解读FAT32分区文件系统

最新推荐文章于 2024-09-10 14:24:44 发布

weixin_34205076

最新推荐文章于 2024-09-10 14:24:44 发布

阅读量951

点赞数

文章标签：操作系统

原文链接：http://blog.51cto.com/199818/32679

版权

我们先来看看一个 FAT32 分区的 Boot 扇区

前面我们已经介绍了各个重要参数：

Bytes per sector: 每个扇区字节数，通常情况下都是 512 字节

Sectors per cluster : 每一个簇占用的扇区数

Reserved sectors : 第一个 FAT 表距离 boot 扇区的扇区数

Big sectors on drive: 分区大小，占用多少扇区

Big sectors per FAT: FAT 表大小，占用多少扇区

1st root cluster : 根目录所在的簇

Backup boot sector: Boot 扇区备份扇区所在位置，相对于当前 boot 扇区

File system: 文件系统（ FAT32 ）

从这个扇区的数据我们可以总结出很多东西：

1、第一个 FAT 表从第 63+38=101 sec 开始，大小为 12621 sec ；

2、第二个 FAT 表（ FAT 表备份）从第 101+12621=12722 sec 开始（第二个 FAT 表紧跟第一个 FAT 表）；

3、根目录所在的位置是第 2 号簇紧接在第二个 FAT 表结束处，即 12722+12621=25343 sec 开始；

4、每个簇大小是 8 个扇区；

5、第 0 簇可以反推，即 25343-8*2=25327 sec ；

6、 Boot 扇区备份在距离 63 扇区 6 个扇区，也就是第 69 扇区（如果第一个 boot 扇区被破坏，我们可以把备份 boot 扇区还原过来）；

一个分区被格式化的时候，所实行的操作就是：

1 、建立 boot 扇区；

2 、建立 boot 扇区备份；

3 、建立 FAT 表和 FAT 标备份；

4 、建立根目录；

所有参数都保存在 boot 扇区中。

Boot 扇区 63sec	Boot 扇区备份 69sec	FAT 表 101 sec	FAT 表备份 12722 sec	25343 sec 根目录区	数据区
		FAT 表大小 12621 sec	FAT 表备份大小 12621 sec
Boot 扇区距离主 FAT 表 38 扇区		63+38	101+12621	12722+12621
		FAT 表、 FAT 表备份、根目录区三个是连续的，中间没有间隔别的数据

如果一个带有数据的硬盘被重新格式化，计算机所做的操所就是以上 4 个步骤：重建 boot 扇区， FAT 表和 FAT 表备份都清 0 ，根目录区也请 0 ，子目录和数据区没有更改。

揭开 FAT 表真相

1、簇的概念：磁盘上最小可寻址存储单元称为扇区，通常每个扇区为 512 个字节。由于多数文件比扇区大得多，因此如果对一个文件分配最小的存储空间，将使存储器能存储更多数据，这个最小存储空间即称为簇。根据存储设备 ( 磁盘、闪卡和硬盘 ) 的容量，簇的大小可以不同以使存储空间得到最有效的应用。在早期的 360KB 磁盘上，簇大小为 2 个扇区 (1,024 字节 ) ；第一批的 10MB 硬盘的簇大小增加到 8 个扇区 (4,096 字节 ) ；现在的小型闪存设备上的典型簇大小是 8KB 或 16KB 。 2GB 以上的硬盘驱动器有 32KB 的簇。

举个例子：有一个文件大小 1KB ，在硬盘分区中，一个簇大小为 8 个扇区，这个文件存放在 1 个簇就够了， 1 个簇的大小是 4KB ，这个簇存放了 1KB 的数据以后，还剩余 3KB 的空间，这 3KB 是不能在被别的文件使用了，因为一个簇是文件分配的最小存储空间，一个簇上只能存放属于一个文件的数据，不能存放多个文件数据。一旦某个族被用了 1 个字节也好，这个簇被标记为已经存放数据了，别的数据就不能往这个簇里存放了。这样的做法造成了一定磁盘空间的浪费，但是对于操作系统文件存储是有利的，牺牲掉一点空间也就无所谓了。

我们从这个文件属性可以看出来，这个文件实际大小才有 2.19KB ，可是却占用 4KB 的磁盘空间，由此我们可以推断出，这个硬盘分区一个簇是有 8 个扇区组成的。上图 Boot 扇区中明确定义 Sectors per cluster : 每一个簇占用的扇区数是 8 sec 。簇的大小在格式化的时候可以选择，最大在 windows2003 系统中支持 64KB 。

2 、 FAT 表的概念：在一个硬盘分区中，最小的存储单元是簇， FAT 表就是对这些簇进行编号。

FAT 位数簇数量簇编号范围

FAT12 4096 2 的 12 次方 000 到 FFF 3 位十六进制 12 位二进制

FAT16 65536 2 的 16 次方 0000 到 FFFF 4 位十六进制 16 位二进制

FAT32 4294967296 2 的 32 次方 00000000 到 FFFFFFFF 8 位十六进制 32 位二进制

可以理解为： FAT12 可以编号 2 的 12 次方个簇， FAT16 可以编号 2 的 16 次方个簇， FAT32 可以编号 2 的 32 次方个簇。

也可以理解为： FAT12 是使用 12 位二进制地址来存放簇的编号， FAT16 是使用 16 位二进制地址来存放簇的编号， FAT32 是使用 32 位二进制地址来存放簇的编号。

3、用 Runtime's DiskExplorer For FAT 查看 FAT 表

查看 FAT 表的方式有两种，一种是通过 Boot 扇区数据计算第一个 FAT 标所在的扇区，例如上图的 Boot 扇区信息，可以得出第一个 FAT 表从第 63+38=101 sec 开始；还有一种方法是通过 Tools à Search （快捷键 Ctrl+F ）从 boot 扇区开始往后搜索：

到达第 101 扇区：

我们用 FAT32 浏览模式看 View à as Fat32 （或者按 F8 ）

下图就是 Fat32 格式的 FAT 表： FAT32 用 8 位十六进制编号簇，现在是一个刚刚格式化还没存放数据的分区的 FAT 表，除了开始 3 个编号，其余都是空的。

如果是 Fat12 格式， FAT 表用 3 位十六进制标号簇，如果是 Fat16 格式， FAT 表用 4 位十六进制标号簇。

我们往这个分区拷贝一些数据以后，再来看看 FAT 表：

这时候 FAT 表已经编上号码了，显示 <eof> 的地方是某个文件或者文件夹开始簇标记。

这个分区的 FAT 表大小是 12621 sec ，从上图可以看出，一个扇区可以存放 8*16=128 个簇编号。 12621 个扇区可以存放 12621*128=1615488 个簇，每个簇有 8 个扇区，那么参与簇编号的有 1615488*8=12923904 sec ，其中还剩余少量扇区不参与簇编号。

第 0 簇是不是从 boot 扇区开始算呢，回答是否定的。根据 boot 表信息，目录区是从第 2 号簇开始的，那么第 0 簇就应该是目录区往前移 2 个簇，我们根据上面计算得知，根目录起始扇区是 25343 sec ，那 0 簇就是从 25343-8*2=25327 扇区开始的。这些数据稍后的分析中用到。

Runtime's DiskExplorer For FAT 程序提供这样一个功能，双击分区表，到达该分区的 boot 扇区：

双击 boot 扇区，到达该分区的目录区：

目录区：目录区中的 DATA01 是该分区的 Volume label （卷标号），紧跟着下面是分区根目录名称个根目录下的文件。

Sector Offset Name Ext Status Type Attributes Size Date Time Cluster Created Created Accessed NT

x000062FF x000 DATA01 DIR __l____ 0 2007-05-30 13:48:40 x00000000 00:00:00 x00

25343 x020 记事 .txt #1 last LFN Check Sum: x7E

x040 记事 TXT FILE a______ 2249 2007-05-30 13:41:38 x00000003 2007-05-30 15:03:36 2007-05-30 x00

x060 数据恢复教程 #1 last LFN Check Sum: x89

x080 数据恢 ~1 DIR _d_____ 0 2007-05-30 16:00:04 x00000004 2007-05-30 16:00:02 2007-05-30 x00

x0A0 unused FILE _______ 0 00:00:00 x00000000 00:00:00 x00

x0C0 unused FILE _______ 0 00:00:00 x00000000 00:00:00 x00

从根目录可以看出，这里定义文件名、文件大小、文件存放起始簇号等。 #1 last LFN 是把长文件名分多段存放。一个长文件名有多个 last LFN 。

我们看看“ 记事 .txt ”这个文件，这个文件大小是 2249 字节，这里的Size单位是字节，换算成扇区是 2249/512约等于4.4个扇区，约等于2.19KB。存放的开始簇是 x00000003 ，也就是编号为3的簇，因为一个簇大小为8个扇区，所以这个文件存放在一个簇就够了。

0 簇从 25327 扇区开始，那么 0 簇就从 25327+3*8=25351 sec 开始，这样“ 记事 .txt ”文件存放地就是第 25351 扇区开始，我们到第 25351 扇区看看：

这是一个文本文件，所以文本浏览模式是可读的，经验证确实是 “ 记事 .txt ”文件的内容。

在 FAT32 格式的分区中，文件的写入有三个地方数据生成：文件名、文件 FAT 表（主表和备份表）、文件数据。

删除文件的时候，只更改文件名、文件 FAT 表（主表和备份表），没有更改文件数据区。

FAT 分区下删除文件，会清掉 Fat 表信息，在文件名或文件夹名把第一个字节改写成 E5 ， 文件夹删除时还在倒数第三个字节填写 10 常值是 00

目录区每一条文件名记录占用 32 个字节

x040 记事 TXT FILE a______ 2249 2007-05-30 13:41:38 x00000003 2007-05-30 15:03:36 2007-05-30 x00

这条记录的十六进制代码如下：

如果删除掉“记事 .txt ”文件

目录会做出删除标记

x040 这一行记录和十六进制代码如下：

x040 迩事 TXT deleted FILE a______ 2249 2007-05-30 13:41:38 x00000003 2007-05-30 15:03:36 2007-05-30 x00

对比十六进制代码就知道，他们唯一的差别就是开始一个字节由 BC 变成了 E5 。删除掉的文件都把文件名称头部一个字节更改为 E5 ，“记事”这两个汉字占用 4 个字节，十六进制代码为“ BC C7 CA C2”

改为“ E5 C7 CA C2”以后显示成了：

某个目录

没删除之前

BB A4 BA BD CD F8 D5 BE 20 20 20 10 00 9D D3 95

BC 36 BC 36 01 00 D4 95 BC 36 FF 1B 00 00 00 00

删除之后

E5 A4 BA BD CD F8 D5 BE 20 20 20 10 00 9D D3 95

BC 36 BC 36 00 00 D4 95 BC 36 FF 1B 00 10 00 00

通过对 FAT32 文件系统的分析，我们知道格式化硬盘、创建文件、删除文件时，操作系统对硬盘到底作了怎样的操作。这是编写数据恢复软件必须要掌握的知识。

FAT32 文件系统带有数据的分区由于某种原因误格式化、误删除数据以后，我们还是有办法把数据恢复回来。原因是删除以后文件名及目录信息被标记为删除，被删除的文件在 FAT 表内簇号标记被清空。恢复的方法是找到文件名信息（包含文件名、文件大小、文件起始簇位置），根据这些信息绕过 FAT 表，从文件起始簇开始拷贝数据，连续拷贝要恢复文件的大小扇区数。这种成功恢复的前提是，这个文件必须在磁盘上存储是连续的，如果存储不连续，这样的恢复方式只能恢复文件第一个簇开始以后的数据，别的不连续的数据没办法找出来。因为这些分段存储的文件，只有 FAT 表知道他们存放的位置，如果 FAT 表被清空，我们只能恢复文件第一个数据段，往后的数据段都没办法找到。

同名文件覆盖，由于不更改文件存储起始簇，所以原文件数据区肯定被新文件数据覆盖。如果新文件小于原始文件，原始文件尾部也许还能找的到。

文件分段存储的问题在 FAT32 下相对少一些，我曾经做过试验：在一个已有的文件中追加更多内容，保存后整个文件整体迁移到另一个地方了！

我们可以把已经删除的文件名称头部的 E5 这个字节改回原来的数值，这样在计算机里原来删除掉的文件又能正常识别得到，但是不能拷贝，也不能打开。因为操作系统对文件的访问都是基于 FAT 表的，即便把文件名称还原了，文件 FAT 表项是空的，操作系统失去 FAT 信息，就不能读取文件内容。