病毒-基础-文件系统

文件系统就是组织文件的一种方式
文件管理包括文件生成、删除、目录查询等
eg：

注：左侧为扇区号、第二个FAT12为备用FAT

在文件系统中，文件分配的最小单位是簇，哪怕只有一个字节也会分配一簇
簇是由n个扇区组成
其中n在引导扇区的引导记录中定义

FAT表的本质是磁盘簇分配情况的数据表示

在FAT12文件系统中，FAT表以3个半字节（3*0.5Byte=1.5Byte=12bit）来记录一个簇的相关情况，这也是FAT12中12的由来

FAT表中每3个半字节为一个元素，这个元素就代表一个簇，簇号从0开始，这个元素中存放的整数值表示其链接的下一簇的簇号

FAT表是一个数组，数组中每个元素是1.5字节的整数，为了查找FAT表中簇号为N的元素，只需用N作索引查找FAT[N]元素，如下图：

真正在FAT12表中的查找方法：

注意：三个字节中如何分配的两个半字节，可以结合小端机中数据的存放规则记忆

根目录区有根目录表，其记录了文件的各种信息。
根目录表中包含多条记录，每条记录占32个字节

现在我们关注根目录表中的文件名字段和首簇号字段
文件名

在记录首部偏移0开始，共11字节，前8个字节记录文件名，后3个字节记录扩展名（中间的.不需要记录）名字的结束以空格表示（即0x20）

首簇号

首簇号首部偏移0x1A开始，共2个字节

下图是getexe.com的文件名与首簇号图示，getexe只占用6个字节，后两个字节用空格填充，首簇号是0003

以查找a:\tem\tem.txt为例

大致思想：

在根目录区下的tem项，会给出tem项的首簇号，系统就可以通过FAT表在数据区找到tem对应的信息（即tem目录表），在这个tem目录表下，再通过该目录表的项（每项32字节），继续查找tem下的文件或更下层的目录，如此，即可形成多层次的目录嵌套

详细流程：

根据文件路径第一项先查看根目录表，是否有匹配的项，如果有，通过对应项的首簇段获取该子目录表的首簇号
通过首簇号和FAT表获得子目录表的全部内容，根据文件路径的第二项，遍历子目录表，一次偏移32字节用名字匹配的方法查找记录项，如果找到则重复1、2步查找下一项，找不到则结束
如果找到了最后一层目录表（路径的倒数第二项，最后一项是文件名），在其中找到了被查文件的项，从中获取首簇号，即可通过FAT表访问整个文件簇

只要使目录文件中的记录项无效就可以了，实际目录项的第一个字节被修改成了E5，而对于FAT表中的簇，我们只要把簇链的每一项复原成00就可以了

也就是说，删除文件其实只修改了目录文件和FAT表，实际的文件扇区并没有修改

在目录表中查找E5+后续文件名，根据偏移关系找到首簇号，对于只有一个簇的文件恢复简单，将目录表和FAT表中的值更改即可，可是簇链消失了，对于占用多个簇的文件恢复较为复杂，需要遍历数据区，匹配文件标识等恢复簇链

FAT16：

FAT32：