欢迎来到天天文库
浏览记录
ID:61766687
大小:5.88 MB
页数:27页
时间:2021-03-19
《FAT32分区下的文件数据定位及删除后的恢复.docx》由会员上传分享,免费在线阅读,更多相关内容在教育资源-天天文库。
1、FAT32分区下图片文件及文件夹下PDF文件的定位及数据恢复10级信息管理系司法信息安全方向12号王立鹏利用DiskCreator工具创建磁盘的步骤:1)选择创建虚拟磁盘文件的位置为C盘;如下图1所示:图12)创建大小为1024M的虚拟磁盘;如下图2所示:图23)DiskLoader工具装载虚拟磁盘(Browse选择创建的虚拟磁盘文件FATnt后选择LoadInsDisk);如下图3—4所示:图3图41)安装完成;如下图5所示:图5对虚拟磁盘分区的步骤:1)右击我的电脑,选择“管理”;如下图6所示:图62)在“计算机管理”中选择“磁盘管理”;如下图7所示:图73
2、)对磁盘一(如下图8所示)进行分区:图81)建立主分区的过程如下右击未指派的1G磁盘,选择新建磁盘分区;如下图9——14所示:图9图10图11图12图13图14主磁盘分区建好如图15所示:图151)建立扩展分区过程如下,右击未指派的842MB选框后,选择新建磁盘分区,再选择扩展磁盘分区;过程如下图16——18所示:图16图17图18扩展分区建好后如下图19所示:图191)创建逻辑驱动器,右击扩展分区(图19中绿框),选择新建磁盘分区;具体过程如下图20——26所示:图20图21图22图23图24图25图26按照上述方法创建好J逻辑驱动器;如下图27所示:图27上
3、述过程为创建虚拟磁盘并且创建好分区的过程创建的虚拟磁盘,大小为1G,一个NTFS的主分区,扩展分区中一个FAT32逻辑驱动器I,一个NTSF逻辑驱动器J,如下图28所示:图28在FAT32的分区中,也就是逻辑盘I中建立一个文件夹,放一个PDF文件,在I盘根下放两张图片,如下图29——30所示:图29图30我们以删除图片Lighthouse文件以及文件夹下的南非文件为例子,来讲述如何进行文件的定位,以及删除文件后,相关扇区的变化,还有如何恢复数据。删除前的图片文件Lighthouse以及文件夹下南非文件的内容分别如下图31——32所示:图31图32文件以及文件夹删
4、除以前,分别对MBR(主引导记录),EBR1(扩展引导记录),FAT32分区的DBR(DOS引导记录),FAT1(文件分配表),FAT2,以及数据区的文件目录项进行定位分析。WinHex打开硬盘一,下图扇区就是MBR(C/H/S地址的0柱面0磁头1扇区),如下图33所示:图33上图33阴影部分的66字节为DPT(DiskPartitionTable,硬盘分区表,占64字节)和结束标志”55AA”MBR中分区表的每16字节组成的分区表项分析字节偏移字段长度值字段名和定义0X000001BE1字节0X00引导标志(BootIndicator,指明该分区是否为活动分区
5、0X000001BF1字节0X01开始磁头(StartingHead)0X000001C06位0X01起始扇区(Startingsector),只用了0-5位,第6,7位被开始柱面字段使用。0X000001C110位0X00起始柱面(StartingCylinder),共占10位,最大值为10230X000001C21字节0X07系统ID(SystemID)定义分区类型0X000001C31字节0XFE结束磁头(EndingHead)0X000001C46位0X3F结束扇区(EndingSector)只使用0—5位,第6,7位被结束柱面字段使用0X000001C
6、510位0X19结束柱面(StartingCylinder),共占10位,最大值为10230X000001C61DWORD(双字)0X0000003F相对扇区数(RelativeSectors),指该磁盘开始到该分区开始之间的位移量,以扇区来表示0X000001CA1DWORD(双字)0X00065F5B总扇区数(TotalSectors),指该分区中扇区总数分析MBR扇区的分区表项,偏移为000001D2的一个字节为(05H),表示扩展分区,它的起始扇区为偏移000001D6开始的4个字节(9A5F0600H),计算EBR1的位置;跳到EBR1如下图34所示:
7、图34计算出来EBR1位置在417690扇区。下面跳到EBR1如下图35所示:图35扩展分区中的每个逻辑驱动器的分区信息都存在与类似于MBR的扩展引导记录(EBR,ExtendedBootRecord)中,EBR中分区表的第一项描述第一个逻辑驱动器,第二项指向下一个逻辑驱动器的EBR,如果不存在下一个逻辑驱动器,第二项就不需要。从上图35阴影部分第一个分区表项可以看出驱动器类型,偏移0CBF35C2(0BH)看出分区格式为FAT32分区.偏移为0CBF35C6开始的4个字节(3F000000H)为相对位置,即63扇区,我们计算DBR的位置:417690+63=4
8、17753扇区,跳到DB
此文档下载收益归作者所有