子任務(wù)1利用WinHex讀取FAT32文件系統(tǒng)參數(shù)任務(wù)1FAT32文件系統(tǒng)恢復(fù)項(xiàng)目7文件系統(tǒng)恢復(fù)01利用Winhex讀取FAT表項(xiàng)參數(shù)02利用Winhex讀取數(shù)據(jù)區(qū)用戶文件（夾）目錄項(xiàng)主要參數(shù)目錄contents利用Winhex讀取FAT表項(xiàng)參數(shù)01任務(wù)實(shí)施1（一）利用Winhex讀取FAT表項(xiàng)參數(shù)（共有2個(gè)步驟）步驟一：附加虛擬磁盤，運(yùn)行Winhex并打開它步驟二：讀取和記錄FAT表項(xiàng)參數(shù)一步驟一：附加虛擬磁盤，運(yùn)行Winhex并打開它在素材文件夾中，雙擊“7任務(wù)1-1-1.vhd”，然后運(yùn)行Winhex，打開“HD1”，界面顯示該硬盤信息，此虛擬磁盤共分有1個(gè)主分區(qū)（FAT32分區(qū)），點(diǎn)開分區(qū)1，再點(diǎn)開FAT1。如圖7-1所示。利用Winhex讀取FAT表項(xiàng)參數(shù)圖7-1Winhex編輯窗口信息（FAT1表）圖一步驟二：讀取和記錄FAT表項(xiàng)參數(shù)讀取FAT表項(xiàng)參數(shù)，記錄到表7-1中，得FAT1表項(xiàng)參數(shù)表，如表7-5所示。利用Winhex讀取FAT表項(xiàng)參數(shù)表7-5FAT1表項(xiàng)的參數(shù)表表項(xiàng)偏移長度值項(xiàng)數(shù)表項(xiàng)內(nèi)容00號0X0040X0FFFFFF81FAT表標(biāo)志表項(xiàng)01號0X0440XFFFFFFFF1系統(tǒng)保留表項(xiàng)02號0X0840X0FFFFFFF1目錄表項(xiàng)03號0X0C40X0FFFFFFF1文件只一個(gè)表項(xiàng)04號0X1040X0FFFFFFF1文件只一個(gè)表項(xiàng)05號0X1440X0FFFFFFF1文件只一個(gè)表項(xiàng)06?20號0X18600X07?1515文件存儲指向7?20號表項(xiàng)21號0X5440X0FFFFFFF1文件結(jié)束項(xiàng)22號0X5840X0FFFFFFF1文件只一個(gè)表項(xiàng)23號0X5C40X0FFFFFFF1文件只一個(gè)表項(xiàng)24號0X6040X0FFFFFFF1文件只一個(gè)表項(xiàng)25號0X6440X0FFFFFFF1文件只一個(gè)表項(xiàng)利用Winhex讀取數(shù)據(jù)區(qū)用戶文件（夾）目錄項(xiàng)主要參數(shù)02利用Winhex讀取數(shù)據(jù)區(qū)用戶文件（夾）目錄項(xiàng)主要參數(shù)二、利用Winhex讀取數(shù)據(jù)區(qū)用戶文件（夾）目錄項(xiàng)主要參數(shù)（共有3個(gè)步驟）步驟一：附加虛擬磁盤，運(yùn)行Winhex并打開它步驟二：讀取和記錄根目錄下文件夾“7任務(wù)1”目錄項(xiàng)的主要參數(shù)步驟三：讀取用戶文件夾“7任務(wù)1”這個(gè)子目錄下目錄項(xiàng)的主要參數(shù)二步驟一：附加虛擬磁盤，運(yùn)行Winhex并打開它在素材文件夾中，雙擊“7任務(wù)1-1-1.vhd”，然后運(yùn)行Winhex，打開“HD1”，點(diǎn)開分區(qū)1，發(fā)現(xiàn)用戶文件夾“7任務(wù)1”，進(jìn)一步點(diǎn)開此文件夾，它有2個(gè)文件“7任務(wù)1-1-1.txt”和“7任務(wù)1-1-1.png”。因此，讀取的目錄項(xiàng)有：根目錄下文件夾“7任務(wù)1”的目錄項(xiàng)、文件夾“7任務(wù)1”目錄下的文件“7任務(wù)1-1-1.txt”和文件“7任務(wù)1-1-1.png”的目錄項(xiàng)，共3個(gè)目錄項(xiàng)。利用Winhex讀取數(shù)據(jù)區(qū)用戶文件（夾）目錄項(xiàng)主要參數(shù)二步驟二：讀取和記錄根目錄下文件夾“7任務(wù)1”目錄項(xiàng)的主要參數(shù)單擊根目錄，偏移0X80?X09F為根目錄下文件夾“7任務(wù)1”的目錄項(xiàng)。如圖7-2所示。利用Winhex讀取數(shù)據(jù)區(qū)用戶文件（夾）目錄項(xiàng)主要參數(shù)圖7-2Winhex編輯窗口信息（文件夾“7任務(wù)1”目錄項(xiàng)）圖二步驟二：讀取和記錄根目錄下文件夾“7任務(wù)1”目錄項(xiàng)的主要參數(shù)根據(jù)表7-2，對應(yīng)讀取該目錄項(xiàng)主要參數(shù)，制成該目錄項(xiàng)主要參數(shù)表，如表7-6所示。利用Winhex讀取數(shù)據(jù)區(qū)用戶文件（夾）目錄項(xiàng)主要參數(shù)表7-6文件夾“7任務(wù)1”目錄項(xiàng)的主要參數(shù)表偏移長度值短文件目錄項(xiàng)內(nèi)容0X0080X202031F1CEC837主文件（夾）名:7任務(wù)10X0830X202020擴(kuò)展名：空0X0B10X10屬性：10(子目錄)0X0C10X00子目錄名大小寫：OO（大寫）0X1420X00文件（夾）開始簇號的高16位:0簇0X1A20X05文件（夾）開始簇號的低16位:5簇0X1C40X00文件實(shí)際大小，0字節(jié)二步驟三：讀取用戶文件夾“7任務(wù)1”這個(gè)子目錄下目錄項(xiàng)的主要參數(shù)①讀取文件“7任務(wù)1-1-1.txt”目錄項(xiàng)的主要參數(shù)。單擊用戶文件夾“7任務(wù)1”，偏移0X80?X0BF為文件“7任務(wù)1-1-1.txt”的目錄項(xiàng)，長文件名占2個(gè)目錄項(xiàng)。如圖7-3所示。利用Winhex讀取數(shù)據(jù)區(qū)用戶文件（夾）目錄項(xiàng)主要參數(shù)圖7-3Winex編輯窗口信息（文件“7任務(wù)1-1-1.txt”目錄項(xiàng)）圖二步驟三：讀取用戶文件夾“7任務(wù)1”這個(gè)子目錄下目錄項(xiàng)的主要參數(shù)根據(jù)表7-2和表7-3，對應(yīng)讀取該目錄項(xiàng)主要參數(shù)，制成該目錄項(xiàng)主要參數(shù)表，如表7-7、表7-8所示。利用Winhex讀取數(shù)據(jù)區(qū)用戶文件（夾）目錄項(xiàng)主要參數(shù)表7-7文件“7任務(wù)1-1-1.txt”長文件名目錄項(xiàng)參數(shù)表偏移長度值長文件名目錄項(xiàng)內(nèi)容0X0010X41長文件名序列號：65。0X01100X002D003152A14EFB0037長文件名的第1?5個(gè)字符：7任務(wù)1-。0X0B10X0F長文件名目錄項(xiàng)標(biāo)志：0X0F。0X0C10X00系統(tǒng)保留0X0D10XBE校驗(yàn)值和。0X0E120X00780074002E0031002D0031長文件名的第6?11個(gè)字符：-1-1.tx。0X1A20X0000保留0X1C40X74長文件名的第12?13個(gè)字符：t。二步驟三：讀取用戶文件夾“7任務(wù)1”這個(gè)子目錄下目錄項(xiàng)的主要參數(shù)根據(jù)表7-2和表7-3，對應(yīng)讀取該目錄項(xiàng)主要參數(shù)，制成該目錄項(xiàng)主要參數(shù)表，如表7-7、表7-8所示。利用Winhex讀取數(shù)據(jù)區(qū)用戶文件（夾）目錄項(xiàng)主要參數(shù)表7-8文件“7任務(wù)1-1-1.txt”短文件名目錄項(xiàng)的主要參數(shù)表偏移長度值短文件目錄項(xiàng)內(nèi)容0X0080X317E31F1CECEC837主文件（夾）名:7任務(wù)1?10X0830X545854擴(kuò)展名：TXT0X0B10X20屬性：20(文檔)0X0C10X00子目錄名大小寫：OO（大寫）0X1420X00文件（夾）開始簇號的高16位:00X1A20X16文件（夾）開始簇號的低16位:22簇0X1C40X21文件實(shí)際大小，33字節(jié)二步驟三：讀取用戶文件夾“7任務(wù)1”這個(gè)子目錄下目錄項(xiàng)的主要參數(shù)②讀取文件“7任務(wù)1-1-1.png”目錄項(xiàng)的主要參數(shù)。單擊用戶文件夾“7任務(wù)1”，偏移0X40?X07F為文件“7任務(wù)1-1-1.png”的目錄項(xiàng)，長文件名占2個(gè)目錄項(xiàng)。如圖7-4所示。利用Winhex讀取數(shù)據(jù)區(qū)用戶文件（夾）目錄項(xiàng)主要參數(shù)圖7-4Winex編輯窗口信息（文件“7任務(wù)1-1-1.png”目錄項(xiàng)）圖二步驟三：讀取用戶文件夾“7任務(wù)1”這個(gè)子目錄下目錄項(xiàng)的主要參數(shù)根據(jù)表7-2、表7-3，對應(yīng)讀取該目錄項(xiàng)主要參數(shù)，制成該目錄項(xiàng)主要參數(shù)表，如表7-9、表7-10所示。利用Winhex讀取數(shù)據(jù)區(qū)用戶文件（夾）目錄項(xiàng)主要參數(shù)表7-9文件“7任務(wù)1-1-1.png”長文件名目錄項(xiàng)參數(shù)表偏移長度值長文件名目錄項(xiàng)內(nèi)容0X0010X41長文件名序列號：65。0X01100X002D003152A14EFB0037長文件名的第1?5個(gè)字符：7任務(wù)1-。0X0B10X0F長文件名目錄項(xiàng)標(biāo)志：0X0F。0X0C10X00系統(tǒng)保留0X0D10XAB校驗(yàn)值和。0X0E120X006E0070002E0031002D0031長文件名的第6?11個(gè)字符：-1-1.pn。0X1A20X0000保留0X1C40X67長文件名的第12?13個(gè)字符：g。二步驟三：讀取用戶文件夾“7任務(wù)1”這個(gè)子目錄下目錄項(xiàng)的主要參數(shù)根據(jù)表7-2、表7-3，對應(yīng)讀取該目錄項(xiàng)主要參數(shù)，制成該目錄項(xiàng)主要參數(shù)表，如表7-9、表7-10所示。利用Winhex讀取數(shù)據(jù)區(qū)用戶文件（夾）目錄項(xiàng)主要參數(shù)表7-10文件“7任務(wù)1-1-1.png”短文件名目錄項(xiàng)參數(shù)表偏移長度值短文件目錄項(xiàng)內(nèi)容0X0080X317E31F1CECEC837主文件（夾）名:7任務(wù)1?10X0830X474E50擴(kuò)展名：PNG0X0B10X20屬性：20(文檔)0X0C10X00子目錄名大小寫：OO（大寫）0X1420X00文件（夾）開始簇號的高16位:00X1A20X06文件（夾）開始簇號的低16位:6簇0X1C40X1E449文件實(shí)際大小，123977字節(jié)感謝觀看THANKSFORWATCHING子任務(wù)2利用WinHex恢復(fù)FAT32文件系統(tǒng)任務(wù)1FAT32文件系統(tǒng)恢復(fù)項(xiàng)目7文件系統(tǒng)恢復(fù)01用Winhex恢復(fù)受破壞FAT表02用Winhex恢復(fù)受破壞FAT32數(shù)據(jù)區(qū)用戶目錄項(xiàng)目錄contents用Winhex恢復(fù)受破壞FAT表01任務(wù)實(shí)施2（一）用Winhex恢復(fù)受破壞FAT表（被清零）（共有3個(gè)步驟）步驟一：附加虛擬磁盤，運(yùn)行Winhex并打開它步驟二：確定FAT32文件系統(tǒng)受破壞步驟三：恢復(fù)FAT32文件系統(tǒng)一步驟一：附加虛擬磁盤，運(yùn)行Winhex并打開它在素材文件夾中，雙擊“7任務(wù)1-2-1.vhd”，然后運(yùn)行Winhex，打開“HD1”，界面顯示該硬盤信息，此虛擬磁盤共分有1個(gè)主分區(qū)（FAT32分區(qū)）。用Winhex恢復(fù)受破壞FAT表步驟二：確定FAT32文件系統(tǒng)受破壞進(jìn)入在分區(qū)1，分別點(diǎn)開FAT1、FAT2表，發(fā)現(xiàn)它倆偏移0X03?07有數(shù)據(jù)“0X7FFFFFFF”，其它都有為0，說明FAT表被破壞了。一步驟三：恢復(fù)FAT32文件系統(tǒng)1.確定各目錄項(xiàng)參數(shù)分別讀取“根目錄”、“systemVolumeInformation”、“7任務(wù)1”、“$RECYCLE.BIN”四個(gè)文件及其管理的目錄項(xiàng)數(shù)據(jù)，得出各自的起始簇及大小，然后根據(jù)DBR的BPB的每簇扇區(qū)數(shù)為16，就可以計(jì)算出起始扇區(qū)及大小（扇區(qū)數(shù)）用Winhex恢復(fù)受破壞FAT表2.推算FAT1表項(xiàng)值，并把它填入FAT1表項(xiàng)推算出各文件所占的表項(xiàng)號、簇?cái)?shù)及對應(yīng)的表項(xiàng)值，填入FAT1表項(xiàng)表，如表7-11所示。表7-11FAT1表項(xiàng)表表項(xiàng)值起始簇大?。ㄉ葏^(qū)）表項(xiàng)數(shù)表項(xiàng)內(nèi)容00號0X0FFFFFF800號01FAT表標(biāo)志表項(xiàng)01號0XFFFFFFFF01號01系統(tǒng)保留表項(xiàng)02號0X0FFFFFFF02號01目錄表項(xiàng)03號0X0FFFFFFF03號01文件只一個(gè)表項(xiàng)04號0X0FFFFFFF04號01文件只一個(gè)表項(xiàng)05號0X0FFFFFFF05號01文件只一個(gè)表項(xiàng)06?20號0X07?1506?20號123,97716文件存儲指向7?20號表項(xiàng)21號0X0FFFFFFF21號文件結(jié)束項(xiàng)22號0X0FFFFFFF22號331文件只一個(gè)表項(xiàng)23號0X0FFFFFFF23號01文件只一個(gè)表項(xiàng)24號0X0FFFFFFF24號1291文件只一個(gè)表項(xiàng)25號0X0FFFFFFF25號01文件只一個(gè)表項(xiàng)

一步驟三：恢復(fù)FAT32文件系統(tǒng)根據(jù)表7-11，填入FAT1的各個(gè)表項(xiàng)，如圖7-7所示。用Winhex恢復(fù)受破壞FAT表圖7-7Winhex編輯窗口信息（FAT1表）圖3.把FAT1復(fù)制到FAT2表把FAT1表復(fù)制到FAT2表,最后進(jìn)行保存和磁盤快照?；謴?fù)受破壞FAT表（被清零）的操作完成。用Winhex恢復(fù)受破壞FAT32數(shù)據(jù)區(qū)用戶目錄項(xiàng)02用Winhex恢復(fù)受破壞FAT32數(shù)據(jù)區(qū)用戶目錄項(xiàng)二、用Winhex恢復(fù)受破壞FAT32數(shù)據(jù)區(qū)用戶目錄項(xiàng)（共有3個(gè)步驟）步驟一：附加虛擬磁盤，運(yùn)行Winhex并打開它步驟二：確定FAT32文件系統(tǒng)受破壞步驟三：恢復(fù)FAT32文件系統(tǒng)二步驟二：確定FAT32文件系統(tǒng)受破壞進(jìn)入在分區(qū)1，點(diǎn)擊根目錄，發(fā)現(xiàn)用戶目錄項(xiàng)為0，用資源管理器打開本分區(qū)，根目錄下沒有文件（夾），說明用戶目錄項(xiàng)被破壞了。如圖7-8所示。用Winhex恢復(fù)受破壞FAT32數(shù)據(jù)區(qū)用戶目錄項(xiàng)圖7-8Winhex編輯窗口信息（被“清零”的用戶目錄項(xiàng)）圖二步驟三：恢復(fù)FAT32文件系統(tǒng)1.確定非用戶文件（夾）占的簇號從DBR的BPB參數(shù)表得知“根目錄”分配2號表項(xiàng)，“systemVolumeInformation”子目錄項(xiàng)中得知其占3-4、25號表項(xiàng)，“$RECYCLE.BIN”子目錄項(xiàng)中可知其占23-24號表項(xiàng)。具體讀數(shù)