数据恢复：FAT文件系统结构专题

让您0基础精通FAT文件系统结构全部理论知识，掌握数据建立/文件删除、格式化等数据恢复全过程操作。
INHDD底层网做国内最专业化系统性的在线教程；

1：Fat文件系统。FAT32，FAT16，FAT12

File Allocation Table（FAT）文件系统是一个简单的文件系统，最初设计为小型磁盘和简单的文件夹结构。它的发展过程经历了FAT12、FAT16、FAT32三个阶段。FAT文件系统用“簇”作为数据单元。一个“簇”由一组连续的扇区组成，簇所含的扇区数必须是2的整数次幂。簇的最大值为64个扇区，即32KB。所有簇从2开始进行编号，每个簇都有一个自己的地址编号。用户文件和目录都存储在簇中。。

FAT当文件删除后写入新数据，FAT不会将文件整理成完整片段再写入，长期使用后会使文件数据变得逐渐分散，而减慢了读写速度。数据碎片化导致硬盘在格式化后的数据链破坏，对文档或视频等文件数据恢复需要进行碎片化分析。

INHDD底层网认为FAT文件系统格式当前虽然被淘汰，对于学习文件系统结构，还是一件非常有意义的。

术语表：
MBR ：Master Boot Record ( 主引导记录)

2：FAT文件系统基本属性

分区标识： 0x0B, 0x0C（MBR）EBD0A0A2-B9E5-4433-87C0-68B6B72699C7（GPT）
最大单文件大小： 4 GB (Fat16分区是2 GB )
最大文件数量： 268,435,437
最长档名限制： 8.3 或者 长文件名255个字符
最大卷大小： 8 TB （在windows 2000和windows XP环境下格式化程序只能创建最大32GBFAT32文件系统，不过可以用如PQ等分区软件分出大于32GB的FAT32分区，大于32GB的FAT32分区在WIN2000/XP下使用完全正常）
记录日期： 创建、修改、访问
属性： 只读，隐藏，系统，卷标，子目录，档案
透明加密：不支持
透明压缩：不支持
访问许可：无限制

3：FAT文件系统结构

FAT文件系统整体分布如上图（ 存储器文件结构图）所示：

• DBR保留区： 含有一个重要的数据结构——系统引导扇区（DOS Boot Record：DBR）。FAT12、FAT16的保留区通常只有一个扇区，而FAT32的保留扇区要多一些，除0号扇区外，还有其他一些扇区，其中包括了DBR的备份扇区。
  FAT32文件系统的开始部分有一个由若干个扇区组成的保留区，保留区的大小会记录在DBR扇区中，比较常见的为32、34或38个扇区。由DBR记录的0x0E和0x0F两个地址的数值决定，记得是小端模式，即N的值。
• FAT区：由两个大小相等的FAT表组成——FAT1、FAT2，FAT2紧跟在FAT1之后。File Allocation Table (文件分配表 FAT)
• 数据区DATA：FAT12、FAT16的根目录虽然也属于数据区，但是他们并不由簇进行管理。也就是说FAT12、FAT16的根目录是没有簇号的，他们的2号簇从根目录之后开始。而FAT32的根目录通常位于2号簇。

4：应用

• 文件的建立与删除
• 数据恢复分析
• 取证分析