《計(jì)算機(jī)檢測維修與數(shù)據(jù)恢復(fù)》（下冊） 課件 任務(wù)1 子任務(wù) 2  利用 WinHex 恢復(fù)受破壞的 exFAT 文件系統(tǒng)

子任務(wù)2?利用WinHex恢復(fù)受破壞的exFAT文件系統(tǒng)任務(wù)1exFAT文件系統(tǒng)恢復(fù)項(xiàng)目7文件系統(tǒng)恢復(fù)01利用Winex恢復(fù)受破壞exFAT分區(qū)DBR02利用Winex恢復(fù)受破壞FAT表（被清零）目錄contents03恢復(fù)受破壞exFAT數(shù)據(jù)區(qū)用戶目錄項(xiàng)利用Winex恢復(fù)受破壞exFAT分區(qū)DBR01利用Winex恢復(fù)受破壞exFAT分區(qū)DBR一(一)利用Winex恢復(fù)受破壞DBR（DBR備份不被破壞）（共有3個(gè)步驟）步驟一：附加虛擬磁盤，發(fā)現(xiàn)磁盤出錯(cuò)步驟二：運(yùn)行Winhex并打開它，確認(rèn)DBR被破壞，DBR備份不被破壞步驟三：恢復(fù)受破壞DBR利用Winex恢復(fù)受破壞exFAT分區(qū)DBR一步驟一：附加虛擬磁盤，發(fā)現(xiàn)磁盤出錯(cuò)

在素材文件夾中，雙擊“7任務(wù)1-2-1.vd”，資源管理器發(fā)現(xiàn)磁盤有問題，并彈出錯(cuò)誤對(duì)話框。如圖7-4所示。圖7-4資源管理器彈出的錯(cuò)誤對(duì)話框圖利用Winex恢復(fù)受破壞exFAT分區(qū)DBR一步驟二：運(yùn)行Winhex并打開它，確認(rèn)DBR被破壞，DBR備份不被破壞

運(yùn)行Winex，打開“D1”，在硬盤窗口，發(fā)現(xiàn)分區(qū)1圖標(biāo)變成灰色，擴(kuò)展名“exFAT”為“？”，進(jìn)一步打開分區(qū)1,發(fā)現(xiàn)0扇區(qū)（DBR）被清零，跳轉(zhuǎn)至12號(hào)扇區(qū)（DBR備份，也可通過查找“55AA”的辦法來查找DBR備份），數(shù)據(jù)正常。說明分區(qū)1的DBR被破壞，其備份正常。步驟三：恢復(fù)受破壞DBR1.復(fù)制DBR備份（整個(gè)12號(hào)扇區(qū)），粘貼到0號(hào)扇區(qū)

復(fù)制當(dāng)前整個(gè)扇區(qū)（12號(hào)扇區(qū)），然后粘貼到0號(hào)扇區(qū)。

2.保存

點(diǎn)擊“保存”功能，關(guān)閉本磁盤，退出Winex。

在素材文件夾中，雙擊“7任務(wù)1-2-1.vd”，資源管理器正常打開磁盤，恢復(fù)受破壞DBR（DBR備份不被破壞）的操作完成。利用Winex恢復(fù)受破壞exFAT分區(qū)DBR一(二)利用Winex恢復(fù)受破壞DBR及其備份（共有3個(gè)步驟）步驟一：附加虛擬磁盤，發(fā)現(xiàn)磁盤出錯(cuò)步驟二：：確認(rèn)DBR及其備份都被破壞步驟三：恢復(fù)受破壞DBR及其備份利用Winex恢復(fù)受破壞exFAT分區(qū)DBR一步驟一：附加虛擬磁盤，發(fā)現(xiàn)磁盤出錯(cuò)

在素材文件夾中，雙擊“7任務(wù)1-2-2.vd”，資源管理器發(fā)現(xiàn)磁盤有問題，并彈出錯(cuò)誤提示。如圖7-5所示。圖7-5資源管理器彈出的錯(cuò)誤對(duì)話框圖利用Winex恢復(fù)受破壞exFAT分區(qū)DBR一步驟二：確認(rèn)DBR及其備份都被破壞

運(yùn)行（Winex），打開“D1”，在硬盤窗口，發(fā)現(xiàn)分區(qū)1圖標(biāo)變成灰色，擴(kuò)展名“exFAT”為“？”，進(jìn)一步打開分區(qū)1,發(fā)現(xiàn)0扇區(qū)（DBR）被清零，跳轉(zhuǎn)至12號(hào)扇區(qū)（DBR備份，也可通過查找0X55/0XAA的辦法來查找DBR備份），找不到DBR。說明分區(qū)1的DBR及其備份都被破壞。步驟三：恢復(fù)受破壞DBR及其備份1.創(chuàng)建一個(gè)與“7任務(wù)1-2-2.vd”磁盤容量、分區(qū)格式化相同的虛擬磁盤創(chuàng)建一個(gè)與“7任務(wù)1-2-2.vd”磁盤容量、分區(qū)格式化相同的虛擬磁盤，復(fù)制虛擬磁盤的分區(qū)1的DBR到“7任務(wù)1-2-2.vd”磁盤分區(qū)1的DBR位置。

2.把MBR記錄分區(qū)1起始扇區(qū)及大小在本磁盤內(nèi)，跳轉(zhuǎn)到0號(hào)扇區(qū)，偏移“X1C6?9”的記錄為分區(qū)1的起始扇區(qū)2048號(hào)扇區(qū)，偏移“X1CA?D”記錄為分區(qū)1的大小33552384扇區(qū)。利用Winex恢復(fù)受破壞exFAT分區(qū)DBR一步驟三：恢復(fù)受破壞DBR及其備份3.找到FAT表的起始扇區(qū)在分區(qū)1本分區(qū)內(nèi)查找FAT表，用“查找十六位進(jìn)制數(shù)值”功能查找0XFFFFFFF8，在2048號(hào)扇區(qū)找到FAT表，因此，F(xiàn)AT的起始扇區(qū)為2048號(hào)扇區(qū)。如圖7-6所示。圖7-6Winex編輯窗口信息（FAT表）圖從圖7-6可看出，簇位圖文件在2和3號(hào)簇，共占2簇，大寫字符文件在4號(hào)簇，共占1簇，根目錄起始簇在5號(hào)簇。利用Winex恢復(fù)受破壞exFAT分區(qū)DBR一步驟三：恢復(fù)受破壞DBR及其備份

4.找到大寫字符文件和根目錄的起始扇區(qū)，并計(jì)算每簇扇區(qū)數(shù)在分區(qū)1本分區(qū)內(nèi)查找FAT表，用“查找十六位進(jìn)制數(shù)值”功能查找0X000001，在6272號(hào)扇區(qū)找到大寫字符文件，即大寫字符文件的起始扇區(qū)為6272號(hào)扇區(qū)。繼續(xù)向下查找“030000”，在6336號(hào)扇區(qū)找到根目錄，即根目錄的起始扇區(qū)為6336號(hào)扇區(qū)。大寫字符文件總扇區(qū)為6336-6272=64，且只占1簇，用2n表示，可知n為8。

5.找到簇位圖文件的起始扇區(qū)，并計(jì)算FAT表的大小由于簇位圖文件點(diǎn)2和3號(hào)簇，共2簇，因此，簇位圖文件的總扇區(qū)數(shù)為2×64＝128。大寫字符文件的起始扇區(qū)為6272，簇位圖文件的起始扇區(qū)為6272-128=6144。在本分區(qū)內(nèi)，跳轉(zhuǎn)至簇位圖文件的起始扇區(qū)為6144，見到簇位圖文件參數(shù)。同時(shí)，由于數(shù)據(jù)區(qū)是從簇位圖文件所在扇區(qū)開始，因此，簇位圖文件的起始扇區(qū)為6144號(hào)扇區(qū)也是數(shù)據(jù)的起始扇區(qū)。數(shù)據(jù)區(qū)的大小=本分區(qū)總扇區(qū)一數(shù)據(jù)的起始扇區(qū)=33552384-6144=33546240，數(shù)據(jù)區(qū)總簇?cái)?shù)=總扇區(qū)數(shù)÷64=33546240÷64=524160簇。FAT所占的扇區(qū)數(shù)最大值為數(shù)據(jù)區(qū)的起始扇區(qū)-FAT表的起始扇區(qū)，即6144-2048=4096扇區(qū)。利用Winex恢復(fù)受破壞exFAT分區(qū)DBR一步驟三：恢復(fù)受破壞DBR及其備份6.把步驟三至步驟五找到的參數(shù)填入DBR主要參數(shù)表把步驟三至步驟五找到的參數(shù)填入DBR參數(shù)格式表（表7-2），得到DBR參數(shù)表，如表7-8所示。表7-8exFAT分區(qū)DBR主要參數(shù)表偏移量長度值參數(shù)0X0030X9076EB跳轉(zhuǎn)指令0X0380X5441465845文件系統(tǒng)0X0B530X00保留區(qū)0X4080X0800分區(qū)起始扇區(qū):20480X4880X01FFF800分區(qū)總扇區(qū)數(shù):335523840X5040X0800FAT表起始扇區(qū):20480X5440X1000FAT表總扇區(qū)數(shù):40960X5840X1800數(shù)據(jù)區(qū)起始扇區(qū):61440X5C40X07FF80數(shù)據(jù)區(qū)總簇?cái)?shù):5241600X6040X05根目錄起始簇:50X648略分區(qū)序號(hào)及標(biāo)志0X6C40X09每扇區(qū)字節(jié)數(shù)(2n):5120X6D10X06每簇扇區(qū)數(shù)(2n):640X6E10X01FAT表個(gè)數(shù):10X6F10X080磁盤類型0X78390略引導(dǎo)程序0X1FE20X55/0XAA扇區(qū)有效標(biāo)志利用Winex恢復(fù)受破壞exFAT分區(qū)DBR一步驟三：恢復(fù)受破壞DBR及其備份7.把DBR參數(shù)寫入DBR跳轉(zhuǎn)至本分區(qū)0號(hào)扇區(qū)，把表7-8的DBR參數(shù)填入DBR相應(yīng)偏移，得到恢復(fù)后DBR，如圖7-7所示。利用Winex恢復(fù)受破壞exFAT分區(qū)DBR一步驟三：恢復(fù)受破壞DBR及其備份8.恢復(fù)DBR備份

把DBR復(fù)制到12號(hào)扇區(qū)，即12扇區(qū)為DBR備份。點(diǎn)擊“保存”功能，關(guān)閉本磁盤，退出Winex。在素材文件夾中，雙擊“7任務(wù)1-2-2.vd”，資源管理器正常打開磁盤，恢復(fù)受破壞DBR及其備份的操作完成。利用Winex恢復(fù)受破壞FAT表（被清零）02利用Winex恢復(fù)受破壞FAT表（被清零）二利用Winex恢復(fù)受破壞FAT表（被清零）（共有2個(gè)步驟）步驟一：附加虛擬磁盤，運(yùn)行Winhex并打開它步驟二：確認(rèn)FAT表被破壞（被清零）步驟三：恢復(fù)被破壞的FAT表利用Winex恢復(fù)受破壞FAT表（被清零）二步驟一：附加虛擬磁盤，運(yùn)行Winhex并打開它在素材文件夾中，雙擊“7任務(wù)1-2-3.vd”，然后運(yùn)行Winex，打開“D1”，操作界面顯示該硬盤信息，此虛擬磁盤共分有1個(gè)主分區(qū)（exFAT分區(qū)）。步驟二：確認(rèn)FAT表被破壞（被清零）進(jìn)入在分區(qū)1，點(diǎn)開FAT表，跳轉(zhuǎn)到2048號(hào)扇區(qū)，數(shù)據(jù)全為0，說明FAT表被破壞（被清零）。如圖7-8所示。圖7-8Winex編輯窗口信息（FAT表）圖利用Winex恢復(fù)受破壞FAT表（被清零）二步驟三：恢復(fù)被破壞的FAT表1.利用DBR模板讀取DBR的BPB參數(shù)利用DBR模板讀取本分區(qū)DBR，如圖7-9所示。圖7-9Winex“exFAT模板”信息（DBR）圖利用Winex恢復(fù)受破壞FAT表（被清零）二步驟三：恢復(fù)被破壞的FAT表1.利用DBR模板讀取DBR的BPB參數(shù)利用DBR模板讀取本分區(qū)DBR，如圖7-9所示。圖7-9Winex“exFAT模板”信息（DBR）圖在圖7-9中，可讀?。海?）數(shù)據(jù)區(qū)的起始扇區(qū)為6144號(hào)扇區(qū)，所在簇號(hào)為2號(hào)簇，也是簇位圖文件的起始扇區(qū)。（2）根目錄的起始扇區(qū)為5號(hào)簇。（3）每簇扇區(qū)數(shù)為26=64扇區(qū)。由于大寫字符文件是在目錄的前1簇（且只占1簇），因此大寫字符文件占4號(hào)簇。由于簇位圖文件是在大寫字符文件前，因此3號(hào)簇是被簇位圖文件占，又由于簇位圖文件起始在2號(hào)簇，故簇位圖文件占2、3號(hào)簇。利用Winex恢復(fù)受破壞FAT表（被清零）二步驟三：恢復(fù)被破壞的FAT表2.確定0號(hào)表項(xiàng)、1號(hào)表項(xiàng)的參數(shù)0號(hào)表項(xiàng)參數(shù)固定為0XFFFFFF8F、1號(hào)表項(xiàng)參數(shù)固定為0XFFFFFFFF。3.確定2號(hào)表項(xiàng)、3號(hào)表項(xiàng)的參數(shù)由于簇位圖文件占2、3號(hào)簇，因此2號(hào)表項(xiàng)、3號(hào)表項(xiàng)參數(shù)為0X3、0XFFFFFFFF。4.確定4號(hào)表項(xiàng)的參數(shù)由于大寫字符文件僅占4號(hào)簇，因此4號(hào)表項(xiàng)參數(shù)為0XFFFFFFFF。5.確定5號(hào)表項(xiàng)的參數(shù)由于根目錄占5號(hào)簇，因此5號(hào)表項(xiàng)參數(shù)為0XFFFFFFFF。6.確定6號(hào)表項(xiàng)的參數(shù)跳轉(zhuǎn)到6號(hào)簇，發(fā)現(xiàn)有用戶數(shù)據(jù)，由于這數(shù)據(jù)是由根目錄或子目錄管理了，因此6號(hào)表項(xiàng)及其后面的表項(xiàng)目全部為0X00000000。最后進(jìn)行保存和磁盤快照操作，完成恢復(fù)受破壞FAT表（被清零）任務(wù)的操作。利用Winex恢復(fù)受破壞FAT表（被清零）二步驟三：恢復(fù)被破壞的FAT表7.把已確定的各表項(xiàng)的參數(shù)填入FAT表把已確定的各表項(xiàng)的參數(shù)填入FAT表，恢復(fù)了FAT表，如圖7-10所示。點(diǎn)擊“保存”功能，進(jìn)行“磁盤快照”，關(guān)閉本磁盤，退出Winex。

在素材文件夾中，雙擊“7任務(wù)1-2-3.vd”，資源管理器正常打開磁盤，恢復(fù)受破壞FAT表的操作完成?；謴?fù)受破壞exFAT數(shù)據(jù)區(qū)用戶目錄項(xiàng)03恢復(fù)受破壞exFAT數(shù)據(jù)區(qū)用戶目錄項(xiàng)三恢復(fù)受破壞exFAT數(shù)據(jù)區(qū)用戶目錄項(xiàng)（共有3個(gè)步驟）步驟一：附加虛擬磁盤，運(yùn)行Winhex并打開它步驟二：確認(rèn)用戶目錄項(xiàng)被破壞（被清零）步驟三：恢復(fù)被破壞用戶文件（夾）恢復(fù)受破壞exFAT數(shù)據(jù)區(qū)用戶目錄項(xiàng)三步驟一：附加虛擬磁盤，運(yùn)行Winhex并打開它在素材文件夾中，雙擊“7任務(wù)1-2-4.vd”，資源管理器正常打開磁盤，但根目錄沒有文件（夾）。然后運(yùn)行Winex，打開“D1”，操作界面顯示該硬盤信息，此虛擬磁盤共分有1個(gè)主分區(qū)（exFAT分區(qū)）。步驟二：確認(rèn)用戶目錄項(xiàng)被破壞（被清零）進(jìn)入在分區(qū)1，根目錄沒有文件（夾），點(diǎn)擊根目錄，發(fā)現(xiàn)用戶文件（夾）錄項(xiàng)為0，說明用戶文件（夾）目錄項(xiàng)被破壞了。如圖7-11、12所示。圖7-11Winex驅(qū)動(dòng)器窗口信息（分區(qū)1）圖恢復(fù)受破壞exFAT數(shù)據(jù)區(qū)用戶目錄項(xiàng)三步驟二：確認(rèn)用戶目錄項(xiàng)被破壞（被清零）圖7-12Winex編輯窗口信息（根目錄表）圖恢復(fù)受破壞exFAT數(shù)據(jù)區(qū)用戶目錄項(xiàng)三步驟三：恢復(fù)被破壞用戶文件（夾）1.推算被破壞用戶文件（夾）所占的簇號(hào)從圖7-12可知，由于前一個(gè)文件起始簇為6，后一個(gè)文件起始簇為15，因此，被破壞的用戶文件（夾）可能占7-14簇。2.查找被破壞用戶文件（夾）所占的簇號(hào)按推算，被破壞的用戶文件（夾）可能占7-14簇，從7簇開始查找，在9號(hào)簇找到被破壞用戶文件目錄表，看各表項(xiàng)，發(fā)現(xiàn)有2個(gè)文件，起始簇分別為10和14，如圖7-13所示。

圖7-13Winex編輯窗口信息（戶文件目錄表）圖恢復(fù)受破壞exFAT數(shù)據(jù)區(qū)用戶目錄項(xiàng)三步驟三：恢復(fù)被破壞用戶文件（夾）3.恢復(fù)被破壞的根目錄表項(xiàng)（1）復(fù)制9號(hào)簇下第1個(gè)目錄項(xiàng)，然后粘貼到根目錄被清零的目錄項(xiàng)。如圖7-14所示。圖7-14Winex編輯窗口信息（根目錄表）圖恢復(fù)受破壞exFAT數(shù)據(jù)區(qū)用戶目錄項(xiàng)三步驟三：恢復(fù)被破壞用戶文件（夾）3.恢復(fù)被破壞的根目錄表項(xiàng)（1）復(fù)制9號(hào)簇下第1個(gè)目錄項(xiàng)，然后粘貼到根目錄被清零的目錄項(xiàng)。如圖7-14所示。（2）把偏移0X0E4的值2改為1，即文件夾（目錄）屬性，而非文件屬性。（3）把偏移0X114的值A(chǔ)改為9，即文件夾（目錄）的起始簇為9。（4）把偏移0X108?C、0X118?C的兩個(gè)值都改為800000，即文件夾（目錄）的大小為32768字節(jié)。（5）把偏移0X122?0X13F的兩個(gè)值都改為3800FB4EA152，即文件夾（目