǎo)扇區(qū)結(jié)束標(biāo)志用于引導(dǎo)程序判斷該扇區(qū)是否為引導(dǎo)扇區(qū)。二、分析引導(dǎo)扇區(qū)引導(dǎo)扇區(qū)，也稱DBR扇區(qū)，它由BPB（BIO二、分析引導(dǎo)扇區(qū)跳轉(zhuǎn)指令，跳至引導(dǎo)程序處BPB記錄了該分區(qū)的參數(shù)信息DBR負(fù)責(zé)執(zhí)行系統(tǒng)引導(dǎo)功能引導(dǎo)扇區(qū)結(jié)束標(biāo)志55HAAH二、分析引導(dǎo)扇區(qū)跳轉(zhuǎn)指令，跳至引導(dǎo)程序處BPB記錄了該分區(qū)的二、分析引導(dǎo)扇區(qū)偏移長(zhǎng)度描述0H3B跳轉(zhuǎn)指令，跳至后面引導(dǎo)記錄開始處（FAT32從5AH處開始）3H8B文件系統(tǒng)和版本的OEM標(biāo)志（MSDOS5.0或MSWIN4.1）0BH2B每扇區(qū)字節(jié)數(shù)（通常為200H）0DH1B每簇扇區(qū)數(shù)（值為2的N次方，通常小于64）*0EH2B保留扇區(qū)數(shù)（本分區(qū)中FAT表之前的扇區(qū)總數(shù)，通常FAT16為1，F(xiàn)AT32為20H或24H）*10H1BFAT表個(gè)數(shù)（通常為2）11H2BFAT16系統(tǒng)為根目錄最大項(xiàng)，F(xiàn)AT32系統(tǒng)為013H2B小卷（<32MB）的分區(qū)扇區(qū)總數(shù)，大硬盤為015H1B介質(zhì)描述，恒為F816H2B在小卷中為每FAT占用扇區(qū)數(shù)，大硬盤為018H2B每磁道扇區(qū)數(shù)（通常為3FH，63）1AH2B磁頭數(shù)（通常為FFH，255）1CH4B隱含扇區(qū)數(shù)（本分區(qū)前的扇區(qū)總數(shù)，也就是本分區(qū)的起始邏輯扇區(qū)號(hào)）20H4B大卷的本分區(qū)占用扇區(qū)數(shù)*24H4B大卷的每FAT占用扇區(qū)數(shù)*28H2B延遲標(biāo)記（通常為0）二、分析引導(dǎo)扇區(qū)偏移長(zhǎng)度描述0H3B跳轉(zhuǎn)指令，跳至后面引二、分析引導(dǎo)扇區(qū)偏移長(zhǎng)度描述2AH2B版本（通常為0）2CH4B根目錄起始簇號(hào)（通常為02）30H2BFS信息扇區(qū)，即BOOT扇區(qū)占用扇區(qū)數(shù)（通常為1）32H2B備份引導(dǎo)扇區(qū)的位置34H12B保留未用（全為0）40H1B磁片的BIOS驅(qū)動(dòng)信息（軟盤從0開始，硬盤從80H開始）41H1B未用42H1B擴(kuò)展引導(dǎo)標(biāo)記（通常為29H）43H4B卷序列號(hào)（由格式化程序隨機(jī)產(chǎn)生）47H12B卷標(biāo)（如果沒有設(shè)定卷標(biāo)，則為“NONAME”）52H8B文件系統(tǒng)名稱的文本標(biāo)識(shí)，如：FAT325AH420BDBR引導(dǎo)程序（FAT32通常從此處開始）1FEH2B結(jié)束標(biāo)識(shí)“55HAAH”注：帶星號(hào)的是重要字段二、分析引導(dǎo)扇區(qū)偏移長(zhǎng)度描述2AH2B版本（通常為0）2三、簇的概念FAT分區(qū)的數(shù)據(jù)區(qū)用于存儲(chǔ)文件數(shù)據(jù)，存儲(chǔ)文件的基本單位是簇。一個(gè)簇由1～128個(gè)扇區(qū)組成，但必須是2的n次方倍。一個(gè)分區(qū)中的簇大小是固定的，在格式化的時(shí)候決定，其大小在引導(dǎo)扇區(qū)的BPB中給出。如果簇設(shè)置得大些，則會(huì)造成浪費(fèi)空間較多，如果簇空間過小，則會(huì)造成FAT項(xiàng)增大，使得鏈表加長(zhǎng)，增加管理成本，而且使訪問速度降低。簇大小一般由格式化程序自動(dòng)指定，在32位系統(tǒng)中一般為4KB～16KB。三、簇的概念FAT分區(qū)的數(shù)據(jù)區(qū)用于存儲(chǔ)文件數(shù)據(jù)，存儲(chǔ)文件的基四、修復(fù)引導(dǎo)扇區(qū)在BPB參數(shù)中有一個(gè)參數(shù)是備份引導(dǎo)扇區(qū)位置，通常位于6號(hào)扇區(qū)。如果主引導(dǎo)扇區(qū)受到破壞，可以使用這個(gè)備份引導(dǎo)扇區(qū)進(jìn)行修復(fù)。演示通過備份引導(dǎo)扇區(qū)修復(fù)分區(qū)的實(shí)驗(yàn)過程。準(zhǔn)備好故障分區(qū)的演示環(huán)境，如虛擬機(jī)、Winhex等。演示故障分區(qū)的訪問