计算机检测维修与数据恢复（上册）课件 任务1 FAT32文件系统恢复

子任务1利用WinHex读取FAT32文件系统参数任务1FAT32文件系统恢复项目7文件系统恢复01利用Winhex读取FAT表项参数02利用Winhex读取数据区用户文件（夹）目录项主要参数目录contents利用Winhex读取FAT表项参数01任务实施1（一）利用Winhex读取FAT表项参数（共有2个步骤）步骤一：附加虚拟磁盘，运行Winhex并打开它步骤二：读取和记录FAT表项参数一步骤一：附加虚拟磁盘，运行Winhex并打开它在素材文件夹中，双击“7任务1-1-1.vhd”，然后运行Winhex，打开“HD1”，界面显示该硬盘信息，此虚拟磁盘共分有1个主分区（FAT32分区），点开分区1，再点开FAT1。如图7-1所示。利用Winhex读取FAT表项参数图7-1Winhex编辑窗口信息（FAT1表）图一步骤二：读取和记录FAT表项参数读取FAT表项参数，记录到表7-1中，得FAT1表项参数表，如表7-5所示。利用Winhex读取FAT表项参数表7-5FAT1表项的参数表表项偏移长度值项数表项内容00号0X0040X0FFFFFF81FAT表标志表项01号0X0440XFFFFFFFF1系统保留表项02号0X0840X0FFFFFFF1目录表项03号0X0C40X0FFFFFFF1文件只一个表项04号0X1040X0FFFFFFF1文件只一个表项05号0X1440X0FFFFFFF1文件只一个表项06〜20号0X18600X07〜1515文件存储指向7〜20号表项21号0X5440X0FFFFFFF1文件结束项22号0X5840X0FFFFFFF1文件只一个表项23号0X5C40X0FFFFFFF1文件只一个表项24号0X6040X0FFFFFFF1文件只一个表项25号0X6440X0FFFFFFF1文件只一个表项利用Winhex读取数据区用户文件（夹）目录项主要参数02利用Winhex读取数据区用户文件（夹）目录项主要参数二、利用Winhex读取数据区用户文件（夹）目录项主要参数（共有3个步骤）步骤一：附加虚拟磁盘，运行Winhex并打开它步骤二：读取和记录根目录下文件夹“7任务1”目录项的主要参数步骤三：读取用户文件夹“7任务1”这个子目录下目录项的主要参数二步骤一：附加虚拟磁盘，运行Winhex并打开它在素材文件夹中，双击“7任务1-1-1.vhd”，然后运行Winhex，打开“HD1”，点开分区1，发现用户文件夹“7任务1”，进一步点开此文件夹，它有2个文件“7任务1-1-1.txt”和“7任务1-1-1.png”。因此，读取的目录项有：根目录下文件夹“7任务1”的目录项、文件夹“7任务1”目录下的文件“7任务1-1-1.txt”和文件“7任务1-1-1.png”的目录项，共3个目录项。利用Winhex读取数据区用户文件（夹）目录项主要参数二步骤二：读取和记录根目录下文件夹“7任务1”目录项的主要参数单击根目录，偏移0X80〜X09F为根目录下文件夹“7任务1”的目录项。如图7-2所示。利用Winhex读取数据区用户文件（夹）目录项主要参数图7-2Winhex编辑窗口信息（文件夹“7任务1”目录项）图二步骤二：读取和记录根目录下文件夹“7任务1”目录项的主要参数根据表7-2，对应读取该目录项主要参数，制成该目录项主要参数表，如表7-6所示。利用Winhex读取数据区用户文件（夹）目录项主要参数表7-6文件夹“7任务1”目录项的主要参数表偏移长度值短文件目录项内容0X0080X202031F1CEC837主文件（夹）名:7任务10X0830X202020扩展名：空0X0B10X10属性：10(子目录)0X0C10X00子目录名大小写：OO（大写）0X1420X00文件（夹）开始簇号的高16位:0簇0X1A20X05文件（夹）开始簇号的低16位:5簇0X1C40X00文件实际大小，0字节二步骤三：读取用户文件夹“7任务1”这个子目录下目录项的主要参数①读取文件“7任务1-1-1.txt”目录项的主要参数。单击用户文件夹“7任务1”，偏移0X80〜X0BF为文件“7任务1-1-1.txt”的目录项，长文件名占2个目录项。如图7-3所示。利用Winhex读取数据区用户文件（夹）目录项主要参数图7-3Winex编辑窗口信息（文件“7任务1-1-1.txt”目录项）图二步骤三：读取用户文件夹“7任务1”这个子目录下目录项的主要参数根据表7-2和表7-3，对应读取该目录项主要参数，制成该目录项主要参数表，如表7-7、表7-8所示。利用Winhex读取数据区用户文件（夹）目录项主要参数表7-7文件“7任务1-1-1.txt”长文件名目录项参数表偏移长度值长文件名目录项内容0X0010X41长文件名序列号：65。0X01100X002D003152A14EFB0037长文件名的第1〜5个字符：7任务1-。0X0B10X0F长文件名目录项标志：0X0F。0X0C10X00系统保留0X0D10XBE校验值和。0X0E120X00780074002E0031002D0031长文件名的第6〜11个字符：-1-1.tx。0X1A20X0000保留0X1C40X74长文件名的第12〜13个字符：t。二步骤三：读取用户文件夹“7任务1”这个子目录下目录项的主要参数根据表7-2和表7-3，对应读取该目录项主要参数，制成该目录项主要参数表，如表7-7、表7-8所示。利用Winhex读取数据区用户文件（夹）目录项主要参数表7-8文件“7任务1-1-1.txt”短文件名目录项的主要参数表偏移长度值短文件目录项内容0X0080X317E31F1CECEC837主文件（夹）名:7任务1〜10X0830X545854扩展名：TXT0X0B10X20属性：20(文档)0X0C10X00子目录名大小写：OO（大写）0X1420X00文件（夹）开始簇号的高16位:00X1A20X16文件（夹）开始簇号的低16位:22簇0X1C40X21文件实际大小，33字节二步骤三：读取用户文件夹“7任务1”这个子目录下目录项的主要参数②读取文件“7任务1-1-1.png”目录项的主要参数。单击用户文件夹“7任务1”，偏移0X40〜X07F为文件“7任务1-1-1.png”的目录项，长文件名占2个目录项。如图7-4所示。利用Winhex读取数据区用户文件（夹）目录项主要参数图7-4Winex编辑窗口信息（文件“7任务1-1-1.png”目录项）图二步骤三：读取用户文件夹“7任务1”这个子目录下目录项的主要参数根据表7-2、表7-3，对应读取该目录项主要参数，制成该目录项主要参数表，如表7-9、表7-10所示。利用Winhex读取数据区用户文件（夹）目录项主要参数表7-9文件“7任务1-1-1.png”长文件名目录项参数表偏移长度值长文件名目录项内容0X0010X41长文件名序列号：65。0X01100X002D003152A14EFB0037长文件名的第1〜5个字符：7任务1-。0X0B10X0F长文件名目录项标志：0X0F。0X0C10X00系统保留0X0D10XAB校验值和。0X0E120X006E0070002E0031002D0031长文件名的第6〜11个字符：-1-1.pn。0X1A20X0000保留0X1C40X67长文件名的第12〜13个字符：g。二步骤三：读取用户文件夹“7任务1”这个子目录下目录项的主要参数根据表7-2、表7-3，对应读取该目录项主要参数，制成该目录项主要参数表，如表7-9、表7-10所示。利用Winhex读取数据区用户文件（夹）目录项主要参数表7-10文件“7任务1-1-1.png”短文件名目录项参数表偏移长度值短文件目录项内容0X0080X317E31F1CECEC837主文件（夹）名:7任务1〜10X0830X474E50扩展名：PNG0X0B10X20属性：20(文档)0X0C10X00子目录名大小写：OO（大写）0X1420X00文件（夹）开始簇号的高16位:00X1A20X06文件（夹）开始簇号的低16位:6簇0X1C40X1E449文件实际大小，123977字节感谢观看THANKSFORWATCHING子任务2利用WinHex恢复FAT32文件系统任务1FAT32文件系统恢复项目7文件系统恢复01用Winhex恢复受破坏FAT表02用Winhex恢复受破坏FAT32数据区用户目录项目录contents用Winhex恢复受破坏FAT表01任务实施2（一）用Winhex恢复受破坏FAT表（被清零）（共有3个步骤）步骤一：附加虚拟磁盘，运行Winhex并打开它步骤二：确定FAT32文件系统受破坏步骤三：恢复FAT32文件系统一步骤一：附加虚拟磁盘，运行Winhex并打开它在素材文件夹中，双击“7任务1-2-1.vhd”，然后运行Winhex，打开“HD1”，界面显示该硬盘信息，此虚拟磁盘共分有1个主分区（FAT32分区）。用Winhex恢复受破坏FAT表步骤二：确定FAT32文件系统受破坏进入在分区1，分别点开FAT1、FAT2表，发现它俩偏移0X03〜07有数据“0X7FFFFFFF”，其它都有为0，说明FAT表被破坏了。一步骤三：恢复FAT32文件系统1.确定各目录项参数分别读取“根目录”、“systemVolumeInformation”、“7任务1”、“$RECYCLE.BIN”四个文件及其管理的目录项数据，得出各自的起始簇及大小，然后根据DBR的BPB的每簇扇区数为16，就可以计算出起始扇区及大小（扇区数）用Winhex恢复受破坏FAT表2.推算FAT1表项值，并把它填入FAT1表项推算出各文件所占的表项号、簇数及对应的表项值，填入FAT1表项表，如表7-11所示。表7-11FAT1表项表表项值起始簇大小（扇区）表项数表项内容00号0X0FFFFFF800号01FAT表标志表项01号0XFFFFFFFF01号01系统保留表项02号0X0FFFFFFF02号01目录表项03号0X0FFFFFFF03号01文件只一个表项04号0X0FFFFFFF04号01文件只一个表项05号0X0FFFFFFF05号01文件只一个表项06〜20号0X07〜1506〜20号123,97716文件存储指向7〜20号表项21号0X0FFFFFFF21号文件结束项22号0X0FFFFFFF22号331文件只一个表项23号0X0FFFFFFF23号01文件只一个表项24号0X0FFFFFFF24号1291文件只一个表项25号0X0FFFFFFF25号01文件只一个表项

一步骤三：恢复FAT32文件系统根据表7-11，填入FAT1的各个表项，如图7-7所示。用Winhex恢复受破坏FAT表图7-7Winhex编辑窗口信息（FAT1表）图3.把FAT1复制到FAT2表把FAT1表复制到FAT2表,最后进行保存和磁盘快照。恢复受破坏FAT表（被清零）的操作完成。用Winhex恢复受破坏FAT32数据区用户目录项02用Winhex恢复受破坏FAT32数据区用户目录项二、用Winhex恢复受破坏FAT32数据区用户目录项（共有3个步骤）步骤一：附加虚拟磁盘，运行Winhex并打开它步骤二：确定FAT32文件系统受破坏步骤三：恢复FAT32文件系统二步骤二：确定FAT32文件系统受破坏进入在分区1，点击根目录，发现用户目录项为0，用资源管理器打开本分区，根目录下没有文件（夹），说明用户目录项被破坏了。如图7-8所示。用Winhex恢复受破坏FAT32数据区用户目录项图7-8Winhex编辑窗口信息（被“清零”的用户目录项）图二步骤三：恢复FAT32文件系统1.确定非用户文件（夹）占的簇号从DBR的BPB参数表得知“根目录”分配2号表项，“systemVolumeInformation”子目录项中得知其占3-4、25号表项，“$RECYCLE.BIN”子目录项中可知其占23-24号表项。具体读数