子任務2利用WinHex恢復FAT32文件系統任務1FAT32文件系統恢復項目7文件系統恢復01用Winhex恢復受破壞FAT表02用Winhex恢復受破壞FAT32數據區用戶目錄項目錄contents用Winhex恢復受破壞FAT表01任務實施2（一）用Winhex恢復受破壞FAT表（被清零）（共有3個步驟）步驟一：附加虛擬磁盤，運行Winhex并打開它步驟二：確定FAT32文件系統受破壞步驟三：恢復FAT32文件系統一步驟一：附加虛擬磁盤，運行Winhex并打開它在素材文件夾中，雙擊“7任務1-2-1.vhd”，然后運行Winhex，打開“HD1”，界面顯示該硬盤信息，此虛擬磁盤共分有1個主分區（FAT32分區）。用Winhex恢復受破壞FAT表步驟二：確定FAT32文件系統受破壞進入在分區1，分別點開FAT1、FAT2表，發現它倆偏移0X03?07有數據“0X7FFFFFFF”，其它都有為0，說明FAT表被破壞了。一步驟三：恢復FAT32文件系統1.確定各目錄項參數分別讀取“根目錄”、“systemVolumeInformation”、“7任務1”、“$RECYCLE.BIN”四個文件及其管理的目錄項數據，得出各自的起始簇及大小，然后根據DBR的BPB的每簇扇區數為16，就可以計算出起始扇區及大小（扇區數）用Winhex恢復受破壞FAT表2.推算FAT1表項值，并把它填入FAT1表項推算出各文件所占的表項號、簇數及對應的表項值，填入FAT1表項表，如表7-11所示。表7-11FAT1表項表表項值起始簇大小（扇區）表項數表項內容00號0X0FFFFFF800號01FAT表標志表項01號0XFFFFFFFF01號01系統保留表項02號0X0FFFFFFF02號01目錄表項03號0X0FFFFFFF03號01文件只一個表項04號0X0FFFFFFF04號01文件只一個表項05號0X0FFFFFFF05號01文件只一個表項06?20號0X07?1506?20號123,97716文件存儲指向7?20號表項21號0X0FFFFFFF21號文件結束項22號0X0FFFFFFF22號331文件只一個表項23號0X0FFFFFFF23號01文件只一個表項24號0X0FFFFFFF24號1291文件只一個表項25號0X0FFFFFFF25號01文件只一個表項

一步驟三：恢復FAT32文件系統根據表7-11，填入FAT1的各個表項，如圖7-7所示。用Winhex恢復受破壞FAT表圖7-7Winhex編輯窗口信息（FAT1表）圖3.把FAT1復制到FAT2表把FAT1表復制到FAT2表,最后進行保存和磁盤快照。恢復受破壞FAT表（被清零）的操作完成。用Winhex恢復受破壞FAT32數據區用戶目錄項02用Winhex恢復受破壞FAT32數據區用戶目錄項二、用Winhex恢復受破壞FAT32數據區用戶目錄項（共有3個步驟）步驟一：附加虛擬磁盤，運行Winhex并打開它步驟二：確定FAT32文件系統受破壞步驟三：恢復FAT32文件系統二步驟二：確定FAT32文件系統受破壞進入在分區1，點擊根目錄，發現用戶目錄項為0，用資源管理器打開本分區，根目錄下沒有文件（夾），說明用戶目錄項被破壞了。如圖7-8所示。用Winhex恢復受破壞FAT32數據區用戶目錄項圖7-8Winhex編輯窗口信息（被“清零”的用戶目錄項）圖二步驟三：恢復FAT32文件系統1.確定非用戶文件（夾）占的簇號從DBR的BPB參數表得知“根目錄”分配2號表項，“systemVolumeInformation”子目錄項中得知其占3-4、25號表項，“$RECYCLE.BIN”子目錄項中可知其占23-24號表項。具體讀數流程可參考“子任務1”。用Winhex恢復受破壞FAT32數據區用戶目錄項二步驟三：恢復FAT32文件系統2.推算用戶文件目錄項參數推算出用戶文件（夾）所占的簇號為5-22，跳轉至5號簇，發現用戶子目錄項，且有兩個文件，經推算，第1個文件占6-21號簇，第2個文件占22號簇，因此，被破壞的是用戶文件夾，不是文件，把數據填入用戶文件目錄項參數表，如表7-12所示。用Winhex恢復受破壞FAT32數據區用戶目錄項表7-12用戶文件目錄項參數表偏移長度值短文件目錄項內容0X0080X202031F1CEC837主文件（夾）名:7任務1（重新命名）0X0830X202020擴展名：空0X0B10X10屬性：10H(子目錄)0X0C10X00子目錄名大小寫：OOH（大寫）0X1420X00文件（夾）開始簇號的高16位:0簇0X1A20X05文件（夾）開始簇號的低16位:5簇0X1C40X00文件實際大小，0字節二步驟三：恢復FAT32文件系統3.把用戶文件目錄參數填入用戶文件目錄項根據表7-12，把