操作系统——文件管理实验

操作系统文件系统的机制

我们日常使用的windows系统的文件管理每天都执行着数次的写入与删除,当我们执行系统上的默认的删除的时候,操作系统只会对文件表进行修改,但其中的文件数据依旧存在,对此我们可以根据其机制进行文件的提取与修复。

使用工具

Windows系统:

  1. Winhex软件;
  2. 需要提取文件的U盘;

01 开始操作

使用管理员模式打开WinHex(不用管理员模式打开也行,直接为第02步,不会读取到MBR部分)。
在工具一选项卡中点击打开磁盘,选中物理磁盘中的对应U盘(可以根据U盘大小判断,物理磁盘的读取根据驱动编号)
打开以后如图所示:(所示扇区为MBR部分)
操作系统——文件管理实验_第1张图片

02 分区操作

打开以后点击“分区1”(此处的分区为逻辑分区,也就是电脑上为什么一个硬盘能出现多个磁盘原因)
打开以后如图所示:(所示扇区为DBR部分)
操作系统——文件管理实验_第2张图片

03 U盘文件系统的参数获取

使用WinHex视图选项卡下的模板管理,找到对应的文件系统类型,如图所示(这里因为我的U盘是FAT32的文件系统):
操作系统——文件管理实验_第3张图片

如果不知道自己的U盘的文件系统,可以在我的电脑界面下,对U盘右击属性查看,如图所示:
操作系统——文件管理实验_第4张图片

选中后打开如图所示:
操作系统——文件管理实验_第5张图片

其中的字节/扇区、扇区/簇、保留扇区、FAT数、扇区/FAT以及根目录第一簇对后续的计算都是需要的,对此需要进行记录。

04 根目录的查询

点开根目录,我们可以看到U盘下的文件分类记录,如图所示:
操作系统——文件管理实验_第6张图片

我们可以对应下面这张分类图对数据进行查找:
操作系统——文件管理实验_第7张图片

这里以提取U盘中bilibili文件夹下的txt文件为例进行试验。
操作系统——文件管理实验_第8张图片

05 查找文件

根据表中记录的,第26~27为文件簇号,我们可以读取到文件夹在第6簇下(数值为十六进制的,需要对应的十六进制到十进制转化。另外数值类型的数据在里面的记录为从右向左读取,如:00 5E 30,十六进制读取为:30 5E 00)
根据文件的公式:“(簇号-首簇号)* 簇大小+保留扇区+FAT占的扇区* FAT数=对应的扇区数”可得
bilibili文件夹的位置为(6-2)* 32+2784+14992 * 2 = 32896扇区
点击位置选项卡的跳转扇区进行跳转(也可以直接使用簇号跳转,也能计算出32896扇区来)。
跳转结果如图所示:
操作系统——文件管理实验_第9张图片

同理,我们可以直接找到txt文件的位置:
操作系统——文件管理实验_第10张图片

txt文件的位置为(7-2)* 32+2784+14992 * 2 = 32928扇区
点击位置选项卡的跳转扇区进行跳转(也可以直接使用簇号跳转,也能计算出32928扇区来)。
跳转结果如图所示:
操作系统——文件管理实验_第11张图片

06 提取文件

根据上一步读取到的txt文件信息,可以得到以下信息:
txt文件的大小为 00 00 01 6A 转十进制为362字节,为362/512向上取整为一个扇区。(这里提取扇区时存储均按照不满一个扇区依旧算一个扇区,不存在半个扇区存储一说)
txt的终止扇区为(7-2)* 32+2784+14992 * 2 +1-1= 32928扇区末尾,也就是32929扇区前一位。
提取如图所示:
操作系统——文件管理实验_第12张图片

选中时可以使用右击-选块开始与右击-选块结束来进行选择,避免大幅度拖动。
此时对选中右击-编辑-复制选块-置入新文件,按照原文件扩展名保存即可。
操作系统——文件管理实验_第13张图片

最后得到所需文件。

所需文件:Winhex

链接: 蓝奏网盘 密码:d1ye

你可能感兴趣的:(操作系统,windows)