APP下载

快速恢复ExFAT文件系统数据

2019-06-04甘肃权建军

网络安全和信息化 2019年5期
关键词:扇区磁盘备份

■ 甘肃 权建军

编者按: ExFAT文件系统是一种适合于闪存的文件系统,但有时会造成磁盘文件不能打开的故障。本文讲解了一种快速恢复ExFAT文件系统数据的方法。

作为FAT文件系统家族中FAT32的继任者,ExFAT文件系统允许无缝连接桌面计算机和便携媒体设备。其DBR及保留扇区位于0-11扇区,由于DBR及其备份很靠近,一旦都遭到损坏,会造成磁盘文件不能打开。

经典的数据恢复方法是手工恢复,需要计算出DBR的BPB参数,再编程计算校验码,难度很大。本文提出一种快速的数据恢复方法。

图1 ExFAT文件系统的结构

图2 故障现象1

图3 故障现象2

ExFAT文件系统的结构

ExFAT(Extended File Allocation Table File System,扩展文件分配表)是微软在Windows Embeded 6.0(包括Windows CE 6.0、Windows Mobile)中引入的一种适合于闪存的文件系统。ExFAT是为闪存介质而开发的,如U盘、数码卡等。现在闪存介质的容量越来越大,FAT文件系统能够管理的空间有限,而NTFS文件系统是日志型文件系统,需要记录详细的读写操作,对介质磨损较大,不适合使用在闪存介质上,出于这些考虑,微软推出了ExFAT文件系统。ExFAT理论上最大支持可达64ZB,系统建议支持的最大分区为512TB。

ExFAT文件系统的结构如图1所示。

其 中,0-11号扇区为主引导区域,共12个扇区,可分为5个区域:主要扇区、主扩展引导扇区、OEM参数区、保留扇区和校验扇区。主引导区域的11号扇区记录的是前0-10号扇区的校验值,12-23号扇区为主引导区域的备份,12号扇区为0号DBR的备份。

DBR损坏的故障现象

打开磁盘,故障现象如图2所示,使用WinHex提示如图3所示。使用R-STUDIO提示如图4所示。

用WinHex打开磁盘,观察其0-11扇区,全为0;再观察 DBR备份 12~23扇区,也全为0。因此,磁盘的DBR及备份都遭到了破坏,必须恢复其DBR及校验码。

传统的数据恢复方法

DBR被破坏后,传统的数据恢复方法,是复制一个ExFAT文件系统DBR,然后计算其BPB参数。包括隐藏扇区数、扇区总数、FAT起始扇区号、FAT扇区数、根目录起始扇区、总簇数、首簇起始扇区号与根目录首簇号、每簇扇区数。但这样计算量大,容易出错,更为关键的是还要计算11号扇区的CHECKSUM数值。

图4 故障现象3

图5 ExFAT格式化

有关经典方法的论述,相关文献较多,这里不再细说。值得一提的是,这种方法即便BPB参数计算完全正确,也未必能打开磁盘,因为还需要计算11号扇区的CHECKSUM数值,即校验码,需要编程才能计算。

图6 用R-STUDIO打开分配单元合适的磁盘

快速数据恢复方法:试凑法

下面我们尝试用新的试凑法恢复磁盘文件。

第一步,根据磁盘的总扇区数,建立一个虚拟磁盘,大小应比该磁盘略大,简单卷大小严格等于该磁盘的总字节数,分配单元选默认值,并格式化为ExFAT文件系统,如图5所示。

这样,就建立了一个ExFAT文件系统的虚拟磁盘。

第二步,将此虚拟磁盘的0-11扇区复制到待恢复的磁盘的0-11扇区,替换了原磁盘的0-11扇区。

第三步,刷新后,用R-STUDIO打开该磁盘。如果0-11扇区数据正确,可以看到该磁盘的所有文件。

第四步,如果仍打不开磁盘文件,表明0-11扇区数据不正确。删除该简单卷,再选择不同的分配单元大小,依照如图5中的512、1024、2048、4096、8192、16K、32K、64K 分别进行尝试。直到用R-STUDIO打开磁盘后,可以看到该磁盘的所有文件。

图6是用R-STUDIO恢复分配单元合适的磁盘。这些文件夹双击即可打开。

经过以上四个步骤,通过试凑磁盘分配单元的大小,就可以打开磁盘,并读取文件数据了。

结语

本文巧妙利用虚拟磁盘,产生与实际磁盘相匹配的DBR及其校验码,避免了繁杂的计算和编程,极大地简化了ExFAT文件系统的数据恢复,教学及实际使用都取得了很好的效果。

猜你喜欢

扇区磁盘备份
分阶段调整增加扇区通行能力策略
利用云备份微信聊天记录
基于复杂网络理论的空域扇区网络特性及抗毁性分析
它的好 它的坏 详解动态磁盘
如何只备份有用数据而不备份垃圾数据
解决Windows磁盘签名冲突
Windows10应用信息备份与恢复
空域扇区网络级联失效抗毁性及优化策略
U盘故障排除经验谈
Windows系统下动态磁盘卷的分析与研究