1、第二章第二章 FAT32文件系統(tǒng)文件系統(tǒng)2.1 FAT32文件系統(tǒng)結(jié)構(gòu)總攬文件系統(tǒng)結(jié)構(gòu)總攬F(tuán)AT32文件系統(tǒng)是從微軟Windows 95系統(tǒng)的OSR2版本開始使用的，它能夠支持大于32MB小于32GB的分區(qū)。雖然第三方的格式化程序可以把超過32GB的分區(qū)格式化為FAT32，但微軟自身的系統(tǒng)不允許將大于32GB的分區(qū)格式化為FAT32文件系統(tǒng)。FAT32文件系統(tǒng)由DBR及其保留扇區(qū)，F(xiàn)AT1，F(xiàn)AT2，DATA區(qū) 四個部分組成。FAT32文件系統(tǒng)結(jié)構(gòu)圖關(guān)于DBR FAT1 FAT2 DATA的概念詳解 1 DBR及其保留扇區(qū)。DBR的全稱為DOS Boot Record,含義是DOS引導(dǎo)記錄，也

2、稱為操作系統(tǒng)引導(dǎo)記錄，在DBR之后往往有一些保留扇區(qū)，在這些保留扇區(qū)中，有一個重要的扇區(qū)，一般為第六個扇區(qū)（相對于DBR的起始位置），具體位置要參閱DBR中所描述的位置，這個扇區(qū)就是DBR的備份。 2 FAT1。FAT的全稱為File Allocation Table,含義是文件分配表，F(xiàn)AT32一般有兩份FAT，F(xiàn)AT1是第一份，也是主FAT。 3 FAT2。FAT2是FAT32的第二份文件分配表，也就是FAT1的備份，稱為備份FAT。 4 DATA。DATA也就是數(shù)據(jù)區(qū)，是FAT32文件系統(tǒng)的主要區(qū)域，其中包含了目錄區(qū)。FAT32文件系統(tǒng)結(jié)構(gòu)實(shí)例圖2.2 FAT32文件系統(tǒng)文件系統(tǒng)DBR

3、2.2.1 DBR的概念和組成的概念和組成 什么是DBR?DBR（DOS Boot Record），含義是DOS引導(dǎo)記錄，也稱為操作系統(tǒng)引導(dǎo)記錄 FAT32文件系統(tǒng)的DBR（即操作系統(tǒng)引導(dǎo)記錄）大體可以分為5個部分，分別為：跳轉(zhuǎn)指令，OEM代號，BPB（BIOS Parameter Block,BIOS參數(shù)塊）,引導(dǎo)程序，結(jié)束標(biāo)志(55AA)。 FAT32文件系統(tǒng)DBR結(jié)構(gòu)模塊圖 請參照下圖FAT32文件系統(tǒng)DBR結(jié)構(gòu)模塊圖FAT32文件系統(tǒng)DBR詳細(xì)結(jié)構(gòu)圖FAT32文件系統(tǒng)的DBR解析 FAT32文件系統(tǒng)的DBR（即操作系統(tǒng)引導(dǎo)記錄）大體可以分為5個部分，分別為：跳轉(zhuǎn)指令，OEM代號，BPB

4、（BIOS Parameter Block,BIOS參數(shù)塊）,引導(dǎo)程序，結(jié)束標(biāo)志(55AA)。 1 跳轉(zhuǎn)指令跳轉(zhuǎn)指令本身占用2個字節(jié)，它將程序執(zhí)行流程跳轉(zhuǎn)到引導(dǎo)程序處，比如當(dāng)前DBR中的“EB 58”，就是代表匯編語言的“JMP 58”。需要注意該指令本身占用2字節(jié)，計(jì)算跳轉(zhuǎn)目標(biāo)地址時以該指令的下一個字節(jié)為基準(zhǔn)，所以實(shí)際執(zhí)行的下一條指令應(yīng)該位于5A。緊接著跳轉(zhuǎn)指令的是一條空指令NOP（90H）。 2 OEM代號這部分占字節(jié)，其內(nèi)容由創(chuàng)建該文件系統(tǒng)的OEM廠商具體安排。當(dāng)前DBR中的OEM代號為“MSDOS5.0”，說明這個FAT32分區(qū)是由微軟的Windows 2000以上的操作系統(tǒng)格式化創(chuàng)建

5、的。 3 BPB（BIOS Parameter Block）FAT32的BPB從DBR的第12（0BH偏移處）個字節(jié)開始，占有79個字節(jié)，記錄了有關(guān)該文件系統(tǒng)的重要信息，具體內(nèi)容如下：4 引導(dǎo)程序FAT32的DBR引導(dǎo)程序占用420字節(jié)(5AH1FDH)，在Windows98之前的系統(tǒng)之下，這段代碼負(fù)責(zé)完成DOS三個系統(tǒng)文件的裝入，在Windows 2000之后的系統(tǒng)中，其負(fù)責(zé)完成將系統(tǒng)文件NTLDR裝入，對于一個沒有安裝操作系統(tǒng)的分區(qū)來講，這段程序沒有任何作用。5 結(jié)束標(biāo)志DBR的結(jié)束標(biāo)志與MBR，EBR的結(jié)束標(biāo)志都相同，為“55 AA”。以上五個部分共占用512字節(jié)，正好是一個扇區(qū)，因此成

6、它為DOS引導(dǎo)扇區(qū)。該部分的內(nèi)容中除了第5部分結(jié)束標(biāo)志是固定不變之外，其余4個部分都是不完全確定的，都因操作系統(tǒng)版本的不同而不同，也因硬盤的邏輯盤參數(shù)的變化而變化。 2.2.2 DBR和和MBR的異同比較的異同比較 1 DBR和和MBR的相同點(diǎn)的相同點(diǎn)(1)所占空間大小相同:DBR與MBR占用相同大小的存儲空間，均為1個扇區(qū)(即512字節(jié))。(2)結(jié)束標(biāo)志相同:DBR和MBR的結(jié)束標(biāo)志都是“55 AA”。 2 DBR和MBR的不同點(diǎn) （1）功能不同MBR的主要功能是存放硬盤分區(qū)信息和引導(dǎo)系統(tǒng)時檢查分區(qū)。DBR則存放的是分區(qū)文件系統(tǒng)參數(shù)，同時，設(shè)置為活動分區(qū)的DBR將從MBR引導(dǎo)程序接過引導(dǎo)控制

7、權(quán)，以裝載操作系統(tǒng)。 （2） 作用范圍和性質(zhì)不同MBR和虛擬MBR控制著整個硬盤的所有分區(qū)信息控制著整個硬盤的所有分區(qū)信息，作用范圍是全局性的，其性質(zhì)是基礎(chǔ)性的。作用范圍是全局性的，其性質(zhì)是基礎(chǔ)性的。而而DBR則存放著有硬盤分區(qū)的文件系統(tǒng)參數(shù)，作用范圍是局則存放著有硬盤分區(qū)的文件系統(tǒng)參數(shù)，作用范圍是局部性的，其性質(zhì)屬于應(yīng)用性的。通常部性的，其性質(zhì)屬于應(yīng)用性的。通常MBR或或1個虛擬個虛擬MBR可以定義可以定義14個不等的分區(qū)，而個不等的分區(qū)，而1個個DBR只能定義只能定義1個分區(qū)的文件系統(tǒng)。個分區(qū)的文件系統(tǒng)。2.3 FAT的概念與結(jié)構(gòu)的概念與結(jié)構(gòu) 1 FAT的概念FAT(File Alloca

8、tion Table)即文件系統(tǒng)中的文件分配表，即文件系統(tǒng)中的文件分配表，實(shí)際上就是一張記錄文件存儲位置的表格實(shí)際上就是一張記錄文件存儲位置的表格，文件存儲位置用簇號來表示。文件的首簇號存放在文件的首簇號存放在FDT(File Directory Table)文件目錄表文件目錄表登記項(xiàng)中登記項(xiàng)中，后續(xù)簇號存放于FAT。FAT本身由高級格式化程序建立。 2 FAT結(jié)構(gòu)在FAT32文件系統(tǒng)中，一個FAT項(xiàng)是由4個字節(jié)(32位)構(gòu)成的，由此可以推斷出FAT16文件系統(tǒng)中，一個FAT項(xiàng)是由2個字節(jié)(16位)構(gòu)成的。FAT表項(xiàng)結(jié)構(gòu)圖 第一 記錄磁盤類型 FAT前2個簇為保留簇，不分配給文件使用。FAT第

9、0個字節(jié)表示磁介質(zhì)類型，與BPB（BIOS Parameter Block）偏移量15H(磁介質(zhì)描述符）處的值相同，硬盤用F8H表示。 第二 記錄文件占用的各簇簇號 以FAT32分區(qū)為例，一個文件創(chuàng)建好后，在FAT表里有一系列的表項(xiàng)值與其對應(yīng)，一個FAT表項(xiàng)值表明文件占用的一個簇號并指明下一個簇號的位置。文件的起始簇號存放在該文件FDT（File Directory Table）的第20，21字節(jié)和第26，27字節(jié)。具體來說就是FAT表項(xiàng)值表示一個簇號，其值乘以4就是下一個表項(xiàng)位置，如此往復(fù)從而構(gòu)成一個簇鏈，公式如下： 下一個簇號=【當(dāng)前簇號4+FAT表起始地址】取值 直到出現(xiàn)FF FF FF

10、 0F 為止，表示結(jié)束。 第三 記錄可用簇和壞簇 FAT中用00 00 00 00表示空簇（未使用的硬盤空間），用F7 FF FF FF 表示壞簇。2.4 FDT的概念與結(jié)構(gòu)的概念與結(jié)構(gòu) FDT(File Directory Table)文件目錄表是由若干個32個字節(jié)表項(xiàng)構(gòu)成，登記著分區(qū)上的目錄，文件和子目錄信息。這些信息包括文件和目錄的名稱，創(chuàng)建時間，屬性，大小，首簇號。2.4.1 短文件名目錄項(xiàng)短文件名目錄項(xiàng) 下圖為短文件名FDT的結(jié)構(gòu)。(短文件名FDT項(xiàng)結(jié)構(gòu)圖)2.4.2 長文件名目錄項(xiàng) 所謂的短文件名就是在DOS環(huán)境下采用的微軟8.3文件名格式，文件名稱的長度不能超過8個字節(jié)，為了克服

11、這個缺陷，F(xiàn)AT32文件系統(tǒng)啟用了長文件名的結(jié)構(gòu)方式。簡單的說，長文件名由一個短文件名登記項(xiàng)和若干個長文件名登記項(xiàng)組成。長文件名登記項(xiàng)按倒序方式排列在短文件名登記項(xiàng)前.具體結(jié)構(gòu)如下圖： 長文件名FDT項(xiàng)結(jié)構(gòu)圖具體內(nèi)容如下： 每一個長文件名登記項(xiàng)有26個字節(jié)記錄長文件名稱，表示13個Unicode格式的文件名(每個文件名字符需要2個字節(jié))。順序字節(jié)低5位指明長文件名登記項(xiàng)序號，第6位置“1”表明本登記項(xiàng)是最后一個，“順序號”數(shù)據(jù)結(jié)構(gòu)如下： （“順序號”字節(jié)含義圖）2.4.3 根目錄文件管理根目錄文件管理 FAT32文件系統(tǒng)對于根目錄下文件的管理，統(tǒng)一在數(shù)據(jù)區(qū)（DATA）中的根目錄區(qū)為這些文件創(chuàng)建

12、目錄項(xiàng)，并由FAT表為文件的內(nèi)容分配簇存放數(shù)據(jù)。而根目錄區(qū)的首簇由格式化程序指派，并把指派的簇號記錄在DBR的BPB中，如果根目錄下文件數(shù)目過多，這些文件的目錄項(xiàng)在根目錄區(qū)的首簇存放不下，F(xiàn)AT表就會為根目錄分配新的簇來存放根目錄下的文件以及文件夾的目錄項(xiàng)。文件夾可以理解為一種特殊的文件，文件夾的FDT項(xiàng)和文件的FDT項(xiàng)結(jié)構(gòu)相同。2.4.4 子目錄文件管理子目錄文件管理 FAT32文件系統(tǒng)下，子目錄的結(jié)構(gòu)和根目錄的結(jié)構(gòu)是相同的，唯一有點(diǎn)區(qū)別的是子目錄目錄項(xiàng)中有兩個特殊的目錄項(xiàng)（前兩個目錄項(xiàng)），這兩個目錄項(xiàng)是子目錄具備的獨(dú)有特征，也是判斷和區(qū)分根目錄的根本要素。這個兩個特殊的目錄項(xiàng)分別是“.”和

13、“.”,其中目錄項(xiàng)“.”表示本目錄，“.”表示父目錄。如果一個目錄沒有這兩個特殊目錄項(xiàng)，很顯然就是根目錄。子目錄通過這兩個特殊的目錄項(xiàng)就形成了目錄與目錄之間的雙向鏈表指針的關(guān)系，從而就形成了FAT32文件系統(tǒng)下，文件目錄的樹形結(jié)構(gòu)關(guān)系和遍歷關(guān)系。2.5 FDT與與FAT的作用和意義的作用和意義 1 FDT的作用從FDT的結(jié)構(gòu)中分析可知，它主要用于保存文件和目錄的基本信息，包括長文件名登記項(xiàng)。其作用體現(xiàn)在下列幾個方面。 (1)管理文件FDT目錄項(xiàng)結(jié)構(gòu)信息中，包含了一個文件常見的屬性：文件名，擴(kuò)展名，建立時間，建立日期，首簇號，文件長度等重要的基本信息。 (2)管理目錄為了易于使用和管理，文件系統(tǒng)

14、被設(shè)計(jì)成樹形結(jié)構(gòu)。所謂的樹形結(jié)構(gòu)，就是文件系統(tǒng)只有一個總的入口，這個總的入口就是根目錄，在根目錄下有文件和子目錄。子目錄下用戶可以創(chuàng)建更多的文件和下一層子目錄，以此類推，形成一個類似于樹形結(jié)構(gòu)的系統(tǒng)。FDT正是通過其第11字節(jié)的設(shè)定值（將第五位置0），使其變成子目錄的登記項(xiàng)，再配合第20，21和第26，27首簇號，確定該目錄的入口地址，從而完成從根目錄到下一層子目錄的遍歷。同時，子目錄下的FDT登記項(xiàng)中，有一個特殊的目錄登記項(xiàng)（文件名為“.”）即2E 2E，第11個字節(jié)屬性值是10H（目錄）,首簇號值則指向上一層目錄的入口地址。這樣FDT目錄登記項(xiàng)為文件系統(tǒng)提供了從子目錄向根目錄回溯的功能。因

15、此，F(xiàn)DT使得FAT32文件系統(tǒng)具備了在根目錄和子目錄間雙向訪問的能力。 (3)管理長文件名 (4) FDT登記項(xiàng)第11個字節(jié)置為0FH時，表示該項(xiàng)為長文件名登記項(xiàng)。每一個長文件名登記項(xiàng)可以表示13個雙字節(jié)內(nèi)碼形式的字符，這些登記項(xiàng)按倒序方式排列在文件的短文件登記項(xiàng)之前。 (5) 2 FAT的作用 (6) FAT以簇號的方式記錄文件占用空間的情況。一個簇號對應(yīng)一塊數(shù)據(jù)區(qū)空間，一個文件可以申請分配一個或多個簇號。簇號在FAT中可以連續(xù)存放，也可以非連續(xù)存放，這取決于數(shù)據(jù)空閑區(qū)域是否含有碎片(空閑區(qū)域和已占有區(qū)域相互交錯)。FAT巧妙地運(yùn)用簇號與簇號存放在FAT的偏移地址之間的關(guān)系，解決了簇鏈的表

16、示問題。FAT32分區(qū)FAT地址關(guān)系為：下一簇號地址=當(dāng)前簇號4。FAT與FDT聯(lián)系的紐帶就是FDT登記項(xiàng)中的首簇號。 (7) 3 FDT與FAT的意義 (8) 由以上分析可知，管理文件和目錄是由FDT，F(xiàn)AT共同合作來完成的。FDT存放文件和目錄的基本信息，F(xiàn)AT則管理存儲空間的分配，二者通過FDT的首簇號相關(guān)聯(lián)。 (9)在FAT32文件系統(tǒng)下，手工尋找遍歷一個文件的內(nèi)容（使用硬盤底層軟件Winhex）來闡述DBR,FDT與FAT之間的相互作用和意義。 遍歷文本文“test .txt”。 第一步第一步 首先定位到分區(qū)的DBR，也就是分區(qū)的首扇區(qū)，套用Winhex對應(yīng)的模版。 Winhex自帶

17、的FAT32文件系統(tǒng)DBR模版 見下圖 由FAT32文件系統(tǒng)DBR可以得出下面幾項(xiàng)重要內(nèi)容。 1 每簇多少扇區(qū)（本實(shí)例：16個扇區(qū)） 2 保留扇區(qū)數(shù) （本案例：34個扇區(qū)） 3 每個FAT表占用的扇區(qū)數(shù)（本案例：15987個扇區(qū)） 4 根目錄的第一簇簇號(本案例：第2簇) 備注說明：備注說明：FAT32文件系統(tǒng)，數(shù)據(jù)區(qū)是從第文件系統(tǒng)，數(shù)據(jù)區(qū)是從第2簇開始簇開始的，第的，第0簇和第簇和第1簇只是概念的意義，實(shí)際上沒有分配簇只是概念的意義，實(shí)際上沒有分配對應(yīng)的磁盤空間，因此第對應(yīng)的磁盤空間，因此第2簇是從第簇是從第 34（保留扇區(qū)（保留扇區(qū)包括包括DBR）+159872（兩個（兩個FAT表占用的空

18、間）表占用的空間）=32008 扇區(qū)開始的，然后用扇區(qū)開始的，然后用Winhex對應(yīng)的跳轉(zhuǎn)扇對應(yīng)的跳轉(zhuǎn)扇區(qū)工具跳轉(zhuǎn)到對應(yīng)的扇區(qū)中。跳轉(zhuǎn)后找到相應(yīng)文件的區(qū)工具跳轉(zhuǎn)到對應(yīng)的扇區(qū)中。跳轉(zhuǎn)后找到相應(yīng)文件的FDT記錄項(xiàng)。記錄項(xiàng)。test.txt文件對應(yīng)FDT項(xiàng)解釋說明FDT短文件名項(xiàng)（對應(yīng)上圖區(qū)域1），由于文件名超過了8個字符，單個FDT登記項(xiàng)容納不下全部文件名，所以FAT32文件系統(tǒng)用多個FDT登記項(xiàng)來記錄長文件名，由上圖可知，F(xiàn)AT32文件系統(tǒng)做了這樣的安排：長文件名由若干個FDT長文件名登記項(xiàng)(對應(yīng)上圖區(qū)域2，3，4)和一個短文件名FDT登記項(xiàng)(對應(yīng)上圖區(qū)域1)構(gòu)成。短文件FDT登記項(xiàng)記錄文件名前

19、6個字符，再加上1。（備注說明：FAT32文件系統(tǒng)創(chuàng)建長文件名時，形成的短文件名按下面三個原則生產(chǎn)：（1）取長文件名前6個字符加上“1”形成短文件名，擴(kuò)展名不變。（2）如果文件名已經(jīng)存在，則“”后的數(shù)字自動增加。(3)如果遇到非法字符，則以“_”替代。）長文件名登記項(xiàng)位于前面，由若干個（本例3個）32字節(jié)構(gòu)成，每個長文件名登記項(xiàng)記錄13個雙字節(jié)（Unicode編碼形式）的文件名，登記項(xiàng)首字節(jié)表示序號，而且長文件名登記項(xiàng)按倒序排列，即第一項(xiàng)在后面，最后一項(xiàng)在前面，這里要指出，長文件名登記項(xiàng)的首字節(jié)包含了序號和終結(jié)標(biāo)志兩部分內(nèi)容。由上圖可知，當(dāng)首字節(jié)第六位置1時，表示本登記項(xiàng)為最后一個。如本例中，

20、長文件名登記項(xiàng)最后一項(xiàng)首字節(jié)為43H，轉(zhuǎn)化為二進(jìn)制就是01000011,第六位置1，前5位序號部分值為3，表示長文件名登記項(xiàng)最后一項(xiàng)序號為3，并在最后一項(xiàng)置終結(jié)標(biāo)記。 短文件名FDT中記錄了文件的首簇號。 （短文件名FDT登記項(xiàng)結(jié)構(gòu)） 或者調(diào)用Winhex相應(yīng)的模版，查看文件的首簇號。短文件名短文件名FDT記錄項(xiàng)模版記錄項(xiàng)模版短文件名FDT登記項(xiàng)結(jié)構(gòu) 由以上結(jié)構(gòu)分析文件“test.txt”數(shù)據(jù)所占的第一塊數(shù)據(jù)是第3簇。第3簇對應(yīng)的起始扇區(qū)計(jì)算方法如上第2簇計(jì)算方法雷同。（起始位置：第32024扇區(qū)） 第二塊數(shù)據(jù)對應(yīng)是第幾簇呢？這就需要利用FAT表了。 下一個簇號=【當(dāng)前簇號4+FAT表起始地址

21、】取值 換句話說下一個簇號存放在相對于FAT起始位置偏移(34=12)相對于DBR起始位置偏移（34+17408= 17420）處連續(xù)的四個字節(jié)中。利用Winhex跳轉(zhuǎn)工具，跳轉(zhuǎn)到相對于DBR起始扇區(qū)的17420字節(jié)處。找到文件的第二塊數(shù)據(jù)(第4簇)。 再利用公式：下一個簇號=【當(dāng)前簇號4+FAT表起始地址】取值 跳轉(zhuǎn)到相對于DBR起始位置偏移44+17408= 17424處。（文件的第三塊數(shù)據(jù)簇號） 以此類推直到出現(xiàn)“FF FF FF 0F”結(jié)束為止。 文件的第四塊數(shù)據(jù)簇號文件的第五塊數(shù)據(jù)簇號文件對應(yīng)的第六塊數(shù)據(jù)簇號結(jié)束位置 通過遍歷文件“test.txt”這個文件的數(shù)據(jù)可以看出，這個文件的

22、數(shù)據(jù)是連續(xù)的，沒有出現(xiàn)數(shù)據(jù)分開存儲，F(xiàn)DT提供了文件的首簇號，有了這個首簇號，在利用FAT表就可以依次找出剩下的簇號。這就是FAT32文件系統(tǒng)的基本原理。FDT和FAT的相互作用2.6 FAT32文件系統(tǒng)的數(shù)據(jù)區(qū)分析文件系統(tǒng)的數(shù)據(jù)區(qū)分析 數(shù)據(jù)區(qū)的位置FAT32的數(shù)據(jù)區(qū)在文件系統(tǒng)中的具體位置是緊跟在FAT2之后。用“DBR保留扇區(qū)數(shù)”加上2倍的“每FAT扇區(qū)數(shù)”,這個數(shù)值就是數(shù)據(jù)區(qū)起始扇區(qū)號，數(shù)據(jù)區(qū)就是從這個位置開始的，數(shù)據(jù)區(qū)簇的編號是從第二簇開始的，第0簇和第1簇作為保留簇號，沒有實(shí)際的意義，實(shí)際上FAT32文件系統(tǒng)也沒有給第0簇和第1簇分配任何相應(yīng)的實(shí)際存儲空間。 數(shù)據(jù)區(qū)的內(nèi)容FAT32文件

23、系統(tǒng)數(shù)據(jù)區(qū)的內(nèi)容主要由三部分組成：根目錄，子目錄和文件。在數(shù)據(jù)區(qū)中是以“簇”為單位來管理這段空間的，第一個簇的編號是“2”。2.7 FAT32文件系統(tǒng)刪除文件的分析文件系統(tǒng)刪除文件的分析 把文件“test.txt”這個文件徹底刪除(Shift+Delete),對比刪除前后，F(xiàn)DT,FAT和DATA(數(shù)據(jù)區(qū))三個和文件相關(guān)的重要區(qū)域變化情況。截圖:FDT記錄項(xiàng)刪除之前 截圖：FDT記錄項(xiàng)刪除之后 通過刪除文件前后進(jìn)行對比，我們發(fā)現(xiàn)刪除文件操作，只把文件對應(yīng)的每項(xiàng)FDT的第一個字節(jié)內(nèi)容更改為“E5”，其它內(nèi)容沒有任何修改，尤其是對數(shù)據(jù)恢復(fù)重要的字段內(nèi)容：文件的首簇號和文件大小字段內(nèi)容沒有做任何更改。文件對應(yīng)的FAT表項(xiàng)內(nèi)容 刪除前文件對應(yīng)的FAT表項(xiàng) 刪除后 通過刪除文件前后對比FAT表項(xiàng)。可知：和刪除文件對應(yīng)的FA