FAT32格式下文件恢复实验

实验环境

我是用的winxp的虚拟机

  • winhex
  • 010editor

简介

  • 删除目标

FAT32格式下文件恢复实验_第1张图片
首簇号:786653
簇链表:
FAT32格式下文件恢复实验_第2张图片

  • 然后查看在目录表中的位置
    FAT32格式下文件恢复实验_第3张图片

由上图可知首簇高位和低位

在这里插入图片描述

  • 可见文件名首字节被修改,已经是被删除的状态了。
    在这里插入图片描述
    查看root directory
    FAT32格式下文件恢复实验_第4张图片
    查看簇链表:
    FAT32格式下文件恢复实验_第5张图片
    都被清零了。

开始恢复

  • 和原来的根目录信息相对比,我们发现:

修改了首字节为15H。
簇高位清零了,簇低位并没有变化。
簇链表被清零。

  • 恢复文件
  1. 根据相邻目录项恢复簇高位
    相邻目录项簇高位:、

FAT32格式下文件恢复实验_第6张图片
是12。
所以我们设置簇高位为12。
在这里插入图片描述

  1. 修改文件名首字节

在这里插入图片描述

  1. 修复簇链表
    这里根据它的簇高位和低位反推,并且假设连续存储的方法进行修改。

FAT32格式下文件恢复实验_第7张图片

保存之后
FAT32格式下文件恢复实验_第8张图片

文件成功被恢复。
FAT32格式下文件恢复实验_第9张图片

大家共勉~~

你可能感兴趣的:(安全)