再分享一个U盘案例，这个更难点。敬请分析

bsmao

不是太有把握，有蒙的成分。呵呵

rainhe

bsmao 发表于  22 分钟前
本帖最后由 bsmao 于 2013-5-10 20:24 编辑   


fat16    扇区总数：3912993       簇大小：64         保留扇区：1...

我记得好像根目录在500多号扇区来自: iPhone客户端

bsmao

rainhe 发表于 2013-5-10 20:39
我记得好像根目录在500多号扇区

确实在190

bsmao

rainhe 发表于 2013-5-10 20:39
我记得好像根目录在500多号扇区

果然是我错了，根目录在542，这样的话还得改：

学无涯

{:11|}怎么回事？
杜老师，发全盘镜像，两种的貌似差不多

bsmao

学无涯 发表于 2013-5-10 21:08
怎么回事？

190号扇区的根目录好像是不对的，我还得算算{:1_382:}{:1_392:}

bsmao

fat16    扇区总数：3912993       簇大小：64 （没把握）        保留扇区：1          fat个数：2       fat大小：255      FDT所在扇区：542        隐藏扇区数：31       fat1 覆盖 fat2 。{:1_389:}{:1_389:}{:1_389:}

可惜无法验证数据。

rainhe

回复@bslmao:FAT表肯定是有两个。

bsmao

rainhe 发表于 2013-5-10 21:56
回复@bslmao:FAT表肯定是有两个。

反复找，始终找不到fat2。222号扇区（也就是第一个疑似FDT之后）开始，就是数据区，有很多的复合文档。到542号扇区（疑似第二个FDT），目录项（包括已删除的）只占了8个扇区。再之后好像又是一些复合文档的内容，一直到镜像结束，应该都是数据区了（始终没有找到fat2）。
综合以上的分析。感觉190号扇区更像是根目录（所有32个扇区全是目录项，包括删除的），而且之后的222号扇区明显是一个复合文档的文件头（说明已经是数据区了）。
而在542号扇区的第二个疑似根目录，首先之前已经有了其他数据，另外目录项明显比190号扇区开始的根目录少，只占8个扇区。而且FDT的扇区数不足32个。之后也是数据区了。

以上是我的分析，呵呵

hawkyuan

学习一下!!!

rainhe

bsmao 发表于 2013-5-11 00:00
反复找，始终找不到fat2。222号扇区（也就是第一个疑似FDT之后）开始，就是数据区，有很多的复合文档。 ...

有两个FAT，FAT1好像开始于32,大小是255，我现在记不得具体参数了。

awolfs8888

看看。。。。。。。。。

wujiaping

新手 学习 学习

awolfs8888

rainhe 发表于 2013-5-11 07:17
有两个FAT，FAT1好像开始于32,大小是255，我现在记不得具体参数了。

fat16    扇区总数：3912993       簇大小：64         保留扇区：1          fat个数：1         fat大小：158       FDT所在扇区：190        隐藏扇区数：31

yan871128

看一下。学习学习