ExFAT目录项分析学习

ExFAT目录项分析主讲人：许中林1.目录项的作用及结构特点

目录项对于ExFAT文件系统来讲也是非常重要的组成部分，其主要作用及结构特点如下：①分区中的每个文件和文件夹（也称为目录）都被分配多个大小为32字节的目录项，用来描述文件或文件夹的属性、大小、起始簇号和时间、日期等信息，以及记录文件名或目录名。②在ExFAT文件系统中，目录也被视为特殊类型的文件，所以每个目录也与文件一样有目录项。③在ExFAT文件系统下，根目录下的文件和文件夹的目录项存放在根目录区中，子目录下的文件和文件夹的目录项存放在数据区相应的簇中。

④根据目录项的作用和结构特点，可以把目录项分为四种类型：卷标目录项簇位图文件的目录项大写字符文件的目录项用户文件的目录项2.卷标目录项

卷标就是一个分区的名字，可以在格式化分区时创建，也能随时修改。ExFAT文件系统把卷标当做文件，用文件目录项进行管理,并且为卷标建一个目录项，放在根目录区中。

ExFAT分区中，卷标目录项如图1所示。

图1卷标的目录项卷标的目录项占用32字节，其中第一个字节是特征值，用来描述类型。卷标目录项的特征值为“83H”，如果没有卷标或者将卷标删除，该特征值为“03H”。卷标的长度理论上可以为11个字符，但实际上可以达到15个字符。2.卷标目录项卷标目录项各字节的含义见表1。字节偏移字段长度内容及含义0x001目录项的类型（卷标目录项的特征值为“83H”）0x011卷标字符数0x0222卷标0x188保留（也可用）表1ExFAT卷标目录项的含义

卷标的目录项有如下特点：①对于ExFAT格式的分区,卷标的字符数理论上要求在11个之内，但最多可以达到15个,卷标使用Unicode字符。②卷标的目录项中不记录起始簇号和大小。③目录项中不记录时间戳。3.簇位图文件的目录项

ExFAT文件系统格式化时会创建一个簇位图文件，并为其建一个目录项，放在根目录区中。

簇位图文件所在目录项如图2所示：图2簇位图文件的目录项簇位文件的目录项占用32字节，其中第一个字节是特征值，用来描述类型。簇位图文件的特征值为“81H”。3.簇位图文件的目录项簇位图文件目录项中各字节的含义如表2：表2ExFAT簇位图文件目录项的含义offset0123456789ABCDEF0081保留10保留

起始簇号文件大小簇位图文件的目录项有如下特点：①对于ExFAT格式的分区，簇位图文件的起始簇号一般都为2。②簇位图文件目录项中不记录时间戳。4.大写字符文件的目录项

ExFAT文件系统格式化时，会创建一个大写字符文件，并为其建一个目录项放在根目录区中。大写字符文件所在目录项如图3所示：图3大写字符文件的目录项

大写字符文件的目录项占用32字节，其中第一个字节是特征值，用来描述类型。大写字符文件目录项的特征值为“82H”。

ExFAT分区中，大写字符文件所在目录项如图所示。大写字符文件目录项中自觉的含义。大写字符文件目录项的含义。4.大写字符文件的目录项大写字符文件目录项中各字节的含义如表3：offset0123456789ABCDEF0082保留10

保留起始簇号文件大小表3ExFAT大写字符文件目录项的含义大写字符文件的目录项有如下特点：

①对于ExFAT格式的分区，大写字符文件的目录项一般都跟在簇位图文件的目录项之后。②大写字符文件目录项中不记录时间戳。5.用户文件的目录项

ExFAT文件系统中每个用户文件至少有三个目录项。这三个目录项被称为三个属性：第一个目录项称为“属性1”，目录项首字节的特征值为“85H”；第二个目录项称为“属性2”，目录项首字节的特征值为“C0H”；第三个目录项称为“属性3”，目录项首字节的特征值为“C1H”.这三个属性如图4所示。（1）“属性1”目录项

“属性1”目录项用来记录该目录项的附属目录项数、校验和、文件属性、时间戳等信息。图4用户文件的目录项5.用户文件的目录项字节偏移字段长度/B内容及含义0x001目录项的类型（“属性1”目录项的特征值为“85H”）0x011附属目录项数0x022校验和0x044文件属性0x084文件创建时间0x0C4文件最后修改时间0x104文件最后访问时间0x141文件创建时间（精确至10ms）0x153保留0x188保留用户文件“属性1”目录项中各字节的含义见表4。表4用户文件“属性1”目录项的含义5.用户文件的目录项对表4的某些的参数做进一步解释：①0x01~0x01：附属目录项数。此参数指，除此目录项外，该文件还有多少个目录项。当前值为2，说明这个文件除了“属性1”目录项外，后面还有两个目录项，其实就是“属性2”和“属性3”目录项。②0x04~0x07：文件属性。此参数描述文件的常规属性，属性具体含义见表5.二进制值属性含义二进制值属性含义00000000读/写00001000卷标00000001只读00010000子目录00000010隐藏00100000归档00000100系统

表5属性具体含义5.用户文件的目录项（2）“属性2”目录项“属性2”目录项用来记录文件是否有碎片、文件名的字符数、文件名的Hash值、文件的起始簇号及大小等信息。用户文件的“属性2”目录项如图5所示。图5用户文件的“属性2”目录项

5.用户文件的目录项字节偏移字段长度/B内容及含义0x001目录项的类型（“属性2”目录项的特征值为“C0H”）0x011文件碎片标志0x021保留0x031文件名字符数0x042文件名Hash值0x062保留0x088文件大小10x104保留0x144起始簇号0x188文件大小2表6用户文件“属性2”目录项的含义用户文件“属性2”目录项中各字节的含义见表6。5.用户文件的目录项对表6的某些的参数做进一步解释：①0x01~0x01：文件碎片标志。该参数能够反映出文件是否连续存放，如果是连续存放，该标志为03H，如果不是连续存放，文件有碎片，该文件就是01H。②0x03~0x03：文件名字符数。该参数用来说明文件名的长度，ExFAT文件系统的文件名用Unicode码表示，每个字符占两个字节。③0x04~0x05：文件名Hash值。该参数是根据相应算法算出来的文件名的校验值。当文件名发生改变时，Hash值也会发生改变，但当文件移动时该值不变。④0x08~0x0F:文件大小1。该参数是文件的总字节数，用64位（bit）记录文件的大小。⑤

0x14~0x17：起始簇号。该参数描述文件的起始簇号，用32位记录簇的地址。⑥0x18~0x1F：文件大小2。该参数也是文件的总字节数，是为NTFS文件系统压缩属性准备的，一般情况下与文件大小1的数值保持一致。5.用户文件的目录项（3）“属性3”目录项“属性3”目录项用来记录文件的名称。如果文件名很长，“属性3”可以包含多条目录项，每个目录项称为一个片段，从上至下依次记录文件名的每一个字符。用户文件的“属性3”目录像如图6所示。图6用户文件的“属性3”目录项

ExFAT