FAT32

数据恢复报告——FAT32简介

FAT（File Alocation Table）即文件分配表，以这种文件分配表方式访问的文件系统被称为FAT文件系统结构，相应的磁盘分区也被称为FAT文件分区格式。FAT格式是微软公司最早支持的分区格式，它依据FAT表中每个簇链所占的位数分为FAT12，FAT16和FAT32三种格式。

系统将磁盘划分为一个一个大小相等的块，这个块就是簇。簇的大小并不唯一，具体占多少个扇区是在系统对分区进行格式化时根据分区的大小、文件系统类型等对簇的大小进行初始化的。但大多数情况下，FAT32中每簇占用4KB大小。文件占用磁盘时，最小的单位不是字节而是簇，即使某个文件只有一个字节，操作系统也会为其分配一个簇的空间。

每个簇都有一个逻辑编号。FAT32系统采用FAT簇的方式来实现，过程大致如下：FAT区中被逻辑的划分出若干个FAT项，每个FAT项有一个逻辑编号，FAT32结构的分区中每个FAT项占用32位，这个编号对应了数据区中的若干个簇。

FAT1和FAT2是两个完全一样的FAT，系统同时建立两条完全一样的FAT链，这样做是为了当FAT1损坏时可以用FAT2进行恢复。在FAT区后面是系统的根目录区，由若干目录项组成。在根目录区后面是文件的数据区，这个区域中存放的是用户和系统建立的文件数据，这个区被逻辑的划分成了若干个大小相等的簇，以便管理。 （一）引导扇区结构

硬盘的主引导扇区MBS是硬盘的第一个扇区，由其中存放的内容包括MBR、出错信息数据区、磁盘分区表DPT和结束标志字四个部分。

主引导程序的偏移地址是0000H~0088H，它主要负责从活动分区中转载并运行系统的引导程序。

出错信息数据区偏移地址是0089H~00E1H。

磁盘分区表DPT含有4个分区项，它的偏移地址是01BEH~01FDH,每个分区表项长16个字节，共64字节。

结束标志是偏移地址为01FEH~01FFH的两个字节，结束标志是55AAH。 FAT32文件系统磁盘主分区框架如下：

1个扇区 62个扇区 32个扇区 根据分区容量变化 根据分区容量变化 剩余扇区数 MBR 系统保留扇区 DBR FAT表 FDT DATA

BPB是FAT文件系统中十分重要的数据结构，位于FAT卷的第一个扇区，同时也属于FAT文件系统基本区域的保留区。这个扇区被称为启动扇区。

将0设为起始地址，部分BPB扇区的参数如下：

偏移0BH~0CH 每扇区字节数，取值只能为512、1024、2048或4096。一般这位512B。 偏移0DH 每簇扇区数，其值必须是2的正整数次方，且每簇大小不超过32K。 偏移1FEH~1FFH 为结束标志。 （二）FAT数据结构

FAT32磁盘中在系统引导区后有一些保留未用的扇区（一般为32个保留扇区），在后面有一个以F8H FFH FFH 0FH 开始的FAT表，其中FAT表一般有两个，其中的一个人用于对前一个的备份。从以上这几个十六进制数中可以知道两个信息，其一这是一块硬盘分区中的FAT分区，因为FAT开始的第一个字节是一个介质描述字节，硬盘为F8H；其二这是可以判定FAT文件系统的类型。

FAT分区实质上被看做由若干个FAT表项组成，每个FAT表项拥有一个逻辑编号，FAT32的FAT结构的FAT长度占32位。系统在创建文件时，会在目录项中的某个特定位置记下该文件FAT链的首簇号，而FAT表项是与簇一一对应的，因此可以通过首簇号找到对应的表项，读取表项中的内容，判断是否为结束标识，FAT32的结束标识在0FFFFFF8H~0FFFFFFFH范围内取值，若不是结束标识，则此内容记录了存放文件的下一个簇的簇号，再到所对应的FAT表项中读取相关内容，判断内容的值，以此类推直到找到文件的结束标识符为止。

FAT表项与簇一一对应，系统在创建一个新文件时会逐一扫描FAT，跳过已经分配的簇，将簇分配给文件，同时其簇号作为该文件的首簇号被记录到文件的目录项中。如果文件只需要一个簇就可以存下，则首簇号对应的FAT表项中将存放文件一簇的标记（一般为0FFFFFFFH）。若文件大小大于一个簇，则系统会继续寻找FAT表中未分配的簇，找到后将该簇的簇号存放到上一簇对应的FAT表项中。这样，上一个FAT表项就存放了下个簇的簇号，通过簇号找到文件的存放位置。

FAT表各个区域总体的相互关系可以表示如下：

扇区总数

保留扇区数 FAT表1 FAT表2 DATA区 剩余扇区

一般来讲，在硬盘或移动存储设备中每个扇区字节数都是512B，而最大的簇号在同一文件系统格式下是随着分区容量的大小呈正比增大的。所以FAT表占用的扇区数也在变化。公式如下：

分区最大簇号=（每个FAT占用的扇区数*每扇区字节数）/4

从上面也可以看出FAT的扇区数与DATA的扇区数相互关联。因为FAT多占了，DATA

就少了；DATA多占了，FAT就少了。因此需要找到一个平衡点，基于此又产生了计算FAT32文件格式下FAT长度的公式：

FAT扇区数=[(扇区总数-保留扇区-FAT扇区数*2-FDT扇区数)*2/每簇扇区数+4]/（每扇区数*512）

给定簇号可以计算出它位于FAT表的位置。先给定一下几个变量： clusterWhereSec 某簇号位于FAT的扇区位置 clusterOffset 簇号相对于该扇区的偏移量 BPB_RsvdSecCnt 保留扇区 BPB_BytsPerSec 每扇区字节数 计算公式为：

cluserWhereSec= BPB_RsvdSecCnt+(N*4)/ BPB_BytsPerSec

clusterOffset=(N*4) mod BPB_BytsPerSec

其中N是给定的簇号。

再给定一个变量：

BPB_SePerClus 每簇扇区数

已知簇号N找，到逻辑山区的计算公式如下：

DATA区中文件逻辑位置S=(N-2)* BPB_SePerClus+DataStaitsec

DataStaitsec=1+BPB_NumFATs*BPBFATz32+根目录占用的扇区数+ BPB_RsvdSecCnt

（三）FAT目录项结构

在FAT文件系统中，目录结构是文件系统的一种重要的数据结构。在这里，目录其实就是一个由32字节的线性表构成的“文件”。根目录是一个很特殊的目录，它存在于每个FAT分区中。对于FAT32文件系统来说，根目录区所占扇区数是不固定的，根目录的第一个扇区号存储在BPB_RootClus（根目录起始簇）中，而且没有日期和时间戳等。

为了管理磁盘上的文件，使用FAT32文件系统的操作系统就在磁盘的特定区域设置了一个文件的根目录区。在根目录区中的每个文件，在根目录区中都有一个目录。这个目录中包含了文件的一些重要属性，比如文件名、文件扩展名、文件大小、文件在磁盘上的起始簇号、文件的一些时间属性等等。

一般来说，FAT32的根文件目录项（FDT）紧跟FAT表，在第二个备份的FAT后，就是根目录区。但在进行数据恢复时，并不是通过WinHex来查看FAT到底在哪里，是否真的紧跟备份的FAT表之后，在前面谈到的只是一般情况，具体实践中，必须通过簇号来进行定位，根据BPB中根目录的起始簇号BPB_RootClus这个成员变量来加以判断等等。通过

簇号就可以根据之前给出的相应公式得出该簇号对应的DATA区域位置，然后就可以读取目录了。

本文来源：https://www.bwwdw.com/article/4cwd.html