【原创】FAT32系统硬盘的数据恢复实例

FAT32系统硬盘的数据恢复实例
软件：win hex（16进制的编辑器）
恢复内容：在FAT32中恢复一张图片
1.首先我们格式化一个分区为空，让分区的系统选为FAT32系统格式化。如下：

psb.jpg

psb (1).jpg

系统变成FAT32的文件系统了。。。
2.存入G盘一张图片，再把这张图片永久删除。
操作如下图：

psb (2).jpg

psb (3).jpg

3.我们用win hex打开磁盘来找丢失的图片，G盘是第5个分区，我们用win hex选择第5个分区。
如下图：

psb (4).jpg

4.接下来我们用，win hex自带的模板来分析DBR中的BPB参数，从BPB中找出：DBR保留扇区数、每FAT扇区数、FAT表的个数（一般值2）。根据这几个数值计算出FDT的位置，也就是文件目录表。
公式:DBR保留扇区数+FAT表的个数*每FAT扇区数

psb (5).jpg

psb (6).jpg

以图中可以看出：
DBR的保留扇区数：798
FAT的个数：2
FAT的扇区数：15985
FDT的位置=798+2 15985=32768

psb (7).jpg

然后把32768转换成16进制数为8000H。
8000H就是FDT的相对于DBR的位置，
向下跳8000H个扇区，就是FDT的位置了
文件目录表。
操作如下图：

psb (8).jpg

点OK

psb (9).jpg

这就是FDT的位置了
5.在FDT中分析那个被删除的图片的位置，然后还原数据。
如图：

psb (10).jpg

E5表示已经删除的文件。然后分析E5两行文件记录是长文件名还是短文件名，
后面没有0F代表这条记录是短文件记录。选择win hex自带的短文件名模板，找出:簇号、文件的大小。
如下图分析：

psb (11).jpg

分析结果：
簇号：3
文件大小：52577
然后算出DATA的位置，利用公式：（簇号-2）每簇的扇区数=DATA
得出结果：（3-2）*16=16=DATA
提醒：一般每个扇区数为16，不行的话去BPB中分析去。
得出这个扇区的相对位置，然后向下跳16个扇区，16转换成16进制为10H所以向下跳10H。如下图

psb (12).jpg

点击OK

psb (13).jpg

得到DATA的数据扇区后。向下偏移单位为字节，偏移52577（分析的文件的大小）
转换为16进制为CD61H，向下偏移CD61H个字节。

psb (14).jpg

psb (15).jpg

然后从偏移的起始位置到偏移的位置的中间的数据就是那个被删除的图片的数据了，把他保存到桌面上就行了

psb (16).jpg

psb (17).jpg

psb (18).jpg

保存了桌面了

psb (19).jpg

检验结果：

psb (20).jpg

psb (21).jpg

恢复完成了。。。
------------------------ 超级怪叔叔-UncleFreak的日志----------------------
-----------------------QQ：2206691630----------------------
---------------------博客地址： blog.z88j.com-----------------