FAT32文件系统下文件恢复

FAT32文件系统下文件恢复

1.首先添加一个60G的磁盘，划分为3个盘，每个盘分20G

2.新建一个文档111放至E盘，随后再进行删除

3.观察根目录和引导扇区模版

通过上图可知入口簇号（03H）和文件大小（94 2D 00 00）

由上图可知，每簇扇区数为32。

通过上图，我们整理出以下数据：

（1）入口簇号 03H 03D

（2）结束簇号 03H

（3）根目录起始扇区 24576 扇区

（4）文件起始扇区 （3-2）*32+24576=24608 扇区

（5）文件大小 94 2D 00 00 11668 11668/512=22扇区 22/32=1簇

（6）文件结束扇区 24608+22=24630扇区

4.根据文件起始扇区位置和结束扇区位置进行定位

5.打开恢复的新文件，我们还可以对比hash值，进行确认是否恢复完成

此外，我们还可以采用搜索文件结构的方法，搜索十六进制数去完成恢复。文件头尾信息请参考其他文档