Fat32磁盘结构与数据恢复
【实验目的】
通过本实验的学习,了解Windows磁盘结构,完成Fat32下文件删除的手动恢复。
【知识点】
磁盘结构,文件恢复,扇区
【实验原理】
磁盘的结构一般由主引导记录 (MBR)、基本分区和扩展分区组成。其中,主引导记录又可以称为主引导扇区,由引导程序和分区表组成,主引导扇区的最后两个字节为 0x55AA,代表着主引导扇区的结束。在 MBR 分区表中最多4个主分区或者 3 个主分区+ 1 个扩展分区,也就是说扩展分区只能有一个,然后可以再细分为多个逻辑分区。Windows系统默认情况下,一般都是只划分一个主分区给系统,剩余的部分全部划入扩展分区。主引导扇区各组成部分如下图所示,其中,引导程序为 446 字节,分区表共 64 字节:
对于一个采用此种分区结构的硬盘来说,想要得到4个以上的主要分区是不可能的。这里就需要引出扩展分区了。扩展分区中逻辑驱动器的引导记录是链式的。每一个逻辑分区都有一个和 MBR 结构类似的扩展引导记录(EBR),其分区表的第一项指向该逻辑分区本身的引导扇区,第二项指向下一个逻辑驱动器的 EBR,分区表第三、第四项没有用到。
下面是分区表中的每一表项各字段的含义,其中,最后两个连续的四字节,分别代表相对扇区数和总扇区数,具体含义如下表所示。
【软件工具】
操作系统:Windows7 x64
其他:Bjernsen.txt 、WinHex.exe
【实验目标】
1.了解Windows磁盘结构;
2.完成Fat32下文件删除的手动恢复;
【实验步骤】
首先我们要创建一个Fat32格式的系统盘,打开我的电脑,找到计算机,右键点击管理,如下图所示:
新的界面中,点击磁盘管理,如下图所示:
找到C盘,右键,点击压缩卷,如下图所示:
会弹出一个查询压缩空间界面,稍作等待,如下图所示:
本次实验1G空间即可,点击压缩,如下图所示:
我们会看到一个新压缩卷,右键选择,新建简单卷,如下图所示:
新弹出窗口,一直下一步,直至选择文件系统格式,我们选择Fat32满足实验需求,如下图所示:
一直下一步直至完成,如下图所示:
进入我们新建的磁盘,我们创建一个新文件,这里示例Bjernsen.txt,没有内容,如下图所示:
现在我们打开WinHex.exe工具,加载D盘磁盘,工具->打开磁盘,如下图所示:
进入选择磁盘界面,选择我们新建的磁盘新加卷(D:,1.0GB),HD0,点击确定,如下图所示:
加载完成后,Ctrl+F7,显示目录,如下图所示:
接下来我们进行文件的删除,进入D盘删除,如下图所示:
进入回收站彻底删除文件,如下图所示:
回到WinHex.exe更新快照,方式就是和我们打开D盘磁盘的过程一样,只是多了一个界面,如下图所示:
我们点击更新快照,发现我们的Bjernsen.txt文件显示删除,如下图所示:
通过 WinHex 重新找到 Bjernsen.txt 的目录项在根目录中的位置,可以看到文件名的第一个字节被修改为了 E5,这是文件被删除的一个标志,可以看到通过这种方式文件目录项的其他信息并没有被改变,如下图所示:
我们现在只需要将文件名的第一个字节恢复为 54 即可,如下图所示;
我们Ctrl+S保存,点击确定,如下图所示:
系统会询问是否改动保存,点击“是”,如下图所示:
回到我们的电脑D盘磁盘中,我们就可以看到恢复出的文件了,如下图所示:
以上就是本次实验的全部内容。