引用:
|
作者天天開心
刪除的原理大致如各位說的
但我的疑問是檔案所在FAT被清空，
怎找回分散不連續的磁區，組回一個完整的檔案？
搜尋檔案特徵我覺得怪怪的
因為沒有索引，磁區的內容僅是0101二進制無意義的資料不是嗎？
像是純文字檔，內容是ANSI的字母，也沒什麼特徵才對
還是謝謝各位的解說
|
在FAT中根目錄與FAT表是分開的,磁碟運作是使用叢集(亦稱磁簇)行處理。
在DOS下FAT表有2份,主/副,當2表不一樣時,表示有幽靈磁區被佔用,這時就用掃瞄方式來找出。
2份FAT表所佔的空間為一個叢集
再來就是根目錄資料區,通常8.3檔名格式,每一檔名資料佔32BYTES,而根目錄最大只可記下512筆。此區也給一個叢集。
FAT表第1,2個連結內容分別由前二個叢集佔位,因此第一個檔的叢集連結記錄由第3個開始。
當刪檔時,只會在檔名第一個字填入刪除標記,其他資料未變動。
在磁碟空間夠多或是根目錄未被全用完,則新檔是不會優先使用己刪的地方,會選擇空的區,因為效率問題,所以諾頓磁碟重整程式內有一項"目錄整理"作的就是清掉被刪的記錄項。
而NTFS又是有自己的運作規則了
表1:
代碼:
ＢＯＯＴ ＳＥＣＴＯＲ 記錄
偏移值 資料大小 說明
００Ｈ ３位元組 跳址指令（Ｖ５版為ＥＢ３Ｃ９０Ｈ）。
３∼０ＡＨ ８位元組 系統名稱。
０ＢＨ以後為ＢＰＢ資料：
０ＢＨ＋００Ｈ ２位元組 每磁區之位元組數（內定為０２００Ｈ）。
０ＢＨ＋０２Ｈ 位元組 每磁簇之磁區數。
０ＢＨ＋０３Ｈ ２位元組 由磁區０開始的保留磁區數。
０ＢＨ＋０５Ｈ 位元組 ＦＡＴ個數（內定為０２）。
０ＢＨ＋０６Ｈ ２位元組 根目錄登錄總數。
０ＢＨ＋０８Ｈ ２位元組 磁區總數（大於６５５３５則此值為０）。
０ＢＨ＋０ＡＨ 位元組 媒質指示。
０ＢＨ＋０ＢＨ ２位元組 每一ＦＡＴ所佔之磁區數。
０ＢＨ＋０ＤＨ ２位元組 每磁軌之磁區數。
０ＢＨ＋０ＦＨ ２位元組 磁頭數。
０ＢＨ＋１１Ｈ ４位元組 隱藏磁區數（內定為０）。
０ＢＨ＋１５Ｈ ４位元組 若８Ｈ＝０則為磁區總數（內定為０）。
０ＢＨ＋１９Ｈ 位元組 實體磁碟機數。
０ＢＨ＋１ＡＨ 位元組 保留。
０ＢＨ＋１ＢＨ 位元組 擴充開機記錄之記名欄。
０ＢＨ＋１ＣＨ ４位元組 由日期時間而得的序列號碼。
０ＢＨ＋２０Ｈ １１位元組 版本標記。
０ＢＨ＋２ＢＨ ８位元組 保留（內存ＦＡＴ型式；為ＦＡＴ１２或ＦＡＴ１６之文字）。
表二
代碼:
ＦＡＴ之記錄方式：
１２ＢＩＴ方式：
偏移
００ 磁片型式碼。
１，２ 不用一般為ＦＦＦＦＨ。
３以後 ＦＡＴ資料，每一磁簇佔１．５位元組。
１６ＢＩＴ方式：
００ 磁片型式。
１∼３ 不用，為ＦＦＦＦＦＦＨ。
４以後 ＦＡＴ資料，每磁簇佔２位元組。
ＦＡＴ狀態值：
０Ｈ 未使用。
２Ｈ∼（Ｆ）ＦＦ６Ｈ 檔的連續值標。
（Ｆ）ＦＦ７Ｈ 受損之磁簇。
（Ｆ）ＦＦ８Ｈ∼（Ｆ）ＦＦＦＨ 檔之結尾。
表3
代碼:
目錄結構
偏移值 資料大小 說明
００Ｈ ８位元組 檔名（不足８字時以空格填滿）。（第１字為Ｅ５Ｈ表刪除。）
０８Ｈ ３位元組 延伸名（不足時填空白）。
０ＢＨ 位元組 檔屬性。
０ＣＨ １０位元組 保留。
１６Ｈ ２位元組 檔時間。
１８Ｈ ２位元組 檔日期。
１ＡＨ ２位元組 起始磁簇。
１ＣＨ ４位元組 檔大小。
參考:
檔名掃瞄程式 PART2 by INT25h