本文案例對象：分區(qū)類型：MBR，文件系統(tǒng)：FAT32
用Winhex對數(shù)據(jù)內(nèi)容進(jìn)行查找提取
目標(biāo)1：數(shù)據(jù)恢復(fù)教程.txt
首先將“數(shù)據(jù)恢復(fù)教程”轉(zhuǎn)化為ASCII碼
由于它是長文件名（超過8個字節(jié)），因此只取前6個字節(jié)：CAFDBEDDBBD6
目錄項.png
可得文件的起始簇號=132331，文件大小=16字節(jié)
轉(zhuǎn)到指定簇得
可以看到文件的內(nèi)容部分
在文件頭右鍵選塊起始，若使用十進(jìn)制數(shù)據(jù)，點擊左側(cè)Offset縱欄將顯示進(jìn)制轉(zhuǎn)化為十進(jìn)制，點擊Winhex上方小箭頭轉(zhuǎn)到偏移量，將文件大小16填入
目標(biāo)2：數(shù)據(jù)恢復(fù)教程.rar
此次使用的是另一塊虛擬磁盤，此次文件非常多，我們嘗試在根目錄下進(jìn)行文件名搜索
發(fā)現(xiàn)需要很長時間，這是因為該磁盤內(nèi)文件很多，根目錄很大。于是我們需要用FAT表進(jìn)行文件目錄下一簇號的查找。
于是我們轉(zhuǎn)到該簇號，進(jìn)行進(jìn)一步的文件名查找
返回FAT表，查看存放根目錄的下一個簇號，如何查看呢？
由于FAT表每四個字節(jié)記錄一個簇號的使用情況，因此我們可以將FAT表偏移量設(shè)置為3905*4(0xF41*4)即可找到存放根目錄的下一個簇號
文件所在簇為0x13599（79257）文件大小為0x63（99）字節(jié)【注：字節(jié)數(shù)一定不能少，不然壓縮包打開會報錯】，即可將其進(jìn)行提取
這邊我們加對FAT表的理解：
FAT表是描述文件簇流存放的情況，他用FAT表項以鏈表的形式將其文件存放情況描述出來，存放數(shù)據(jù)（包括根目錄）的第一個簇是2號簇，對于第k個四字節(jié)位置，它存放的是使用第k個簇存放文件后下一個簇的位置。
目標(biāo)3：恢復(fù)刪除的文件
打開另一個新磁盤
對于被刪除的文件，右鍵點擊恢復(fù)
人工恢復(fù)呢，則是采用目標(biāo)1和目標(biāo)2的方法進(jìn)行恢復(fù)。
首先將WINHEX轉(zhuǎn)化為ASCII碼
這邊只取后5個字節(jié)，因為被刪除文件第一個字節(jié)被標(biāo)志為E5
輸入十六進(jìn)制搜索框搜索，偏移量設(shè)置為1（因為E5不進(jìn)行比較）
