1、FAT文件系統1)，其中盤片和磁頭密封在無塵的金屬殼中。或第 139文本結構索引表格索引1213 FAT32DBR2 winhex下的磁盤4 FAT32BPB3.1 MBR3 winhex給出的MBR5 FAT32FAT文件系統1)，其中盤片和磁頭密封在無塵的金屬殼中。或第 139文本結構索引表格索引1213 FAT32DBR2 winhex下的磁盤4 FAT32BPB3.1 MBR3 winhex給出的MBR5 FAT32BPB3.246 FAT16DBR4.1 關于4.1.1FAT32 5 47 FAT16BPB4.1.2FAT16 圖6 分區圖8 FAT16BPB4.2 關于保留79FA

2、T168winhex下的FAT32DBR11 FAT164.3 FAT表和數9 winhex8DBR12FAT324.3.2FAT1610winhex所截FAT1613 FAT4.3.3FAT324.3.11 Fat1614FAT324.3.12 Fat3215FAT32硬盤由很多盤片(platter)果有N2N2N個磁頭(Heads)，0、1、2規則通常是一樣的。這樣每個盤片的半徑均為固定值R一個以電機主軸為軸的柱面(Cylinders)，0、1、2片上的每個磁道又被劃分為幾十個扇區(Sector)，512byte，1、2、3形成CylindersHeadsSector3.1 MBR(mas

3、ter boot record)硬盤由很多盤片(platter)果有N2N2N個磁頭(Heads)，0、1、2規則通常是一樣的。這樣每個盤片的半徑均為固定值R一個以電機主軸為軸的柱面(Cylinders)，0、1、2片上的每個磁道又被劃分為幾十個扇區(Sector)，512byte，1、2、3形成CylindersHeadsSector3.1 MBR(master boot record)er鍵以后，開始執行主板biosBios執行完自己的程序后如何 把執行權交給硬盤呢。交給硬盤后又執行在哪里的程序呢。其實，稱為mbr的一段代碼起著舉足輕重的作用。boot record),0512byte中，

4、MBR4460H1BDH)，641BEH1FDH)為DPT(Disk PartitionTable，硬盤分區表)，最后的兩個字節“55AA”(1FEH偏移 來分析一段mbr。下面是用winhex120GB硬盤的mbr第239返回索引返回索引看 DPT 部分。操作系統為了便看 DPT 部分。操作系統為了便于用戶對磁盤的管理。加入了磁盤分區的概念。即將一塊磁盤邏輯劃分為幾塊。磁盤分區數目的多少只受限于 CZ 的英DPT641第 339返回索引第 4391 2值(StartingHead)6Sector) 只用了 05第 4391 2值(StartingHead)6Sector) 只用了 05還使用

5、了1位來ID)6使用了05位。最后兩位(第6、 7位)被結束柱面Cylinder) 除了1101第 539返回索引Sectors)1第 539返回索引Sectors)Sectors)也可以在winhex也可以在winhex第 639第 739第 7391603343。1、0H00H80H。80H為活動，00H21儲格式格式(little endian format)0 x3F0000000 x0000003F631603343。1、0H00H80H。80H為活動，00H21儲格式格式(little endian format)0 x3F0000000 x0000003F6337000M，699

6、7M，2H6H6 107H810801byte8.4GB(實際上應該是區25638.4GB的分區其實已經不通過C/H/S的方式尋址了。而是通過偏移CH偏移FH2322TB=2048GB，目前對于大多數計算機而言，這已8.4GB的分區上，C/H/S的表示方法和線性扇區的8.4GB的分區結束C/H/S一般填充為FEHFFHFFH。即C/H/S所能表示的最大值。有時候1024必須是柱面容量的整數倍。(保留扇區中的第一個扇區就是存放分區表的MBR虛擬MBR4第839返回索引3.2擴展分區中的每個邏輯驅動器都存在一個類似于MBR( Extended Boot Record, EBR)，也有人稱之為虛擬m

7、br或擴展mbr，3263。但是，如果磁盤上沒有擴展區表中的第一項指向它自身的引導扇區。第二項指向下一個邏輯驅動器的EBR個邏輯驅動器的EBR3.2擴展分區中的每個邏輯驅動器都存在一個類似于MBR( Extended Boot Record, EBR)，也有人稱之為虛擬mbr或擴展mbr，3263。但是，如果磁盤上沒有擴展區表中的第一項指向它自身的引導扇區。第二項指向下一個邏輯驅動器的EBR個邏輯驅動器的EBR第939返回索引4646第 1039返回索引除了擴展分區上最后一個邏輯除了擴展分區上最后一個邏輯驅動器外，表 2 中所描述的擴展分區表的格EBR。最后一個邏輯驅動器的擴展分第 11392

8、 返回索引1整數個柱面的容量，為什么會有不夠一個柱面的空間呢。在 里圈的扇區這種管理方式，只是為了與操作系統兼容而抽象出來CHS或四、FAT第12391整數個柱面的容量，為什么會有不夠一個柱面的空間呢。在 里圈的扇區這種管理方式，只是為了與操作系統兼容而抽象出來CHS或四、FAT第1239返回索引返回索引現著重研究FAT格式分區內數據是如的。FATfat12、fat16、fat32現著重研究FAT格式分區內數據是如的。FATfat12、fat16、fat32方7fat16fat32DBR、 FAT1、FAT2返回索引4.1 關于第 1339返回索引DBR區(DOS BOOT RECORD)05

9、120512DBR區(DOS BOOT RECORD)05120512BPB(BIOS Parameter Block)，擴展以用的最多的FAT32DBR8返回8第 14399winhexDBR第 1539返回表39winhexDBR第 1539返回表33853264202返回來DBRMBR將CPU執行轉移給引導扇區，因此，引導扇區的前三個字節必須是合法的可執行的基于x86CPU來的幾個不可執行的字節(BPB和擴展BPB)，跳到操作系統引導代碼部分。返回來DBRMBR將CPU執行轉移給引導扇區，因此，引導扇區的前三個字節必須是合法的可執行的基于x86CPU來的幾個不可執行的字節(BPB和擴展B

10、PB)，跳到操作系統引導代碼部分。8OEMID，OEMID標識了格式Windows 2000FAT16FAT32了5.0”，在NTFS磁盤上(關于ntfs，另述)，Windows 的是“NTFS”第 1639通常在被Windows95OEMID字段出現“MSWIN4.0”，在被 Windows 95 OSR2Windows 98OEM ID字段出現 0 x0B開始的是一段描述能夠使可執行引導代碼找到相關參數的信息。通常稱之為BPB(BIOS Parameter Block)，BPB一般開始于相同的位被封在BPB之中。由于引導扇區的第一部分是一個x86小的調整就可以適應BPB9統的研究，針對通常

11、在被Windows95OEMID字段出現“MSWIN4.0”，在被 Windows 95 OSR2Windows 98OEM ID字段出現 0 x0B開始的是一段描述能夠使可執行引導代碼找到相關參數的信息。通常稱之為BPB(BIOS Parameter Block)，BPB一般開始于相同的位被封在BPB之中。由于引導扇區的第一部分是一個x86小的調整就可以適應BPB9統的研究，針對圖 8，將FAT32 分區格式的BPB含義和擴展BPB含義釋義為表格，見表45。第17394 FAT32BPB2扇區字節數(Bytes Per Sector512、 1024、20484096。對大多1每簇扇區數(S

12、ectors Per FAT324294296個)，因此，通過增加每值有1、2、4、8、16、32、 64和128。Windows 2000的 FAT32實現只能創建最大為 32GB的分區。但是，Windows 2000能夠統(Windows 95、OSR2及其以2SectorFAT321FAT數(Number oT) 該分區上FAT的副本數。本字段的值一般為22根目錄項數(RootEntries)第 1839FAT32須設置為 02小扇區數(Small Sector)(只FAT12/FAT1601描述符( Media 第 1839FAT32須設置為 02小扇區數(Small Sector)(

13、只FAT12/FAT1601描述符( Media 盤，0 xF0表示高密度的3.5MS-DOSFAT16Windows20002FATSectorsPer 02每道扇區數(Sectors Per Track) 包含使用2磁頭數(Number of Head) 本字段包含使用 13h1.44MB 3.5的軟盤上，本字段的值為 24隱藏扇區數(Hidden Sector)13h有意義。在沒有分區的 上04總扇區數(Large Sector) 本4FATSectors Per 每個FAT機利用這個數和 FAT2擴展標志(ExtendedFlag)(只FAT32返回第 1939表返回第 1939表0-

14、3FAT01).FAT被到所有的FAT1FAT2文件系統版本(File ystem )只供FAT32使用,高持將來對該FAT324根目錄簇號(Root Cluster NumberFAT322，但不總是如此2System Information 用) FAT32文件系統信息(File System InformationFSINFO)結構的1。在備份引導扇區(Backup Boot 2FAT326，建議不要0DBR0 x5A0 x0080 x000 x02EB5890清楚地指明了OS引導代碼的偏移位置。jump 58H加上跳轉指令所需的位移量，0 x5A。此段指令在不同的操作系統上和不同的引導

15、方式上，其內容也win98,構建于fat基本分區上的win2000,winxp所使用的DBR只占用基本分區的第 0 扇區。他們提到，對DBR0 x5A0 x0080 x000 x02EB5890清楚地指明了OS引導代碼的偏移位置。jump 58H加上跳轉指令所需的位移量，0 x5A。此段指令在不同的操作系統上和不同的引導方式上，其內容也win98,構建于fat基本分區上的win2000,winxp所使用的DBR只占用基本分區的第 0 扇區。他們提到，對于fat32，一般的 32 個0FAT32如果是win98,02osFAT32win2000winxp,00 xC扇區(win2000winxp

16、,0 xC00 xAB2(win980 xC扇區(win2000winxp系統)，系統也是無法啟動的。如果 自己手動設置NTLDR雙系統，必須知道這一點。DBR0 x55AA的DBR第2039返回索引1物理驅動器號( Physical DriveNumber)與BIOS物理被標識為0 x00，物理硬盤被標識為0 x80，而與物理磁盤13h BIOS調用之1)FAT32分區1Boot Signature) 本字段必須要有能被Windows2000所識別的值0 x28或0 x294分區序號(Volume Serial NumberNO卷標(VolumeLabel8ID(System ID) FAT

17、32的取值，系統將不會執行DBRos引導的扇0 x55AA為合法結束標志。FAT16 FAT32DBR的含義大致如此，對于FAT12FAT16相關偏移量和參數意義有小的差異，FAT研究一下，和FAT32第 21397 FAT16BPB2扇區字節數(Bytes Per Sector的取值，系統將不會執行DBRos引導的扇0 x55AA為合法結束標志。FAT16 FAT32DBR的含義大致如此，對于FAT12FAT16相關偏移量和參數意義有小的差異，FAT研究一下，和FAT32第 21397 FAT16BPB2扇區字節數(Bytes Per Sector5121每簇扇區數(Sectors Per

18、Cluster) 一個簇中的扇區數。由于FAT16文件系統只返回索引6 FAT1638OEM擴展4返回索引第 2239大小取決于該 分區的大 有 1、2、4、8、16、32、 64128。導致簇大于第 2239大小取決于該 分區的大 有 1、2、4、8、16、32、 64128。導致簇大于2SectorFAT為1 1FAT數(Number o區上FAT的副本數。本字段的值一般為22根目錄項數(RootEntries)32512。其中一(VolumeLabel)，長名稱的511，但是如2小扇區數(Small Sector) 16=8GB=16GB返回索引簇的取值意義和FAT16FAT32件。這樣

19、根目錄便沒有了FAT1651214.3.12FAT32依然同FAT16121FAT32FAT16 第 3639表簇的取值意義和FAT16FAT32件。這樣根目錄便沒有了FAT1651214.3.12FAT32依然同FAT16121FAT32FAT16 第 3639表13 FAT各系統7返回*0FH,0FH，目錄段日期的算法和FAT16、由于FAT32可尋址的簇號到了32位二進制數。所以系統文0 x120 x1316，FAT324GB的文件(目錄),系統會截斷處理。FAT32錄項中的。為了低版本的OS或程序能正確長文件名文件創建了一個對應的短文件名，使 對應數據既可以用長文件名尋第3739*0FH,0FH，目錄段日期的算法和FAT16、由于FAT32可尋址的簇號到了32位二進制數。所以系統文0 x120 x1316，FAT324GB的文件(目錄),系統會截斷處理。FAT32錄項中的。為了低版本的OS或程序能正確長文件名文件