FAT32文件系统的WinHex解说示例(曹大平)

1、FAT32文件系统的WinHex解说示例1、 WinHex获取与安装在百度上键入“WinHex”，搜索到“winhex最新官方版下载_百度软件中心”，下载后安装。运行winhex。2、 WinHex使用与主引导记录（MBR）及分区表（DPT）将SD卡插入读卡器，再插入PC机的USB口，格式化为FAT32、4096字节；在桌面上建立.txt文件，用英文充满10kB以上。在winhex界面菜单上选择“Tools/Open Disk”获得如下界面。如果选择“Physical Media”下的“RM1 Generic Mass-Storage (954 MB, USB)”，获得SD卡的物理介质存储区的

2、0扇区的情况。该扇区的00H1BDH共446个字节为MBR（Main Boot Record），与硬盘不同，该区域对SD卡没有意义（【1】SD结构），故，全为0；另外的64个字节（1BEH- 1FDH）为DPT(Disk Partition Table硬盘分区表)（【2】p6），分区表信息的部分放大如下图：按照本文件夹中【2】p4的说明，上述数据是按照CHS（柱面、磁头、扇区）方式进行寻址的，由于是SD卡，没有磁头等实物对应，故，从000001B0EH至000001C5H相当于00H0BH没有解释的意义；上图中000001C6H000001C9H通过“小端模式”（【2】p5）逆序后的数据为00

3、000001，表示LBA（Logic Block Address逻辑块地址，又称为“线性寻址模式”）的起始扇区为1（注意：【2】p7中是51）； 000001CAH000001CDH通过“小端模式”逆序后的数据为001DCFFF，表示LBA寻址的扇区总数为001DCFFFH= 1953791，比上图左下角的数据1953792少1,即，逻辑扇区数比物理扇区数少1。3、 SD卡的FAT32系统的逻辑扇区意义解说可在上面的界面中继续解释，但也可以再通过“Tools/Open Disk”打开“Removable medium （E:，954 MB），RM1”得到逻辑扇区，下面基于该界面进行解释。该逻辑

4、扇区依次为Boot sector、FSINFO 、备份引导扇区、Reserved sector其余部分、FAT1、FAT2、Root directory、DATA、Free space、“.”目录区、Free space 、Volume slack（松弛区域），依次解说如下。3.1 Boot sector在界面上的MAP区（或存储单元数据显示区）右边是其ASC码显示区，该区域的左上角有一图标“/”，打开该图标选择“Boot sector”即可得到界面如下图所示。虽然这里的图标“/”之下的条目是“Boot sector”，但根据与硬盘的对应，这里的“Boot sector”与硬盘的DBR（DOS

5、 Boot Record操作系统引导记录区）相对应，可能是因为格式化是在Windows下进行的，而不是在DOS下进行的，所以不宜叫做DBR，而使用“Boot sector”替代DBR，但内容相似。逻辑扇区分布如下图。从上图可知，右边的条目有Cluster No.：n/a（Not Available/ Not applicable; 不可用/不适用），该条目下面是Boot sector引导扇区；还有Logical sector No.:0; Physical sector No.：1。说明Boot sector的起始逻辑扇区是1。硬盘的DBR包括“Boot sector”及BPB（BIOS Pa

6、rameter Block）两部分，这里的“Boot sector”也包括这两部分，其相关参数分别用BS_及BPB_标记，与这两个标记对应的上图的MAP部分截图如下： 根据【3】，上图中部分字节的意义、偏移地址及由此而定义的变量结构如下：struct FAT32_DBRunsigned char BS_jmpBoot3 /跳转指令 offset: 0unsigned char BS_OEMName8 /操作系统版本名offset: 3unsigned char BPB_BytesPerSec2 /每扇区字节数 offset:11unsigned char BPB_SecPerClus1 /每簇

7、扇区数 offset:13unsigned char BPB_RsvdSecCnt2 /保留扇区数目 offset:14unsigned char BPB_NumFATs1 /FAT表数offset:16unsigned char BPB_HiddSec4 /FAT 区前隐扇区数 offset:28unsigned char BPB_TotSec324 /该卷总扇区数 offset:32unsigned char BPB_FATSz324 /每 FAT 表扇区数 offset:36unsigned char BPB_RootClus4 /根目录簇号 offset:44unsigned char

8、 FSInfo2 / FSINFO 扇区数 offset:48unsigned char BPB_BkBootSec2 /通常为 6 offset:50对照图与变量逐一解说如下（数据做逆序）：BS_jmpBoot3= EB5890H逆序：跳转指令的3字节机器码，与引导程序的执行有关；BS_OEMName8=90 4D 53 44 4F 53 35 2E逆序= MSDOS5.0操作系统版本名；BPB_BytesPerSec2= 0200H= 512 ：每扇区字节数；BPB_SecPerClus1= 08H=8 ：每簇扇区数BPB_RsvdSecCnt2= 1126H= 4390：保留扇区数目BP

9、B_NumFATs1= 02H= 2 ：FAT表数 下一变量跳至offset:28BPB_HiddSec4= 00000001H= 1 ：FAT 区前隐扇区数 BPB_TotSec324= 001DCFFF= 1953791：总扇区数BPB_FATSz324= 0000076DH= 1901 ：每 FAT 表扇区数BPB_RootClus4= 00000002H= 2 ：根目录簇号FSInfo2=0001H= 1 ：FSINFO 扇区数BPB_BkBootSec2= 0006H= 6 ：备份引导扇区号3.2 FSINFO 扇区 根据【2】p13，FAT32 在保留区中增加了一个 FSINFO

10、扇区，用以记录文件系统中空闲簇的数量以及下一可用簇的簇号等信息，以供操作系统作为参考。紧接boot sector是FSINFO 扇区，扇区号为1。查看该扇区的1EC1EF单元的值为0000000BH，即下一可用族号为11，与DATA区查看的结果吻合。3.3 备份引导扇区根据BPB_BkBootSec2= 6，查看第6号扇区，已核实。后续为保留扇区，直到FAT1。3.4 FAT1 FAT2扇区仍通过左上角的图标“/”，打开 “FAT1”，得到界面的放大图如下图所示。根据【3】p8，上表中，前 8 个字节“F8 FF FF 0F FF FF FF FF”为FAT32 的 FAT 表头标记，用以表示

11、此处是 FAT 表的开始。后面的数据每四个字节为一个簇项（从第 2 簇开始），用以标记此簇的下一个簇号。紧接的FF FF FF 0F应该是表示根目录所表示的文件在第2号族结束。在FAT32中，根目录、目录等均视为文件。FF FF FF 0F表示文件的结束，FF FF FF F7表示坏族（【3】p8）。第3族开始是DATA。从上图可以看出，本例文件在第9族结束。查看第10族，是System Volume Information的数据，该数据只有1族。从上图可以看到System Volume Information的起始扇区的8256。FAT2是FAT1的备份。3.5 Root directory

12、仍通过左上角的图标“/”，打开 “FAT1”，得到界面的放大图如下图所示。根据BPB_RootClus4= 2，根目录簇号为2。从上图可以看到Root directory的起始扇区的8192。根据【3】p910，每个文件的相关信息在根目录中占32字节。很明显，上图中400000400010H两行为卷标或根目录文件信息，所具有的数据长度为0。400020400030H两行为文件AAS.txt的相关信息，2021即400034400035H= 0000H为文件起始簇号的高 16 位；2627即40003A40003BH= 0003H为文件起始簇号的低 16 位，合起来可知，文件起始簇号为3；2831即40003C40003FH= 000064CEH= 25806 Bytes为文件长度。3.6 “.”目录扇区根目录之后是DATA、之后是Free sector、再之后是“.”目录扇区。仍通过左上角的图标“/”，打开 “Search directory（down）”，得到界面的放大图如下图所示。应该是表示根目录的意义。与同样位于第10族的System Volume Information的意义重叠，可以看做一回事。3.7 Volume slack（松弛扇区）仍通过左上角的图标“/”，打开 “Volume slack”，得到界