CN1904845A - 恢复fat32文件系统中已删除文件的方法 - Google Patents
恢复fat32文件系统中已删除文件的方法 Download PDFInfo
- Publication number
- CN1904845A CN1904845A CN 200610036877 CN200610036877A CN1904845A CN 1904845 A CN1904845 A CN 1904845A CN 200610036877 CN200610036877 CN 200610036877 CN 200610036877 A CN200610036877 A CN 200610036877A CN 1904845 A CN1904845 A CN 1904845A
- Authority
- CN
- China
- Prior art keywords
- file
- deleted
- document
- cluster
- directory entry
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Landscapes
- Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
Abstract
本发明涉及计算机领域，特别涉及一种恢复磁盘中已删除文件的方法。该方法其包括如下过程：a、定位需要恢复已删除文件的目录项；b、判断是否有与该文件相邻的同级的未删除文件或文件夹，如果有进入过程c，没有进入过程e；c、向上或者向下搜索一个未删除文件或文件夹的目录项；d、将该未删除文件或文件夹的目录项中所指起始位置簇的高16位当作需要恢复已删除文件的簇的高16位，转至过程f；e、将该已删除文件的父目录的目录项中所指起始位置的簇的高16位当作需要恢复已删除文件的簇的高16位；f、按照填充以后的簇的高低16位建立文件信息，包括起始簇、文件大小、文件各种时间等；g、恢复已删除文件至磁盘中某一位置。本方法通过查询已删除文件相邻文件的目录项信息，可快速确定该已删除文件的起始簇高16位信息，从而确定该已删除文件的起始簇信息，最终恢复该文件。
Description
技术领域
本发明涉及计算机领域，特别涉及一种恢复磁盘中已删除文件的方法。
背景技术
FAT32目录项结构如图1所示。Windows在进行文件操作时，根据该结构定位文件数据。在Windows系统中删除一个FAT32逻辑盘的文件时，首先将文件名的首字节标注为已经删除标志，然后将文件数据起始簇的高16位修改为0，最后进行空间释放的处理。FAT32分区中文件删除后的目录项的结构如图2所示。FAT32分区中文件被删除时，描述其起始簇的高16位数据被清0，虽然描述其数据起始簇的低16位是正确的，但大多数情况根据文件删除后的残余目录项中的数据结构，并不能正确找到文件数据的位置。根据该残余目录项只能正确定位到文件数据起始簇的高16位本来就是0的情况，通过以下计算可以得知，该情况可能是：1、FAT32逻辑盘的簇大小为32K，已经删除文件数据位于逻辑盘的2G之内；2、FAT32逻辑盘的簇大小为16K，已经删除文件数据位于逻辑盘的1G之内。
1、FAT32逻辑盘的簇大小为32K时：
32位簇的起始位置最多能表示的大小＝0xFFFF簇×32K/簇＝2097120K
2、FAT32逻辑盘的簇大小为16K时：
16位簇的起始位置最多能表示的大小＝0xFFFF簇×16K/簇＝1048560K
当然，以此类推，FAT32逻辑盘的簇大小为64K，已经删除文件数据位于逻辑盘的4G之外时也有上述问题等等。簇大小是格式化分区时确定下来的，簇大小越大，浪费的空间也越大，但文件访问速度会快，Windows文件系统在格式化FAT32分区时一般默认选择16K大小或者32K大小，并以16K大小的情况居多(一般根据分区的总大小来确定)，所以当FAT32逻辑盘中的文件被删除，若其数据位于分区的2G(情况1)或1G(情况2)以上时，文件的恢复成为一个难题。申请号为200510100303.1，名称为《恢复FAT32分区已删除文件的方法》的中国专利申请提出了一种解决方案，该方案赖以实施的前提了解已删除文件的文件类型标志，这些标志一般指文件最开头的几个字符，比如windows的可执行文件EXE、DLL、VXD等文件的文件头为字符串“MZ”，Adobe公司的PDF文件的文件头为字符串“％PDF”等。但也有少数情况下该已删除文件的文件类型标志是未知的，这样上述方法就无法实现恢复目的。通过上面的分析可以看出，所说的“难题”存在的主要原因是已删除文件的起始簇的高16位不再是零，无法确定，如果能确定已删除文件起始簇的高16位就可以进行文件恢复了。
发明内容
本发明克服了现有技术中的缺点，提供一种不依赖特定文件类型标志而恢复指定目录中的已删除文件的方法。
为了解决上述技术问题，通过以下技术方案实现：
恢复FAT32文件系统中已删除文件的方法，其特征在于，其包括如下过程：
A、定位需要恢复已删除文件的目录项；
B、判断是否有与该文件相邻的同级的未删除文件或文件夹，如果有进入过程c，没有进入过程e；
C、向上或者向下搜索一个未删除文件或文件夹的目录项；
D、将该未删除文件或文件夹的目录项中所指起始位置簇的高16位当作需要恢复已删除文件的簇的高16位，转至过程f；
E、将该已删除文件的父目录(即文件名为‘.’)的目录项中所指起始位置的簇的高16位当作需要恢复已删除文件的簇的高16位；
F、按照填充以后的簇的高低16位建立文件信息，包括起始簇、文件大小、文件各种时间等；
G、恢复已删除文件至磁盘中某一位置。
本发明方法通过查询已删除文件相邻文件的目录项信息，可快速确定该已删除文件的起始簇高16位信息，从而确定该已删除文件的起始簇信息，最终恢复该文件。
附图说明
图1为FAT32目录项结构图；
图2为删除文件后的FAT32目录项结构图；
图3为本发明方法的流程图。
具体实施方式
下面参照附图说明本发明方法的流程以及本方法的应用原理。
参见图1和图2，分别为文件删除前和删除后的目录项结构图，比较两幅图不难发现文件删除后主要有两处变动，其一是文件名的第一个字节被标志为“已删除”，其二是文件数据起始簇的高16位被修改为0，文件数据起始簇信息是在磁盘中定位文件数据位置的最有价值信息，只要能恢复文件数据起始簇信息，便可定位文件数据在磁盘中的位置，也就可以恢复已删除文件了，所以本发明方法的一个主要任务就是确定该已删除文件目录项中的文件起始簇的高16位；本发明方法确定该已删除文件目录项中的文件起始簇的高16位的原理是这样的：一般情况下，创建时间相近的两个文件(或文件夹)会被分配在相近的或连续的磁盘空间内，另外，在多数情况下同一文件夹内的相邻文件创建时间也有很大可能是连续的或者是与其父目录是同时创建的。综上所述，在同一文件夹内的相邻文件或者文件与其父目录的目录项中文件起始簇的高16位相同的几率较大，本发明的方法就是根据这种原理来确定已删除文件的高16位的，虽然在某些情况下(如同一文件夹内相邻文件创建时间相差较大、父目录与该删除文件创建时间相差较大或者与该删除文件相邻的文件或文件夹占用空间较大等)所定位的高16位未必准确，但本方法仍然可有很好的使用价值。
本发明方法的流程图如图3所示，其工作过程如下：
a.定位需要恢复已删除文件的目录项；
b.判断是否有与该文件相邻的同级的未删除文件或文件夹，如果有进入过程c，没有进入过程e；
c.向上或者向下搜索一个未删除文件或文件夹的目录项；
d.将该未删除文件或文件夹的目录项中所指起始位置簇的高16位当作需要恢复已删除文件的簇的高16位，转至过程f；
e.将该已删除文件的父目录(即文件名为‘.’)的目录项中所指起始位置的簇的高16位当作需要恢复已删除文件的簇的高16位；
f.按照填充以后的簇的高低16位建立文件信息，包括起始簇、文件大小、文件各种时间等；
g.恢复已删除文件至磁盘中某一位置。
如果过程b中检测到该已删除文件向上和向下均有同级未删除文件或文件夹，则过程c中只向上搜索或者只向下搜索一个未删除文件或文件夹的目录项。
以上步骤仅用以说明而非限制本发明的技术方案。不脱离本发明精神和范围的任何修改或局部替换，均应涵盖在本发明的权利要求范围当中。
Claims (2)
1、恢复FAT32文件系统中已删除文件的方法，其特征在于，其包括如下过程：
a.定位需要恢复已删除文件的目录项；
b.判断是否有与该文件相邻的同级的未删除文件或文件夹，如果有进入过程c，没有进入过程e；
c.向上或者向下搜索一个未删除文件或文件夹的目录项；
d.将该未删除文件或文件夹的目录项中所指起始位置簇的高16位当作需要恢复已删除文件的簇的高16位，转至过程f；
e.将该已删除文件的父目录(即文件名为‘.’)的目录项中所指起始位置的簇的高16位当作需要恢复已删除文件的簇的高16位；
f.按照填充以后的簇的高低16位建立文件信息，包括起始簇、文件大小、文件各种时间等；
g.恢复已删除文件至磁盘中某一位置。
2、根据权利要求1所述的恢复FAT32文件系统中已删除文件的方法，其特征在于，如果过程b中检测到该已删除文件向上和向下均有同级未删除文件或文件夹，则过程c中只向上搜索或者只向下搜索一个未删除文件或文件夹的目录项。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN2006100368771A CN100407159C (zh) | 2006-08-01 | 2006-08-01 | 恢复fat32文件系统中已删除文件的方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN2006100368771A CN100407159C (zh) | 2006-08-01 | 2006-08-01 | 恢复fat32文件系统中已删除文件的方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN1904845A true CN1904845A (zh) | 2007-01-31 |
| CN100407159C CN100407159C (zh) | 2008-07-30 |
Family
ID=37674115
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN2006100368771A Active CN100407159C (zh) | 2006-08-01 | 2006-08-01 | 恢复fat32文件系统中已删除文件的方法 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN100407159C (zh) |
Cited By (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101937377A (zh) * | 2009-06-29 | 2011-01-05 | 百度在线网络技术（北京）有限公司 | 数据恢复方法和装置 |
| CN102360318A (zh) * | 2011-09-27 | 2012-02-22 | 深圳市万兴软件有限公司 | Fat文件系统中被删除文件的恢复方法及装置 |
| CN103092726A (zh) * | 2013-01-16 | 2013-05-08 | 厦门市美亚柏科信息股份有限公司 | 注册表删除数据的恢复方法和装置 |
| CN103164501A (zh) * | 2012-07-04 | 2013-06-19 | 北京安天电子设备有限公司 | 反恢复软件的快速文件擦除的方法及系统 |
| CN104331348A (zh) * | 2014-11-27 | 2015-02-04 | 四川效率源信息安全技术有限责任公司 | 一种还原fat32目录项的起始簇号恢复文件的方法 |
| CN108021472A (zh) * | 2017-11-28 | 2018-05-11 | 厦门市美亚柏科信息股份有限公司 | ReFS文件系统的格式化恢复方法及存储介质 |
| CN112905546A (zh) * | 2021-03-15 | 2021-06-04 | 深圳软牛科技有限公司 | 已删除文件的恢复方法、装置、设备及存储介质 |
Families Citing this family (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN109614370B (zh) * | 2018-11-28 | 2021-11-09 | 万兴科技股份有限公司 | 磁盘文件扫描方法、装置、计算机设备及存储介质 |
Family Cites Families (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US6560615B1 (en) * | 1999-12-17 | 2003-05-06 | Novell, Inc. | Method and apparatus for implementing a highly efficient, robust modified files list (MFL) for a storage system volume |
| CN1359071A (zh) * | 2001-11-29 | 2002-07-17 | 上海格尔软件股份有限公司 | 彻底删除硬盘文件的方法 |
| CN100353329C (zh) * | 2005-10-17 | 2007-12-05 | 珠海金山软件股份有限公司 | 恢复fat32分区已删除文件的方法 |
-
2006
- 2006-08-01 CN CN2006100368771A patent/CN100407159C/zh active Active
Cited By (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101937377A (zh) * | 2009-06-29 | 2011-01-05 | 百度在线网络技术（北京）有限公司 | 数据恢复方法和装置 |
| CN101937377B (zh) * | 2009-06-29 | 2014-10-22 | 百度在线网络技术（北京）有限公司 | 数据恢复方法和装置 |
| CN102360318A (zh) * | 2011-09-27 | 2012-02-22 | 深圳市万兴软件有限公司 | Fat文件系统中被删除文件的恢复方法及装置 |
| CN103164501A (zh) * | 2012-07-04 | 2013-06-19 | 北京安天电子设备有限公司 | 反恢复软件的快速文件擦除的方法及系统 |
| CN103092726A (zh) * | 2013-01-16 | 2013-05-08 | 厦门市美亚柏科信息股份有限公司 | 注册表删除数据的恢复方法和装置 |
| CN103092726B (zh) * | 2013-01-16 | 2015-06-17 | 厦门市美亚柏科信息股份有限公司 | 注册表删除数据的恢复方法和装置 |
| CN104331348A (zh) * | 2014-11-27 | 2015-02-04 | 四川效率源信息安全技术有限责任公司 | 一种还原fat32目录项的起始簇号恢复文件的方法 |
| CN108021472A (zh) * | 2017-11-28 | 2018-05-11 | 厦门市美亚柏科信息股份有限公司 | ReFS文件系统的格式化恢复方法及存储介质 |
| CN112905546A (zh) * | 2021-03-15 | 2021-06-04 | 深圳软牛科技有限公司 | 已删除文件的恢复方法、装置、设备及存储介质 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN100407159C (zh) | 2008-07-30 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN1904845A (zh) | 恢复fat32文件系统中已删除文件的方法 | |
| CN1773462A (zh) | 恢复fat32分区已删除文件的方法 | |
| CN1945571A (zh) | Fat卷中重建目录结构和恢复数据的方法 | |
| CN101937377B (zh) | 数据恢复方法和装置 | |
| CN1655146A (zh) | 用于文件系统快照持久性的方法和装置 | |
| CN1168029C (zh) | 从连续的中文文本中分离出中文词的方法 | |
| CN1959649A (zh) | Ntfs卷中重建目录结构和恢复数据的方法 | |
| CN1110065A (zh) | 文件结构系统 | |
| US9336095B2 (en) | Computing system and related data management method thereof | |
| US20070005627A1 (en) | File system having transaction record coalescing | |
| US8996542B2 (en) | Navigation of hierarchical data sets | |
| KR20070003578A (ko) | 데이터 무결성의 검증을 지연시킨 파일 시스템 | |
| AU2005203663A1 (en) | Method and system for synthetic backup and restore | |
| CN1498363A (zh) | 恢复受恶性计算机程序破坏的计算机系统的系统和方法 | |
| CN109753382B (zh) | 一种数据库删除记录的恢复方法及系统 | |
| KR20070003576A (ko) | 파일 시스템 무결성에 대한 최적화된 시동 검증 | |
| CN1641644A (zh) | 用于执行多个文件管理操作的方法与装置 | |
| US10496612B2 (en) | Method for reliable and efficient filesystem metadata conversion | |
| US7783589B2 (en) | Inverted index processing | |
| US6446085B1 (en) | Method and apparatus for processing recursive hard links in a data processing system | |
| EP1103894A2 (en) | Fragmented data recovery method | |
| CN1904887A (zh) | Fat卷中从指定目录中搜索已删除文件的方法 | |
| CN1908866A (zh) | 可进行句子联想的输入方法 | |
| CN1945549A (zh) | 一种不依赖文件系统恢复数据的方法 | |
| CN112559533B (zh) | 连续型数据库的归档方法、装置及电子设备 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| C14 | Grant of patent or utility model | ||
| GR01 | Patent grant | ||
| C56 | Change in the name or address of the patentee | ||
| CP01 | Change in the name or title of a patent holder |
Address after: Jinshan computer Building No. 8 Jingshan Hill Road, Lane 519015 Zhuhai Jida Lianshan Guangdong city of Zhuhai Province Patentee after: Zhuhai Kingsoft Software Co.,Ltd. Address before: Jinshan computer Building No. 8 Jingshan Hill Road, Lane 519015 Zhuhai Jida Lianshan Guangdong city of Zhuhai Province Patentee before: Zhuhai Kingsoft Software Co.,Ltd. |
|
| ASS | Succession or assignment of patent right |
Owner name: KINGSOFT CORPORATION LIMITED Free format text: FORMER OWNER: ZHUHAI KINGSOFT SOFTWARE CO., LTD. Effective date: 20140901 |
|
| C41 | Transfer of patent application or patent right or utility model | ||
| COR | Change of bibliographic data |
Free format text: CORRECT: ADDRESS; FROM: 519015 ZHUHAI, GUANGDONG PROVINCE TO: 100085 HAIDIAN, BEIJING |
|
| TR01 | Transfer of patent right |
Effective date of registration: 20140901 Address after: Kingsoft No. 33 building, 100085 Beijing city Haidian District Xiaoying Road Patentee after: BEIJING KINGSOFT INTERNET SECURITY SOFTWARE Co.,Ltd. Address before: Jinshan computer Building No. 8 Jingshan Hill Road, Lane 519015 Zhuhai Jida Lianshan Guangdong city of Zhuhai Province Patentee before: Zhuhai Kingsoft Software Co.,Ltd. |
|
| EE01 | Entry into force of recordation of patent licensing contract |
Application publication date: 20070131 Assignee: Zhuhai Kingsoft Software Co.,Ltd. Assignor: BEIJING KINGSOFT INTERNET SECURITY SOFTWARE Co.,Ltd. Contract record no.: 2014990000778 Denomination of invention: Method for recovering files deleted from FAT32 document system Granted publication date: 20080730 License type: Common License Record date: 20140926 |
|
| LICC | Enforcement, change and cancellation of record of contracts on the licence for exploitation of a patent or utility model |