基于U盤FAT32 分區(qū)格式的數(shù)據恢復的研究

喬楠 河南省交通高級技工學校

1 FAT32分區(qū)格式的描述

隨著存儲設備的容量增長迅速，以往的應用在容量叫囂的存儲器中已經不能滿足要求，急需對文件系統(tǒng)進行擴充和增強，F(xiàn)AT32文件格式的出現(xiàn)解決了以前存儲空間小等問題，F(xiàn)AT32分區(qū)格式擁有一個32位的文件分區(qū)分配表，該類型的分區(qū)格式不但能很好高效的存儲數(shù)據，還會減少許多磁盤空間的浪費。

2 FAT32分區(qū)格式扇區(qū)分布圖

圖1：FAT32扇區(qū)分布圖（一主一擴多邏輯）

從圖1中可以看出FAT32分區(qū)格式的主分區(qū)是在零扇區(qū)，DBR1和其備份之間相差6個扇區(qū)，DBR1備份之后是兩個FAT表，F(xiàn)AT表之后是根目錄，根目錄后是數(shù)據區(qū)，所有的文件都是在根目錄下的數(shù)據區(qū)存儲著，所以在文件恢復過程中首先得找到根目錄，通過根目錄再在數(shù)據區(qū)中尋找文件的開始位置和結束位置，最終找到代表文件的數(shù)據，進行文件恢復。

3 FAT32分區(qū)格式下對圖片進行數(shù)據恢復

在10G的U盤中存儲一個文件，命名為畢業(yè)論文.doc，建完之后由于操作不善，誤將其刪除，然后通過WinHex軟件對該進行恢復。在恢復該文件之前，首先要明白，文件所存的位置是在根目錄下的數(shù)據區(qū)，所以，要想找到文件，先要找到根目錄，由圖1 可以知道，根目錄（DIR）=DBR+保留扇區(qū)數(shù)+FAT表大小*2，然后找到數(shù)據區(qū)，最后找到文件的大小以及其所在的位置。

首先用WinHex軟件加載這個虛擬磁盤打開之后，0扇區(qū)為該磁盤的主分區(qū)：（1）倒數(shù)五行描述了該磁盤的詳細信息，如下圖所示：總共64個十六進制字符代表了整個磁盤的分布情況，其中十六進制數(shù)20 21 00 代表了通過磁頭扇區(qū)，可以填寫也可以不填寫，但如果該磁盤為U啟動盤的話必須要填寫，可以填寫為十六進制數(shù)：01 01 00 ；十六進制數(shù)0B 或者0C代表了FATA32格式；07則代表了NTFS格式；十六進制數(shù)FE FF FF分別表示磁頭、扇區(qū)和柱面信息，可以不填寫；十六進制數(shù)00 08 00 00表示隱藏扇區(qū)數(shù)；十六進制數(shù)00 E8 3F 01代表扇區(qū)大小。

圖2：磁盤分布圖

(2）要想找到文件首先要找到DBR1，因為在DBR1扇區(qū)中有許多重要信息，如何真正搜索到DBR1呢？我們通過WinHex軟件定位到0扇區(qū)的下一個扇區(qū)，也即是第一扇區(qū)，開始向下搜索55AA，如下圖所示：其中55AA是DBR1磁盤扇區(qū)結束的部分為55AA，一定是選擇向下搜索，并且偏移條件為：512=510，512是一個磁盤扇區(qū)的大小為512個字節(jié)，512=510則就代表了最后兩個字節(jié)，通過跳轉到DBR1。

圖3：DBR搜索圖

(3）以下所有數(shù)字都是十六進制數(shù)，其中00-02 EB 58 90 代表DBR的開頭，DBR的結尾為55AA，0B-0C 代表扇區(qū)大小為512字節(jié)，0E-0F代表保留扇區(qū)數(shù)，0D代表一簇等于多少個扇區(qū)，10是固定字節(jié)為02,15固定字節(jié)為F8，1C-1F為隱藏扇區(qū)數(shù)，20-23代表磁盤大小，24-27代表FAT表大小，30-32為固定值01 00 06，其中06代表data的備份，如果不填寫的話則打不開分區(qū)，52-56代表FAT32固定字節(jié)46 41 54 33 。

(4）由圖1 FAT32分布扇區(qū)圖可以知道，在DBR后搜索：“F8 FF FF 0F”,找到FAT表，查看其構成；其次根據DBR+保留扇區(qū)數(shù)+FAT表大小*2，得到根目錄的扇區(qū)位置；其次再根據根目錄找到要恢復文件對應的2行重要數(shù)據，且保證該2行數(shù)據的第二行的X4-X5 為“00 00”，則XA-XB的數(shù)值為該文件的起始簇號，XC-XF為文件的大小文件大小用字節(jié)數(shù)表示；然后可以找到該文件所在的扇區(qū)號，根目錄的扇區(qū)號+（A-）*簇的大小，也就是說在根目錄中找到的文件的簇號是相對于根目錄來說的；最后把數(shù)據導出形成文件，這也就是所要恢復的文件。

4 總結

數(shù)據恢復對于當今社會非常的重要，為我們的誤刪，誤操作等做出了很多的貢獻，但是并不是所有的數(shù)據恢復都是能成功的，在日常生活中一定要重視數(shù)據的保管，經常做到備份，最好的數(shù)據恢復就是備份；“硬件有價，數(shù)據無價”，所以說養(yǎng)成良好的備份習慣非常重要的。