数据恢复实战 ExFAT文件系统根目录与子目录管理 ExFAT根目录与子目录管理.ppt

《数据恢复实战》课程 Data Recovery Practical 主讲教师 刘俊 移动通信技术专业教学资源库 深圳信息职业技术学院电子与通信学院 ExFAT 根目录与 子目录管理 目录 01 根目录的管理 02 子目录的管理 03 定位用户文件 1.根目录管理 EDITED BY LIUJUN * 数据恢复实战 ExFAT统一在数据区中的根目录区为根目录下文件创建目录项 由簇位图文件为用户文件的内容分配簇存放数据 根目录区的首簇由格式化程序指派，并把指派的簇号记录在DBR的BPB中 如果根目录下文件数目过多，这些文件的目录项在根目录区的首簇存放不下，簇位图文件就会为根目录分配新的簇来存放根目录下文件及文件夹的目录项，并在FAT表中记载簇链 根目录管理例子 EDITED BY LIUJUN * 数据恢复实战 具体看一个例子，如ExFAT文件系统下 的“ExFAT—Recovery.txt” 观察ExFAT文件系统如何管理这个文件？ 根目录管理例子 EDITED BY LIUJUN * 数据恢复实战 定位目标文件的目录项，该文件有四个目录项，如图所示 1 2 3、4 通过“属性2”可以看到，文件开始簇号为5，文件大小为10个字节 根目录管理例子 EDITED BY LIUJUN * 数据恢复实战 因为文件开始于5号簇，我们可以看看5号簇对应的5号FAT项内的数据。通过DBR的BPB参数“FAT起始扇区数”定位FAT的开始扇区，并跳转过去，找到5号FAT项 FAT表的5号FAT项数值为“00 00 00 00”，但这并不说明5号簇是个空簇，因为ExFAT对连续存放的文件并不记录簇链 根目录管理例子 EDITED BY LIUJUN * 数据恢复实战 簇位图文件是ExFAT文件系统中真正管理簇的分配和使用情况的文件 该文件一般都存放在数据区2号簇，可以根据BPB参数的“首簇起始扇区号”定位到该文件的第一个扇区 该文件目前只有一个字节“0F”，换算为二进制等于，也就说明2、3、4、5这四个簇是使用的，其中2、3、4簇分别被簇位图文件、大写字符文件和根目录占用，5号簇就是被“ExFAT--Recovery”文件所占的 2.子目录管理 EDITED BY LIUJUN * 数据恢复实战 ExFAT的根目录、子目录及数据都是放在数据区的，下面根据一个实际的例子分析子目录的管理方法，同时也能看出数据区中的根目录、子目录及其数据的结构和关系 在ExFAT分区根目录下放置一个文件夹“123”，文件夹“123”内有一文件夹“456”，文件夹“456”内有一文本文件“shujuhuifu” 子目录管理例子 EDITED BY LIUJUN * 数据恢复实战 首先通过WinHex在该分区根目录下查看文件夹“123”的目录项 可以从目录项中得知起始簇号为5，文件大小为131072字节，文件名为“123” 这与传统FAT不一样，传统FAT中文件夹的目录项是没有大小的，ExFAT中对文件夹的目录项也描述大小 大小就是下级目录项所占用的空间，也就是1个簇的大小 当前分区每簇256扇区，换算成字节数就131072 子目录管理例子 EDITED BY LIUJUN * 数据恢复实战 在WinHex中跳转到5号簇，其内容如图。可以从目录项中得知起始簇号为6，文件大小为131072字节，文件名为“456”。 在WinHex跳转到6号簇，其内容如图。可以从目录项中得知起始簇号为7，文件大小为15字节，文件名为“shujuhuifu.txt”。 子目录管理例子 EDITED BY LIUJUN * 数据恢复实战 在WinHex中跳转到7号簇，其内容如图。该簇中的前15个字节也就是文本文件“shujuhuifu.txt”的内容了。 3.定位用户文件 EDITED BY LIUJUN * 数据恢复实战 第一步，定位DBR 通过分区表定位到ExFAT分区到开始位置在2048号扇区，这个扇区就是ExFAT分区的DBR扇区。 定位用户文件 EDITED BY LIUJUN * 数据恢复实战 第二步，定位簇位图 访问DBR扇区的BPB，可以得知，首簇起始扇区号为6144 每簇扇区数为2的8次方=256 根目录首簇号为4，往下跳转6144个扇区区到簇位图文件 定位用户文件 EDITED BY LIUJUN * 数据恢复实战 第三步，定位根目录首簇 簇位图所在簇为二号簇 根目录首簇在第四号簇 往下跳转两个簇即512个扇区，去到根目录，从图中目录项可以得知“shujuhuifu.txt”在5号簇，并且文件大小为15个字节。 定位用户文件 EDITED BY LIUJUN * 数据恢复实战 第四步，定位数据区 确定了文件存放在数据区的5号簇