【发布时间】：2015-05-15 22:36:43
【问题描述】：
我目前正在研究具有 FAT12 文件系统的磁盘映像，用于数据恢复目的/研究文件雕刻。对于本次调查，我有需要从磁盘映像中雕刻/恢复的实际文件，以便我可以验证从雕刻过程/恢复中获得的结果。
在对恢复的文件进行比较和分析的过程中，我注意到恰好在 2 个文件数据簇（每个大小为 16384 字节/32 个扇区）之后有 4 个额外/嵌入字节。在相应的实际文件中找不到在 2 个簇之后注意到的这些重复且不同的 4 个字节。我认为这些字节被文件系统以某种方式使用，对吗？它们的目的是什么？如何在恢复过程中识别它们？
十六进制转储：
需要从磁盘恢复的实际文件（2 个集群之间的十六进制）：
Offset 0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15
00016336 BC 55 B4 F8 A5 E1 69 82 2A DD 4A 5D DC 46 B9 80 ¼U´ø¥ái‚*ÝJ]ÜF¹€
00016352 E1 33 D3 F9 76 AE 8A 79 2E 22 0F 58 EE 67 FD AD á3Óùv®Šy." Xîgý
00016368 49 E9 7B 76 45 99 3E 25 69 36 F2 00 8B 71 70 C0 Ié{vE™>%i6ò ‹qpÀ
00016384 FC BB 6D 65 E9 DC F2 30 7E BD 6A B4 BF 17 52 0B ü»meéÜò0~½j´¿ R
00016400 64 9A 2D 13 58 B8 0E FB 13 65 9B 1E 87 93 F9 00 dš- X¸ û e› ‡“ù
00016416 7F 11 55 4F 21 AD A7 3A 51 D7 B9 CF 3C DE 35 25 UO!§:Q×¹Ï<Þ5%
磁盘映像：
Offset 0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15
00132880 BC 55 B4 F8 A5 E1 69 82 2A DD 4A 5D DC 46 B9 80 ¼U´ø¥ái‚*ÝJ]ÜF¹€
00132896 E1 33 D3 F9 76 AE 8A 79 2E 22 0F 58 EE 67 FD AD á3Óùv®Šy." Xîgý
00132912 49 E9 7B 76 45 99 3E 25 69 36 F2 00 8B 71 70 C0 Ié{vE™>%i6ò ‹qpÀ
00132928 **08 B5 A9 88** FC BB 6D 65 E9 DC F2 30 7E BD 6A B4 µ©ˆü»meéÜò0~½j´
00132944 BF 17 52 0B 64 9A 2D 13 58 B8 0E FB 13 65 9B 1E ¿ R dš- X¸ û e›
00132960 87 93 F9 00 7F 11 55 4F 21 AD A7 3A 51 D7 B9 CF ‡“ù UO!§:Q×¹Ï
00132976 3C DE 35 25 <Þ5%
从上面的十六进制转储中可以看出 08 B5 A9 88 正好在两个簇之间，但是在实际文件中这 4 个字节被消除了。
【问题讨论】：
-
FAT 的分配块是簇。如果文件的大小小于集群大小，那么您可以在集群末尾观察到未使用的“垃圾”。这是你看到的吗？如果没有磁盘映像的精确十六进制转储，就很难提供任何有用的东西。请记住，每个 FAT 条目有 12 位，因此要正确遍历，您需要进行一些位移运算。另见wiki.osdev.org/FAT#FAT_12
-
是的，我完全同意你的看法；但是在这种情况下，我不认为额外的字节是垃圾，因为文件占用了多个簇。额外的字节位于 2 个分配的簇之间，可以从上面的描述中看到 - 请参阅更新的描述。
-
集群之间没有文件系统本身分配或使用的空间，也没有一些特殊的集群。它是分配给文件或目录的连续区域，分配图存储在 FAT 中（据我所知）。看起来原始文件（一些
EXE或COM代码？）被破坏的病毒或中间中断的加密器覆盖。只是猜测。我会尝试使用Norton Disk Doctor查看磁盘并探查reverseengineering.stackexchange.com 站点以获取一些专业知识 -
原始文件为JPG图像，磁盘图像经尸检分析（参考sleuthkit.org/autopsy）。这能够克服这个问题，因为额外的字节被消除并且JPG图像被成功恢复。
-
老实说，我仍然对集群之间的那些嵌入字节一无所知。这个问题的重点是检查文件系统是否在集群之间使用任何嵌入字节，如果是，它们代表什么，因为没有任何文档说明文件系统在数据区域中使用任何元数据 - 谢谢你的帮助。
标签： file operating-system filesystems data-recovery file-recovery