电子取证之FAT32高位簇恢复和格式化恢复

前言

进行电子数据取证的时候，难免会遇到需要数据恢复的时候，掌握一定的数据恢复知识还是有必要的。本节涉及到的有:无高位簇恢复，有高位簇恢复，格式化虚拟目录恢复，格式化DBR恢复。

参考书籍:<<电子数据取证>>

上一篇:

电子取证-数据恢复

达达，公众号：Th0r安全电子取证之Fat32基础与半通用恢复

正文

第一个例子是没有高位簇的例子，这里可以看到开头是E5，代表文件被删除了。

这里只需要计算它的低位簇，然后跳转，就能就行保存了。

这种没有高位簇的，在文件被删除之后，可以直接通过跳转到对应簇就能进行恢复。

当没有高位簇的时候，被删除的变化是：

1号扇区 空闲簇数 和下个可用簇号改变

文件对应的FAT1和FAT2的FAT表现清空

目录项的第一个字节变成0XE5

当文件有高位簇的时候，删除文件的时候，高位簇会被删掉，这时候需要去尝试高位簇才行。

打开新的样例

这时候直接跳转到低位簇计算出来的簇，可以看到是错的

这时候对应于这种结果，需要对高位簇进行爆破，先假设高位簇是1，然后不行就+1。

接下来来看一下格式化后，磁盘怎么恢复。

磁盘格式化后

1号扇区 空闲簇数 和下个可用簇号改变

文件对应的FAT1和FAT2的FAT表现清空

目录项的第一个字节变成0XE5

目录的项的高位簇被清零

查看格式化后的：

这里搜索根目录的子目录，利用3F作为通配符

编写五个子目录

然后再恢复低位簇，从原先的那里复制

之后就能看到恢复成功格式化了，关于根目录的文件恢复，就和之前的一样了，不过要先恢复目录才行。

当输入簇和扇区不符合的时候，就说明扇区DBR有问题。

通过扇区数相减除以簇数，就可以得到簇的大小，这里是一样的，不是就需要刚才提到的公式去恢复。

然后通过根目录是2号簇，可以得到根目录的扇区。

之前提到过这个公式:根目录的位置计算公式：FAT的起始扇区号+

FAT表的大小 * 2

利用这个公式就可以反推出FAT表的大小了，就可以由此去判断DBR的正确与否，以及之后的修复。

原文始发于微信公众号（Th0r安全）：电子取证之FAT32高位簇恢复和格式化恢复