《FAT文件系统》PPT课件.ppt

信息产业部数据恢复技术培训 硬盘分区完成后 就建立起一个个相互 独立 的逻辑驱动器 这时如果从软驱启动系统 进入DOS环境 在DOS下可以看到DOS分区的逻辑盘符 这些逻辑盘符代表逻辑驱动器 比如 C D 等 系统一般按26个英文字母的顺序排列 试试键入 C 或 D 回车后会看到系统提示 DISKMEDIAERROR 即硬盘介质错误 为什么呢 因为这些逻辑磁盘只是一座座空城 要使用这些城堡 还需要在上面搭建文件系统 这个过程就是逻辑驱动器的高级格式化 高级格式化一定是针对逻辑磁盘而言的 既不是针对物理硬盘 也不是针对某个目录 由于文件系统和逻辑磁盘相对应 所以 也可以说高级格式化针对文件系统 本文中逻辑磁盘和逻辑驱动器等价 第7讲FAT文件系统 信息产业部数据恢复技术培训 1 用Format格式化硬盘分区 各DOS逻辑盘的高级格式化可用DOS的高级格式化命令 Format 来完成 高级格式化的主要作用如下 从各个逻辑盘指定的柱面开始 对扇区进行逻辑编号 分区内的编号 在基本分区上建立DOS引导记录 DBR 若命令中带有参数 S 则装入DOS的三个系统文件 在各个逻辑盘建立文件分配表 FAT 建立根目录对应的文件目录表 FDT 及数据区 第7讲FAT文件系统 信息产业部数据恢复技术培训 2 7 4硬盘数据存储区域 为更深入的了解硬盘 还必须对硬盘的数据结构有个简单的了解 对于FAT16和FAT32文件系统 NTFS采用不同的文件管理技术 另做介绍 硬盘上的数据按照其不同的特点和作用大致可分为5部分 MBR区 DBR区 FAT区 DIR区和DATA区 其中 MBR由分区软件创建 而DBR区 FAT区 DIR区和DATA区由高级格式化程序创建 文件系统写入数据时只是改写相应的FAT区 DIR区和DATA区 也正是这5个区域共同作用的结果 才使整个硬盘的管理有条不紊 下面对这5个区域分别进行介绍 第7讲FAT文件系统 信息产业部数据恢复技术培训 2 7 4硬盘数据存储区域 1 MBR区MBR 即主引导记录区 位于整个硬盘的0磁道0柱面1扇区 在总共512字节的主引导扇区中 MBR的引导程序占用其中的前446个字节 偏移0 偏移1BDH 随后的64个字节 偏移1BEH 偏移1FDH 为DPT DiskPartitionTable 硬盘分区表 最后的两个字节 55AA 偏移1FEH 偏移1FFH 是分区有效结束标志 由它们共同构成硬盘主引导记录 也称主引导扇区 有时硬盘主引导记录专指MBR的引导程序 本书中对硬盘主引导记录和硬盘主引导扇区不作区分 查看实际的MBR 并记住其特征 第7讲FAT文件系统 信息产业部数据恢复技术培训 2 7 4硬盘数据存储区域 2 DBR区DBR DOSBootRecord 操作系统引导记录区 通常位于硬盘0柱1面1扇区 是操作系统可以直接访问的第一个扇区 它包括一个引导程序和一个被称为BPB BIOSParameterBlock 的本分区参数记录表 引导程序的主要任务是 当MBR将系统控制权交给它时 判断本分区根目录前两个文件是不是操作系统的引导文件 以DOS为例 即是IO SYS和MSDOS SYS 低版本的DOS要求这两个文件必须是前两个文件 即位于根目录的起始处 占用最初的两个目录项 高版本已没有这个限制 另外 Windows与DOS是一个家族 所以Windows也沿用这种管理方式 只是文件名不一样 如果确定存在 就把IO SYS读入内存 并把控制权交给IO SYS BPB参数块记录着本分区的起始扇区 结束扇区 文件存储格式 硬盘介质描述符 根目录大小 FAT个数 分配单元大小等重要参数 查看实际的DBR 并记住其特征 第7讲FAT文件系统 信息产业部数据恢复技术培训 2 7 4硬盘数据存储区域 3 FAT区在DBR之后就是FAT FileAllocationTable 文件分配表 区 同一个文件的数据并不一定完整地存放在磁盘的一个连续的区域内 往往会分成若干段 像一条链子一样存放 这种存储方式称为文件的链式存储 硬盘上的文件常常要进行创建 删除 增长 缩短等操作 这样的操作做得越多 盘上的文件就可能被分得越零碎 每段至少是1簇 但是 由于硬盘上保存着段与段之间的连接信息 即FAT 操作系统在读取文件时 总是能够准确地找到各段的位置并正确读出 不过 这种以簇为单位的存储法也是有其缺陷的 这主要表现在对空间的利用上 每个文件的最后一簇都可能有未被完全利用的空间 称为尾簇空间 一般来说 当文件个数比较多时 平均每个文件要浪费半个簇的空间 查看实际的FAT 并记住其特征 第7讲FAT文件系统 信息产业部数据恢复技术培训 2 7 4硬盘数据存储区域 为实现文件的链式存储 硬盘上必须准确地记录哪些簇已经被文件占用 还必须为每个已经占用的簇指明存储后继内容的下一个簇的簇号 对一个文件的最后一簇 则要指明本簇无后继簇 这些都由FAT表来保存 表中有很多表项 每项记录一个簇的信息 由于FAT对于文件管理的重要性 所以FAT有一个备份 即在原FAT的后面再建一个同样的FAT 初形成的FAT中 所有项都标明为 未占用 如果磁盘有局部损坏 格式化程序会检测出损坏的簇 在相应的项中标为 坏簇 以后存文件时就不会再使用这个簇 FAT的项数与硬盘上的总簇数相当 每一项占用的字节数也与总簇数相适应 因为其中需要存放簇号 FAT的格式有多种 最为常见的是FAT16和FAT32 其中FAT16是指文件分配表使用两个字节即16位表示一个簇 第7讲FAT文件系统 信息产业部数据恢复技术培训 2 7 4硬盘数据存储区域 由于16位分配表最多能管理65536 即2的16次方 个簇 而每个簇的存储空间最大只有32KB 所以在使用FAT16管理硬盘时 每个分区的最大存储容量就只有65536 32KB 2048MB 也就是常说的2GB 现在的硬盘容量越来越大 由于FAT16对硬盘分区的容量限制 所以 当硬盘容量超过2GB之后 用户只能将硬盘划分成多个2GB的分区后才能正常使用 为此微软公司从Windows95OSR2版本开始使用FAT32标准 即使用32位表示一个簇的文件分配表来管理硬盘文件 这样系统就能为文件分配多达4294967296 即2的32次方 个簇 所以在簇同样为32KB时 每个分区容量最大可达128TB以上 此外 使用FAT32管理硬盘时 每个逻辑盘中的簇大小也比使用FAT16标准管理的同等容量的逻辑盘小很多 由于文件存储在硬盘上占用的磁盘空间以簇为最小单位 所以 某一文件即使只有几十个字节也必须占用整个簇 因此 逻辑盘的簇单位容量越小越能合理利用存储空间 所以 FAT32更适用于大容量硬盘 第7讲FAT文件系统 信息产业部数据恢复技术培训 2 7 4硬盘数据存储区域 4 DIR区DIR Directory 也称文件目录表FDT FileDirectoryTable 是根目录区 紧接着第二FAT表 即备份的FAT表 之后 记录着根目录下每个文件 目录 的起始单元 文件的属性等 定位文件位置时 操作系统根据DIR中的起始单元 结合FAT表就可确定文件在硬盘中的具体位置和大小 查看实际的DIR 并记住其特征 第7讲FAT文件系统 信息产业部数据恢复技术培训 2 7 4硬盘数据存储区域 5 DATA区DATA 数据 区 是真正意义上的数据存储的地方 位于DIR区之后 占据硬盘上的大部分空间 这5个区域在硬盘逻辑分区上的排列如图2 58所示 查看实际的DATA 并记住其特征 第7讲FAT文件系统 信息产业部数据恢复技术培训 第7讲FAT文件系统 磁盘 硬盘指逻辑盘 从这里开始除非特别指出物理硬盘 讨论的都是逻辑磁盘 讨论各分区内的文件系统的管理方式 所有分区内的逻辑扇区 都从 0 开始编号 直至其最大值 1 涵盖整个分区 的0扇区叫做DOS引导扇区 又称为BOOT区 由Format 高级格式化 命令将DOS引导记录 DBR 写到该扇区 主要功能是完成系统的自举 下面分别讨论DOS的BOOT和Windows的BOOT 信息产业部数据恢复技术培训 第7讲FAT文件系统 信息产业部数据恢复技术培训 第7讲FAT文件系统 信息产业部数据恢复技术培训 第7讲FAT文件系统 3 DOS引导扇区的结构分析上面读出的内容 可知DOS引导扇区由以下5个部分组成 1 跳转指令跳转指令占用两个字节 它将程序执行流程跳转到自举代码处 如EB3C和EB58 就是跳转到3C和58 JMP3C和JMP58 EB代表汇编语言的JMP 注意该指令本身占用2个字节 计算跳转时以该指令的下一字节为基准 所以实际执行的下一条指令分别位于3E和5A处 从前面硬盘的主引导扇区的介绍已经了解到 DOS引导扇区是由主引导扇区的引导程序段读入并跳转到这里的 紧接着跳转指令的是一条空指令NOP 90 信息产业部数据恢复技术培训 第7讲FAT文件系统 2 厂商标识和DOS版本号这部分占8个 03 0A 字节 其内容随DOS版本不同而略有变化 3 BPB BIOSParameterBlock BIOS参数块 BPB从第12 0BH 字节开始 占用52 0B 3E FAT12 FAT16 或80 0B 5A FAT32 个字节 各字节内容及地址分配如表2 14所示 在该部分记录了磁盘的每扇区字节数 磁头数 目录起始簇等重要信息 该部分的内容随磁盘类型的不同而变化 信息产业部数据恢复技术培训 第7讲FAT文件系统 信息产业部数据恢复技术培训 第7讲FAT文件系统 4 DOS引导程序DOS引导程序 即占用448字节 3E 1FD 或420字节 5A 1FD 的BOOT代码 负责完成DOS三个系统文件的装入 这部分内容随DOS版本不同而略有变化 5 结束标志DBR的结束标志与分区表的结束标志相同 为 55AA 占用2个字节 以上5个部分共占用512个字节 正好是一个扇区 因此称它为DOS引导扇区或BOOT扇区 该扇区的内容 除了第5部分结束标志字固定不变外 其余4个部分都是不确定的 第1 2 4部分都因DOS版本的不同而不同 第3部分 BPB信息 的内容也随DOS版本及磁盘的不同而变化 信息产业部数据恢复技术培训 第7讲FAT文件系统 其中 保留扇区 Reservedsectors 是由DOS或Windows指定的被保留用做引导的扇区数 早期版本中为1 即BOOT本身占用的1个扇区 较新的版本一般为32 除BOOT本身占用的扇区 一般为1 外 有31个扇区保留未用 其中第6扇区一般是BOOT的备份 在BOOT损坏时 可用该扇区覆盖BOOT扇区进行修复 信息产业部数据恢复技术培训 第7讲FAT文件系统 系统隐含扇区 Hiddensectors 是指分区表中所描述的该分区的起始扇区 一般形如某柱面 0 1 至该逻辑磁盘BOOT扇区之间的扇区数 即MBR或虚拟MBR至随后的逻辑磁盘BOOT之间的扇区数 一般为63 注意它与分区表中隐含扇区的区别 硬盘的每一个分区都是独立的 逻辑驱动器 DOS或Windows将每个分区都视为一个从 0 开始的连续扇区块 每个分区的隐含扇区数取决于该分区以前的总扇区数 信息产业部数据恢复技术培训 第7讲FAT文件系统 前面介绍的硬盘分为五个区域的情况 指的就是FAT文件系统的情况 NTFS使用和FAT不一样的管理方式 在后面再介绍 FAT文件系统使用文件分配表 FAT 它是DOS文件管理系统用来记录每个文件的存储位置的表格 以链的方式存放簇号 FAT紧接着DOS引导扇区存放 磁盘上有两个FAT 一个是基本表 另一个是备份 两个表的长度和内容相同 每个FAT所占用的扇区数取决于DOS版本 分区大小 每簇的扇区数等因素 其具体所占扇区数可参见BPB偏移16H 小于32MB 和24H 大于32MB 处的值 信息产业部数据恢复技术培训 第7讲FAT文件系统 信息产业部数据恢复技术培训 磁盘格式化后 用户文件以簇为单位存放在数据区中 一个文件至少占用一个簇 当一个文件占用多个簇时 这些簇的簇号不一定是连续的 但这些簇号在存储该文件时就确定了顺序 即每个文件都有其特定的 簇号链 在磁盘上的每一个可用的簇在FAT中有且只有一个登记项 通过在对应簇号的登记项内填入 表项值 来表明数据区中的该簇是已占用 空闲或是坏簇三种状态之一 损坏的簇可以在格式化过程中 由Format命令发现并记录在FAT中 在一个簇中 只要有一个扇区有问题 该簇就不能使用 第7讲FAT文件系统 信息产业部数据恢复技术培训 簇号的长度由簇的多少决定 进而决定FAT中表项的位数 现在FAT的位数有12位 16位和32位三种 FAT表项的位数与操作系统版本及所用磁盘的容量等有关 12位表项值可表示4096个簇 若磁盘的簇数大于4096 则必须用16位表项值表示 一般来说 小于20740个扇区 10MB 的硬盘DOS分区用12位映射一个簇 若多于20740个扇区 则采用16位的FAT表项 软盘使用12位的FAT表项 16位的FAT表项最多可表示65535个簇 一般每簇不多于64个扇区 32KB 这样 采用16位FAT的系统最多只能管理32 65535 2097120KB 2048MB 2GB的磁盘 对于容量超过2GB的大容量硬盘 必须将其划分成不超过2GB的逻辑盘 如果逻辑盘大于2GB 高级格式化时又采用FAT16格式 那么 虽然该逻辑驱动器大于2GB 也只能使用前2GB的空间 第7讲FAT文件系统 信息产业部数据恢复技术培训 第7讲FAT文件系统 在硬盘主引导扇区的分区表中 只有四个分区表项 所以无扩展分区硬盘的极限容量是8GB 到了Windows95OSR2版本和Windows98时 将FAT表项长度增加到32位 称为FAT32 在FAT32模式下 就是每个簇只有4KB大小 也依然可以管理4KB 4294967296 表项 17179869184KB 16777216MB 16384GB 16TB的分区 要想知道系统是否使用FAT32 可在Windows95OSR2或Windows98中查看逻辑盘属性 选中的 常规 选项卡 如图2 66所示 信息产业部数据恢复技术培训 第7讲FAT文件系统 信息产业部数据恢复技术培训 第7讲FAT文件系统 如果系统支持FAT32 可以将原FATl6文件系统转换到FAT32 Windows98带有转换程序 也可以用PartitionMagic进行转换 和Fdsik不同 这个程序不抹去原有数据就可实现转换 对于重要数据 还是先做备份以保安全 安装并运行PartitionMagic 选择 Advanced AdvancedFATProperties 在 PartitionType 中选择 FAT32 然后单击 OK 按钮即可实现转换 DOS以簇为单位给文件分配磁盘空间 每个簇在FAT表中占有一个登记项 所以 在FAT表中 簇编号也是登记项编号 每一个登记项作为一个簇的标志信息占用一定的字节 该标志信息可取的表项值及其含义如表2 16所示 信息产业部数据恢复技术培训 第7讲FAT文件系统 信息产业部数据恢复技术培训 第7讲FAT文件系统 在FAT的簇登记项中 0号登记项和1号登记项是表头 簇的登记项从2号开始 即磁盘上的第一个文件从第2簇开始分配 早期DOS版本中 在启动盘上 系统文件IO SYS 或IBMBIO COM 所在的首簇号总是2 综上所述 FAT的功能主要有如下三点 表明磁盘类型FAT的第0簇和第1簇为保留簇 其中 第0字节 首字节 表示磁盘类型 其值与BPB中磁介质描述符所对应的磁盘类型相同 信息产业部数据恢复技术培训 第7讲FAT文件系统 表明一个文件所占用的各簇的簇链分配情况下面以FAT16为例来介绍FAT表项值与簇号的关系 FAT从0002簇开始分配给文件 表项值0002H FFFFH中的任一值表明文件的下一个簇号 文件的起始簇号由文件目录表 FDT 中每个目录登记项的第26 27字节决定 FAT表项中的值既表示一个簇号 借以表示文件该部分内容在磁盘上的位置 又用其值乘以2作为下一个表项的位置 构成一个FAT链 用DEBUG读出部分FAT表项 低位在前 高位在后 的值并显示如下 信息产业部数据恢复技术培训 第7讲FAT文件系统 信息产业部数据恢复技术培训 第7讲FAT文件系统 其中0002是IO SYS的起始簇号 2 2 4 则自偏移4开始的表项值0003为下一簇 而0003 2 6 即为下一表项的偏移地址 依此类推 直到表项值为FFFFH 表示是该文件的最后一簇 标明坏簇和可用簇若磁盘格式化时发现坏扇区 即在相应簇的表项中写入FFF7H 表明该簇的扇区不能使用 DOS就不会将它分配给用户文件 磁盘上未用但可用的 空簇 的表项值为0000H 当需要存放新文件时 DOS按一定顺序将它们分配给新文件 虽然FAT记录了文件所用的磁盘空间信息 但是DOS引导区 两个FAT表 文件目录区FDT等磁盘空间并不由FAT中的簇表示 FAT只与DATA区的空间相对应 信息产业部数据恢复技术培训 第7讲FAT文件系统 2 7 4 4文件目录表用Format命令对磁盘 逻辑盘 进行高级格式化的时候 就已经为整个磁盘建立了一个根目录FDT 在根目录下 用户可以再创建不同的子目录或文件 根目录以及各个子目录都有自己的FDT 在具体操作中 DOS规定用字母C Z代表逻辑盘符 所以DOS简单地用 盘符 表示根目录 根目录的作用是分配根目录下的所有文件和子目录的存储空间 逻辑扇区号 并通过设备驱动程序接口确定有效的最大目录项 信息产业部数据恢复技术培训 第7讲FAT文件系统 1 FAT16的FDT 1 FAT16根目录中的FDT根目录下的所有文件及其子目录 在根目录的文件目录表中都有一个 目录登记项 每个目录登记项占用32个字节 分为8个区域 提供有关文件或子目录的信息 低版本的DOS或Windows系统下 在磁盘中 文件目录表的起始逻辑扇区为2 FAT扇区数 1 FDT所占用的扇区数等于32 根目录允许的项数 512 高版本的Windows系统中对根目录已经没有限制 而是把它作为一个普通的目录 或文件 来进行管理 由BPB指示其起始扇区 表2 17是FDT中一个文件目录登记项32个字节中各字节的内容及含义 信息产业部数据恢复技术培训 第7讲FAT文件系统 信息产业部数据恢复技术培训 第7讲FAT文件系统 FAT对每个文件来说其数据结构是一个单向链表 而每个文件在文件目录表FDT中占一个文件目录项 每个文件的首簇号就存放在该文件的目录项的第26 27字节中 系统根据这两个字节中的值乘以2得到它在FAT中该文件的单向链表的首表项 通过FAT即可找到文件全部内容 FDT的文件目录项中 第0 7字节为文件名 若有剩余字节则用空白符20H填充 其中 第1字节又表明了该文件的状态 它有如下三种取值方式 00H 目录项的空表项 未使用的目录项 E5H 表示该目录项曾经使用过 但文件已被删除 其他任何合法字符 表示一个文件名 或子目录名 的第一个字符的ASCII码值 如果是子目录下的两个特殊文件 或 目录项 其ASCII码为2EH和2EH2EH 信息产业部数据恢复技术培训 第7讲FAT文件系统 2 子目录结构DOS中采用层次目录结构 根目录下可以包含文件和子目录 子目录下又可以包含文件或下级子目录 整个目录结构好像一棵倒过来的树 所以 称为树型目录结构 有些系统对目录树的深度有限制 一个子目录也占一个文件目录项 只不过它的属性字节为10H 二进制表示为00010000B 文件长度字节为0 一个子目录的内容是若干个文件目录项或下级子目录项 信息产业部数据恢复技术培训 第7讲FAT文件系统 当前目录为子目录时 使用DIR列文件目录 通常可以看到前两项特殊文件 表示当前子目录 表示上一级目录 这两项同其他子目录一样也没有长度 项所报告的 首簇号 是子目录本身的起始簇号 项所报告的 首簇号 是上一级目录的起始簇号 如果上一级目录是根目录 则该簇号值被置成0 系统利用此结构来实现目录之间的双向联系 从而把整个文件系统联系在一起 信息产业部数据恢复技术培训 第7讲FAT文件系统 只有当文件需要时 系统才给文件分配数据区空间 存放数据的空间按每次一个簇的方式分配 分配时系统跳过已分配的簇 第一个遇到的空簇就是下一个将要分配的簇 此时系统并不考虑簇在磁盘上的物理位置 同时 文件删除后空出来的簇也可以分配给新的文件 这样做可使磁盘空间得到有效的利用 可以说 数据区空间的使用是在文件分配表和文件目录表的统一控制下完成的 每个文件所有的簇在文件分配表中都是链接在一起的 信息产业部数据恢复技术培训 第7讲FAT文件系统 下面用Debug命令来显示D盘的部分目录内容 磁盘的目录区起始扇区号是 2 FAT的扇区数 1 其中FAT的长度为CDH 所以 D盘根目录的起始逻辑扇区号是2 CDH 1 19BH 信息产业部数据恢复技术培训 第7讲FAT文件系统 从显示结果可知 ZRM是一个子目录 其起始簇号是5BH 一个文件或子目录在磁盘上的存储位置 逻辑扇区号 是 1 2 FAT的扇区数 FDT的扇区数 起始簇号 2 每簇扇区数 所以 ZRM子目录存放的逻辑扇区号是 1 2 CDH 20H 5BH 2 20H CDBH 用Debug读出并显示其结果如下 信息产业部数据恢复技术培训 第7讲FAT文件系统 可以看到 子目录ZRM的文件目录表FDT的前两个目录项中 第一个目录项的第0字节为2EH 第1 10字节为20H 第11 属性 字节为10H 第26 27字节中的值为005BH 正是子目录ZRM的首簇号 第二个目录项的0 1字节均为2EH 第26 27字节内容为0000H 表示其上级目录为根目录 FAT16的表项分析如图2 67所示 信息产业部数据恢复技术培训 第7讲FAT文件系统 信息产业部数据恢复技术培训 第7讲FAT文件系统 2 FAT32文件系统Windows95OSR2和Windows98支持FAT32文件系统 它是对早期DOS的FATl6文件系统的增强 由于文件系统的核心 文件分配表FAT由16位扩充为32位 所以称为FAT32文件系统 在一逻辑盘 硬盘的一分区 超过512MB时使用这种格式 会更高效地存储数据 减少硬盘空间的浪费 还会使程序运行加快 使用的计算机系统资源更少 因此 使用FAT32是使用大容量硬盘的极有效的文件系统 与FATl6文件系统相比 FAT32变化并不大 其中 变化部分有如下7点 FAT32文件系统将逻辑盘的空间划分为三个部分 依次是引导区 BOOT区 文件分配表区 FAT区 和数据区 DATA区 引导区和文件分配表区又合称为系统区 信息产业部数据恢复技术培训 第7讲FAT文件系统 引导区从第一扇区开始 使用三个扇区 实际只使用了第一个扇区 但第二和第三个扇区也写入了 55AA 标志 保存有该逻辑盘每扇区字节数 每簇对应扇区数等重要参数和引导记录 之后还留有若干个保留扇区 两者共占用32个扇区 而FATl6文件系统的引导区一般只占用一个扇区 没有保留扇区 文件分配表区保存有两个相同的文件分配表 因为文件所占用的存储空间 簇链 及空闲空间的管理都通过FAT来实现 FAT是如此的重要 所以系统保存两个以便第一个损坏时 还有第二个备用 文件系统对数据区的存储空间是按簇进行划分和管理的 簇是空间分配和回收的基本单位 即一个文件总是占用若干个整数簇 文件所使用的最后一簇剩余的空间不再使用 信息产业部数据恢复技术培训 第7讲FAT文件系统 从统计学上讲 平均每个文件浪费0 5簇的空间 簇越大 存储文件时空间浪费得越多 利用率越低 因此 簇的大小决定了该盘数据区的利用率 FATl6系统簇号用16位二进制数表示 从0002H到FFEFH为可用簇号 FFF0H到FFFFH另有定义 用来表示坏簇 文件结束簇等 允许每一逻辑盘的数据区最多不超过FFEDH 65518 个簇 FAT32系统簇号改用32位二进制数表示 大致从00000002H到FFFFFFEFH为可用簇号 FAT表按顺序依次记录该盘各簇的使用情况 是一种位示图法 这一点和FAT16相同 信息产业部数据恢复技术培训 第7讲FAT文件系统 每簇的使用情况用32位二进制填写 未被分配的簇相应位置写零 坏簇相应位置填入特定值 已分配的簇相应位置填入非零值 具体为 如果该簇是文件的最后一簇 填入的值为FFFFFF0FH 如果该簇不是文件的最后一簇 填入的值为该文件占用的下一个簇的簇号 这样 正好将文件占用的各簇构成一个簇链 保存在FAT表中 0000000H 00000001H两簇不使用 其对应的两个DWORD位置 FAT表开头的前8个字节 用来存放该盘介质类型编号 FAT表的大小由该逻辑盘数据区的簇数决定 取整数个扇区 信息产业部数据恢复技术培训 第7讲FAT文件系统 FAT32系统一簇对应8个逻辑相邻的扇区 理论上 这种用法所能管理的逻辑盘容量上限为16TB 16384GB 容量大于16TB时 可以用一簇对应16个扇区 依此类推 但是 对于容量小于512MB的盘 采用FAT32虽然一簇为8个扇区 比使用FATl6一簇16个扇区 簇有所减小 但FAT32的FAT表较大 占用空间较多 总数据区被减少 两者相抵 实际并不能增加有效存储空间 所以微软建议对小于512MB的逻辑盘不宜使用FAT32 根目录区 ROOT区 不再是固定区域 固定大小 可看做是数据区的一部分 因为根目录已改为根目录文件 采用与子目录文件相同的管理方式 一般情况下从第二簇开始使用 大小视需要增加 因此根目录下的文件数目不再受最多512个的限制 FATl6文件系统的根目录区 ROOT区 是固定区域 固定大小 占用FAT区之后紧接着的32个扇区 最多保存512个目录项 是系统区的一部分 信息产业部数据恢复技术培训 第7讲FAT文件系统 目录区中的文件目录项变化较多 一个目录项仍占用32字节 可以是文件目录项 子目录项 卷标项 仅根目录有 已删除目录项 长文件名目录项等 目录项中原来在DOS下保留未用的10个字节都有了新的定义 全部32个字节的定义如下 0 7字节 文件名 8 10字节 文件扩展名 11字节 文件属性 按二进制位定义 最高两位保留未用 0至5位分别是只读位 隐藏位 系统位 卷标位 子目录位 归档位 当只读位 隐藏位 系统位 卷标位全为1 其他位全为0 即11字节为 0FH 时表示该项为长文件名记录项 12 13字节 仅长文件名目录项有效 用来存储其对应的短文件名目录项的文件名字节校验和 信息产业部数据恢复技术培训 第7讲FAT文件系统 13 15字节 24位二进制文件建立时间 其中高5位为小时 次6位为分钟 再次5位的倍数为秒 最后8位为单位精确到10毫秒的创建秒数 16 17字节 16位二进制文件建立日期 其中高7位为相对于1980年的年份值 次4位为月份 后5位为月内日期 18 19字节 16位二进制文件最新访问日期 定义同16 17字节 20 21字节 起始簇号的高16位 22 23字节 16位二进制文件最新修改时间 其中高5位为小时 次6位为分钟 后5位的倍数为秒数 24 25字节 16位二进制文件最新修改日期 定义同16 17字节 26 27字节 起始簇号的低16位 28 31字节 32位文件字节长度 其中12 19字节为以后陆续定义 所有字节的意义如下 信息产业部数据恢复技术培训 第7讲FAT文件系统 信息产业部数据恢复技术培训 第7讲FAT文件系统 对于子目录项 其长度为零 已删除目录项的首字节值为E5H 在可以使用长文件名的FAT32系统中 文件目录项保存该文件的短文件名 长文件名用若干个长文件名目录项保存 长文件名目录项倒序排列在文件短目录项前面 全部采用双字节内码保存 每一项最多保存十三个字符内码 首字节指明是长文件名的第几项 11字节为0FH 12字节指明类型 13字节为校验和 26 27字节为零 以前版本的Windows和DOS与FAT32不兼容 不能识别FAT32分区 有些程序也依赖于FATl6文件系统 不能在FAT32驱动器下运行 将硬盘转换为FAT32格式后 就不能再用双引导运行以前版本的Windows 包括Windows95 Version4 00 950 WindowsNT3 x WindowsNT4 0 Windows3 x等 系统 信息产业部数据恢复技术培训 第7讲FAT文件系统 2 7 4 5DATA区DATA区域用于实际存储文件数据 其组织与管理由系统根据前面四个区域的内容来完成 信息产业部数据恢复技术培训 第7讲FAT文件系统 信息产业部数据恢复技术培训 第7讲FAT文件系统