
数据恢复
文章平均质量分 66
RioLopez
回头看看来时的路
展开
-
Winhex 数据恢复 之 根目录下的位置计算
目录项分为短文件名目录项和长文件名目录项。“ . ”目录项表示这个目录本身“ . ”目录项表示这个目录的父级目录如果文件名不到8个字符,用0x20填充如果文件名超过8个字符时则会被截断,提取前6个字符再加“~1”(如果有同名目录项,这个数值会加1),然后加上扩展名。原创 2024-01-01 13:57:55 · 1836 阅读 · 0 评论 -
数据恢复 FAT表
因为该磁盘并未存入其他数据,在实际应用中磁盘存放数据较多时改动较多时,它的簇号就会比较混乱,可能一个文件10个簇,1个簇在66号簇,另一个簇在999号簇并不是连续的所以我们要根据FAT表的指向来恢复,就比如10号FAT表为(0B000000)那么它(10号FAT表项)指向的就是11号簇。然后使用EBR的扇区号 + DBR中提取到的值相加就是FAT表的位置了,当然我们也可以直接从EBR向下跳转8236个扇区,但是要注意的是,向下跳转的时候,要切换为10进制模式,否则无法跳转到我们想要去的扇区!原创 2023-12-20 10:36:45 · 756 阅读 · 0 评论 -
数据恢复 Winhex FSINFO扇区数据结构解析
向下跳转6个扇区(2054扇区)这就是备份DBR的位置了,备份DBR的下一个扇区也是一个FSINFO扇区,但是这个FSINFO的值是不相同的,但是它们的结构是一样的,所以这个FSINFO扇区是备份扇区.从图中的信息我们可以获得以下信息:签名标志为rrAa,空闲簇数的大小,和下个可用簇的值,以及在结尾有一个55AA标识,这就是一个FSINOFO扇区的信息。偏移地址是相对于逻辑驱动器的偏移地址并不是物理驱动器的偏移地址。它的ASCII码值为RRaA,它的作用是扩展引导标志“RRaA”扩展引导标志“RRaA”原创 2023-12-20 10:33:48 · 566 阅读 · 0 评论