winhex手工恢复fat16文件系统

《winhex手工恢复fat16文件系统》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、winhex手工恢复FAT16文件系统根目录项(Rootentries)为512,每个目录项占用32字节，所以FDT(FileDirectoryTable)共占用512*32/512=32个扇区。这512个冃录项是根目录下所有登记项的总和，包括卷标、子冃录和文件。公式精确方法：FAT扇区数二(扇区总数+才每簇扇区数-32-保留扇区数)/(256*每簇扇区数)例：FAT扇区数=(3915713+128-32)/(256*64)=238.99029541015625=239扇区粗略方法：FAT扇区数：FAT用两个字节记录一个簇。例：FAT扇区数=总簇数*2/512=(3915713/64)/

2、256=238.99615478515625=239扇区FAT16文件系统结构-个文件或子目录在磁盘上的存储位置(逻辑扇区号)为:1+2下AT扇区数+FDT扇区数+(起始簇号・2)水每簇扇区数解释：T代表DBR扇区，“起始簇号・2”代表用户文件从2号簇开始计算的。这样的话，第一个文件的起点(第2簇)紧随FDT。DBR引导DBR与分区的位置关系每个分区的DBR都位于此分区的第一个扇区。主分区DBR由MBR来制定，扩展分区由虚拟MBR指定。DBR与分区表的位置关系第一个主分区的DBR一般距离MBR的扇区个数为62个（MBR=O,DBR=63）,由于每个扩展分区都有一个虚拟MBR,所以每个扩展

3、分区DBR都距离虚拟MBR62个扇区。这里再回忆下分区表链的读取方法：主分区直接由MBR表项中的“本分区Z前扇区数”来定位；扩展分区要加上一个偏移，即MBR中制定的“扩展分区之前扇区数”，而FL此偏移在所冇的虚拟MBR屮都不变（这点有点与想当然不一样~）,记住就可以了。FAT（FileAssociateTable）FAT紧接着DBR扇区存放。磁盘上的每个簇在FAT中有R只有一个登记项，表项值有三个状态：占用、空闲或坏簇。FAT的位数有12、16和32o12位表项值可表示4096个簇，16位表示65536个簇（一般每簇不多于64个扇区（32KB）,这样，FAT16最多管理32*65536=

4、2GB）。FAT32即使每簇4KB大，也可以管理16TB的分区。FAT文件定位由FAT+FDT来定位。FDT每32个字节表示一个文件。其中最重要的是偏移1A-1B两字节，表示此文件的开始簇号（此簇号有两个用处，一是定位文件的DATA,二是在FAT中找文件的下一簇）。例子如图：我们找“Winhex教程.pdf”，先搜索ASCII来到FDTOffset01234S6789ABCDEFy・OOO3C82O57494E4845587E315044462000AB998AWINHEX-1PDF•姥S0003C8306A396C3900000DS80叮列590A~

5、f3AO8600j919・・・X・

6、9Y・鬆？；OOO3C84OE54FS4345F303^1—2lT2020~20~00B5E08A錨T4.001.二誰OOO3C8SO・老TS0A59.在FY®两个字节茨-示一个纭,斫以戏们定位到谊堀FA净谓如35严2勿订4B2FAT1起始偏移为0x200,文件长度0X86A0F3,因此我们要定位的偏移为0x16B2Offset10123456789ABCDEF3-aOOOC16BO000016CO00001600000016E0FFFF

7、5A0A

8、5B0ASC0A500A5E0a5F0A600A610A620A630A640A650A660A670A680A幾F80A59.是位到FAT

9、中5W82处•426826讯1又代衰下一停■-次形成Y錢出.j^JOxFFFF聂示躺一望，OKA5A-2«Okl4B4.14B4-200-a.b.v.d.Q.f.g.h.•i.i.k.1.fn.n.o.p.1684u•v.w.x•我们继续走，发现簇链都是连着的，貌似没有碎片!Offset0123456789ABCDEF00001890000018A0000018B0000018C000001800Oxiscoa后T■傅花•Q»cl6CC/2-0x866-2918l^«..我们可以■授从貳飯的位1W出!因力前胃的则虾一罕(结棗算).VDJIVD丿OVD兀610B620B630B640000

10、0000000000VD丿V”VOUV5>0B650B660BpFFF

11、00000000000000000000002L・b•OK,Winhex教程.pdf的簇范围为：0xA59~0xB66(2649~2918簇)052F7E00O52F7E1O052F7E20O52F7E3O052F7E40转到启区Offset0123456789ABCDEFX@逻垢（D：扇区:柱OT/JWS：磴头顺面®:扇区：礎走（◎取消㈤%PCF-1.4.%2