张明旺

(四川警察学院计算机系，四川泸州 646000)

信息化社会的快速发展，通过电脑进行犯罪的案例越来越多，给人们造成了财产损失。为逃避打击，犯罪分子经常人为地将犯罪资料等数据彻底删除，或将分区甚至整个硬盘进行格式化操作，从而导致犯罪证据的丢失，因此，如何能够迅速准确地恢复出原始数据，为打击犯罪提供有力的证据，将成为至关重要的问题。

1 FAT32文件系统简介

当使用FAT 32文件系统管理硬盘时，能够支持的每个分区容量最大可达到128 TB。FAT32文件系统将逻辑盘的空间划分为3个区，分别是BOOT引导区、FAT文件分配表区和DATA数据区，如图1所示，其中引导区和文件分配表区一起称为系统区。

图1 FAT32文件系统结构

(1)BOOT引导区。引导区共占用3个扇区，保存本逻辑盘每个扇区的Byte数、每个簇对应扇区数等重要参数和引导记录，随后还保留着若干个保留扇区。

(2)FAT文件分配表区。文件分配表区存储有两个相同的文件分配表:一个是基本表;一个是备份表。文件分配表尤为重要，用于保存文件所占用的存储空间以及对空闲空间的管理，因此要对FAT文件分配表进行备份，即为备份表，两表长度和内容完全相同，这样当第一个FAT损坏时，可以用备份FAT还原。

文件系统对数据的存储是按簇进行空间的划分和管理的，簇是空间分配的基本单位，一个文件占用的空间由若干个簇组成。FAT32文件系统的簇号用32位二进制组成，一般从00000002H～FFFFFFEFH为可使用的簇号，每个簇的状态有32位二进制表示。……