Fat32磁盘结构与数据恢复

【实验目的】

通过本实验的学习，了解Windows磁盘结构，完成Fat32下文件删除的手动恢复。

【知识点】

磁盘结构，文件恢复，扇区

【实验原理】

磁盘的结构一般由主引导记录 (MBR)、基本分区和扩展分区组成。其中，主引导记录又可以称为主引导扇区，由引导程序和分区表组成，主引导扇区的最后两个字节为 0x55AA，代表着主引导扇区的结束。在 MBR 分区表中最多4个主分区或者 3 个主分区＋ 1 个扩展分区，也就是说扩展分区只能有一个，然后可以再细分为多个逻辑分区。Windows系统默认情况下，一般都是只划分一个主分区给系统，剩余的部分全部划入扩展分区。主引导扇区各组成部分如下图所示，其中，引导程序为 446 字节，分区表共 64 字节:

对于一个采用此种分区结构的硬盘来说，想要得到4个以上的主要分区是不可能的。这里就需要引出扩展分区了。扩展分区中逻辑驱动器的引导记录是链式的。每一个逻辑分区都有一个和 MBR 结构类似的扩展引导记录（EBR），其分区表的第一项指向该逻辑分区本身的引导扇区，第二项指向下一个逻辑驱动器的 EBR，分区表第三、第四项没有用到。
下面是分区表中的每一表项各字段的含义，其中，最后两个连续的四字节，分别代表相对扇区数和总扇区数，具体含义如下表所示。

【软件工具】

操作系统：Windows7 x64
其他：Bjernsen.txt 、WinHex.exe

【实验目标】

1.了解Windows磁盘结构；
2.完成Fat32下文件删除的手动恢复；

【实验步骤】

首先我们要创建一个Fat32格式的系统盘，打开我的电脑，找到计算机，右键点击管理，如下图所示：

新的界面中，点击磁盘管理，如下图所示：

找到C盘，右键，点击压缩卷，如下图所示：

会弹出一个查询压缩空间界面，稍作等待，如下图所示：

本次实验1G空间即可，点击压缩，如下图所示：

我们会看到一个新压缩卷，右键选择，新建简单卷，如下图所示：

新弹出窗口，一直下一步，直至选择文件系统格式，我们选择Fat32满足实验需求，如下图所示：

一直下一步直至完成，如下图所示：

进入我们新建的磁盘，我们创建一个新文件，这里示例Bjernsen.txt,没有内容，如下图所示：

现在我们打开WinHex.exe工具，加载D盘磁盘，工具->打开磁盘，如下图所示：

进入选择磁盘界面，选择我们新建的磁盘新加卷(D:,1.0GB),HD0，点击确定，如下图所示：

加载完成后，Ctrl+F7，显示目录，如下图所示：

接下来我们进行文件的删除，进入D盘删除，如下图所示：

进入回收站彻底删除文件,如下图所示:

回到WinHex.exe更新快照，方式就是和我们打开D盘磁盘的过程一样，只是多了一个界面，如下图所示：

我们点击更新快照，发现我们的Bjernsen.txt文件显示删除，如下图所示：

通过 WinHex 重新找到 Bjernsen.txt 的目录项在根目录中的位置，可以看到文件名的第一个字节被修改为了 E5，这是文件被删除的一个标志，可以看到通过这种方式文件目录项的其他信息并没有被改变，如下图所示：

我们现在只需要将文件名的第一个字节恢复为 54 即可，如下图所示;

我们Ctrl+S保存，点击确定，如下图所示：

系统会询问是否改动保存，点击“是”，如下图所示：

回到我们的电脑D盘磁盘中，我们就可以看到恢复出的文件了，如下图所示：

以上就是本次实验的全部内容。