删除文件如何恢复(200分)

  • 主题发起人 主题发起人 lejun1984
  • 开始时间 开始时间
L

lejun1984

Unregistered / Unconfirmed
GUEST, unregistred user!
原理知道一点,现在不知道如何读取文件目录表FDT和文件分配表FAT。首先要读取,然后再还原。还有就是FAT32和NTFS的文件系统要通用的那种代码,真诚求教各方英雄!!!!!
 
g一下:

硬盘只有经过物理格式化,分区,逻辑格式化后才能使用,在进行分区时,FDISK 会在硬盘的0柱面0磁头1扇区建一个64字节的分区表,在分表的前面是主引导记录 (MRB),后面是两个字节的有效标志55H,AAH,(H表示16进制)。此扇区被称为主 引导扇区,也是病毒最爱侵袭的地方,它由主引导记录+分区表+有效标志组成。
分区表对于系统自举十分重要,它规定着系统有几个分区;每个分区的起始及终止 扇区,大小以及是否为活动分区等重要信息。分区表由4个表项组成,每个表项16个字 节,各字节含义如下表1:


表1
——————————————————————————————
——————————————————————————————
第0字节 是否为活动分区,是则为80H,否则为00H
第1字节 该分区起始磁头号
第2字节 该分区起始扇区号(低6位)和起始柱面号
(高2位)
第3字节 该分区起始柱面号的低8位
第4字节 系统标志,00H表该分区未使用,06H表高版
本DOS系统,05H展DOS分区,65H表Netwear
分区
第5字节 该分区结束磁头号
第6字节 该分区结束扇区号(低6位)和结束柱面号
(高2位)
第7字节 该分区结束柱面号的低8位
第8~11字节 相对扇区号,该分区起始的相对逻辑扇区号,
高位在后低位在前
第12~15字节 该分区所用扇区数,高位在后,低位在前
——————————————————————————————

注意:
1. 分区表有四个表项,表示硬盘最多只能容纳四个分区。
2. 磁头的各个面称为磁头,软盘只有两个磁头,而硬盘往往有多个。
各个磁头相同半径的磁道合称为柱面。
3. 高位在后,低位在前是一种存储数字方式,读出时应对其进行调整。
如两字节12H,34H,应调整为3412H。


文件分配表

当一个磁盘Format后,在其逻辑0扇区(即BOOT扇区)后面的几个扇区中存 在着一个重要的数据表—文件分配(FAT),文件分配表一式两份,占据扇 区的多小凭磁盘类型大小而定。顾名思义,文件分配表是用来表示磁盘问件 的空分配信息的。它不对引导区,文件目录的信息进行表示,也不真正存储 文件内容。
我们知道磁盘是由一个一个扇区组成的,若干个扇区合为一个簇 ,文件存取 是以簇为单位的,哪怕这个文件只有1个字节。每个簇在文件分配表中都有对应 的表项,簇号即为表项号,每个表项占1.5个字节(磁盘空间在10MB以下)或2个 字节(磁盘空间在10MB以上)。为了方便起见,以后所说的表项都是指2个字节的。
文件分赔表结构如2(H表示16进制)
注意:
不要把表项内的数字误认为表示当前簇号,而应是该文件的下一个簇的簇号。
. 高字节在后,低字节在前是一种存储数字方式,读出时应对其进行调整。 是如两字节12H,34H,应调整为3412H。

文件分配表与文件目录(FDT)相配合,可以统一管理整个磁盘的文件。它告诉 系统磁盘上哪些簇是坏的或已被使用,哪些簇可以用,并存储每个文件所使用的簇 号。它是文件的“总调度师”。
当DOS写文件时,首先在文件目录中检查是否有相同文件名,若无则使用一个文 件目录表项,然后依次检测FAT中的每个表项对应的簇中,同时将该簇号写入文件目 录表项相的26-27字节,如文件长度不止一簇,则继续向后寻找可用簇,找到后将其 簇号写入上一次找到的表项中,如此直到文件结束,在最后一簇的表项里填上FFF8H, 形成单向链表。
DOS删除文件时只是把文件目录表中的该文件的表项第0个字节改为E5H,表此项已 被删除,并在文件分配表中把该文件占用的各簇的表项清0,并释放空间。其文件的 内容仍然在盘上,并没有被真正删除,这就是undelete.exe,unerase.exe等一类恢复 删除工具能起作用的原因。
文件分配表在系统中的地位十分重要,用户最好不要去修改它,以免误操作带来 严重的后果。
表2
——————————————————————————————————
——————————————————————————————————
第0字节 表头,表磁盘类型。
FFH双面软盘,每次道8扇区
FEH单面软盘,每磁道8扇区
FDH 双面软盘,每磁道9扇区
FCCH单面软盘,每磁道9扇区
FC8H硬盘


第1~2字节(表项号1) 表示第一簇状态,因第一簇被系统占据,故此两字节
为FFFFH
第3~4字节(表项号2) 表示第二簇状态,若为FFFH表此簇为坏的,DOS已标
记为不能用;0000H表示此簇为空,可以用;FFF8H表
不能示该簇为文件的最后一簇;其余数字表示文件的
下一个簇号,注意高字节在后,低字节在前。
第5~6字节(表项号3) 表示第三簇状态,同上。


附表:
分区表参数 偏移 含义
1BEH 是否可自举(80:可自举)
1BFH--1C1H 分区的起始地址(面、扇区、头)
1C2H DOS分区标志(01为DOS分区)
1C3H--1C5H 分区终止地址
1C6H--1c9H 分区相对扇区数
1CAH--1CDH 分区实用扇区数
从分区表可以获得一个分区的范围
每个分区的第一个扇区处有一个BPB表
编 号 起始偏移地址 占字节数 意 义
1 03H 8 操作系统的版本号。
2 0BH 2 每个扇区的字节数。
3 0DH 1 每簇扇区数。
4 0EH 2 为操作系统保留的扇区数。
5 10H 1 FAT表的个数。
6 11H 2 在FAT16中存放系统根目录中允许登记的目录项个数,FAT32中用于标注系统采用的是否为FAT32文件系统。其值为0000H表示磁盘使用FAT32文件系统。
7 13H 2 值为00H,为保持兼容性而保留,未使用。
8 15H 1 磁盘介质标志,硬盘为F8。
9 16 2 未使用,值为00H。
10 18H 2 每个磁道的扇区数。
11 1AH 2 磁盘的磁头个。
12 1CH 4 分区前隐藏扇区的个数。
13 20H 4 逻辑磁盘中的扇区总数。
14 24H 4 每个FAT表所占的扇区数。
15 28H 2 FAT表镜像标志,值为0表示系统保存2份互为备份的FAT表,值为1表示系统仅保存1份FAT表。
16 2AH 2 文件系统的主次版本(保留)。
17 2CH 4 磁盘根目录的起始簇号。
18 30H 2 文件系统参数的扇区号,通常位于引导扇区的下一个扇区。
19 32H 2 备份分区引导扇区的逻辑扇区号。
20 34H 12 保留,未使用。
21 40H 2 磁盘的物理驱动器号。
22 42H 1 磁盘读写参数扩展标志,其值为29H。
23 43H 4 磁盘卷的序列号。
24 47H 11 磁盘卷标号。
25 52H 8 文件系统的标识号(FAT32)。
分区起始扇区地址+为操作系统保留的扇区数=FAT1的开始扇区地址


另外,有本《FAT32规范》的书可以参考一下。
 
用工具吧,自己写难度太大而且危险,还不可靠。
 
软件:
Smart Undelete 或
File Recover 等等!
 
现在我在做删除文件还原的功能,就是需要一点代码,哪怕是获取文件分配表的代码也行。
Drive Rescue V1.8源代码我下过来看了下,不满意,它不能识别NTFS的逻辑分区,而且FAT下读出的文件名有乱码
 
File Recover很好用,并且支持NTFS,只是没有源码。。。。。。(::)
 
呵呵,这功能很难做的,没代码参考很难有进展
 
确实很难,祝你成功。
 

Similar threads

回复
0
查看
1K
不得闲
回复
0
查看
816
不得闲
回复
0
查看
989
不得闲
S
回复
0
查看
691
SUNSTONE的Delphi笔记
S
后退
顶部