陳培德，吳建平，王麗清

(1.云南大學(xué) 信息學(xué)院，云南 昆明 650223；2.云南省高校數(shù)字媒體技術(shù)重點(diǎn)實(shí)驗(yàn)室,云南 昆明 650223)

重建分區(qū)表與FAT32_DBR研究與實(shí)現(xiàn)

陳培德1,2，吳建平1,2，王麗清1,2

(1.云南大學(xué) 信息學(xué)院，云南 昆明 650223；2.云南省高校數(shù)字媒體技術(shù)重點(diǎn)實(shí)驗(yàn)室,云南 昆明 650223)

通過對(duì)硬盤MBR分區(qū)表結(jié)構(gòu)、FAT32文件系統(tǒng)整體布局以及FAT32_DBR結(jié)構(gòu)的分析，以實(shí)驗(yàn)的方式對(duì)硬盤MBR分區(qū)表、FAT32_DBR以及FAT1同時(shí)被破壞后進(jìn)行修復(fù)研究。提出了恢復(fù)硬盤數(shù)據(jù)的兩種方法：修復(fù)硬盤FAT32_DBR和FAT1以及修復(fù)硬盤MBR分區(qū)表、FAT32_DBR和FAT1。實(shí)驗(yàn)結(jié)果表明：當(dāng)硬盤MBR分區(qū)表、FAT32_DBR和FAT1同時(shí)被破壞后，可以采用這兩種方法中的一種來恢復(fù)FAT32文件系統(tǒng)中的全部數(shù)據(jù)，解決了由于硬盤MBR分區(qū)表、FAT32_DBR和FAT1同時(shí)被破壞后數(shù)據(jù)難以恢復(fù)的難題。方法一只能恢復(fù)只有一個(gè)MBR分區(qū)表中的數(shù)據(jù)，而方法二可以恢復(fù)多個(gè)MBR分區(qū)表中的數(shù)據(jù)。

FAT32文件系統(tǒng)；分區(qū)表；子目錄；文件分配表

0 引 言

FAT32文件系統(tǒng)廣泛應(yīng)用于U盤、硬盤、移動(dòng)硬盤、照相機(jī)(或攝像機(jī))的SD卡、手機(jī)的TF卡等外存儲(chǔ)器上，但是由于用戶操作不當(dāng)、計(jì)算機(jī)病毒、斷電、誤操作、振動(dòng)等各種原因?qū)е翭AT32文件系統(tǒng)被破壞的現(xiàn)象時(shí)有發(fā)生，從而引發(fā)數(shù)據(jù)丟失。其中：當(dāng)MBR(即主引導(dǎo)記錄)分區(qū)表、FAT32_DBR(即DOS操作系統(tǒng)的引導(dǎo)記錄)和FAT1(即FAT32文件系統(tǒng)的第1個(gè)文件分配表)同時(shí)被破壞后，重建的難度非常大。

當(dāng)MBR分區(qū)表被破壞后，在資源管理器中無法看到盤符，使用計(jì)算機(jī)管理中的磁盤管理查看時(shí)，出現(xiàn)“未分配”的提示[1]。

如果分區(qū)表完好，而只是FAT32_DBR被破壞，在資源管理器中可以看到盤符，但當(dāng)單擊該盤符時(shí)，出現(xiàn)“磁盤未格式化”的提示[2]。

經(jīng)過長期的實(shí)驗(yàn)研究，總結(jié)了重建MBR分區(qū)表、FAT32_DBR和FAT1的基本思路與方法。

1 MBR分區(qū)表的基本結(jié)構(gòu)

在Windows平臺(tái)下能夠支持的分區(qū)結(jié)構(gòu)包括MBR分區(qū)、GPT磁盤分區(qū)和動(dòng)態(tài)磁盤分區(qū)[1]。其中MBR分區(qū)仍然是外存儲(chǔ)器的主要分區(qū)形式。在MBR分區(qū)中，整個(gè)硬盤0扇區(qū)由主引導(dǎo)記錄、磁盤簽名、分區(qū)表和結(jié)束標(biāo)志四部分組成。其中，最重要的就是分區(qū)表。在硬盤0號(hào)扇區(qū)中最多只能存放4個(gè)分區(qū)表。每個(gè)分區(qū)表項(xiàng)長度為16個(gè)字節(jié)[2]，分為6部分，說明如下：

(1)引導(dǎo)標(biāo)志占1個(gè)字節(jié)，其取值為0x00或0x80，如該分區(qū)不引操作系統(tǒng)，則取值為0x00[3]。

(2)在CHS(即柱面、磁頭和扇區(qū))存儲(chǔ)方式下作為起始地址占3個(gè)字節(jié)，而在LBA(即邏輯塊存取方式)下這3個(gè)字節(jié)未定義，可以使用任意數(shù)據(jù)，目前Windows操作系統(tǒng)下硬盤使用的存取方式為LBA[4]。

(3)分區(qū)標(biāo)志占1個(gè)字節(jié)，F(xiàn)AT32文件系統(tǒng)為0x0C或者0x0B。

(4)在CHS存儲(chǔ)方式下作為結(jié)束地址占3個(gè)字節(jié)，而在LBA下這3個(gè)字節(jié)未定義，可以使用任意數(shù)據(jù)[5]。

(5)相對(duì)扇區(qū)占4個(gè)字節(jié)，即分區(qū)表到DBR扇區(qū)數(shù)。

(6)總扇區(qū)數(shù)占4個(gè)字節(jié)，即分區(qū)所占扇區(qū)總數(shù)[6]，如果分區(qū)為FAT32文件系統(tǒng)，總扇區(qū)數(shù)等于FAT32_DBR中的總扇區(qū)數(shù)。

2 FAT32整體布局及FAT32_DBR結(jié)構(gòu)

從整體結(jié)構(gòu)上看，F(xiàn)AT32文件系統(tǒng)由保留扇區(qū)(注：DBR位于保留扇區(qū)的第1個(gè)扇區(qū)，即FAT32文件系統(tǒng)的0號(hào)扇區(qū))、FAT表(包括FAT1和FAT2)和數(shù)據(jù)區(qū)三部分組成。FAT32文件系統(tǒng)的總體布局[7]如圖1所示。

保留扇區(qū)FAT表FAT1FAT2數(shù)據(jù)區(qū)0號(hào)扇區(qū)、1號(hào)扇區(qū)、…………2號(hào)簇、3號(hào)簇、…

圖1 FAT32文件系統(tǒng)的總體布局

從圖1可知，F(xiàn)AT32_DBR位于FAT32卷的0號(hào)扇區(qū)，占一個(gè)扇區(qū)。一般情況下，在FAT32文件系統(tǒng)的6號(hào)扇區(qū)存儲(chǔ)著FAT32_DBR備份[8]。

FAT32_DBR在FAT32文件系統(tǒng)占有極其重要的地位，在FAT32_DBR中存儲(chǔ)著FAT32文件系統(tǒng)的重要參數(shù)[9]。如：每個(gè)扇區(qū)的字節(jié)數(shù)、每個(gè)簇的扇區(qū)數(shù)、保留扇區(qū)數(shù)、每個(gè)FAT表所占扇區(qū)數(shù)等，這些參數(shù)一旦被破壞或不正確，F(xiàn)AT32卷將會(huì)出現(xiàn)這樣或那樣一些故障，并顯示在屏幕上。如：出現(xiàn)“磁盤未格式化”、“文件或目錄損壞無法讀取”、“此卷不包含可識(shí)別的文件系統(tǒng)”以及“目錄出現(xiàn)亂碼”等提示信息[10]。

FAT32_DBR完成對(duì)FAT32文件系統(tǒng)參數(shù)的定義和引導(dǎo)系統(tǒng)的作用，F(xiàn)AT32_DBR結(jié)構(gòu)定義如表1所示[11-12]。

表1 FAT32_DBR的結(jié)構(gòu)

一般情況下，重建FAT32_DBR所需計(jì)算的參數(shù)見表2，其他參數(shù)可以使用同一版本的FAT32文件系統(tǒng)中的DBR參數(shù)[13]。

表2 重建FAT32_DBR所需計(jì)算的參數(shù)(1)

3 重建FAT1的基本思路和方法

當(dāng)FAT32文件系統(tǒng)的FAT1被破壞后，可以通過FAT32文件系統(tǒng)的FAT2來恢復(fù)，其思路如下：

(1)查找第1個(gè)子目錄所在位置，并記錄下扇區(qū)號(hào)和所在簇號(hào)；

(2)查找第2個(gè)子目錄所在位置，并記錄下扇區(qū)號(hào)和所在簇號(hào)；

(3)通過這兩個(gè)子目錄所在扇區(qū)號(hào)和所在簇號(hào)，計(jì)算出每個(gè)簇的扇區(qū)數(shù)；

(4)計(jì)算出2號(hào)簇所在扇區(qū)號(hào)[14],即FAT32根目錄的開始扇區(qū)號(hào)；

(5)查找所并記錄下FAT2開始扇區(qū)號(hào)；

(6)通過2號(hào)簇所在扇區(qū)號(hào)和FAT2的開始扇區(qū)號(hào)，計(jì)算出每個(gè)FAT表所占扇區(qū)數(shù)；

(7)通過每個(gè)FAT表所占扇區(qū)數(shù)和FAT2的開始扇區(qū)號(hào)，計(jì)算出FAT1的開始扇區(qū)號(hào)，并通過FAT2恢復(fù)FAT1[15]。

下面以實(shí)驗(yàn)的方式討論重建FAT32文件系統(tǒng)FAT1的基本方法：

(1)使用WinHex軟件菜單欄上的工具→打開物理磁盤功能打開該硬盤。

(2)查找第1個(gè)子目錄在硬盤位置，在整個(gè)硬盤8 328號(hào)扇區(qū)找到，如圖2所示。從圖2可知，第1個(gè)子目錄在FAT32的簇號(hào)為0x00000003(即3)。

圖2 第1個(gè)子目錄所在硬盤中的位置

(3)查找第2個(gè)子目錄在硬盤位置，在整個(gè)硬盤14 600號(hào)扇區(qū)找到，第2個(gè)子目錄在FAT32的簇號(hào)為0x0313(即787)。

(4)每個(gè)簇的扇區(qū)數(shù)等于兩個(gè)子目錄所在硬盤開始扇區(qū)號(hào)之差除以兩個(gè)子目錄在FAT32開始簇號(hào)之差。

每個(gè)簇的扇區(qū)數(shù)=(14 600-8 328)÷(787-3)=8

(5)假設(shè)2號(hào)簇在硬盤的開始扇區(qū)號(hào)為x，由(14 600-x)÷(787-2)=8，計(jì)算出x=8 320，F(xiàn)AT2的結(jié)束扇區(qū)號(hào)為8 319。

(6)查找FAT2在硬盤的開始扇區(qū)號(hào)，在6 285號(hào)扇區(qū)找到，如圖3所示。

圖3 FAT2的開始扇區(qū)號(hào)所在位置

每個(gè)FAT表所占扇區(qū)數(shù)=FAT2結(jié)束扇區(qū)號(hào)-FAT2開始扇區(qū)號(hào)+1=8 319-6 285+1=2 035

FAT1開始扇區(qū)號(hào)=FAT2開始扇區(qū)號(hào)-每個(gè)FAT表所占扇區(qū)數(shù)=6 285-2 035=4 250

(7)將光標(biāo)移動(dòng)到6 285號(hào)扇區(qū)的開始位置處定義塊首，將光標(biāo)移動(dòng)到8 319號(hào)扇區(qū)最后一個(gè)字節(jié)處定義塊尾。單擊“復(fù)制”按鈕。

(8)將光標(biāo)移動(dòng)到FAT1開始扇區(qū)(即4 250號(hào)扇區(qū))的開始位置處，單擊“粘貼”按鈕，并存盤，即可恢復(fù)FAT1。

4 重建FAT32_DBR基本思路和方法

由于分區(qū)表被破壞，無法從分區(qū)表中獲得FAT32_DBR在硬盤中的位置，也無法從分區(qū)表中獲得FAT32_DBR中的總扇區(qū)數(shù)。

因此，F(xiàn)AT32_DBR的位置可以放置在硬盤0號(hào)扇區(qū)至FAT1之間的任一扇區(qū)。如果將FAT32_DBR存放在硬盤0號(hào)扇區(qū)，說明該硬盤沒有分區(qū)表，此時(shí)FAT32_DBR中保留扇區(qū)數(shù)為FAT1開始扇區(qū)前的扇區(qū)數(shù)；如果FAT32_DBR不存放在硬盤的0號(hào)扇區(qū)，說明該硬盤存在分區(qū)表，還需要恢復(fù)分區(qū)表。

FAT32_DBR中的總扇區(qū)數(shù)可以通過每個(gè)FAT所占扇區(qū)數(shù)和每個(gè)簇的扇區(qū)數(shù)估算出來。

重建FAT32_DBR可以分為兩種情況來考慮。

情況一：將FAT32_DBR存放在硬盤的0號(hào)扇區(qū)，其方法如下：

(1)由于每FAT表項(xiàng)占4個(gè)字節(jié)，而每個(gè)扇區(qū)為512個(gè)字節(jié)，所以每個(gè)扇區(qū)可以容納128個(gè)FAT表項(xiàng)。

(2)該FAT32文件系統(tǒng)每個(gè)FAT表占2 035個(gè)扇區(qū)，所以該FAT表可以容納260 480個(gè)FAT表項(xiàng)，由于FAT32文件系統(tǒng)的開始簇號(hào)為2，所以該FAT32的最大結(jié)束簇號(hào)為260 479。

可以估算該FAT32文件系統(tǒng)的總簇?cái)?shù)為260 469，比最大結(jié)束簇號(hào)少10個(gè)簇，所以數(shù)據(jù)區(qū)所占簇號(hào)范圍為2～260 470，共計(jì)260 469個(gè)簇，由于每個(gè)簇的扇區(qū)數(shù)為8，所以，數(shù)據(jù)區(qū)所占扇區(qū)數(shù)為2 083 752。

(3)由FAT32_DBR存放在硬盤的0號(hào)扇區(qū)，所以保留扇區(qū)數(shù)為FAT1的開始扇區(qū)號(hào)，即4 250。

(4)DBR中總扇區(qū)數(shù)=數(shù)據(jù)區(qū)所占扇區(qū)數(shù)+每個(gè)FAT所占扇區(qū)數(shù)×FAT表的個(gè)數(shù)+保留扇區(qū)數(shù)=2 083 752+2 035×2+4 250=2 092 072。

(5)將計(jì)算出的每個(gè)簇的扇區(qū)數(shù)、保留扇區(qū)數(shù)等值，轉(zhuǎn)換為在FAT32_DBR中的存儲(chǔ)形式，如表3所示。

(6)將同一版本的FAT32_DBR復(fù)制到硬盤的0號(hào)扇區(qū)，并將每個(gè)簇的扇區(qū)數(shù)、保留扇區(qū)數(shù)等值修改為表3中的值后存盤，如圖4所示。

表3 重建FAT32_DBR所需計(jì)算的參數(shù)(2)

圖4 修改FAT32_DBR中的參數(shù)(1)

重新啟動(dòng)Windows操作系統(tǒng)后，在資源管理器中即可看該硬盤的盤符，打開該硬盤即可看到恢復(fù)出來的文件。

情況二：FAT32_DBR沒有存放在硬盤的0號(hào)扇區(qū)，其方法如下：

方法(1)、(2)同情況一。

(3)由于FAT32_DBR沒有存放在硬盤的0號(hào)扇區(qū)，可以假設(shè)FAT32_DBR存放在硬盤的128號(hào)扇區(qū)(即FAT32的0號(hào)扇區(qū)，當(dāng)然也可以存儲(chǔ)在其他扇區(qū)，但該值必須小于FAT1開始扇區(qū)號(hào))。

FAT32_DBR中的保留扇區(qū)=FAT1的開始扇區(qū)號(hào)-FAT32_DBR所在扇區(qū)號(hào)=4 250-128=4 122

(4)FAT32_DBR中總扇區(qū)數(shù)=保留扇區(qū)數(shù)+每個(gè)FAT表所占扇區(qū)數(shù)×FAT表的個(gè)數(shù)+數(shù)據(jù)區(qū)所占扇區(qū)數(shù)=4 122+2 035×2+2 083 752=2 091 944。

(5)將計(jì)算出每個(gè)簇的扇區(qū)數(shù)、保留扇區(qū)數(shù)等值，轉(zhuǎn)換為在DBR中的存儲(chǔ)形式，如表4所示。

表4 重建FAT32_DBR所需計(jì)算的參數(shù)(3)

(6)將同一版本的FAT32_DBR復(fù)制到硬盤的128號(hào)扇區(qū)，并將每個(gè)簇的扇區(qū)數(shù)、保留扇區(qū)數(shù)等值修改為表4中的值后存盤，如圖5所示。

圖5 修改FAT32_DBR中的參數(shù)(2)

5 重建MBR分區(qū)表基本思路和方法

針對(duì)情況一，不需要重建MBR的分區(qū)表即恢復(fù)出FAT32文件系統(tǒng)中的所有數(shù)據(jù)。

針對(duì)情況二，還需要重建FAT32文件系統(tǒng)MBR分區(qū)表，其基本思路如下：

從FAT32_DBR所在扇區(qū)得到分區(qū)表的相對(duì)扇區(qū)和FAT32文件系統(tǒng)的總扇區(qū)數(shù)。

由圖5可知，F(xiàn)AT32_DBR在整個(gè)硬盤的128號(hào)扇區(qū)，在分區(qū)表中的存儲(chǔ)形式為“80 00 00 00”；而總扇區(qū)數(shù)為2 091 944，在分區(qū)表中的存儲(chǔ)形式為“A8 EB 1F 00”。

由于目前硬盤的存儲(chǔ)形式均為LBA，所以起始地址和結(jié)束地址均未定義，可以為任意值。

FAT32文件系統(tǒng)的分區(qū)標(biāo)志為0X0C。

由于此硬盤不是引導(dǎo)盤，所以引導(dǎo)標(biāo)志為00。

由此可以計(jì)算出NTFS文件系統(tǒng)的分區(qū)表如下：

0001 01 00 07 FE FF FF 80 00 00 00 A8 EB 1F 00

將該值填入到整個(gè)硬盤的0號(hào)扇區(qū)偏移地址0X01BE～0X01CD處后，存盤并退出WinHex。

重新啟動(dòng)Windows 操作系統(tǒng)后，在資源管理器中即可看該硬盤的盤符，打開該硬盤即可看到恢復(fù)出來的文件。

6 結(jié)束語

文中提出兩種方法的核心在于通過分析MBR分區(qū)表和FAT32文件系統(tǒng)的結(jié)構(gòu)，根據(jù)子目錄的開始扇區(qū)號(hào)和開始簇號(hào)計(jì)算出每簇的扇區(qū)數(shù)，并計(jì)算FAT32文件系統(tǒng)2號(hào)簇(即根目錄的開始簇號(hào))的開始扇區(qū)號(hào)，從而計(jì)算出每個(gè)FAT表所扇區(qū)數(shù)，估算出FAT32的總扇區(qū)數(shù)，根據(jù)這些參數(shù)計(jì)算出FAT32_DBR中的相應(yīng)參數(shù)，最終恢復(fù)了FAT32文件系統(tǒng)中的全部數(shù)據(jù)；用戶可以通過資源管理器看到恢復(fù)出來的全部數(shù)據(jù)。通過實(shí)踐證明，該方法不僅方便快捷，而且簡(jiǎn)單實(shí)用。

[1] 劉 偉.數(shù)據(jù)恢復(fù)技術(shù)深度揭秘[M].北京:電子工業(yè)出版社,2010.

[2] 張鐘澍,陳代軍,李新萌.修復(fù)和維護(hù)你的硬盤[M].北京:北京希望電子出版社,2002:44.

[3] Schulman A,Michels R J,Kyle J,et al.Undocumented DOS a programmer’s guide to reserved MS-DOS functions and data structures[M].New York:Addison-Wesley Publishing Company,Inc,1990:129.

[4] 馬 林.數(shù)據(jù)重現(xiàn):文件系統(tǒng)原理精解與數(shù)據(jù)恢復(fù)最佳實(shí)踐[M].北京:清華大學(xué)出版社，2009:44.

[5] 汪中夏,張京生,劉 偉.RAID數(shù)據(jù)恢復(fù)技術(shù)揭秘[M].北京:清華大學(xué)出版社,2010:103-105.

[6] 戴士劍,涂彥暉.數(shù)據(jù)恢復(fù)技術(shù)[M].北京：電子工業(yè)出版社,2005:226.

[7] Ivens K,Gardinier K.Windows2000:the complete reference 2001[M].Beijing:China Machine Press,2001:531.

[8] 劉乃琦,郭建東,張 可.系統(tǒng)與數(shù)據(jù)恢復(fù)技術(shù)[M].成都:電子科技大學(xué)出版社,2008:77.

[9] 陳培德,張共勝.微機(jī)組裝與維修實(shí)用技術(shù)教程[M].成都:電子科技大學(xué)出版社,1999.

[10] 郭文武,李宗遠(yuǎn),于 泳.硬盤數(shù)據(jù)恢復(fù)及維修[M].北京:國防工業(yè)出版社,2015.

[11] 李曉中,喬 晗,馬 鑫,等.數(shù)據(jù)恢復(fù)原理與實(shí)踐[M].北京:國防工業(yè)出版社,2011.

[12] 迅維網(wǎng),羅 工.硬盤維修及數(shù)據(jù)恢復(fù)不是事兒[M].北京：電子工業(yè)出版社,2015.

[13] 韓松峰,?？〕?數(shù)據(jù)恢復(fù)技術(shù)與應(yīng)用[M].北京：電子工業(yè)出版社,2014.

[14] Hogan T.The programmer’s PC sourcebook[M].Redmond Washington,USA:Microsoft Press,1988:60.

[15] Solomon D A.Inside Windows NT[M].2nd ed.Redmond Washington,USA:Microsoft Corporation,1998:330.

Research and Implementation of Rebuilding Partition Table and FAT32_DBR

CHEN Pei-de1,2,WU Jian-ping1,2,WANG Li-qing1,2

(1.School of Information Science and Engineering,Yunnan University,Kunming 650223,China; 2.Key Laboratory of Digital Media Technology of Universities in Yunnan Province,Kunming 650223,China)

To analyze and research the MBR partition table,the whole layout of FAT32 File System and DBR in the FAT32 File System,the MBR partition table,FAT32_DBR and FAT1 are repaired when they are damaged at one time by the mode of experiment.The two methods are put forward for recovering the data,the first one is to repair FAT32_DBR and FAT1 in hard disk,the second is to repair MBR partition table,FAT32_DBR and FAT1 in hard disk.The results of experiment indicate that one of two methods could be used to recover all data in FAT32 File System.Solved the problem that the data could be recovered difficultly as MBR partition table,FAT32_DBR and FAT1 damaged at one time.The practice is proved that the first method is only used to recover the all data in a partition table and the second one is to used to recover the all data in many partitions.

FAT32 file system;partition table;subdirectory;file allocation table

2015-12-31

2016-04-21

時(shí)間：2016-09-26

云南省2015年度高校數(shù)字媒體技術(shù)重點(diǎn)資助項(xiàng)目(2015KFKT002)

陳培德(1966-),男，工程師，研究方向?yàn)槲募到y(tǒng)與數(shù)據(jù)恢復(fù)技術(shù)。

http://www.cnki.net/kcms/detail/61.1450.TP.20160926.0951.002.html

TP311.12

A

1673-629X(2016)10-0188-04

10.3969/j.issn.1673-629X.2016.10.041