一種還原fat32目錄項的起始簇號恢復(fù)文件的方法
【專利摘要】本發(fā)明公開了一種還原FAT32目錄項的起始簇號恢復(fù)文件的方法，其特征在于包括以下步驟：S1：檢索數(shù)據(jù)區(qū)，區(qū)分被刪除文件；S2：根據(jù)被刪除文件的目錄項，得到目錄項起始簇號的高位；S3：檢索高位被清零的目錄項，并記錄；S4：提取S3中記錄的目錄項恢復(fù)對應(yīng)文件；S5：判斷是否完成任務(wù)，若是則結(jié)束，若否則執(zhí)行S4。本發(fā)明能夠找到并恢復(fù)起始簇號高位被清除的文件；通過父目錄或同級文件高位縮小檢索范圍，縮短程序運行時間；經(jīng)過三重判斷恢復(fù)文件提高成功率。
【專利說明】—種還原FAT32目錄項的起始簇號恢復(fù)文件的方法

【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及信息安全【技術(shù)領(lǐng)域】，特別涉及一種還原FAT32目錄項的起始簇號恢復(fù)文件的方法。

【背景技術(shù)】
[0002]FAT32是Windows系統(tǒng)硬盤主要分區(qū)格式的一種，存儲的數(shù)據(jù)中涉及人們的工作、學(xué)習(xí)、生活、交往、財務(wù)、休閑、娛樂、情感等，對個人或公司來說都是十分珍貴的無形資產(chǎn)。同時作為電子證據(jù)的一種，犯罪嫌疑人的硬盤數(shù)據(jù)是公安機關(guān)、檢察院等司法部門破案的關(guān)鍵。
[0003]目前常見的恢復(fù)FAT32文件系統(tǒng)中被刪除數(shù)據(jù)的方法主要是通過按文件目錄項起始簇號低位進行恢復(fù)，但起始簇號高位若被清除，高低位組合的首簇是不正確的，不能正確的進行恢復(fù)文件；因此當前急需一種還原FAT32目錄項的起始簇號來恢復(fù)文件的方法。


【發(fā)明內(nèi)容】

[0004]本發(fā)明針對現(xiàn)有技術(shù)的缺陷，提出一種通過還原FAT32目錄項的起始簇號恢復(fù)文件的方法，能有效的解決上述現(xiàn)有技術(shù)存在的問題。
[0005]為了實現(xiàn)上述目的，本發(fā)明采用的技術(shù)方案是:一種還原FAT32目錄項的起始簇號恢復(fù)文件的方法，包括以下步驟:
S1:檢索數(shù)據(jù)區(qū)，通過目錄項區(qū)分被刪除文件；
52:根據(jù)被刪除文件的目錄項，得到目錄項起始簇號的高位；
53:檢索高位被清零的目錄項,并記錄；
54:提取S3中記錄的目錄項之一，計算該目錄項起始簇號恢復(fù)對應(yīng)文件；
55:判斷是否完成所有起始簇號高位被清零文件的恢復(fù)，若是則結(jié)束，若否則執(zhí)行S4。
[0006]作為優(yōu)選，所述S4包括以下步驟:
5401:記錄該目錄項的起始簇號低位及文件大小信息；
5402:查找該目錄項的父目錄和同級文件的目錄項；
5403:選擇提取父目錄或同級文件目錄項中的起始簇號高位；
5404:若為父目錄，則起始簇號高位向上偏移一位；若為同級文件，根據(jù)同級文件目錄項位置向上或向下偏移一位；若偏移位置到達父目錄頭部或尾部，停止偏移，執(zhí)行S4。
[0007]S405:根據(jù)偏移后的高位和S401記錄的低位得到新的起始簇號；
5406:根據(jù)S405得到的起始簇號對應(yīng)的文件頭判斷是否為常用文件，若是則執(zhí)行S407，若否則執(zhí)行S404 ；
5407:根據(jù)起始簇號及S401記錄的文件大小判斷對應(yīng)的FAT項是否為連續(xù)的未使用狀態(tài)；若是則執(zhí)行S408，若否則執(zhí)行S404 ；
5408:根據(jù)起始簇號及S401記錄的文件大小截取文件，分析該文件是否正確；若是則執(zhí)行S409，若否則執(zhí)行S404 ； S409:恢復(fù)該文件。
[0008]與現(xiàn)有技術(shù)相比本發(fā)明的優(yōu)點在于:能夠找到并恢復(fù)起始簇號高位被清除的文件；通過父目錄或同級文件高位縮小檢索范圍，縮短程序運行時間；經(jīng)過三重判斷恢復(fù)文件成功率和正確率高。

【專利附圖】

【附圖說明】
[0009]圖1為本發(fā)明的主流程圖；
圖2為本發(fā)明步驟S4的詳細流程圖。

【具體實施方式】
[0010]為了詳細說明本發(fā)明的【具體實施方式】，下面結(jié)合附圖以說明:
如圖1所示，一種還原FAT32目錄項的起始簇號恢復(fù)文件的方法，包括以下步驟:
S1:檢索數(shù)據(jù)區(qū)，通過目錄項區(qū)分被刪除文件，這里需要檢索到目錄項開頭為“E5”則認為這是被刪除文件的目錄項。
[0011]S2:根據(jù)被刪除文件的目錄項，得到目錄項起始簇號的高位。
[0012]S3:檢索并記錄起始簇號高位為“00 00”的目錄項。
[0013]S4:提取S3中記錄的目錄項之一，計算該目錄項起始簇號進行比對并恢復(fù)對應(yīng)文件。
[0014]S5:判斷是否完成所有起始簇號高位被清零文件的恢復(fù)，若是則結(jié)束，若否則執(zhí)行S4。
[0015]如圖2所示，所述步驟S4的詳細步驟如下:
S401:記錄該目錄項的起始簇號低位及文件大小信息，目錄項中已包含低位信息和文件大小信息。
[0016]S402:根據(jù)該目錄項找到其父目錄和同級文件的目錄項。
[0017]S403:選擇提取父目錄或同級文件目錄項中的起始簇號高位。
[0018]S404:若選擇父目錄，則起始簇號高位向上偏移一位；若選擇同級文件，根據(jù)同級文件目錄項位置向上或向下偏移一位；例如高位為“02”,則將高位變?yōu)椤?1”或“03” ;若偏移位置到達父目錄頭部或尾部的邊界，停止偏移，執(zhí)行S4。
[0019]S405:根據(jù)偏移后的高位和S401記錄的低位得到新的起始簇號。
[0020]S406:根據(jù)S405得到的起始簇號對應(yīng)的文件頭判斷是否為常用文件，若是則執(zhí)行S407，若否則執(zhí)行S404 ;這里需要將常用文件的文件頭分別和對應(yīng)的文件頭進行匹配。
[0021]S407:根據(jù)起始簇號及S401記錄的文件大小判斷對應(yīng)的FAT項是否為連續(xù)的未使用狀態(tài)；若是則執(zhí)行S408，若否則執(zhí)行S404 個文件的大小對應(yīng)在FAT表中的FAT項，文件被刪除后FAT項也會被清除，只需判斷該文件對應(yīng)的FAT表中的FAT項是否被清空即可，若已經(jīng)被清空而且清空范圍和文件大小范圍吻合則認為可能是有效文件。
[0022]S408:根據(jù)起始簇號及S401記錄的文件大小截取文件，分析該文件是否為有效，是否損壞；若是則執(zhí)行S409，若否則執(zhí)行S404。
[0023]S409:恢復(fù)該文件。
[0024]以上描述闡述了具體細節(jié)以便充分理解本發(fā)明，但本發(fā)明還可以采用其他不同于此描述方式來實施，因此本發(fā)明并不限于以上公開的具體實施例。
【權(quán)利要求】
1.一種還原FAT32目錄項的起始簇號恢復(fù)文件的方法，其特征在于包括以下步驟: 51:檢索數(shù)據(jù)區(qū)，通過目錄項區(qū)分被刪除文件； 52:根據(jù)被刪除文件的目錄項，得到目錄項起始簇號的高位； 53:檢索高位被清零的目錄項,并記錄； 54:提取S3中記錄的目錄項之一,還原該目錄項起始簇號并恢復(fù)對應(yīng)文件； 55:判斷是否完成所有起始簇號高位被清零文件的恢復(fù)，若是則結(jié)束，若否則執(zhí)行S4。
2.根據(jù)權(quán)利要求1所述的一種還原FAT32目錄項的起始簇號恢復(fù)文件的方法，其特征在于所述S4包括以下步驟: 5401:記錄該目錄項的起始簇號低位及文件大小信息； 5402:查找該目錄項的父目錄和同級文件的目錄項； 5403:選擇提取父目錄或同級文件目錄項中的起始簇號高位； 5404:若為父目錄，則起始簇號高位向上偏移一位；若為同級文件，根據(jù)同級文件目錄項位置向上或向下偏移一位；若偏移位置到達父目錄頭部或尾部的邊界，停止偏移，執(zhí)行S4。
3.S405:根據(jù)偏移后的高位和S401記錄的低位得到新的起始簇號； 5406:根據(jù)S405得到的起始簇號對應(yīng)的文件頭判斷是否為常用文件，若是則執(zhí)行S407，若否則執(zhí)行S404 ； 5407:根據(jù)起始簇號及S401記錄的文件大小判斷對應(yīng)的FAT項是否為連續(xù)的未使用狀態(tài)；若是則執(zhí)行S408，若否則執(zhí)行S404 ； 5408:根據(jù)起始簇號及S401記錄的文件大小截取文件，分析該文件是否正確；若是則執(zhí)行S409，若否則執(zhí)行S404 ； 5409:恢復(fù)該文件。
【文檔編號】G06F17/30GK104331348SQ201410693388
【公開日】2015年2月4日 申請日期:2014年11月27日 優(yōu)先權(quán)日:2014年11月27日
【發(fā)明者】梁效寧 申請人:四川效率源信息安全技術(shù)有限責(zé)任公司