diskgenius
硬盘基地 硬盘基地 数据恢复 硬盘 查看内容

使用FAT32链表来获取不连续文件举例

2015-1-21 13:54| 发布者: intohard| 查看: 12345| 评论: 32|原作者: csdn

摘要: 使用FAT32链表来获取不连续文件下图是FAT32分区格式的DBR: 我们现在拷贝一文件hfsetup5.exe到该分区打根目录,并用特殊工具重新打开该分区,跳到根目录,搜索484653455455。 我们很快就找到了,如下 ...
使用FAT32链表来获取不连续文件下图是FAT32分区格式的DBR:

001.png

我们现在拷贝一文件hfsetup5.exe到该分区打根目录,并用特殊工具重新打开该分区,跳到根目录,搜索484653455455。

002.png

我们很快就找到了,如下图:

003.png

从目录项目可以看出首簇为0003751F,现在我们跳到FAT1,试着在FAT表中搜索首簇的下一簇00037520,倒过来就是20750300。  如果首簇和第二簇就是不连续的,那就只能用最笨的方法 0003751F*4+34(本例的保留扇区)*512=E187C

004.png

从FAT表可以看出,该文件从0003751f开始,到0003753c告一段落,对应的扇区是多少呢? FAT32某文件或目录首逻辑扇区号= data起始扇区号+(该文件或目录起始簇号-2)*每簇扇区数。现在data扇区是已知的19960,那么这一段落是开始于1832672,结束于1832904+7。 下一个段落的首簇是0003760d,就是0003760d*4+34*512=E1C34 如下图,当我们用鼠标单击E1C34对应位置的时候,软件在左边为我们标出hfsetup的字样。

005.png

如此类推,直到文件结束。

开心
2

鄙视
7

鼓掌

愤怒

可怜

刚表态过的朋友 (9 人)

发表评论

最新评论

引用 suptidatta 2015-1-25 11:25
a big hex puzzle
引用 tioz 2015-1-25 20:07
学习了,谢谢分享
引用 英胜数据恢复 2015-1-26 09:16
hahahaha..............
引用 hubnet 2015-1-27 11:26
thank you for sharing
引用 梁程 2015-1-27 12:42
thanks..............
引用 doolittle 2015-1-27 14:34
看不懂啊。为什么搜索484653455455呢
引用 15770134380 2015-1-27 19:05
楼上,那是搜索文件名的16进制数
引用 zxzzhi 2015-1-29 10:05

学习了,谢谢分享
引用 dwbj118 2015-1-29 10:13
学习了,谢谢分享
引用 linxmp3 2015-1-29 10:42
现在很少用fat32
引用 a592090975 2015-2-4 11:31
学习 学习 在学习
引用 追梦yx 2015-3-3 20:40
dwbj118 发表于 2015-1-29 10:13
学习了,谢谢分享

谢谢分享,下来看看
引用 z96755 2015-3-25 11:50
谢谢分享,下来看看
引用 xjtpolice 2015-3-28 22:32
学习了,谢谢分享
引用 脚趾头 2015-4-3 15:41
感谢分析,共同进步
引用 lyly851123 2015-4-25 16:03
这里面有很多好东西,支持这个,一直关注,非常好!
引用 syh196312 2015-5-20 19:36
学习学习x学习学习x
引用 arj1977 2015-5-23 01:13
学习了,楼主辛苦~~~~
引用 16988 2015-5-24 20:50
学习了,谢谢分享

查看全部评论(32)

寻好东西

SSD固态硬盘使用40000小时掉盘问题:SAS企业级固态固件修复

SSD固态硬盘使用40000小

固态SSD硬盘数据丢失风险难道很大?日前HPE惠与公司的多款SAS企业级S

受损不识别的SSD固态硬盘数据恢复 数据恢复工程师知识

受损不识别的SSD固态硬

SSD固态硬盘数据恢复中相同主控型号有的可以恢复,有的不可以恢复,

PC-3000数据恢复便携式III:支持M.2 NGFF PCI-e NVMe固态硬盘数据恢复

PC-3000数据恢复便携式I

PC-3000便携式III:新功能和支持的设备PC-3000便携式III的精心设计和

返回顶部