【干货】查看windows文件系统中的数据—利用簇号查看文件与恢复文件
前面我们使用这个软件发现了很多删除掉的数据,今天来看看簇。FAT文件系统中,存在一个簇的链接,我知道了簇1在哪里就可以顺藤摸瓜恢复所有的信息。
这里使用FAT 12为例子,FAT其他万变不离其宗,甚至其他文件系统都有相似处。有了这次体验,你就可以大胆去尝试和猜测,点击与判断。感受一下吧。
文章中比如,簇,第一簇,红色簇,蓝色簇,绿色簇都有它的伏笔。甚至所有的笔记都有伏笔。对哪里有疑惑,就应该生出危机意识,笔记或者文档只是用来备份,而不是用来学习的地方。
如果是学习,就不能忽略掉我给的来源。文章也已翻译好,虽然不怎么修正术语,但是玩一玩大家来找茬,还是可以发现英文对应的正确术语叫什么的。
演示工具Encase
查看大量的引导记录。前面的文章中出现过这个工具的演示,是在说boot引导的地方。
这里打开的文件系统是FAT 12。注意windows7的NTFS系统也可以用此工具。Windows8以及windows 2012的文件系统是一个新的系统,这以为着需要更先进的工具来支持。很遗憾,这里不关注它们。如果你很想掌握,去SANS社区收集信息即可。
这是第一个扇区,这是引导记录
你点击一个,它自己全部选择上1,这是FAT文件系统表 2是这个表的备份
绿色的是根目录,蓝色的是当前分配的数据区。灰色的是目前没有使用的,里面是历史数据,垃圾数据
现在重点关注这个根目录的内容,选到它的第一个扇区,使用十六进制数查看
大小端伏笔:第一个簇的信息驻留在第二行的26-27字节中02 00这是小端的顺序,需要把它反过来,变成00 02,做一个交换。因为人的阅读是从左到右,而计算机的阅读是比特为最小单位,01011110这个肯定是最右边最小,如果计算机从最右边开始操作就是小端。从左边开始操作就是大端。
举例:内地地址为十六进制的0002,拿出的是02,显示的02又在前面就变成了02 00这跟内存地址是个反的,交换一下变成0002就跟内存地址表示得一样了,这样才不会错。至于怎么拿,到底是大端还是小端,搞不清楚没关系。关键的地方就在于,内地地址是多少,你丫的显示的时候不要搞反。
一旦找到第一个簇,它将使用FAT表来找其他簇。如果你看到文件名以E5开头比如File1,这就被删除了。E5在FAT 12文件系统(dos系统的时代,在windows 98以前)中表示删除,这是一个固定的标志。看见一眼,就能100%肯定
回过头去看看删除的目录,文件夹的开头内容有点和点点。
前面我们看见第一个簇它是00 02 ,右边内容发现这第一个簇对应的是file4文件的内容。
点开文件4,发现是一张图片,最底下的 PS33 LS33 CL 2,这个CL 2 表示的就是簇2.
【干货】查看windows文件系统中的数据—利用簇号查看文件与恢复文件的更多相关文章
- 4.安装etcdkeeper查看etcd数据库中的数据
作者 微信:tangy8080 电子邮箱:914661180@qq.com 更新时间:2019-06-24 12:47:59 星期一 欢迎您订阅和分享我的订阅号,订阅号内会不定期分享一些我自己学习过程 ...
- SQL SERVER 数据库中查看文本字段中的数据长度LEN() 函数的使用方法
SQL LEN() 语法 SELECT LEN(column_name) FROM table_name Id LastName FirstName Address City 1 Adams John ...
- Hive数据导入——数据存储在Hadoop分布式文件系统中,往Hive表里面导入数据只是简单的将数据移动到表所在的目录中!
转自:http://blog.csdn.net/lifuxiangcaohui/article/details/40588929 Hive是基于Hadoop分布式文件系统的,它的数据存储在Hadoop ...
- Windows系统中CMD wmic查看硬盘、内存、CPU、BIOS、网卡等信息。(附带脚本)
目录 Windows系统中CMD wmic查看硬盘.内存.CPU.BIOS.网卡等信息. 查看内存相关 查看内存主板数量(两条命令均可) 查看物理内存 查看逻辑内存 查看缓存 查看虚拟内存 查看网络相 ...
- Windows Phone实用教程:利用Blend为程序添加设计时数据
[前言] Blend自诞生那一天起就伴随这开发者如此的评价: 有VS还用Blend干啥,直接码代码就好了. Blend会生成一堆垃圾无用代码,很不爽. 对于这类我只会在心里评价,当你并不真正了解一样事 ...
- Verilog利用$fdisplay命令往文件中写入数据
最近在做的事情是,用FPGA生成一些满足特定分布的序列.因此为了验证我生成的序列是否拥有预期的性质,我需要将生成的数据提取出来并且放到MATLAB中做数据分析. 但是网上的程序很乱,表示看不懂==其实 ...
- 使用hexdump追踪FAT32文件系统中的一个文件
最近在看文件系统基础结构等知识,本来重点是想看EXT4文件系统,但是目前没有找到比较详细说明EXT4文件系统详细结构的,用EXT3的对应着找结果有点出入,在想是不是我用hexdump的参数有问题,于是 ...
- 使用Hive或Impala执行SQL语句,对存储在HBase中的数据操作
CSSDesk body { background-color: #2574b0; } /*! zybuluo */ article,aside,details,figcaption,figure,f ...
- Jmeter----读取excel表中的数据
Jmeter 读取excel数据使用的方法是使用CSV Data Set Config参数化,之后使用BeanShell Sampler来读取excel表中的数据 第一步.查看所需的接口都要哪些字段和 ...
随机推荐
- Java实验报告(实验二)
课程:Java程序设计 班级: 1351 姓名:王玮怡 学号:20135116 成绩: 指导教师:娄嘉鹏 实验日期: ...
- Linux读书笔记第一周
1.Unix内核的特点:简洁:抽象:可移植性:进程创建:清晰的层次化结构. Linux内核是一种自由/开源的软件,设计思想与Unix系统相似(一切皆文件,特定的单一用途 & 简单的组合方式) ...
- python3 selenium打开Chrome报错闪退问题
ChromeDriver不匹配 Google Chrome 已是最新版本 版本 64.0.3282.186(正式版本) (32 位) ChromeDriver应该选择2.35 下载链接:https ...
- RYU 灭龙战 fourth day (2)
RYU 灭龙战 fourth day (2) 前言 之前试过在ODL调用他们的rest api,一直想自己写一个基于ODL的rest api,结果还是无果而终.这个小目标却在RYU身上实现了.今日说法 ...
- ns3的输入输出奥秘(二) 命令行参数
命令行参数 (1) UdpEchoClientHelper echoClient (interfaces.GetAddress (1), 9); echoClient.SetAttribute (&q ...
- 使用不同的namespace让不同的kafka/Storm连接同一个zookeeper
背景介绍: 需要部署2个kafka独立环境,但是只有一个zookeeper集群. 需要部署2个独立的storm环境,但是只有一个zookeeper集群. ----------------------- ...
- [日常工作] 并行计算引发Microsoft.jscript.ni.dll的内存溢出问题的分析解决. .net framework 的版本说明
1. 性能组进行 单点性能测试时发现 商务智能的 并行分析有问题. 效率很低, 开发人员查看iis 的日志 发现错误原因是 Microsoft.jscript.ni.dll 有内存溢出的问题 开发人员 ...
- Js单元测试工具 以及 粗浅的对我的快乐运算进行测试
1. Karma的介绍 Karma是Testacular的新名字,在2012年google开源了Testacular,2013年Testacular改名为Karma.Karma是一个让人感到非常神秘的 ...
- Pandas笔记目录
速查笔记 使用实例 Pandas-数据导入 (未完成) Pandas-数据探索 基础属性 shape indexs columns values dtype/dtypes 汇总和计算描述统计 coun ...
- Voltage Keepsake CodeForces - 801C(思维)
题意: 有n台机器,第i台机器每个单位时间消耗ai的功率,初始有bi的功率储备,有一个充电器每个单位时间充p单位的功率 问经过多长时间才能有一个功率位0的机器,如果能够无限使用输出-1: 解析: 时间 ...