基于U盤FAT32 分區格式的數據恢復的研究

喬楠 河南省交通高級技工學校

1 FAT32分區格式的描述

隨著存儲設備的容量增長迅速，以往的應用在容量叫囂的存儲器中已經不能滿足要求，急需對文件系統進行擴充和增強，FAT32文件格式的出現解決了以前存儲空間小等問題，FAT32分區格式擁有一個32位的文件分區分配表，該類型的分區格式不但能很好高效的存儲數據，還會減少許多磁盤空間的浪費。

2 FAT32分區格式扇區分布圖

圖1：FAT32扇區分布圖（一主一擴多邏輯）

從圖1中可以看出FAT32分區格式的主分區是在零扇區，DBR1和其備份之間相差6個扇區，DBR1備份之后是兩個FAT表，FAT表之后是根目錄，根目錄后是數據區，所有的文件都是在根目錄下的數據區存儲著，所以在文件恢復過程中首先得找到根目錄，通過根目錄再在數據區中尋找文件的開始位置和結束位置，最終找到代表文件的數據，進行文件恢復。

3 FAT32分區格式下對圖片進行數據恢復

在10G的U盤中存儲一個文件，命名為畢業論文.doc，建完之后由于操作不善，誤將其刪除，然后通過WinHex軟件對該進行恢復。在恢復該文件之前，首先要明白，文件所存的位置是在根目錄下的數據區，所以，要想找到文件，先要找到根目錄，由圖1 可以知道，根目錄（DIR）=DBR+保留扇區數+FAT表大小*2，然后找到數據區，最后找到文件的大小以及其所在的位置。

首先用WinHex軟件加載這個虛擬磁盤打開之后，0扇區為該磁盤的主分區：（1）倒數五行描述了該磁盤的詳細信息，如下圖所示：總共64個十六進制字符代表了整個磁盤的分布情況，其中十六進制數20 21 00 代表了通過磁頭扇區，可以填寫也可以不填寫，但如果該磁盤為U啟動盤的話必須要填寫，可以填寫為十六進制數：01 01 00 ；十六進制數0B 或者0C代表了FATA32格式；07則代表了NTFS格式；十六進制數FE FF FF分別表示磁頭、扇區和柱面信息，可以不填寫；十六進制數00 08 00 00表示隱藏扇區數；十六進制數00 E8 3F 01代表扇區大小。

圖2：磁盤分布圖

(2）要想找到文件首先要找到DBR1，因為在DBR1扇區中有許多重要信息，如何真正搜索到DBR1呢？我們通過WinHex軟件定位到0扇區的下一個扇區，也即是第一扇區，開始向下搜索55AA，如下圖所示：其中55AA是DBR1磁盤扇區結束的部分為55AA，一定是選擇向下搜索，并且偏移條件為：512=510，512是一個磁盤扇區的大小為512個字節，512=510則就代表了最后兩個字節，通過跳轉到DBR1。

圖3：DBR搜索圖

(3）以下所有數字都是十六進制數，其中00-02 EB 58 90 代表DBR的開頭，DBR的結尾為55AA，0B-0C 代表扇區大小為512字節，0E-0F代表保留扇區數，0D代表一簇等于多少個扇區，10是固定字節為02,15固定字節為F8，1C-1F為隱藏扇區數，20-23代表磁盤大小，24-27代表FAT表大小，30-32為固定值01 00 06，其中06代表data的備份，如果不填寫的話則打不開分區，52-56代表FAT32固定字節46 41 54 33 。

(4）由圖1 FAT32分布扇區圖可以知道，在DBR后搜索：“F8 FF FF 0F”,找到FAT表，查看其構成；其次根據DBR+保留扇區數+FAT表大小*2，得到根目錄的扇區位置；其次再根據根目錄找到要恢復文件對應的2行重要數據，且保證該2行數據的第二行的X4-X5 為“00 00”，則XA-XB的數值為該文件的起始簇號，XC-XF為文件的大小文件大小用字節數表示；然后可以找到該文件所在的扇區號，根目錄的扇區號+（A-）*簇的大小，也就是說在根目錄中找到的文件的簇號是相對于根目錄來說的；最后把數據導出形成文件，這也就是所要恢復的文件。

4 總結

數據恢復對于當今社會非常的重要，為我們的誤刪，誤操作等做出了很多的貢獻，但是并不是所有的數據恢復都是能成功的，在日常生活中一定要重視數據的保管，經常做到備份，最好的數據恢復就是備份；“硬件有價，數據無價”，所以說養成良好的備份習慣非常重要的。