课程名称:数据备份与恢复知识点:FAT32文件系统中被删除 文件的恢复原理四川邮电职业技术学院成友才FAT32文件系统被删除文件的数据修改情况目录项的首字节被改为“E5”目录项的起始簇号有可能被修改直接删除文件:起始簇号的高位被清零直接删除目录:目录项本身的起始簇号的高位被清零,子目录中起始簇号的高位保留回收站删除:起始簇号的高位未被清零数据区未被修改,如果不是连续存放,文件恢复困难FAT32文件系统中被删文件名的恢复方法由于FDT(目录项)的首字节被改为统一的删除标志“E5”,意味着短文件名的首字符丢失,在恢复时只能用任一其他字符替代。长文件名的短文件名目录项和长文件名目录项的首字符被丢失,但其长文件名目录项中第二个位置开始才是文件名的字符,第一个位置是倒序的长文件名目录项数据。因此,长文件名可以通过长文件名目录项补全完整的所有目录项中的文件名。FAT32文件系统中被删文件名的恢复方法长文件名的恢复原理0142文件目录项起始簇号高位清零后的恢复方法文件(目录)彻底删除后,文件目录项起始簇号的高位的两个字节被清零,文件真正的起始簇号无法确定,这样的文件(目录)很难恢复。根据文件被删除时FAT中簇号是被清零,将高位簇号依次穷举,找到对应的可能的起始簇号。按照文件长度,将对应簇的数据进行验证。如果是目录被删除的情况,可搜索特征数据“2E20202020202020202020”,并查看该目录项后面的时间来验证是否是被删目录。FAT表中被清零簇链的恢复方法一般来说,当磁盘的空间较大时,文件一般都会连续存放。通过目录项的文件的长度,以及DBR中记录的簇的扇区数,计算出文件占用的簇数。通过目录项中的起始簇号,确定FAT中簇链的起始位置,开始逐一将其填完。子目录恢复时,下面各文件的簇链同样会被清零,需要逐一恢复。注意:簇链的最后一个值为“FFFFFF0F”。FAT32文件被删除后恢复的补充说明如果文件有碎片,也就是文件不连续存储,这种文件被删除后很难恢复。除与起始簇号连续的扇区外,其余的扇区存储的数据将作为文件碎片存在。文件被删除后,虽然文件的内容不会被清除,但其所占用的簇链会清零。这些簇很容易被其他文件进一步占用,这样就覆盖了被删除文件的数据,这种情况下的数据将无法恢复。谢谢观看!
fat32文件系统中被删除文件的恢复原理 来自淘豆网m.daumloan.com转载请标明出处.
