第4章 数据恢复--手动恢复文件系统.ppt

《第4章 数据恢复--手动恢复文件系统.ppt》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、手动恢复文件系统计算机网络教研室王宏2008年10月08日手动恢复文件系统手动恢复FAT16手动恢复FAT32手动恢复NTFS1手动恢复FAT16FAT16的原理FAT16下如何查找文件利用WinHex手动恢复FAT16删除的文件WinHex手动恢复FAT16的DBR1.1FAT16分区的原理--各个区域的相互关系(1)FAT16分区下的DBR:文件系统的参数都记录在DBR的BPB中,系统依靠它来确定FAT,FDT和DATA的位置,如下图:1.1FAT16分区的原理--各个区域的相互关系(2)FAT16分区下的FAT文件分配表FAT占用的扇区数量:(格式化时确定)

2、FAT占用的扇区数量的计算公式:(格式化时确定)1.2FAT16下如何查找文件1.2.1FAT16根目录下文件的管理文件目录表的起始位置FAT16下FDT项的含义1.2.1FAT16根目录下文件的管理例子:在FAT16下根目录下建立一个文件file.txt,来分析FAT16的FDT.参考教材1.3利用WinHex手动恢复FAT16删除的文件实验1.4WinHex手动恢复FAT16的DBR1.4修改FAT16的DBR引导扇区中的参数FAT32分区被格式化后，在其第一个扇区（DBR中存储有FAT32分区的系统参数，如果这些参数被破坏，则FAT32分区仍然无法正常打开。

3、在不同的FAT32分区中，DBR中的程序代码是不变的，只时参数不同而已。因此，如果要修复DBR，只需要拷贝其他的FAT32的DBR覆盖，并修改关键参数即可。在菜单“视图”--》“模版”中选择“启动扇区FAT32”列举了这些参数，其中我们需要修改的有：扇区数/簇：保留扇区数：隐藏扇区数：分区扇区数目扇区数/FAT：根目录的第一个簇：2.1FAT32原理FAT32的组织结构数据空间的管理方式FAT与FDT的关系FDT2.2FAT32下如何查找文件2.3FAT32下恢复删除的文件文件删除的实质恢复被删除的文件2.4恢复FAT32的DBR2.3修改FAT32的DBR引导扇

4、区中的参数（续）（1）保留扇区数和扇区数目/FAT：从分区开始到FAT的扇区都属于保留扇区，而FAT是以F8FFFF0F开始的因此从分区开始往后可以搜索到两个F8FFFF0F，这两位置相减即为FAT的大小3.3修改FAT32的DBR引导扇区中的参数（续）（2）根据FAT的大小和分区的大小计算扇区数/簇：首先确定这个分区的大小，由于FAT32没有明确的结束标志，可以认为下一个分区的开始之前为结束；因为FAT中的每四个字节对应管理一个簇，因此FAT可以对应的簇的个数=FAT扇区数目*512/4FAT对应管理的空间≈分区大小（单位：扇区）=簇的个数*NN=分区大小/簇的

5、个数且N为2的n次方所以N就是需要计算的扇区数/簇3.3修改FAT32的DBR引导扇区中的参数（续）（3）保留扇区数：一般表示虚拟MBR占用的扇区数，一般为63（4）根目录的第一个簇一般为2，即根目录的第一个簇也是分区的第一个簇2.1修改FAT32的DBR引导扇区中的参数FAT32分区被格式化后，在其第一个扇区（DBR中存储有FAT32分区的系统参数，如果这些参数被破坏，则FAT32分区仍然无法正常打开。在不同的FAT32分区中，DBR中的程序代码是不变的，只时参数不同而已。因此，如果要修复DBR，只需要拷贝其他的FAT32的DBR覆盖，并修改关键参数即可。在菜单

6、“视图”--》“模版”中选择“启动扇区FAT32”列举了这些参数，其中我们需要修改的有：扇区数/簇：保留扇区数：隐藏扇区数：分区扇区数目扇区数/FAT：根目录的第一个簇：2.2修改FAT32的DBR引导扇区中的参数（续）（1）保留扇区数和扇区数目/FAT：从分区开始到FAT的扇区都属于保留扇区，而FAT是以F8FFFF0F开始的因此从分区开始往后可以搜索到两个F8FFFF0F，这两位置相减即为FAT的大小2.3修改FAT32的DBR引导扇区中的参数（续）（2）根据FAT的大小和分区的大小计算扇区数/簇：首先确定这个分区的大小，由于FAT32没有明确的结束标志，可以

7、认为下一个分区的开始之前为结束；因为FAT中的每四个字节对应管理一个簇，因此FAT可以对应的簇的个数=FAT扇区数目*512/4FAT对应管理的空间≈分区大小（单位：扇区）=簇的个数*NN=分区大小/簇的个数且N为2的n次方所以N就是需要计算的扇区数/簇2.3修改FAT32的DBR引导扇区中的参数（续）（3）保留扇区数：一般表示虚拟MBR占用的扇区数，一般为63（4）根目录的第一个簇一般为2，即根目录的第一个簇也是分区的第一个簇3手动恢复NTFSNTFS的原理NTFS下如何查找文件利用WinHex手动恢复NTFS删除的文件WinHex手动恢复NTFS的DBR3.1

8、NTFS的