田全紅，達(dá) 虎，徐成俊，鄧哲鵬，張生月，肖 珺

（甘肅省計(jì)算中心，甘肅 蘭州 730030）

FAT32文件系統(tǒng)數(shù)據(jù)恢復(fù)技術(shù)淺析＊

田全紅，達(dá) 虎△，徐成俊，鄧哲鵬，張生月，肖 珺

（甘肅省計(jì)算中心，甘肅 蘭州 730030）

FAT32文件作為Windows操作系統(tǒng)的主流文件被普遍使用。本文對(duì)Windows系統(tǒng)下FAT32文件系統(tǒng)的數(shù)據(jù)恢復(fù)進(jìn)行了分析，介紹FAT32文件系統(tǒng)結(jié)構(gòu)，詳細(xì)闡述DBR和FAT表損壞時(shí)，利用WinHex軟件結(jié)合自身?xiàng)l件進(jìn)行快速數(shù)據(jù)恢復(fù)過程，。

數(shù)據(jù)恢復(fù)；FAT32；文件分配表

Windows操作系統(tǒng)常采用FAT32和NTFS這兩種文件管理系統(tǒng)來對(duì)存儲(chǔ)介質(zhì)中的數(shù)據(jù)進(jìn)行管理操作。伴隨著網(wǎng)絡(luò)的快速發(fā)展，計(jì)算機(jī)滲透到我們的日常生活中，尤其在學(xué)習(xí)和工作中發(fā)揮重要的作用。隨著大數(shù)據(jù)時(shí)代的來臨，政府、企事業(yè)，甚至我們個(gè)人更多的以電子數(shù)據(jù)的形式存儲(chǔ)重要信息，如此龐大的數(shù)據(jù)一旦發(fā)生誤刪除、丟失、感染病毒或者存儲(chǔ)介質(zhì)損壞，將帶來嚴(yán)重的損失。一方面盡可能的保護(hù)好數(shù)據(jù)和設(shè)備，另一方面要求在數(shù)據(jù)丟失時(shí)，盡可能的恢復(fù)數(shù)據(jù)，讓損失降到最小。本文主要研究Windows系統(tǒng)下FAT32文件系統(tǒng)的數(shù)據(jù)恢復(fù)，重點(diǎn)闡述DBR和FAT表損壞時(shí)數(shù)據(jù)恢復(fù)過程。

1 FAT32文件介紹

FAT32文件作為Windows操作系統(tǒng)的主流文件，其文件系統(tǒng)主要由MBR、DBR及其保留扇區(qū)、FAT1、FAT2和DATA五部分組成[1]。其中MBR一般占用63個(gè)扇區(qū)，但實(shí)際只用1個(gè)扇區(qū)。DBR一般占用32個(gè)扇區(qū)，但實(shí)際只占用第1和第6扇區(qū)，第6扇區(qū)作為第1扇區(qū)的備份，只有第1扇區(qū)起作用。FAT1與FAT2的大小相同，F(xiàn)AT是可變長(zhǎng)度的，其長(zhǎng)度隨著分區(qū)大小、每簇扇區(qū)數(shù)的變化而變化。在FAT32文件中，把目錄當(dāng)文件管理，所以沒有獨(dú)立的目錄區(qū)，這也是FAT32與其它FAT文件的區(qū)別。DATA數(shù)據(jù)區(qū)中不僅包含數(shù)據(jù)部分，由于分區(qū)根目錄下的文件及文件夾的目錄項(xiàng)存放在根目錄區(qū)中，分區(qū)子目錄下的文件及文件夾的目錄項(xiàng)存放在子目錄區(qū)中，所以根目錄區(qū)和子目錄區(qū)都在數(shù)據(jù)區(qū)中。

1.1 主引導(dǎo)記錄

硬盤的第 1個(gè)扇區(qū)叫 MBR （Master Boot Record）扇區(qū)，為主引導(dǎo)扇區(qū)記錄，也即C/H/S地址為0柱面0磁頭1扇區(qū)，占用512字節(jié)，MBR的引導(dǎo)程序占其中前446個(gè)字節(jié)，偏移0～偏移1BDH，后64個(gè)字節(jié)，偏移1BEH～偏移1FDH為硬盤分區(qū)表DPT，末尾兩個(gè)字節(jié) “55AA”，偏移1FEH～偏移1FFH是分區(qū)有效結(jié)束標(biāo)志。引導(dǎo)標(biāo)志位只能是00H和80H，80H位活動(dòng)，00H位非活動(dòng)，其余值系統(tǒng)默認(rèn)非法。

1.2 操作系統(tǒng)引導(dǎo)記錄

DBR（DOS Boot Record），操作系統(tǒng)引導(dǎo)記錄。通常情形下，第一個(gè)分區(qū)的DBR位于硬盤0磁道1柱面1扇區(qū)，是操作系統(tǒng)可以訪問的第1個(gè)扇區(qū)。其文件系統(tǒng)的DBR包括跳轉(zhuǎn)指令、OEM代號(hào)、BPB、引導(dǎo)程序和結(jié)束標(biāo)志。對(duì)FAT32進(jìn)行數(shù)據(jù)恢復(fù)時(shí)，通?？捎梢龑?dǎo)扇區(qū)BPB參數(shù)中的保留扇區(qū)數(shù)、FAT數(shù)、每個(gè)FAT32所占扇區(qū)數(shù)來定位根目錄的起始位置。計(jì)算公式為：根目錄起始位置=保留扇區(qū)數(shù)+FAT個(gè)數(shù)*每個(gè)FAT所占扇區(qū)數(shù)。

1.3 文件分配表

FAT（File Allocation Table），文件分配表。在FAT32文件中，由于FAT對(duì)文件管理的重要性，有兩個(gè)相同的FAT，第一個(gè)稱為主FAT，另一個(gè)是FAT1的備份，稱為備份FAT。FAT是位于DBR之后，同一個(gè)文件的數(shù)據(jù)并不一定完整地存放在磁盤的一個(gè)連續(xù)區(qū)域內(nèi)，往往分成若干段，像一條鏈子一樣存放。文件的這個(gè)存儲(chǔ)方式稱為鏈?zhǔn)酱鎯?chǔ)，硬盤上必須準(zhǔn)確記錄已被文件占用的簇，為每個(gè)已經(jīng)占用的簇指明存儲(chǔ)后續(xù)內(nèi)容的下一個(gè)簇的簇號(hào)，每一個(gè)文件最后一個(gè)簇，還要指明本簇?zé)o后續(xù)簇，實(shí)現(xiàn)鏈?zhǔn)酱鎯?chǔ)的記錄都保存在FAT表中。

1.4 文件系統(tǒng)目錄項(xiàng)

FAT32文件系統(tǒng)中，沒有獨(dú)立的根目錄區(qū)，分區(qū)根目錄下的文件及文件夾的目錄項(xiàng)存放在根目錄區(qū)中，分區(qū)子目錄下的文件及文件夾的目錄項(xiàng)存放在子目錄區(qū)中，根目錄區(qū)的和子目錄區(qū)都在數(shù)據(jù)區(qū)中。文件目錄項(xiàng)（FDT）占32字節(jié)，子目錄項(xiàng)的長(zhǎng)度為零，已刪除目錄項(xiàng)的首字節(jié)值為E5H。

1.5 數(shù)據(jù)區(qū)

FAT32的根目錄、子目錄及文件內(nèi)容主要存放在數(shù)據(jù)區(qū)中，是真正意義上數(shù)據(jù)存儲(chǔ)的地方，位于FAT2之后。對(duì)數(shù)據(jù)區(qū)中數(shù)據(jù)定位，首先通過分區(qū)表信息，定位相應(yīng)的DBR扇區(qū)，讀取出DBR扇區(qū)的OEH～OFH偏移信息，得到DBR保留扇區(qū)數(shù)值，進(jìn)一步讀取到DBR扇區(qū)的24H～27H，得到每個(gè)FAT扇區(qū)數(shù)，通過相應(yīng)的計(jì)算公式得到分區(qū)的數(shù)據(jù)區(qū)起始扇區(qū)[2-4]。

2 FAT32文件數(shù)據(jù)恢復(fù)

2.1 數(shù)據(jù)刪除時(shí)文件系統(tǒng)的變化

FAT32文件系統(tǒng)中，誤刪除的文件在回收站時(shí)，文件的FAT不發(fā)生任何變化，可直接從回收站中復(fù)原文件。但當(dāng)使用“Delete+Shift”組合鍵徹底刪除文件時(shí)，此時(shí)文件分配表和文件目錄項(xiàng)均發(fā)生變化。FDT中的首字節(jié)改為刪除標(biāo)志“E5H”，所對(duì)應(yīng)的FAT表項(xiàng)值改為空簇標(biāo)志“00000000H”。當(dāng)文件的起始簇號(hào)大于兩個(gè)字節(jié)所表示的最大值時(shí)，文件目錄項(xiàng)中偏移14H～15H處用來存儲(chǔ)超出部分的值，在徹底刪除的時(shí)候，起始簇號(hào)14H～15H處的兩個(gè)高字節(jié)被清零，對(duì)文件起始簇號(hào)小于兩個(gè)字節(jié)所能表示最大值時(shí)，不存在這樣的情況。數(shù)據(jù)是以二進(jìn)制的方式存儲(chǔ)在磁盤上的，在徹底刪除后，數(shù)據(jù)仍存在數(shù)據(jù)區(qū)中，只要未寫入新數(shù)據(jù)，原數(shù)據(jù)未被覆蓋，這就為數(shù)據(jù)恢復(fù)提供了可行性[5-6]。

2.2 DBR破壞后的恢復(fù)

在FAT32文件系統(tǒng)中，6號(hào)扇區(qū)作為DBR扇區(qū)的備份。當(dāng)6號(hào)扇區(qū)沒被損壞時(shí)，可直接復(fù)制6號(hào)扇區(qū)DBR的備份信息。當(dāng)DBR扇區(qū)和備份DBR扇區(qū)都損壞時(shí)，則需要我們通過手動(dòng)方式重新構(gòu)建DBR扇區(qū)。找到一個(gè)完好的FAT32分區(qū)，復(fù)制DBR扇區(qū)到需要恢復(fù)的DBR扇區(qū)。重建的DBR扇區(qū)需要手動(dòng)修改的關(guān)鍵參數(shù)包括：保留區(qū)扇區(qū)數(shù)、根目錄簇號(hào)、每簇扇區(qū)數(shù)、FAT表個(gè)數(shù)及每個(gè)FAT表總扇區(qū)數(shù)等內(nèi)容。具體操作過程中我們使用WinHex軟件。

主要做法如下：

1）保留區(qū)扇區(qū)數(shù)的確定。從恢復(fù)文件系統(tǒng)的0扇區(qū)開始搜索“F8FFFF0F”，找到此位置后，讀取出扇區(qū)數(shù)，此扇區(qū)數(shù)既是保留區(qū)扇區(qū)數(shù)，又是FAT1表的起始位置。

2）FAT表總扇區(qū)數(shù)的確定。接上一步操作，繼續(xù)搜索“F8FFFF0F”，確定此位置后，讀取出扇區(qū)數(shù)，此扇區(qū)數(shù)是FAT2表的起始位置。用FAT2表位置減去FAT1表位置就得到每個(gè)FAT表總扇區(qū)數(shù)。

3）每簇扇區(qū)數(shù)的確定。根據(jù)讀取到總扇區(qū)數(shù)由公式（1）可以確定數(shù)據(jù)區(qū)的總扇區(qū)數(shù)，進(jìn)一步可通過公式（2）可得到每簇扇區(qū)數(shù)。

4）當(dāng)DBR中的BPB表參數(shù)確定好以后，復(fù)制當(dāng)前DBR表，找到當(dāng)前分區(qū)的第6扇區(qū)粘貼，完成DBR表的修復(fù)。

2.3 FAT損壞后的恢復(fù)

由于FAT1和FAT2完全相同，F(xiàn)AT32文件系統(tǒng)中FAT1損壞后，考慮通過FAT2進(jìn)行恢復(fù)。主要做法如下：

1）查找兩個(gè)子目錄。分別查找第一個(gè)子目錄和第二個(gè)子目錄，記下對(duì)應(yīng)的扇區(qū)號(hào)和所在簇號(hào)。

2）計(jì)算每簇扇區(qū)數(shù)。兩個(gè)子目錄所在硬盤開始扇區(qū)號(hào)之差除以兩個(gè)子目錄簇號(hào)之差就是每簇扇區(qū)數(shù)。

3）計(jì)算根目錄開始扇區(qū)號(hào)。根據(jù)（2）得到每簇扇區(qū)數(shù)計(jì)算公式，反代入得到根目錄開始扇區(qū)號(hào)，根目錄開始扇區(qū)號(hào)減1就是FAT2表結(jié)束扇區(qū)號(hào)。

4）計(jì)算每個(gè)FAT表所占扇區(qū)數(shù)。搜索“F8FF FF0F”找到FAT2開始扇區(qū)號(hào)，確定每個(gè)FAT表所占扇區(qū)數(shù)。

5）復(fù)制當(dāng)前FAT2表，通過每個(gè)FAT表所占扇區(qū)數(shù)確定FAT1起始扇區(qū)，并粘貼，完成FAT1表的修復(fù)。

2.4 特征碼恢復(fù)文件

通過上述分析可知，一般的格式化、誤刪除或病毒感染等操作都只是針對(duì)文件分配表和文件目錄項(xiàng)，并沒有直接刪除數(shù)據(jù)，因此可以通過搜索一些文件的特征碼在數(shù)據(jù)區(qū)中定位文件，估算出相應(yīng)大小，提取相對(duì)應(yīng)的數(shù)據(jù)，放在一個(gè)完好的FAT32分區(qū)中恢復(fù)文件。常見文件格式的特征碼如：擴(kuò)展名為“.doc”以“DOCF11E0A1B11AE1”開頭，擴(kuò)展名為“.docx”以“0x504B030414”開頭等。

3 結(jié)束語

數(shù)據(jù)安全越來越受到人們的重視，但在日常中會(huì)遇到存儲(chǔ)設(shè)備損壞、病毒感染、誤刪除或者突然斷電等一些不可控因素造成的數(shù)據(jù)丟失，通過上文分析，我們看到只要分析到位，采取合理的方法，數(shù)據(jù)就可以恢復(fù)。為了能更好的恢復(fù)數(shù)據(jù)，盡可能挽回最大損失，一旦發(fā)生數(shù)據(jù)丟失情況，使用者應(yīng)當(dāng)停止數(shù)據(jù)讀寫操作，避免數(shù)據(jù)被覆蓋，造成二次損害。同時(shí)向?qū)I(yè)維修人員詳細(xì)描述問題，以便他們能做出恰當(dāng)?shù)臎Q策。恢復(fù)數(shù)據(jù)時(shí)，防止破壞原文件，對(duì)原文件做好鏡像，操作在鏡像文件中進(jìn)行。

[1] 戴士劍,涂彥輝.數(shù)據(jù)恢復(fù)技術(shù)[M].北京:電子工業(yè)出版社, 2005.

[2] 劉偉.數(shù)據(jù)恢復(fù)技術(shù)深度揭秘[M].北京:電子工業(yè)出版社, 2010.

[3] 蔣笑天.FAT32文件系統(tǒng)的DBR恢復(fù)研究與實(shí)踐[J].軟件導(dǎo)刊,2014,13(12):46-49.

[4] 張明旺.基于FAT32文件系統(tǒng)的數(shù)據(jù)恢復(fù)技術(shù)[J].電子科技,2012,25(11):112-113.

[5] 魯恩銘,袁丁.WindowsFAT32下格式化數(shù)據(jù)恢復(fù)方案設(shè)計(jì)與實(shí)現(xiàn)[J].計(jì)算機(jī)應(yīng)用與軟件,2010,27(6):165-168.

表1 平衡系數(shù)分析

5 結(jié)論

本文對(duì)電梯的平衡系數(shù)的原理以及電梯的平衡系數(shù)的影響因素進(jìn)行了研究，研究表明：影響電梯平衡系數(shù)的因素主要包括：曳引電動(dòng)機(jī)的功率、轎廂的重量和對(duì)重的重量等，由于電梯的平衡系數(shù)對(duì)電梯的安全運(yùn)行起著關(guān)鍵的重要作用。因此研究電梯平衡系數(shù)的影響因素具有重大的理論意義與工程意義，本文的研究為電梯平衡系數(shù)的設(shè)置提供了理論依據(jù)，能夠有效的減少由于電梯平衡系數(shù)不合理導(dǎo)致的電梯事故的發(fā)生。

參考文獻(xiàn)：

[1] 鄭祥盤.福建省老舊電梯缺陷與故障統(tǒng)計(jì)分析[J].質(zhì)量技術(shù)監(jiān)督研究2014（5）.

[2] 李中興平衡系數(shù)對(duì)電梯安全的影響及測(cè)試方法優(yōu)化[J].中國(guó)安全科學(xué)學(xué)報(bào)2015（11）.

[3] 陳偉森平衡系數(shù)對(duì)電梯運(yùn)行的影響及其測(cè)量方法探究[J].機(jī)電工程技術(shù)2013（5）.

[4] 劉德勇對(duì)電梯曳引力和平衡系數(shù)的研究及相關(guān)影響[J].機(jī)電工程技術(shù)2015（4）.

[5] 劉利文曳引電梯平衡系數(shù)的測(cè)量方法及其對(duì)電梯運(yùn)行的影響分析[J].機(jī)電信息2016（9）.

[6] GB/T7588-2003.電梯制造與安裝安全規(guī)范[S].

TP399

甘肅省科技支撐計(jì)劃社會(huì)發(fā)展類（編號(hào)1504FKCA039）。

△ 通訊作者：達(dá)虎（1987-），男，甘肅皋蘭人，甘肅省計(jì)算中心，碩士。Tel:18109445908。