破解FAT文件格式

为了在电脑上能读取CF卡里的内容，需要将数据按照FAT格式读写。为此研究一下FAT格式：

 

1、  簇的概念：磁盘上最小可寻址存储单元称为扇区，通常每个扇区为512个字节。由于多数文件比扇区大得多，因此如果对一个文件分配最小的存储空间，将使存储器能存储更多数据，这个最小存储空间即称为簇。根据存储设备(磁盘、闪卡和硬盘)的容量，簇的大小可以不同以使存储空间得到最有效的应用。在早期的360KB磁盘上，簇大小为2个扇区(1,024字节)；第一批的10MB硬盘的簇大小增加到8个扇区(4,096字节)；现在的小型闪存设备上的典型簇大小是8KB或16KB。2GB以上的硬盘驱动器有32KB的簇。

举个例子：有一个文件大小1KB，在硬盘分区中，一个簇大小为8个扇区，这个文件存放在1个簇就够了，1个簇的大小是4KB，这个簇存放了1KB的数据以后，还剩余3KB的空间，这3KB是不能在被别的文件使用了，因为一个簇是文件分配的最小存储空间，一个簇上只能存放属于一个文件的数据，不能存放多个文件数据。一旦某个族被用了1个字节也好，这个簇被标记为已经存放数据了，别的数据就不能往这个簇里存放了。这样的做法造成了一定磁盘空间的浪费，但是对于操作系统文件存储是有利的，牺牲掉一点空间也就无所谓了。

 

我们从这个文件属性可以看出来，这个文件实际大小才有2.19KB，可是却占用4KB的磁盘空间，由此我们可以推断出，这个硬盘分区一个簇是有8个扇区组成的。上图Boot扇区中明确定义Sectors per cluster:每一个簇占用的扇区数是8 sec。簇的大小在格式化的时候可以选择，最大在windows2003系统中支持64KB。

 

2、FAT表的概念：在一个硬盘分区中，最小的存储单元是簇，FAT表就是对这些簇进行编号。

FAT位数             簇数量                                       簇编号范围

FAT12                   4096                     2的12次方   000到FFF                          3位十六进制        12位二进制

FAT16                   65536                   2的16次方   0000到FFFF                      4位十六进制        16位二进制

FAT32                   4294967296         2的32次方   00000000到FFFFFFFF      8位十六进制        32位二进制

可以理解为：FAT12可以编号2的12次方个簇，FAT16可以编号2的16次方个簇，FAT32可以编号2的32次方个簇。

也可以理解为：FAT12是使用12位二进制地址来存放簇的编号，FAT16是使用16位二进制地址来存放簇的编号，FAT32是使用32位二进制地址来存放簇的编号。

 

3、  用Runtime's DiskExplorer For FAT查看FAT表

查看FAT表的方式有两种，一种是通过Boot扇区数据计算第一个FAT标所在的扇区，例如上图的Boot扇区信息，可以得出第一个FAT表从第63+38=101 sec开始；还有一种方法是通过ToolsàSearch（快捷键Ctrl+F）从boot扇区开始往后搜索：

 

到达第101扇区：

 

我们用FAT32浏览模式看Viewàas Fat32（或者按F8）

 

下图就是Fat32格式的FAT表：FAT32用8位十六进制编号簇，现在是一个刚刚格式化还没存放数据的分区的FAT表，除了开始3个编号，其余都是空的。

如果是Fat12格式，FAT表用3位十六进制标号簇，如果是Fat16格式，FAT表用4位十六进制标号簇。

 

 

我们往这个分区拷贝一些数据以后，再来看看FAT表：

 

这时候FAT表已经编上号码了，显示<eof>的地方是某个文件或者文件夹开始簇标记。

这个分区的FAT表大小是12621 sec，从上图可以看出，一个扇区可以存放8*16=128个簇编号。12621 个扇区可以存放12621*128=1615488个簇，每个簇有8个扇区，那么参与簇编号的有1615488*8=12923904 sec，其中还剩余少量扇区不参与簇编号。

第0簇是不是从boot扇区开始算呢，回答是否定的。根据boot表信息，目录区是从第2号簇开始的，那么第0簇就应该是目录区往前移2个簇，我们根据上面计算得知，根目录起始扇区是25343 sec，那0簇就是从25343-8*2=25327 扇区开始的。这些数据稍后的分析中用到。

 

Runtime's DiskExplorer For FAT程序提供这样一个功能，双击分区表，到达该分区的boot扇区：

 

双击boot扇区，到达该分区的目录区：

 

目录区：目录区中的DATA01是该分区的Volume label（卷标号），紧跟着下面是分区根目录名称个根目录下的文件。

 

 

 

 Sector            Offset      Name             Ext     Status   Type    Attributes Size                Date              Time             Cluster      Created         Created                         Accessed                       NT

x000062FF       x000        DATA01                             DIR        __l____    0                     2007-05-30   13:48:40      x00000000                        00:00:00                         x00

25343               x020        记事.txt                     #1 last   LFN       Check Sum: x7E

                         x040        记事             TXT                 FILE       a______   2249               2007-05-30   13:41:38      x00000003  2007-05-30   15:03:36                         2007-05-30                     x00

                         x060        数据恢复教程         #1 last   LFN       Check Sum: x89

                         x080        数据恢~1                            DIR        _d_____   0                     2007-05-30   16:00:04      x00000004  2007-05-30   16:00:02                         2007-05-30                     x00

                         x0A0                                         unused FILE       _______   0                                           00:00:00      x00000000                        00:00:00                         x00

                         x0C0                                         unused FILE       _______   0                                           00:00:00      x00000000                        00:00:00                         x00

 

从根目录可以看出，这里定义文件名、文件大小、文件存放起始簇号等。#1 last LFN是把长文件名分多段存放。一个长文件名有多个last  LFN。

 

我们看看“记事.txt”这个文件，这个文件大小是2249字节，这里的Size单位是字节，换算成扇区是 2249/512约等于4.4个扇区，约等于2.19KB。存放的开始簇是x00000003，也就是编号为3的簇，因为一个簇大小为8个扇区，所以这个文件存放在一个簇就够了。

0簇从25327 扇区开始，那么0簇就从25327+3*8=25351 sec开始，这样“记事.txt”文件存放地就是第25351 扇区开始，我们到第25351 扇区看看：

 

这是一个文本文件，所以文本浏览模式是可读的，经验证确实是“记事.txt”文件的内容。

 

在FAT32格式的分区中，文件的写入有三个地方数据生成：文件名、文件FAT表（主表和备份表）、文件数据。

删除文件的时候，只更改文件名、文件FAT表（主表和备份表），没有更改文件数据区。

FAT分区下删除文件，会清掉Fat表信息，在文件名或文件夹名把第一个字节改写成 E5 ，文件夹删除时还在倒数第三个字节填写10常值是00

目录区每一条文件名记录占用32个字节

x040                 记事    TXT                 FILE                 a______                2249               2007-05-30   13:41:38      x00000003  2007-05-30   15:03:36                         2007-05-30                     x00

这条记录的十六进制代码如下：

 

如果删除掉“记事.txt”文件

目录会做出删除标记

 

x040这一行记录和十六进制代码如下：

x040          迩事        TXT   deleted FILE         a______     2249 2007-05-30         13:41:38     x00000003 2007-05-30         15:03:36     2007-05-30         x00

 

对比十六进制代码就知道，他们唯一的差别就是开始一个字节由BC 变成了 E5。删除掉的文件都把文件名称头部一个字节更改为E5，“记事”这两个汉字占用4个字节，十六进制代码为“BC C7 CA C2”

 

改为“E5 C7 CA C2”以后显示成了：

 

某个目录

没删除之前

BB A4 BA BD CD F8 D5 BE 20 20 20 10 00 9D D3 95

BC 36 BC 36 01 00 D4 95 BC 36 FF 1B 00 00 00 00

 

删除之后

E5 A4 BA BD CD F8 D5 BE 20 20 20 10 00 9D D3 95

BC 36 BC 36 00 00 D4 95 BC 36 FF 1B 00 10 00 00

 

通过对FAT32文件系统的分析，我们知道格式化硬盘、创建文件、删除文件时，操作系统对硬盘到底作了怎样的操作。这是编写数据恢复软件必须要掌握的知识。

 

FAT32文件系统带有数据的分区由于某种原因误格式化、误删除数据以后，我们还是有办法把数据恢复回来。原因是删除以后文件名及目录信息被标记为删除，被删除的文件在FAT表内簇号标记被清空。恢复的方法是找到文件名信息（包含文件名、文件大小、文件起始簇位置），根据这些信息绕过FAT表，从文件起始簇开始拷贝数据，连续拷贝要恢复文件的大小扇区数。这种成功硬盘数据恢复的前提是，这个文件必须在磁盘上存储是连续的，如果存储不连续，这样的恢复方式只能恢复文件第一个簇开始以后的数据，别的不连续的数据没办法找出来。因为这些分段存储的文件，只有FAT表知道他们存放的位置，如果FAT表被清空，我们只能恢复文件第一个数据段，往后的数据段都没办法找到。

 

同名文件覆盖，由于不更改文件存储起始簇，所以原文件数据区肯定被新文件数据覆盖。如果新文件小于原始文件，原始文件尾部也许还能找的到。

 

文件分段存储的问题在FAT32下相对少一些，我曾经做过试验：在一个已有的文件中追加更多内容，保存后整个文件整体迁移到另一个地方了！

 

我们可以把已经删除的文件名称头部的E5 这个字节改回原来的数值，这样在计算机里原来删除掉的文件又能正常识别得到，但是不能拷贝，也不能打开。因为操作系统对文件的访问都是基于FAT表的，即便把文件名称还原了，文件FAT表项是空的，操作系统失去FAT信息，就不能读取文件内容。

 

FAT32分区每个分区在根目录以前就存放Boot扇区、Boot扇区备份、主FAT表、FAT标备份这四个部分的数据，文件数据区绝对不存放在根目录以前的这些空间里。