winhex短文件恢复实例讲解

内容基础，功力尚浅，或有未知错误，请多多指教。

这里先贴一下老师的小tips，这是我的展示步骤。

1.fat 32分区下面创建一个 txt 文件，观察文件的目录项、簇链表以及文件的位置。

2.shift+ del 删除该文件

3.用 winhex 进入该 fat 32 分区，进行数据恢复（包括手工修复目录项，簇链表）

4.刷新分区，进入原有目录，此时应该可以正常看到这个文件，同时双击可正常打开。

文件恢复的原理（网上搜集，看起来比较奇怪是因为这是从onenote上直接复制过来的）

FAT文件系统

先上一个结构图，具体概念可以自己百度。

其中簇是文件存储的基本单位。我的电脑1簇=8个扇区=8*512 B =4 KB（这里需要注意的是，文件属性里显示的文件大小是不精确的字节数，所以之后恢复簇链表时填充FAT表的时候，不要多填或少填。）

下面我们一边介绍然后演示txt文件的恢复。

我是直接在电脑“磁盘管理”中，将空闲的一个盘分出来一个FAT32文件格式的盘做的实验，这是因为现在的文件系统一般比较大，采用的是更适合的NTFS文件系统，所以分盘的时候最好大约在30M~30G之间。（当然你也可以在虚拟机里搞）

（首先上一张winhex全景图），以管理员权限打开，（否则无法成功修改），打开磁盘。

在winhex里操作记得观察结果之前要进行“更新磁盘快照”。

1.DBR

如下图所标注，着色部分是FAT32文件系统的DBR，分别为跳转指令，OEM代号，BPB，引导程序和结束标志（55AA）。其中BPB结构另一图中详尽标出（0x0B~0x59），并在表格里说明含义。FAT32文件系统的开始部分有一个由若干个扇区组成的保留区，保留区的大小会记录在DBR扇区中，比较常见的为32、34或38个扇区。由DBR中0x0e和0x0f两个地址的数值决定，小端字节序，即N的值。

BPB结构图如下：

2.FAT表

FAT表中记录的是文件的簇链表，以4个字节为一个簇号，从光标0x00~0x03为0号表项，固定值；1号表项是可能被用于记录脏标志，以说明文件系统没有被正常卸载或者磁盘表面存在错误。不过这个值并不重要。正常情况下1号表项的值为“FFFFFFFF”或“FFFFFF0F”。文件簇号从2号簇开始存储，每个簇里面填写下一个簇的簇号，结束簇填“FFFFFF0F”。

3.下面进入根目录区。根目录区存储文件目录，FAT32文件系统中，分区根目录下的文件和目录都放在根目录区中，子目录中的文件和目录都放在子目录区中，并且没每32个字节为一个目录项，每个目录项纪录着一个目录或文件（也可能是多个目录项记录一个文件或目录），如上图所示就是一个目录项。

在FAT32文件系统中，目录项可以分为四类：卷标目录项、“.”和“..”目录项、短文件名目录项、长文件名目录项。（“.”和“..”目录项：“.”表示当前目录，“..”表示上一层目录。这两个目录项多存在子目录中。短文件名目录项：所谓短文件名既文件名的“8.3”格式，此格式支持主文件名不能超过8字节，扩展名不能超过3字节。短文件名目录始终存放在一个目录项中。）短文件名各参数如下：

如图为一个短文件名目录项，大小32个字节。

如图所示文件首簇（0x14 0x15）为0，所以不用分析。短文件就是这样存储的。长文件就是把它分成若干短文件名，向上存储。举一个例子。粉色所示是我们长文件浓缩成短文件的目录项，与短文件一样的格式存储；而长文件的名字则拆开，32个字节里存13个字符，Unicode编码存储，1表示第一部分，2表示第二部分，42表示第二部分已经足够存储文件名了。