Your Ad Here
首页 | 编程语言 | 网站建设 | 游戏天堂 | 冲浪宝典 | 网络安全 | 操作系统 | 软件时空 | 硬件指南 | 病毒相关 | IT 认证
软讯网络 > 网络安全 > 黑客技术 > 数据恢复初步(2)
【标  题】:数据恢复初步(2)
【关键字】:恢复,数据恢复
【来  源】:网络

数据恢复初步(2)

Your Ad Here 数据恢复初步(2)

(二)引导扇区(Boot sector)的结构:

当主引导程序找到了带有引导标识为80H的分区后,就会将该分区的引导扇区读入到内存地址为0000:7C00处,并把控制权交给引导扇区中的引导程序,让我们来看看其中一些需要了解的地方:

1、0H~02H 一条跳转指令,指针指向后面的引导程序

2、03H~0AH 厂商名和系统版本

3、0BH~0CH 每扇字节数,一般为512字节

4、0DH 每簇扇区数(有关簇的概念我们在后面会详细介绍),对于FAT32的磁盘该字节一般为08H,既每簇为8H*512B=4K。

5、0EH~0FH 保留扇区数

6、10H 磁盘FAT的个数,一般为2个

7、11H~12H 对于FAT16的磁盘为根目录的最大目录项,对于FAT32的磁盘该值总为“00H 00H”

8、13H~14H 对于软盘或早期小硬盘该处为分区总扇区数,对于硬盘一般此值为“00H 00H”

9、15H 介质描述,对于1.44软盘此处长为“F0H”,对于硬盘此处长为“F8H”

10、16H~17H 对于软盘或早期小硬盘该处为每个FAT占用的扇区数,对于硬盘一般此值为“00H 00H”

11、18H~19H 每道扇区数,一般为“3FH 00H”,即每道有63个扇区

12、1AH~1BH 磁头数,一般为“FFH 00H”,即每个柱面有255个磁头

13、1CH~1FH 隐含扇区数

14、20H~23H 对于大硬盘来说该处存放的是该分区占用的扇区数

15、24H~27H 对于大硬盘来说该处存放的是每个FAT占用的扇区数

16、40H 该处为磁盘BIOS信息,第一块硬盘为“80H”,一般软盘为“00H”

17、47H~51H 用户设置的卷标,如果没有卷标此处常为字符串“NO NAME ”

18、52H~59H 文件系统,对于FAT32文件系统此处常为“FAT32 ”

19、1FEH~1FFH 结束标识,和上文提到的主引导区的结束标识一样为“55H AAH”

以上是引导扇区的一些信息,在上面我们可以获得一些有用的信息,我们也可以想象一下为什么当我们在分区上单击右键在分区属性中可以看到一些分区信息,比如分区大小,文件系统等等,知道原理,你也可以直接调用这些参数了。

(三)磁盘文件分配表(FAT)

在介绍FAT之前,我们要先了解有关簇的概念,簇(Cluster)是文件数据区被划分成的具有大小相等的区域用于磁盘文件的计量分配单位。一个簇可能有1、2、4、8、16、32、64或128(必须是2的幂)个扇区构成,但对于一种磁盘系统是其值往往是一定的,比如FAT16中每簇一般为32K(占64个扇),FAT32中每簇一般为4K(占8个扇)。

要理解操作系统为什么要用簇对磁盘进行管理,还是得学习FAT,FAT32磁盘中在系统引导区之后有一些保留未用的扇区,再后面有一个以 F8H FFH FFH 0FH 开始的FAT表,(对于FAT16是以F8H FFH开始的),每个FAT项占32位(4个字节),FAT16的每个FAT项占16位(2个字节),不同的FAT值有不同的含义:

FAT12的表项值 FAT16的表项值 FAT32的表项值 值的含义

000H 0000H 00000000H 未用的空簇

001H~FEFH 0001H~FFEFH 00000001H~0FFFFFEFH 文件已使用的簇

FF0H~FF6H FFF0H~FFF6H 0FFFFFF0H~0FFFFFF6H 系统保留簇

FF7H FFF7H 0FFFFFF7H 坏簇

FFF8H~FFFH FFF8H~FFFFH 0FFFFFF8H~0FFFFFFFH 文件的最后一簇

注意:在FAT表项中的16进制码总是从高向底排列的。

我们再来看看系统是如何利用FAT表来管理和访问文件的。系统在创建一个新文件时,逐一扫描FAT,跳过已经分配的簇,将该簇分给文件,其簇号作为该文件的起始簇号被放在该文件的文件目录项中(关于文件目录项我们将在后面详谈),如果此文件的大小只需要一个簇就可以放下的话,在该簇对应的FAT项中将放文件最后一簇的标志(一般是FFH FFH FFH F0H,即其值为0FFFFFFFH),如果文件大小一个簇放不下,系统就会在继续寻找FAT表中未用的簇,找到后将该簇的簇号写到上一簇对应的FAT项中,如果此时已经可以存下该文件的数据,系统就会在此簇对应的FAT中记上最后簇的标志,否则就继续找下一空簇......

也就是说FAT和簇是一一对应的关系,对于FAT32的FAT来说每4个字节为1个FAT项(对于FAT16的FAT每2个字节为一个FAT项),从0~N个FAT项分别对应0~N个簇,在我们对文件进行访问时,总是先访问文件的目录项,找到首簇簇号,再找到该簇号对应的FAT项,在其中找到下一簇的簇号,再在下一簇对应的FAT项中找到再下一簇的簇号......一直到在FAT项中找到有文件最后一簇的标志,我们对该文件的查找才结束。(当然也可能在首簇对应的FAT中该文件就结束了)这样就形成了一个链,我们把它称为盘簇链。

简要介绍一下FAT12系统,FAT12现在只用于软盘,因为是每个FAT占12位所以是每2个字节含有3个FAT项,我们来看看FAT12系统在寻找簇链的过程:将10进制簇号*1.5并取整,该值为FAT相对位移,在该处存放的是下一簇的簇号,以此类推。

一个问题:到底每簇占多少扇区合适?文件所占簇数为:

文件占用的簇数=[文件长度/每簇所占空间]取整+1

文件在最后一个簇存放的时候不可能刚好放满,没有放满的空间就浪费了(就好象我们打电话不可能每个电话都打到X分59.99秒,即使你通话时间为X分1秒你也要付出X+1分的电话费),我们可以来计算一下你的FAT系统磁盘空间浪费的大小:

浪费的空间大小=文件个数/2*每簇字节数(平均每个文件浪费半个簇的空间)

这样看来好象簇越小浪费的空间也越小,但是有个矛盾的地方是簇越小FAT所用的空间就会越大,同时簇小了,簇链就越长,访问文件的时间就会加长,这又是一种资源上的浪费,因此,簇的大小应该是以提高文件的访问时间和充分利用磁盘空间为原则的。(未完待续)

数据恢复初步(3):【上一篇】
数据恢复初步(1):【下一篇】
【相关文章】
  • 数据恢复初步(3)
  • 数据恢复初步(4)
  • 数据恢复初步(5)
  • 恢复被CIH破坏的硬盘数据
  • 备份.恢复.修改IIS站点IP的脚本
  • 注射MSSQL时恢复sp_addextendedproc
  • 系统恢复指南
  • ASP数据库恢复代码
  • asp实现数据记录的备份及恢复
  • 一段php代码:备份、恢复sql数据库
  • 【随机文章】
  • 反病毒反垃圾邮件系统构建HOWTO(2)
  • 外国公司面试AS400开发人员常见的几个技术问题
  • PhotoImpact 10 视频教程-文字资料库
  • UniMaster™信令监测系统
  • 回过头来学点啥
  • 伤心雨简介
  • C/C++学习----第一章 类
  • 最近写的一个截屏软件,请看效果图
  • 3D地表生成及渲染 (VOXEL) by 云风
  • 访问数组元素
  • 【相关评论】
    没有相关评论
    【发表评论】
    姓名:
    邮件:
    随机码*
    评论*
          
    |  首 页  |  版权声明  |  联系我们   |  网站地图  |
    CopyRight © 2004-2007 bbb软讯网络 All Rigths Reserved.