diskgenius
硬盘基地 首页 数据恢复 WinHex 查看内容

FAT32下文件删除的数据恢复思路与方法

2013-4-25 22:01| 发布者: intohard| 查看: 12617| 评论: 1

摘要: 数据恢复之FAT32的文件系统是由三部分进行管理文件的:文件目录项 FAT表 数据区一 首先了解FAT32分区下文件删除会对硬盘底层做了哪些操作.1、文件目录项的首字节被改成E5,该文件的起始簇号的高位簇号被清零(本文只 ...
数据恢复之FAT32的文件系统是由三部分进行管理文件的:
文件目录项 FAT表 数据区
一 首先了解FAT32分区下文件删除会对硬盘底层做了哪些操作.
1、文件目录项的首字节被改成E5,该文件的起始簇号的高位簇号被清零(本文只对高位簇号没有被清零或高位簇号原来就是零的进行讲解);
2、FAT 对应的簇链被清零;
3、数据区没有发生改变;
下面我们来看一下WINHEX截取的图片。我用VDISK虚拟了一个磁盘。里面装了一首MP3歌曲。现在就来看一下没有删除以前的那个MP3歌曲在文件系统中是什么样的。文件名是 10 朋友别哭.mp3
未删除文件以前的目录项
 
FAT表一部分,
 
未删除以前的数据区 一部分
 
下面我们再来看一下删除文件后发生的改变
文件目录项:首字节被改成了E5
 
FAT 表 已经被清零
 
数据区 无变化
 
这就是删除以前和删除后的变化。不知道大家看懂了没有。下面我们就来恢复这个MP3歌曲。
恢复思路:找到该文件的起始簇号。然后算出该文件占用的扇区数。这样就能导出该文件
1、转到该文件目录项
我们知道,FAT32的起始簇号 是两个部分组成一是从34H-35H偏移 二是3A-3B偏移,34H-35H 为 00 00 此簇号为00 00。只是因为原来簇号就是00 00 我们删除文件以后高位被清零。所以我们看不出来改变了。因为我们按照高位在前,低位在后的原则,所以该文件的起始簇号为 00 00 00 03H 起始簇号为3号簇,下面我们算一下该文件的大小。 在目录项的3C-3FH偏移是文件的大小,它的单位是字节94 7F B0 00 H等于11597716字节 大家都知道一个扇区是512字节 那么11597716 /512= 22651.7890625
四舍五入=22652扇区 该文件就占用了这么多扇区。
好了,既然起始簇号和占用扇区数已经算出来了,我们就开始恢复文件吧 ;
先跳转到3号簇
 
3号簇对应的是1264号扇区 也就是该文件的起始扇区
那么该文件的结束扇区就应该是(起始扇区+此文件占用的扇区数)也就是1264+22652=23916号扇区
首先在1264号扇区的首字节点选块开始
 然后在23916的最后一个字节点选块结束
 
然后在任意所选的扇区上点右键---编辑-----复制选块-----置入新文件,默认的名子是NONAME . 在任意位置点保存。文件的扩展名默认是DAT,然后把此文件夹扩展名改为MP3就可以了。此文件恢复成功
2

开心

鄙视
6

鼓掌

愤怒

可怜

刚表态过的朋友 (8 人)

发表评论

最新评论

引用 jdming25x 2020-8-7 15:10
想下载一个学习视频学习学习

查看全部评论(1)

图文热点

寻好东西

论坛精选

返回顶部