從事數(shù)據(jù)恢復(fù)的人士，必須非常熟悉各種文件系統(tǒng)類型，例如:FAT,NTFS,HFS+,EXT2/3,ReFS,UFS等。你的電腦數(shù)據(jù)每天都在受著諸如病毒、惡意代碼、黑客、誤操作等的威脅！那么如何才能恢復(fù)你的數(shù)據(jù)呢？希望本文能對(duì)你有所幫助！
要深入學(xué)習(xí)數(shù)據(jù)恢復(fù)，并非是一件容易的事，要想成為一個(gè)數(shù)據(jù)恢復(fù)專家，沒有深厚的理論知識(shí)是不可能的，你必須了十分了解磁盤的邏輯結(jié)構(gòu)，就讓我們來看看需要學(xué)習(xí)的理論知識(shí)吧。 當(dāng)我們對(duì)文件進(jìn)行訪問時(shí)，你有沒有想過，操作系統(tǒng)是如何對(duì)文件進(jìn)行操作的呢？這些文件又是如何存放在磁盤當(dāng)中的呢？先來看看硬盤的總體結(jié)構(gòu)，在介紹硬盤總體結(jié)構(gòu)之前有必要介紹一下硬盤的參數(shù)，硬盤是以磁頭（Heads），柱面(Cylinders)，扇區(qū)(Sectors)進(jìn)行訪問的。其中: 磁頭數(shù)(Heads)表示硬盤總共有幾個(gè)磁頭,也就是有幾面盤片, 最大為 255 (用 8 個(gè)二進(jìn)制位存儲(chǔ)); 柱面數(shù)(Cylinders) 表示硬盤每一面盤片上有幾條磁道,最大為 1023 (用 10 個(gè)二進(jìn)制位存儲(chǔ)); 扇區(qū)數(shù)(Sectors) 表示每一條磁道上有幾個(gè)扇區(qū), 最大為 63(用 6 個(gè)二進(jìn)制位存儲(chǔ)). 每個(gè)扇區(qū)一般是 512個(gè)字節(jié),學(xué)習(xí)過匯編語言的朋友可能想到了，BIOS中斷13H的入口參數(shù)中，CH是磁道號(hào)其值為0H~FEH（最多255個(gè)磁道），CL中低6位為扇區(qū)號(hào)，其值為1H~3FH（最多63個(gè)扇區(qū)），DH為磁頭號(hào)的低位，CL中的高2位為磁頭號(hào)的高位，也就是說，磁頭號(hào)最多由10位二進(jìn)制數(shù)表示，（1111111111）2=（1023）10，也就是說最多可以表示的磁頭數(shù)為1024個(gè)。請大家記住這些在我們以后的學(xué)習(xí)中還會(huì)用到的，由此可以看出基于這種訪問方式我們最大能訪問的磁盤容量為： 255 * 1023 * 63 * 512字節(jié)=8414461440/1048576=8024.66M 只有大約8G的空間，這是因?yàn)樵缙诖疟P還很小，想想當(dāng)年你擁有一塊200M硬盤時(shí)的喜悅心情吧！就好象當(dāng)年的科學(xué)家們以為1K內(nèi)存已經(jīng)很大了一樣，讓電腦用戶很長一段時(shí)間都為配置DOS下的內(nèi)存而煩惱。而今，你肯定擁有一塊大于8G的硬盤了，你能夠用她，應(yīng)該多虧了一種較新的硬盤訪問技術(shù)——擴(kuò)展 Int13H 技術(shù)。采用線性尋址方式存取硬盤, 所以突破了 8 G的限制, 而且還加入了對(duì)可拆卸介質(zhì)（如活動(dòng)硬盤）的支持，因?yàn)槭钦剶?shù)據(jù)恢復(fù)不是談編程，關(guān)于擴(kuò)展INT13H技術(shù)我在此就不詳述了。
硬盤數(shù)據(jù)（基于FAT結(jié)構(gòu)）總體結(jié)構(gòu)如下：
1、主引導(dǎo)扇區(qū)（Master boot sector） （占用一個(gè)扇區(qū)）
2、第一個(gè)分區(qū)的引導(dǎo)扇區(qū)（Boot sector）（占用一個(gè)扇區(qū)）
3、第一個(gè)分區(qū)的FAT1 （占用空間由磁盤大小和FAT類型來定）
4、第一個(gè)分區(qū)的FAT2 （占用空間由磁盤大小和FAT類型來定）
5、第一個(gè)分區(qū)的根目錄區(qū)
6、第一個(gè)分區(qū)數(shù)據(jù)區(qū) （用來存放各種文件的數(shù)據(jù)）
7、擴(kuò)展分區(qū)表 （占用一個(gè)扇區(qū) ）
8、第二個(gè)分區(qū)的引導(dǎo)扇區(qū)（Boot sector）（占用一個(gè)扇區(qū)）
9、第二個(gè)分區(qū)的FAT1 （占用空間由磁盤大小和FAT類型來定）
10、第二個(gè)分區(qū)的FAT2 （占用空間由磁盤大小和FAT類型來定）
11、第二個(gè)分區(qū)的根目錄區(qū)
12、第二個(gè)分區(qū)數(shù)據(jù)區(qū) （用來存放各種文件的數(shù)據(jù)）
13、擴(kuò)展分區(qū)表 . . .
注意：當(dāng)你的硬盤沒有擴(kuò)展分區(qū)的時(shí)候，你就沒有擴(kuò)展分區(qū)表了；當(dāng)你只有一個(gè)硬盤分區(qū)的時(shí)候你的硬盤結(jié)構(gòu)到6就完了。
(一)主引導(dǎo)扇區(qū)（Master boot sector）的結(jié)構(gòu): 它是硬盤的第一個(gè)扇區(qū), 由主引導(dǎo)程序（MasterBoot Record簡稱MBR），硬盤分區(qū)表（Disk Partition Table簡稱DPT ）和結(jié)束標(biāo)識(shí)三部分組成。其結(jié)構(gòu)如下：
1、偏移0H~1BDH 主引導(dǎo)程序（占446個(gè)字節(jié)，但實(shí)際可能并沒有到這么多的字節(jié)）
2、偏移1BEH~1FDH 硬盤分區(qū)表（占64個(gè)字節(jié)，每個(gè)分區(qū)項(xiàng)占16個(gè)字節(jié)，最多可容納4個(gè)分區(qū)項(xiàng)）
3、偏移1FEH~1FFH 結(jié)束標(biāo)識(shí) （占2個(gè)字節(jié)，結(jié)束標(biāo)志，總為55H AAH）
主引導(dǎo)程序我在此就不分析了，需要注意的是在主引導(dǎo)程序中有一些出錯(cuò)信息，一些引導(dǎo)型病毒往往會(huì)覆蓋這些信息來將自己嵌入到主引導(dǎo)程序中去，并將主引導(dǎo)程序開始的幾個(gè)字節(jié)改為一條跳轉(zhuǎn)指令，通過觀察主引導(dǎo)程序的變化，往往可以讓我們看出自己的電腦是否有引導(dǎo)型病毒，一旦發(fā)現(xiàn)異常，我們可以用FDISK/MBR命令來覆蓋原有的MBR。結(jié)束標(biāo)識(shí)的兩個(gè)字節(jié)總是55H AAH，該標(biāo)識(shí)只是用于判斷這個(gè)扇區(qū)是否是有效的主引導(dǎo)扇區(qū)，如果主引導(dǎo)程序發(fā)現(xiàn)沒有這個(gè)結(jié)束標(biāo)識(shí)，將會(huì)認(rèn)為操作系統(tǒng)丟失，并顯示“Missing Operating System”。
硬盤分區(qū)表： 從偏移1BEH~1FDH的64個(gè)字節(jié)存放的是硬盤分區(qū)表，其中最多包含4個(gè)分區(qū)項(xiàng)，每個(gè)分區(qū)項(xiàng)由16個(gè)字節(jié)構(gòu)成，其結(jié)構(gòu)如下：
1、1BEH~1CDH 分區(qū)項(xiàng)1
2、1CEH~1DDH 分區(qū)項(xiàng)2
3、1DBH~1EDH 分區(qū)項(xiàng)3
4、1EFH~1FDH 分區(qū)項(xiàng)4
注意：沒有用到的分區(qū)項(xiàng)上的記錄總是16個(gè)十六進(jìn)制碼00H
我們再來看看每個(gè)分區(qū)項(xiàng)的詳細(xì)含義，假設(shè)我們的一個(gè)分區(qū)占用的16個(gè)字節(jié)被標(biāo)為00H~0FH，
其結(jié)構(gòu)如下：
00H 引導(dǎo)標(biāo)識(shí)字節(jié)，其值只能為00H或80H，為00H時(shí)表示該分區(qū)不可引導(dǎo)，為80H時(shí)表示該分區(qū)可用于引導(dǎo) 。
在許多諸如BOOT MAGIC之類的軟件都是利用了這一原理，實(shí)現(xiàn)多操作系統(tǒng)引導(dǎo)的，了解了這一原理，你也可以寫出你自己的多操作系統(tǒng)引導(dǎo)程序了。
01H 分區(qū)起始磁頭號(hào)
02H 其高2位為分區(qū)起始柱面號(hào)的高位，底6位為分區(qū)起始扇區(qū)號(hào)
03H 分區(qū)起始柱面號(hào)的低位
04H 分區(qū)系統(tǒng)標(biāo)志，當(dāng)該值為00H時(shí)，表示此分區(qū)為不可識(shí)別的系統(tǒng)；為04H時(shí)該分區(qū)為FAT16分區(qū)；為05H或0FH該分區(qū)為 擴(kuò)展分區(qū)；為0B時(shí)該分區(qū)為FAT32分區(qū) ；為83H時(shí)表示該分區(qū)為Linux分區(qū), 為07時(shí)該分區(qū)為NTFS分區(qū)等等。一些如PQMAGIC磁盤軟件在隱藏分區(qū)操作時(shí)就是將此字節(jié)的內(nèi)容保存后在把它改為00H。
05H 分區(qū)結(jié)束磁頭號(hào)
06H 其高2位為分區(qū)結(jié)束柱面號(hào)的高位，底6位為分區(qū)結(jié)束扇區(qū)號(hào)
07H 分區(qū)結(jié)束柱面號(hào)的低位
08H~0BH 此4個(gè)字節(jié)為在線性尋址方式下的分區(qū)的扇區(qū)地址。當(dāng)分區(qū)大于8G時(shí)，擴(kuò)展INT13H是通過該信息進(jìn)行尋址的，我們可以發(fā)現(xiàn)在這種方式下尋址最多可訪問的空間為：FFFFFFFFH扇*512B/扇=2048G，也就是說我們用擴(kuò)展INT13H最大可以訪問的空間為2048G，這個(gè)數(shù)字現(xiàn)在對(duì)我們來說是非常大的，但誰都不能想象計(jì)算機(jī)的發(fā)展之快，到時(shí)到底要如何來突破這個(gè)限制呢？現(xiàn)在誰也不知道。注意：此4個(gè)字節(jié)是從高位到低位排列的！例如我的分區(qū)表第一個(gè)分區(qū)項(xiàng)此4字節(jié)的內(nèi)容為“3FH 00H 00H 00H”，它代表該分區(qū)是從0000003FH開始的，也就是從線性地址63扇開始的（線性地址把硬盤的第一個(gè)扇記為0H扇） 0CH~0FH 此4個(gè)字節(jié)為以扇區(qū)為單位的該分區(qū)大小（總扇區(qū)數(shù)），此4個(gè)字節(jié)同樣是從高位到低 位排列的 ！
(二)引導(dǎo)扇區(qū)（Boot sector）的結(jié)構(gòu)： 當(dāng)主引導(dǎo)程序找到了帶有引導(dǎo)標(biāo)識(shí)為80H的分區(qū)后，就會(huì)將該分區(qū)的引導(dǎo)扇區(qū)讀入到內(nèi)存地址為0000：7C00 處，并把控制權(quán)交給引導(dǎo)扇區(qū)中的引導(dǎo)程序，讓我們來看看其中一些需要了解的地方：
1、0H~02H 一條跳轉(zhuǎn)指令，指針指向后面的引導(dǎo)程序
2、03H~0AH 廠商名和系統(tǒng)版本
3、0BH~0CH 每扇字節(jié)數(shù)，一般為512字節(jié)
4、0DH 每簇扇區(qū)數(shù)（有關(guān)簇的概念我們在后面會(huì)詳細(xì)介紹），對(duì)于FAT32的磁盤該字節(jié)一般為08H，既每簇為8H*512B=4K。
5、0EH~0FH 保留扇區(qū)數(shù)
6、10H 磁盤FAT的個(gè)數(shù)，一般為2個(gè)
7、11H~12H 對(duì)于FAT16的磁盤為根目錄的最大目錄項(xiàng)，對(duì)于FAT32的磁盤該值總為“00H 00H”
8、13H~14H 對(duì)于軟盤或早期小硬盤該處為分區(qū)總扇區(qū)數(shù)，對(duì)于硬盤一般此值為“00H 00H”
9、15H 介質(zhì)描述，對(duì)于1.44軟盤此處長為“F0H”，對(duì)于硬盤此處長為“F8H”
10、16H~17H 對(duì)于軟盤或早期小硬盤該處為每個(gè)FAT占用的扇區(qū)數(shù)，對(duì)于硬盤一般此值為“00H 00H”
11、18H~19H 每道扇區(qū)數(shù)，一般為“3FH 00H”，即每道有63個(gè)扇區(qū)
12、1AH~1BH 磁頭數(shù)，一般為“FFH 00H”，即每個(gè)柱面有255個(gè)磁頭
13、1CH~1FH 隱含扇區(qū)數(shù)
14、20H~23H 對(duì)于大硬盤來說該處存放的是該分區(qū)占用的扇區(qū)數(shù)
15、24H~27H 對(duì)于大硬盤來說該處存放的是每個(gè)FAT占用的扇區(qū)數(shù)
16、40H 該處為磁盤BIOS信息，第一塊硬盤為“80H”，一般軟盤為“00H”
17、47H~51H 用戶設(shè)置的卷標(biāo)，如果沒有卷標(biāo)此處常為字符串“NO NAME ”
18、52H~59H 文件系統(tǒng)，對(duì)于FAT32文件系統(tǒng)此處常為“FAT32 ”
19、1FEH~1FFH 結(jié)束標(biāo)識(shí)，和上文提到的主引導(dǎo)區(qū)的結(jié)束標(biāo)識(shí)一樣為“55H AAH” 以上是引導(dǎo)扇區(qū)的一些信息，在上面我們可以獲得一些有用的信息，我們也可以想象一下為什么當(dāng)我們在分區(qū)上單擊右鍵在分區(qū)屬性中可以看到一些分區(qū)信息，比如分區(qū)大小，文件系統(tǒng)等等，知道原理，你也可以直接調(diào)用這些參數(shù)了。
(三)磁盤文件分配表（FAT） 在介紹FAT之前，我們要先了解有關(guān)簇的概念，簇（Cluster）是文件數(shù)據(jù)區(qū)被劃分成的具有大小相等的區(qū)域用于磁盤文件的計(jì)量分配單位。一個(gè)簇可能有1、2、4、8、16、32、64或128（必須是2的冪）個(gè)扇區(qū)構(gòu)成，但對(duì)于一種磁盤系統(tǒng)是其值往往是一定的，比如FAT16中每簇一般為32K（占64個(gè)扇），F(xiàn)AT32中每簇一般為4K（占8個(gè)扇）。
要理解操作系統(tǒng)為什么要用簇對(duì)磁盤進(jìn)行管理，還是得學(xué)習(xí)FAT，F(xiàn)AT32磁盤中在系統(tǒng)引導(dǎo)區(qū)之后有一些保留未用的扇區(qū)，再后面有一個(gè)以 F8H FFH FFH 0FH 開始的FAT表，（對(duì)于FAT16是以F8H FFH開始的），每個(gè)FAT項(xiàng)占32位（4個(gè)字節(jié)），F(xiàn)AT16的每個(gè)FAT項(xiàng)占16位（2個(gè)字節(jié)），不同的FAT值有不同的含義：
FAT12的表項(xiàng)值 FAT16的表項(xiàng)值 FAT32的表項(xiàng)值 值的含義 000H 0000H 00000000H 未用的空簇 001H~FEFH 0001H~FFEFH 00000001H~0FFFFFEFH 文件已使用的簇 FF0H~FF6H FFF0H~FFF6H 0FFFFFF0H~0FFFFFF6H 系統(tǒng)保留簇 FF7H FFF7H 0FFFFFF7H 壞簇 FFF8H~FFFH FFF8H~FFFFH 0FFFFFF8H~0FFFFFFFH 文件的最后一簇
注意：在FAT表項(xiàng)中的16進(jìn)制碼總是從高向底排列的。 我們再來看看系統(tǒng)是如何利用FAT表來管理和訪問文件的。系統(tǒng)在創(chuàng)建一個(gè)新文件時(shí)，逐一掃描FAT，跳過已經(jīng)分配的簇，將該簇分給文件，其簇號(hào)作為該文件的起始簇號(hào)被放在該文件的文件目錄項(xiàng)中（關(guān)于文件目錄項(xiàng)我們將在后面詳談），如果此文件的大小只需要一個(gè)簇就可以放下的話，在該簇對(duì)應(yīng)的FAT項(xiàng)中將放文件最后一簇的標(biāo)志（一般是FFH FFH FFH F0H，即其值為0FFFFFFFH），如果文件大小一個(gè)簇放不下，系統(tǒng)就會(huì)在繼續(xù)尋找FAT表中未用的簇，找到后將該簇的簇號(hào)寫到上一簇對(duì)應(yīng)的FAT項(xiàng)中，如果此時(shí)已經(jīng)可以存下該文件的數(shù)據(jù)，系統(tǒng)就會(huì)在此簇對(duì)應(yīng)的FAT中記上最后簇的標(biāo)志，否則就繼續(xù)找下一空簇......
也就是說FAT和簇是一一對(duì)應(yīng)的關(guān)系，對(duì)于FAT32的FAT來說每4個(gè)字節(jié)為1個(gè)FAT項(xiàng)（對(duì)于FAT16的FAT每2個(gè)字節(jié)為一個(gè)FAT項(xiàng)），從0~N個(gè)FAT項(xiàng)分別對(duì)應(yīng)0~N個(gè)簇，在我們對(duì)文件進(jìn)行訪問時(shí)，總是先訪問文件的目錄項(xiàng)，找到首簇簇號(hào)，再找到該簇號(hào)對(duì)應(yīng)的FAT項(xiàng)，在其中找到下一簇的簇號(hào)，再在下一簇對(duì)應(yīng)的FAT項(xiàng)中找到再下一簇的簇號(hào)......
一直到在FAT項(xiàng)中找到有文件最后一簇的標(biāo)志，我們對(duì)該文件的查找才結(jié)束。（當(dāng)然也可能在首簇對(duì)應(yīng)的FAT中該文件就結(jié)束了）這樣就形成了一個(gè)鏈，我們把它稱為盤簇鏈。 簡要介紹一下FAT12系統(tǒng)，F(xiàn)AT12現(xiàn)在只用于軟盤，因?yàn)槭敲總€(gè)FAT占12位所以是每2個(gè)字節(jié)含有3個(gè)FAT項(xiàng)，我們來看看FAT12系統(tǒng)在尋找簇鏈的過程：將10進(jìn)制簇號(hào)*1.5并取整，該值為FAT相對(duì)位移，在該處存放的是下一簇的簇號(hào)，以此類推。 一個(gè)問題：到底每簇占多少扇區(qū)合適？文件所占簇?cái)?shù)為： 文件占用的簇?cái)?shù)=[文件長度/每簇所占空間]取整+1 文件在最后一個(gè)簇存放的時(shí)候不可能剛好放滿，沒有放滿的空間就浪費(fèi)了（就好象我們打電話不可能每個(gè)電話都打到X分59.99秒，即使你通話時(shí)間為X分1秒你也要付出X+1分的電話費(fèi)），
我們可以來計(jì)算一下你的FAT系統(tǒng)磁盤空間浪費(fèi)的大小： 浪費(fèi)的空間大小=文件個(gè)數(shù)/2*每簇字節(jié)數(shù)（平均每個(gè)文件浪費(fèi)半個(gè)簇的空間） 這樣看來好象簇越小浪費(fèi)的空間也越小，但是有個(gè)矛盾的地方是簇越小FAT所用的空間就會(huì)越大，同時(shí)簇小了，簇鏈就越長，訪問文件的時(shí)間就會(huì)加長，這又是一種資源上的浪費(fèi)，因此，簇的大小應(yīng)該是以提高文件的訪問時(shí)間和充分利用磁盤空間為原則的。
(四)目錄項(xiàng)的結(jié)構(gòu) 在第2個(gè)FAT表（系統(tǒng)一般有兩個(gè)同樣的FAT表）后我們可以找到該分區(qū)的根目錄區(qū)，在上面有許多目錄項(xiàng)（注意：目錄項(xiàng)并非根目錄才有），讓我們先來復(fù)習(xí)一下FAT16的目錄項(xiàng)各個(gè)字節(jié)的含義： 由32個(gè)字節(jié)構(gòu)成： 0
0H~07H 文件的文件名，其中00H為以下值時(shí)有些特定含義：
00H 表項(xiàng)為空表項(xiàng) E5H 文件已被刪除
05H 實(shí)際該字節(jié)為的值為E5H 08H~0AH 文件的擴(kuò)展名
0BH 文件屬性
8位文件屬性字節(jié)含義如下：
B7~B6 未用
B5 歸檔位
B4 子目錄（代表該文件是一個(gè)目錄或叫文件夾）
B3 卷標(biāo)（卷標(biāo)也解釋為一種特殊的文件）
B2 系統(tǒng)文件
B1 隱藏文件
B0 只讀文件
0CH~15H FAT16系統(tǒng)保留未用
16H~17H 系統(tǒng)最后修改時(shí)間，其中： 16H字節(jié)的0~4位是以2秒為增量的秒
16H字節(jié)的5~7位和17H字節(jié)的0~2位是分鐘
17H字節(jié)的3~7位是小時(shí) 1
8H~19H 文件最后修改的日期，其中： 18H字節(jié)0~4位是天號(hào)
18H字節(jié)5~7位和19H字節(jié)0位是月份
19H字節(jié)的1~7位為年號(hào)，0~119分別代表1980~2099
1AH~1BH 文件的起始簇號(hào)（我們在之前已經(jīng)介紹了）
1CH~1FH 文件的長度（單位為字節(jié)） 我們知道用在FAT16系統(tǒng)下的文件名有一些弊端，如：文件名最多只能有8個(gè)字符（或4個(gè)漢字），擴(kuò)展名最多有3個(gè)字符，不分大小寫，不能用一些特殊字符等。在FAT32系統(tǒng)這些問題已經(jīng)得到解決，我們來看看FAT32系統(tǒng)是如何解決長文件名問題的。假如在你的電腦中有一個(gè)文件名為abcdefghijklmnopqrstuvwxyz111111.txt的文件名,那么該文件在磁盤目錄中就占用了4個(gè)已32字節(jié)為單位的目錄項(xiàng),其中有3個(gè)目錄項(xiàng)是用來描述長文件名的,有1個(gè)目錄項(xiàng)是用來兼容老的FAT系統(tǒng)的，我們來看看例子中前3個(gè)用于描述長文件名的目錄項(xiàng)
: 43H 31H 00H 31H 00H 31H 00H 31H 00H 31H 00H 0FH 00H 27H 31H 00H 2EH 00H 74H 00H 78H 00H 74H 00H 00H 00H 00H 00H FFH FFH FFH FFH
02H 6EH 00H 6FH 00H 70H 00H 71H 00H 72H 00H 0FH 00H 27H 73H 00H 74H 00H 75H 00H 76H 00H 77H 00H 78H 00H 00H 00H 79H 00H 7AH 00H
01H 61H 00H 62H 00H 63H 00H 64H 00H 65H 00H 0FH 00H 27H 66H 00H 67H 00H 68H 00H 69H 00H 6AH 00H 6BH 00H 00H 00H 6CH 00H 6DH 00H
不難看出描述長文件名的目錄項(xiàng)中的一些規(guī)則：
在每個(gè)目錄項(xiàng)的32個(gè)字節(jié)中，(1)、偏移0H處：代表了長文件描述目錄項(xiàng)的序號(hào)，其中高4位如果為0100則表示此項(xiàng)為最后一個(gè)目錄項(xiàng)，低4位表示此長文件名的目錄項(xiàng)的序號(hào)。如果此長文件名描述目錄只用到了1個(gè)目錄項(xiàng)，則此值為41H，如果此值為E5H代表此文件已被刪除；(2)、偏移0BH~0CH處：其值總為0FH 00H；(3)、偏移0D處：該長文件目錄項(xiàng)的標(biāo)號(hào)，同一個(gè)長文件目錄的不同目錄項(xiàng)該值總相同（比如本例中3個(gè)目錄項(xiàng)該值都為27H）；(4)、偏移1AH~1BH處：該值總為00H 00H；(5)從偏移01H~1FH跳過前4項(xiàng)提到的字節(jié)，總是一個(gè)文件名的ASCII碼接一個(gè)00H排列的，如果文件名的ASCII碼在一個(gè)目錄項(xiàng)還未寫完,則會(huì)接到下一個(gè)目錄項(xiàng)（實(shí)際上這些目錄項(xiàng)都是從高到低排列的）同樣的位置繼續(xù)寫，如果已經(jīng)寫完，則系統(tǒng)會(huì)在最后一個(gè)ACSII碼后寫00H，最多寫3個(gè)00H，如果3個(gè)00H寫完后，目錄項(xiàng)還有空余位置，則系統(tǒng)會(huì)把這些位置全部寫上FFH。 同時(shí)FAT32系統(tǒng)還有一個(gè)類似與FAT16的目錄項(xiàng)（緊接著長文件名的目錄的后面），同樣占32個(gè)字節(jié)：
00H~07H 文件的文件名
08H~0AH 文件的擴(kuò)展名
0BH 文件屬性 0CH 保留未用
0EH~0FH 文件創(chuàng)建時(shí)間
10H~11H 文件最后訪問日期
12H~13H 文件創(chuàng)建日期
14H~15H 文件起始簇號(hào)的高16位
16H~17H 系統(tǒng)最后修改時(shí)間，
其中：
16H字節(jié)的0~4位是以2秒為增量的秒
16H字節(jié)的5~7位和17H字節(jié)的0~2位是分鐘
17H字節(jié)的3~7位是小時(shí)
18H~19H 文件最后修改的日期，其中： 18H字節(jié)0~4位是天號(hào)
18H字節(jié)5~7位和19H字節(jié)0位是月份
19H字節(jié)的1~7位為年號(hào)，0~119分別代表1980~2099 1AH~1BH 文件的起始簇號(hào)的低16位 1CH~1FH 文件的長度（單位為字節(jié)）
注意：其中文件名為DOS兼容文件名，比如上例中在DOS下的文件名為ABCDEF~1.TXT；其首字節(jié)含義同F(xiàn)AT16系統(tǒng)；文件屬性字節(jié)含義同F(xiàn)AT16系統(tǒng)；在FAT32系統(tǒng)中增加了最后訪問日期和文件創(chuàng)建時(shí)間日期，其計(jì)算原理同F(xiàn)AT16中的最后修改的時(shí)間和日期。
(六)擴(kuò)展分區(qū)表 我們已經(jīng)學(xué)習(xí)了在主引導(dǎo)扇區(qū)中的分區(qū)表的偏移04H，是分區(qū)系統(tǒng)標(biāo)志，當(dāng)該值為05H或0FH表示該分區(qū)為擴(kuò)展分區(qū)，其實(shí)它并非一個(gè)真正意義上的分區(qū)項(xiàng)，此分區(qū)項(xiàng)只是指向一個(gè)擴(kuò)展分區(qū)表，這樣做是為了解決分區(qū)表中最多只能有4個(gè)分區(qū)項(xiàng)的問題，擴(kuò)展分區(qū)表也是從擴(kuò)展分區(qū)表所在的扇區(qū)偏移1BEH~偏移1FD，該扇區(qū)0H~1BDH一般為1BEH個(gè)00H，同樣要以結(jié)束標(biāo)志55H AAH結(jié)束。 同樣，在擴(kuò)展分區(qū)表中也可能存在指向下一個(gè)擴(kuò)展分區(qū)表的分區(qū)項(xiàng)。
假如您的硬盤數(shù)據(jù)丟失了，請聯(lián)系我們?nèi)A軍行，我們有更加專業(yè)的數(shù)據(jù)恢復(fù)工程師為您服務(wù)！
沈陽數(shù)據(jù)恢復(fù) 
