FAT32格式下文件恢复实验

实验环境

我是用的winxp的虚拟机

• winhex
• 010editor

简介

• 删除目标

首簇号：786653
簇链表：

• 然后查看在目录表中的位置
  

由上图可知首簇高位和低位

• 可见文件名首字节被修改，已经是被删除的状态了。
  
  查看root directory
  
  查看簇链表：
  
  都被清零了。

开始恢复

• 和原来的根目录信息相对比，我们发现：

修改了首字节为15H。
簇高位清零了，簇低位并没有变化。
簇链表被清零。

• 恢复文件

1. 根据相邻目录项恢复簇高位
   相邻目录项簇高位：、

是12。
所以我们设置簇高位为12。

2. 修改文件名首字节

3. 修复簇链表
   这里根据它的簇高位和低位反推，并且假设连续存储的方法进行修改。

保存之后

文件成功被恢复。

大家共勉~~