计算机检测维修与数据恢复（上册）课件 子任务2 利用WinHex恢复FAT32文件系统

子任务2利用WinHex恢复FAT32文件系统任务1FAT32文件系统恢复项目7文件系统恢复01用Winhex恢复受破坏FAT表02用Winhex恢复受破坏FAT32数据区用户目录项目录contents用Winhex恢复受破坏FAT表01任务实施2（一）用Winhex恢复受破坏FAT表（被清零）（共有3个步骤）步骤一：附加虚拟磁盘，运行Winhex并打开它步骤二：确定FAT32文件系统受破坏步骤三：恢复FAT32文件系统一步骤一：附加虚拟磁盘，运行Winhex并打开它在素材文件夹中，双击“7任务1-2-1.vhd”，然后运行Winhex，打开“HD1”，界面显示该硬盘信息，此虚拟磁盘共分有1个主分区（FAT32分区）。用Winhex恢复受破坏FAT表步骤二：确定FAT32文件系统受破坏进入在分区1，分别点开FAT1、FAT2表，发现它俩偏移0X03〜07有数据“0X7FFFFFFF”，其它都有为0，说明FAT表被破坏了。一步骤三：恢复FAT32文件系统1.确定各目录项参数分别读取“根目录”、“systemVolumeInformation”、“7任务1”、“$RECYCLE.BIN”四个文件及其管理的目录项数据，得出各自的起始簇及大小，然后根据DBR的BPB的每簇扇区数为16，就可以计算出起始扇区及大小（扇区数）用Winhex恢复受破坏FAT表2.推算FAT1表项值，并把它填入FAT1表项推算出各文件所占的表项号、簇数及对应的表项值，填入FAT1表项表，如表7-11所示。表7-11FAT1表项表表项值起始簇大小（扇区）表项数表项内容00号0X0FFFFFF800号01FAT表标志表项01号0XFFFFFFFF01号01系统保留表项02号0X0FFFFFFF02号01目录表项03号0X0FFFFFFF03号01文件只一个表项04号0X0FFFFFFF04号01文件只一个表项05号0X0FFFFFFF05号01文件只一个表项06〜20号0X07〜1506〜20号123,97716文件存储指向7〜20号表项21号0X0FFFFFFF21号文件结束项22号0X0FFFFFFF22号331文件只一个表项23号0X0FFFFFFF23号01文件只一个表项24号0X0FFFFFFF24号1291文件只一个表项25号0X0FFFFFFF25号01文件只一个表项

一步骤三：恢复FAT32文件系统根据表7-11，填入FAT1的各个表项，如图7-7所示。用Winhex恢复受破坏FAT表图7-7Winhex编辑窗口信息（FAT1表）图3.把FAT1复制到FAT2表把FAT1表复制到FAT2表,最后进行保存和磁盘快照。恢复受破坏FAT表（被清零）的操作完成。用Winhex恢复受破坏FAT32数据区用户目录项02用Winhex恢复受破坏FAT32数据区用户目录项二、用Winhex恢复受破坏FAT32数据区用户目录项（共有3个步骤）步骤一：附加虚拟磁盘，运行Winhex并打开它步骤二：确定FAT32文件系统受破坏步骤三：恢复FAT32文件系统二步骤二：确定FAT32文件系统受破坏进入在分区1，点击根目录，发现用户目录项为0，用资源管理器打开本分区，根目录下没有文件（夹），说明用户目录项被破坏了。如图7-8所示。用Winhex恢复受破坏FAT32数据区用户目录项图7-8Winhex编辑窗口信息（被“清零”的用户目录项）图二步骤三：恢复FAT32文件系统1.确定非用户文件（夹）占的簇号从DBR的BPB参数表得知“根目录”分配2号表项，“systemVolumeInformation”子目录项中得知其占3-4、25号表项，“$RECYCLE.BIN”子目录项中可知其占23-24号表项。具体读数流程可参考“子任务1”。用Winhex恢复受破坏FAT32数据区用户目录项二步骤三：恢复FAT32文件系统2.推算用户文件目录项参数推算出用户文件（夹）所占的簇号为5-22，跳转至5号簇，发现用户子目录项，且有两个文件，经推算，第1个文件占6-21号簇，第2个文件占22号簇，因此，被破坏的是用户文件夹，不是文件，把数据填入用户文件目录项参数表，如表7-12所示。用Winhex恢复受破坏FAT32数据区用户目录项表7-12用户文件目录项参数表偏移长度值短文件目录项内容0X0080X202031F1CEC837主文件（夹）名:7任务1（重新命名）0X0830X202020扩展名：空0X0B10X10属性：10H(子目录)0X0C10X00子目录名大小写：OOH（大写）0X1420X00文件（夹）开始簇号的高16位:0簇0X1A20X05文件（夹）开始簇号的低16位:5簇0X1C40X00文件实际大小，0字节二步骤三：恢复FAT32文件系统3.把用户文件目录参数填入用户文件目录项根据表7-12，把