使用winhex对已删除文件进行恢复

2019-03-17 本文已影响0人良月廿七

这周第一次软件安全实验课题为“磁盘格式与数据恢复”，对于磁盘格式比较复杂，内容概念都比较多，且自己理解还不算透彻，等以后再试着归纳。这里就先从应用层角度通过对一个已删除文件的恢复实验来进行说明。
这里暂时只考虑文件系统为FAT32和NTFS的格式，下面也将分别对这两种文件系统的文件恢复进行演示。

FAT32

FAT32逻辑磁盘基本信息描述

用winhex打开一个FAT32分区格式的逻辑盘F盘，查看该逻辑盘的根目录区。

逻辑盘BPB

其中0200（蓝框）表示一个扇区512个字节，08（红框）表示每簇8个扇区，即每簇4kb。（查阅资料可得，FAT32分区当分区大小在260MB-8GB时，簇大小为4KB，符合事实）这里由F盘大小5GB及在FAT表中每簇占4个字节的记录可计算得每个FAT（FAT2为FAT1的备份）大小为5MB，与实际相同。
在F盘根目录下创建一个大概60kb的文本文档。

创建文件
在winhex找到该文件位置，查看目录项的信息。

文件目录项

由红框内目录项信息可分别知道首簇号高四位和第四位进而求得首簇号为10号，以及文件大小。经计算可得文件大小为58.9kb近似为文件大小。又因为每簇4kb，故共需15簇。

fat1（正常）
从第10号开始，形成一个簇链，直到FFFFFF0F结束。

FAT32数据恢复过程

将刚才的test.txt文件永久删除。

删除文件

找到文件目录项，修改对应第一位信息，并由目录项簇号信息及文件大小计算出首簇号为10，簇数为15。

修改第一位
分别将FAT1和FAT2的信息进行修改，从10号开始填补簇链到15个簇被填满，其中最后一个以FFFFFF0F结尾。

fat1（恢复）

保存后发现文件已恢复，内容完整。

恢复成功
至此，FAT32文件恢复已完成。

NTFS

NTFS数据恢复过程

同样，先在NTFS格式的E盘创建一个文本文档，再使用shift+delete进行删除。

创建文件.png

打开$MFT元文件。

查找文件名test的位置（MFT文件名是unicode形式），找到对应的MFT。

查找.png

文件MFT.png

16H为00H说明该文件被删除，系统根据这个标志来决定建立新文件时是否覆盖这个MFT而创建自己的MFT。
再向下找到80H处，往后八个字节为01，则找到相对80H处30H的EE0D00即0DEE为文件大小，经计算为3.48kb基本符合。再向后偏移10H，31表示往后一个字节01H为簇数1，再后三个字节638002即28063H为首簇号，换算成十进制为163939。