《计算机检测维修与数据恢复》（下册） 课件 任务1 子任务 1  利用 WinHex 读取 exFAT 文件系统参数

子任务1 利用WinHex读取

exFAT文件系统参数任务1exFAT文件系统恢复项目7文件系统恢复01利用Winex直接读取FAT表主要参数02利用Winex读取数据区主要参数目录contents利用Winex直接读取FAT表主要参数01利用Winex直接读取FAT表主要参数一一、

利用Winex直接读取FAT表主要参数（共有2个步骤）步骤一：附加虚拟磁盘，运行Winhex并打开它步骤二：利用Winex直接读取FAT表主要参数利用Winex直接读取FAT表主要参数一步骤一：附加虚拟磁盘，运行Winhex并打开它

在素材文件夹中，双击“7任务1-1-1.vd”，然后运行Winex，打开“D1”，操作界面显示该硬盘信息，此虚拟磁盘分有1个分区（exFAT分区）。双击打开分区1。步骤二：利用Winex直接读取FAT表主要参数1.打开FAT表再点击打开FAT，发现有0至5号共6个表项。如图7-1所示。

图7-1Winex编辑窗口信息（FAT表）图利用Winex直接读取FAT表主要参数一

2.直接读取FAT表项参数根据表7-2，对应直接读取分区1的FAT表参数，得到FAT表参数表，如表7-7所示。步骤二：利用Winex直接读取FAT表主要参数表7-7FAT表参数表表项值表项数表项内容00号0XFFFFFFF81exFAT表标志表项01号0XFFFFFFFF1系统保留表项02号0X0312号簇为簇位图文件占有，其值“03”为还续占下簇为3号簇。03号0XFFFFFFFF13号簇为簇位图文件结束簇04号0XFFFFFFFF1大字符文件占4号簇05号0XFFFFFFFF1根目录占5号簇（DBR指定）5号表项后的值都是0X00000000，但并不是没有数据了。利用Winex读取数据区主要参数02利用Winex读取数据区主要参数二（一）利用Winex读取根目录子目录项参数（共有2个步骤）步骤一：附加虚拟磁盘，运行Winhex并打开它步骤二：利用Winex读取根目录子目录项参数利用Winex读取数据区主要参数二步骤一：附加虚拟磁盘，运行Winhex并打开它在素材文件夹中，双击“7任务1-1-1.vd”，然后运行Winex，打开“D1”，点开分区1（exFAT分区）。（一）利用Winex读取根目录子目录项参数步骤二：利用Winex读取根目录子目录项参数1.确认读取用户目录项发现根目录下有8个文件（夹），其中“7任务1”是用户文件夹，进一步点开此文件夹，它有2个文件“7任务1-1-1.txt”和“7任务1-1-1.png”。因此，读取的目录项有：根目录项、根目录下户文件夹“7任务1”的目录项、用户文件夹“7任务1”子目录下的文件“7任务1-1-1.txt”和文件“7任务1-1-1.png”的目录项，共4个目录项。利用Winex读取数据区主要参数二（一）利用Winex读取根目录子目录项参数步骤二：利用Winex读取根目录子目录项参数2.打开根目录表，找到“7任务1”子目录项在根目录下有个“（根目录）”文件，点击它，就跳到根目录表。若出现故障，打不开分区或找不到“（根目录）”文件，就根据DBR偏移位置0x60〜0x63指示的根目录的起始簇号，直接跳转至根目录表所在扇区。根目录表如图7-2所示。图7-2Winex编辑窗口信息（根目录表）图利用Winex读取数据区主要参数二（一）利用Winex读取根目录子目录项参数步骤二：利用Winex读取根目录子目录项参数3.利用Winex数据解释器读取“7任务1”子目录项主要参数“7任务1”子目录项主要参数为：起始簇号和文件夹大小。偏移“X114~117”值0X09，即“7任务1”子目录起始簇为9。偏移“X118~11B”值0X8000，用数据解释器读取数据为“32768”，即“7任务1”子目录大小为32768字节。利用Winex读取根目录子目录项参数的操作完成。利用Winex读取数据区主要参数二（一）利用Winex读取“7任务1”子目录的两个录项参数（共有2个步骤）步骤一：打开“7任务1”子目录的目录表，找到它的两个目录项步骤二：利用Winex数据解释器读取“7任务1”目录两个目录项的主要参数利用Winex读取数据区主要参数二步骤一：打开“7任务1”子目录的目录表，找到它的两个目录项根据“7任务1”子目录参数，它的起始簇为9，跳转到9簇，就看到了“7任务1”子目录表。“7任务1”目录表如图7-3所示。（二）利用Winex读取“7任务1”子目录的两个录项参数图7-3Winex编辑窗口信息（“7任务1”目录表）图利用Winex读取数据区主要参数二步骤二：利用Winex数据解释器读取“7任务1”目录两个目录项的主要参数1.偏移“0X34〜37”值0X0A，即“7任务1-1-1.png”用户子目录起始簇为10。偏移“0X38〜3B”值0X01E449，用数据解释器读取数据为123,977，即“7任务1-1-1.png”用户子目录大小为123,977字节。2.偏移“X94〜97”值0X0E，即“7任务1-1-1.txt”用户子目录起始簇为14。偏移“X98〜9B”值0X21，用数据解释器读取数据