数据恢复 FAT32 目录项 FAT表

FAT32目录项和FAT表

村口曹师傅发表于2020-07-27 14:54:12 浏览1681 评论0

FAT32目录项和FAT表


 既然是想要了解目录首先就要知道他的根目录位置算法：算法如下↓


 <img src=/datarecovery/FAT32data/wps106.jpg title="" width=444 height=141> 


 图中，<img src=/datarecovery/FAT32data/wps107.jpg title="" width=50 height=18>为DBR保留扇区数，<img src=/datarecovery/FAT32data/wps108.jpg title="" width=118 height=17>为每FAT扇区数，

<table width=568 cellspacing="0">
 <tbody>
 <tr class="page_speeder_1963961720 firstRow">
 <td class="page_speeder_885751693" width=116 valign="top">
 
 DBR和保留扇区
 
 </td>
 <td class="page_speeder_1144978668" width=47 valign="top">
 
 FAT1
 
 </td>
 <td class="page_speeder_1144978668" width=48 valign="top">
 
 FAT2
 
 </td>
 <td class="page_speeder_1144978668" width=59 valign="top">
 
 根目录
 
 </td>
 <td class="page_speeder_1144978668" width=298 valign="top">
 
 DATA
 
 </td>
 </tr>
 </tbody>
</table>

 根据这张图我们就很清楚的知道了算法<img src=/datarecovery/FAT32data/wps109.jpg title="" width=103 height=16>*2+<img src=/datarecovery/FAT32data/wps110.jpg title="" width=49 height=17>换成十进制就是1,054+7,665*2=16384


 <img src=/datarecovery/FAT32data/wps111.jpg title="" width=553 height=504> 


 ↑就是FAT32的根目录


  


  


 FAT表位置也一清二楚<img src=/datarecovery/FAT32data/wps112.jpg title="" width=50 height=18>↓


 <img src=/datarecovery/FAT32data/wps113.jpg title="" width=554 height=513> 


 FAT表


 我们先看一下FAT表


 <img src=/datarecovery/FAT32data/wps114.png title="" width=270 height=108> 


 首先了解一下FAT32，因为是FAT 32所以顾名思义FAT表一项FAT为32Bit，也就是4字节。


 并且如上图一样，第一个FAT项称为0号FAT项：第二个FAT项为1号FAT项......（从2号FAT项开始，2号FAT项表示第二簇，3号FAT项表示第三簇）


 0项.<img src=/datarecovery/FAT32data/wps115.jpg title="" width=109 height=17>这一项其实没有什么意义，就像是一个标志，FAT表的开始。（一个固定值）


  


 1项.<img src=/datarecovery/FAT32data/wps116.jpg title="" width=107 height=15>这一项表示这记录脏标记，说明文件系统没有正常卸载或者有错误， 一般为FF FF FF FFH或FF FF FF 0FH （不知道具体是什么样的，这里就不详细写了）


  


 2项<img src=/datarecovery/FAT32data/wps117.jpg title="" width=110 height=17>这一项表示根目录，因为是第二项，所以根目录就在2簇，


  


 3项<img src=/datarecovery/FAT32data/wps118.jpg title="" width=439 height=40>从三项开始就是记入文件的位置了。


  


  


 这里要举两个栗子：


 栗一：当文件小于1簇时


 就会在他的文件所在簇数对应的FAT项中写入FF FF FF 0FH 表示结束<img src=/datarecovery/FAT32data/wps119.jpg title="" width=445 height=74>比如这个草原色的第三项FAT表项这样就表示一簇结束。（也就是文件的最后一簇）


  


 栗二：当文件大于1簇时，他就会变成这样<img src=/datarecovery/FAT32data/wps120.jpg title="" width=442 height=278>


 这里的第5项FAT表项出现的就不是FF FF FF 0FH了，而是<img src=/datarecovery/FAT32data/wps121.jpg title="" width=109 height=17>，换成10进制就是6，他表示的是文件接下去一簇的位置是6簇，我们看看第6项FAT表项<img src=/datarecovery/FAT32data/wps122.jpg title="" width=103 height=18>就表示着文件下一簇为7簇。就这样，文件一共占到第52项FAT<img src=/datarecovery/FAT32data/wps123.jpg title="" width=111 height=17>老样子，他换成10进制就是53，我们看看53项FAT表项<img src=/datarecovery/FAT32data/wps124.jpg title="" width=103 height=15>出现了结束标识，这就表明文件在53簇结束了54簇就没有这个文件了


  


  


  


 坏簇


 <img src=/datarecovery/FAT32data/wps125.jpg title="" width=105 height=18>有时候会出现这个标识，目前FAT表项为坏簇。


  


 文件碎片


 <img src=/datarecovery/FAT32data/wps126.jpg title="" width=445 height=78> 


 当出现第二项FAT表映射的并不是第3簇，（图中映射的是第5簇）则文件出现了碎片，（图中第2簇衔接第5簇）


 注：图中的第二簇为目录表项，所以当目录表项中的目录超过1簇数量时，目录表项也会出现碎片


  


 目录项


 短文件名目录项


 现在我们知道了文件在FAT表中的排列，但是FAT表的第哪一项属于文件的第1簇，则是要从目录项中了解到。


 <img src=/datarecovery/FAT32data/wps127.jpg title="" width=554 height=34> 


 ↑这是一条根目录项


 1，<img src=/datarecovery/FAT32data/wps128.jpg title="" width=306 height=18><img src=/datarecovery/FAT32data/wps129.jpg title="" width=101 height=18>这一条是文件名，ASCLL码表示的，我这里创建的是一个名叫1234.txt的文件。


 他的第一个字节可以表示文件是否被删除我先暂时删了这个文件，可以看到：<img src=/datarecovery/FAT32data/wps130.jpg title="" width=308 height=17><img src=/datarecovery/FAT32data/wps131.jpg title="" width=100 height=18>


  


 2，<img src=http://10.10.10.157/zb_users/plugin/Neditor/themes/notadd/images/spacer.gif word_img="file:///C:\Users\40564\AppData\Local\Temp\ksohtml28272\wps132.jpg" class="page_speeder_756344338" width=28 height=17>这里表示的是他的文件属性具体如下↓


 01H←只读


 02H←隐藏


 04H←系统文件


 08H←卷标


 0FH←出现这个表示为长文件名目录项


 00H←有时候会没有属性的情况出现


 10H←目录


 20H←存档


 16H←这是什么呢？有兴趣就去研究一下。


  


  


  


 3，<img src=/datarecovery/FAT32data/wps133.jpg title="" width=73 height=16><img src=/datarecovery/FAT32data/wps134.jpg title="" alt="" width=280 vspace="0" height=18 border=0>撇开中间红的蓝色的值表示为时间码，具体算法我不清楚，不过在WinHex中可以按Ctrl+F12打开模板栏，选择这个<img src=/datarecovery/FAT32data/wps135.jpg title="" width=338 height=18>来进行查看时间<img src=/datarecovery/FAT32data/wps136.jpg title="" width=447 height=453>


  


 4，<img src=/datarecovery/FAT32data/wps137.jpg title="" width=225 height=17>我们来看看这个红色的，他们表示的是文件的开始簇号<img src=/datarecovery/FAT32data/wps138.jpg title="" width=56 height=17>为高为字节，<img src=/datarecovery/FAT32data/wps139.jpg title="" width=55 height=16>为低位，组合起来就是34 12 78 56H（WinHex中字节颠倒进行换算）换算10进制为873625686则这个就是当前文件的开始簇号（这里为了演示方便就让他那么大了，基本上小的盘高位不会用上。）


  


 5，<img src=/datarecovery/FAT32data/wps140.jpg title="" width=101 height=17>最后就是他的文件总字节数了，在当前目录项中如果表示为子目录（文件夹）则为00 00 00 00H


  


  


  


  


  


  


 删除文件


 删除前↓


 <img src=/datarecovery/FAT32data/wps141.jpg title="" width=436 height=36> 


 删除后↓


 <img src=/datarecovery/FAT32data/wps142.jpg title="" width=433 height=35> 


 1，可以看出，第一字节标上了E5标记<img src=/datarecovery/FAT32data/wps143.jpg title="" width=27 height=16>


 2，并且高位字节清零<img src=/datarecovery/FAT32data/wps144.jpg title="" width=56 height=18>


  


  


 长文件名目录项


 接下来我放入一个文件↓


               <img src=/datarecovery/FAT32data/wps145.jpg title="" width=76 height=121>


 名字很长超出了文件名的11个字节的限制，我们来看看文件系统他是怎么解决的。


  


 <img src=/datarecovery/FAT32data/wps146.jpg title="" width=554 height=139> 


 图中的所有没标颜色的内容就是长文件名目录项的内容了，但是淡蓝色的位置还是短文件目录项只不过他的文件名变成了<img src=/datarecovery/FAT32data/wps147.jpg title="" width=102 height=15>（因为有时候有些系统不支持长文件，所以就用这个来表示）


   


 接下来我们看看长文件名目录项


 <img src=/datarecovery/FAT32data/wps148.jpg title="" width=554 height=105> 


 一条长文件名目录占30字节（两行）这里一共用了3这个目录项


 1，第一个<img src=/datarecovery/FAT32data/wps149.jpg title="" width=22 height=115>表示长文件名的顺序


 01第一


 02第二 


 43结束，并且是第三 


 当这里<img src=/datarecovery/FAT32data/wps150.jpg title="" width=15 height=100>出现4的时候表示结束


  


  


 2，图中所有的绿色表示这文件名的Unicode编码顺序的话我的文件名123456789abcdefjhigklnmopqrstuvwxyz.txt按照这个找下规律就清楚了


 <img src=/datarecovery/FAT32data/wps151.jpg title="" width=554 height=107> 


 3，<img src=/datarecovery/FAT32data/wps152.jpg title="" width=19 height=91>表示这文件属性


 0FH←为长文件名目录


  


 4，<img src=/datarecovery/FAT32data/wps153.jpg title="" width=24 height=96>长文件目录校验和


  


 5其余均为文件名


  


 删除后<img src=/datarecovery/FAT32data/wps154.jpg title="" width=436 height=151>全部标记为E5删除标记