浅谈FAT32文件系统的数据恢复

许程远 滕德锋 黄秀娟（广西广播电视技术中心钦州分中心）



浅谈FAT32文件系统的数据恢复

许程远 滕德锋 黄秀娟
（广西广播电视技术中心钦州分中心）

［摘 要］在日常生活和工作中，特别是在广播电视行业，大量地使用了各种存储媒介用来存储音视频文件、服务器系统数据、工作资料等等。但是在使用过程中，经常会遇到由于病毒破坏或用户的误操作原因，造成数据丢失的情况，给用户带来了巨大的损失，甚至可能会影响到广播电视发射台站的安全播出。本文通过对文件系统原理的分析，指出了数据恢复的可行性，并简要介绍使用WinHex软件手动恢复数据的操作过程。

［关键词］FAT文件系统;数据恢复;WinHex软件

一、存储磁盘的逻辑结构

硬盘由很多盘片组成，每个盘片的每个面都有一个读写磁头。如果有N个盘片，就有2N个面，对应2N个磁头（Heads），从0、1、2开始编号。每个盘片被划分成若干个同心圆磁道。这样每个盘片的半径均为固定值R的同心圆再逻辑上形成了一个以电机主轴为轴的柱面（Cylinders），从外至里编号为0、1、2……每个盘片上的每个磁道又被划分为几十个扇区（Sector），通常的容量是512byte，并按照一定规则编号为1、2、3……形成Cylinders×Heads×Sector个扇区。这三个参数即是硬盘的物理参数。

MBR,即主引导记录，位于硬盘的0柱面0磁头1扇区，也就是LBA寻址方式的第0扇区。计算机加电自检后，BIOS就会跳转到MBR中的第一条指令。将系统的控制权交由MBR来执行。在总共512字节的数据中，MBR的引导代码占了其中的前446个字节，随后的64个字节为磁盘分区表，最后的两个字节“55 AA”是分区有效结束标志。如图1所示。

图1：WinHex软件打开硬盘MBR扇区

二、FAT文件系统的存储组织结构

图2：FAT32分区结构

DBR, 即操作系统引导记录区。DBR分为两部分：引导程序和BPB。其中引导程序完成系统文件的定位与装载，而BPB用来描述本分区的磁盘信息。它包含逻辑格式化时使用的参数，可供系统计算磁盘上的文件分配表，目录区和数据区的起始地址。

保留扇区，是指从分区DBR扇区开始的仅为系统所有的扇区，包括DBR扇区。FAT32中，DBR偏移0x34 占2字节的数据指明了DBR备份扇区所在，一般为0x06，即第6扇区。当DBR扇区被破坏导致分区无法访问时。可以用第6扇区的原备份替换第0扇区来找回数据。

FAT区域，它包含有两份文件分配表，这是出于系统冗馀考虑。它是分区信息的映射表。在FAT文件系统中，文件的存储依照FAT表制定的簇链式数据结构来进行。

根目录区域，它是在根目录中存储文件和目录信息的目录表。在FAT32下它可以存在分区中的任何位置。

数据区域，这是实际的文件和目录数据存储的区域，它占据了分区的绝大部分。通过简单地在FAT中添加文件链接的个数可以任意增加文件大小和子目录个数。

三、常见数据丢失原因及数据可恢复前提

在计算机使用过程中，数据丢失的最常见原因有以下几点：1. 病毒等恶意程序破坏;2.操作失误导致误删文件或误格式化磁盘；3.计算机运行中突然停电，很容易造成磁盘丢失数据，甚至会损坏硬件;4.磁盘出现坏道，或硬件损坏。

数据是以二进制的方式存储在磁盘上的，一般的删除、格式化等操作都只是对文件目录、磁盘分区表等进行操作，并不会直接删除文件数据，这就为数据恢复提供了可行性。数据能够恢复的前提条件：1.丢失的数据没有被覆盖。如果数据丢失后，我们仍然对磁盘进行写入操作，原来存储这些文件的数据区一旦被新写入的文件覆盖，那么该文件将不能被恢复。2.硬盘没有被低级格式化。低级格式化会对硬盘的每一个扇区、磁道以及柱面的信息进行编排，如果对磁盘进行低级格式化，那么原来磁盘上的所有信息都将被清除，且不可恢复。3.磁盘不存在物理损坏，存储介质本身损坏了，数据将无法恢复。

四、案例分析

1服务器系统分区出错，影响安全播出

发射台站远程监控系统的主控电脑系统崩溃死机，重启后不能进入系统，提示“No System” 。将硬盘拆下装到其他电脑上，在磁盘管理器中查看各分区信息正常,但是不能进入系统分区，提示磁盘未格式化（如图3所示）。因该硬盘安装有发射台站的发射机控制系统、信号源系统、动力系统，为不影响安全播出，应尽快在现场恢复硬盘数据。

图3：打开U盘提示需要格式化磁盘

分析：通过磁盘管理器查看各分区信息正常，只有系统分区出现问题，因此怀疑是系统分区的DBR扇区数据异常导致出现问题。使用WinHex软件打开磁盘第63扇区（系统分区DBR所在扇区），使用DBR模板查看该扇区数据，发现数据与DBR模板不匹配，由此可以确认问题。

解决方法：FAT32文件系统格式化后，会在每个分区0扇区生成DBR，并且在第6扇区生成一个一样备份DBR，当DBR受损时可以用备份的DBR来进行恢复。系统分区的DBR紧跟在MBR保留扇区后，即第63扇区，由此可计算出备份DBR在第69扇区，所以只要把第69扇区数据还原到第63扇区即可。

实施步骤：（1）为防止对磁盘数据造成二次破坏，使用WinHex软件的磁盘克隆工具对原磁盘进行全盘镜像，并复制保存一份副本。如图4所示：

图4　

（2）使用WinHex软件打开需要修复的镜像文件，然后在WinHex软件中打开磁盘镜像文件，再将镜像文件转化为磁盘模式来操作。使用MBR模板查看第0扇区，发现MBR引导代码与分区表正常。接下来检查系统分区DBR，于是使用“跳转至扇区”工具打开第63扇区，使用DBR模板查看数据，发现DBR数据异常。如图5所示：

图5　

（3）继续使用跳转工具打开第69扇区，检查发现备份DBR数据正常。使用“定义选块”工具复制整个扇区数据（55 AA为结束标志），然后再跳转回到第63扇区，把复制的数据写入到第63扇区，点击保存确认后即可修复系统分区DBR数据。将硬盘重新接回到主控程序电脑，开机后可以直接进入操作系统，并且硬盘数据没有丢失，读取正常。

2恢复误删除的Word文件。

存储于硬盘中的WORD文件“开关电源在调频广播发射机中的应用.doc”由于被误删除无法找回。

分析：FAT32分区下文件删除只是对文件目录项的首字节置为“E5”，FAT对应的簇链置0，而数据区没有任何改变。因此可以通过搜索文件的关键词来定位到文件数据区。此外，WORD文件以是“D0CF11E0A1B11AE1”作为文件头，可以通过搜索此特征码来确定文件数据的开头，再估算WORD文件大小（可以尽量比原文件大），从而提取出文件。

实施步骤：

（1）为防止对磁盘数据造成二次破坏，使用WinHex软件的磁盘克隆工具对原磁盘进行全盘镜像，并复制保存一份副本。然后在WinHex软件中打开磁盘镜像文件，再将镜像文件转化为磁盘模式来操作。这样就避免了直接操作磁盘可能对其他数据造成的损害。

（2）由于Word文档的中文采用Uniconde编码，因此新建TXT文档，输入关键词“开关电源在调频广播发射机中的应用”。并另存为Uniconde编码格式，文件名text.txt。使用WinHex软件打开该文件，得到关键词的十六进制表示,开始的“FF FE”为字符编码顺序。如图6所示：

图6　

（3）使用WinHex软件的“搜索十六进制数值”命令，在磁盘镜像文件中搜索关键词“开关电源在调频广播发射机中的应用”的十六进制数值，从而定位到WORD文件的数据区。

（4）接着继续向上搜索WORD文件头特征码“D0CF11E0A1B11AE1”，从而确定文件数据区的第一个扇区，再根据文件的大小设置一个估计的结束偏移地址。最后通过复制选块至新文件功能，将文件保存为“提取的文件.doc”。如图7所示：

（5）用WORD打开刚提取出来的文件，发现就是我们所要恢复的文件，内容完整，格式正确。恢复好的文件见图8：

图7　

图8　

五、总结

WinHex软件是一款在Windows下运行的十六进制编辑软件，具有强大的数据恢复功能，能自动分析分区链和文件簇链，能对硬盘进行不同方式的备份，甚至克隆整个硬盘。但数据恢复本身就是一项复杂的工程，这就需要我们对文件系统有较深刻的了解，才能很好的利用各种软件工具来完成在不同情况下的数据恢复。本文只是通过几个简单案例对FAT32文件系统的数据恢复作简单介绍，这只是作为突发情况下的应急手段，并不是保护数据安全的常规措施。为了做到数据安全万无一失，这就要求我们平时养成及时备份数据的习惯，对于系统服务器就要做好磁盘阵列，双机热备、统一存储等安全措施，对于重要影视频资料就要采取多种存储媒介备份，做到永久保存。

参考文献：

〔1〕戴世剑，涂彦晖. 数据恢复技术〔M〕.北京：电子工业出版社，2005

〔2〕宋群生，宋亚琼. 硬盘扇区读写技术——修复硬盘与恢复文件〔M〕.北京：机械工业出版社，2004