### FAT32 文件系统数据恢复的 Python 代码示例 在处理 FAT32 文件系统的数据恢复时，通常需要解析文件系统的结构并尝试重建丢失的数据链接。以下是一个基于 Python 的简单示例，用于扫描和提取 FAT32 文件系统中的已删除文件信息。 #### 背景说明 FAT32 是一种常见的文件系统，广泛应用于存储设备中。当文件被删除时，其实际数据可能仍然存在于磁盘上，只是对应的目录项标记为可用状态。通过读取磁盘扇区并分析 FAT 表（File Allocation Table），可以实现部分数据的恢复[^1]。 以下是具体的代码实现： ```python import os import struct def read_fat_entry(fat_table, cluster_number): """从 FAT 表中读取指定簇号的条目""" fat_table.seek(cluster_number * 4) # 每个 FAT 条目占用 4 字节 entry = fat_table.read(4) return struct.unpack('<I', entry)[0] def scan_deleted_files(disk_image_path): """扫描磁盘镜像中的已删除文件""" with open(disk_image_path, 'rb') as disk: # 读取引导扇区 (Boot Sector)，获取关键参数 boot_sector = disk.read(512) bytes_per_sector = struct.unpack_from('<H', boot-sector, offset=11)[0] sectors_per_cluster = struct.unpack_from('<B', boot_sector, offset=13)[0] reserved_sectors = struct.unpack_from('<H', boot_sector, offset=14)[0] number_of_fats = struct.unpack_from('<B', boot_sector, offset=16)[0] total_sectors = struct.unpack_from('<L', boot_sector, offset=32)[0] root_dir_entries = struct.unpack_from('<H', boot_sector, offset=17)[0] fat_size = struct.unpack_from('<L', boot_sector, offset=36)[0] # 计算 FAT 表起始位置 fat_start = reserved_sectors * bytes_per_sector fat_end = fat_start + (number_of_fats * fat_size * bytes_per_sector) # 定位根目录区域 root_dir_start = fat_end root_dir_size_bytes = root_dir_entries * 32 # 每个目录项占 32 字节 data_region_start = root_dir_start + root_dir_size_bytes # 找到第一个 FAT 表的位置 disk.seek(fat_start) fat_table = disk.read((fat_size * number_of_fats) * bytes_per_sector) deleted_files = [] current_offset = root_dir_start while True: disk.seek(current_offset) dir_entry = disk.read(32) if not dir_entry or dir_entry[0] == 0x00: # 结束标志 break if dir_entry[0] == 0xE5: # 已删除文件标志 filename = dir_entry[0:8].decode('ascii').rstrip('\x00 ').replace('\xFF', '') extension = dir_entry[8:11].decode('ascii').rstrip('\x00 ') start_cluster = struct.unpack_from('<H', dir_entry, offset=26)[0] file_size = struct.unpack_from('<I', dir_entry, offset=28)[0] deleted_files.append({ "filename": f"{filename}.{extension}", "start_cluster": start_cluster, "file_size": file_size }) current_offset += 32 return deleted_files if __name__ == "__main__": disk_image = "path_to_disk_image.img" recovered_files = scan_deleted_files(disk_image) for idx, file_info in enumerate(recovered_files, 1): print(f"[{idx}] File Name: {file_info['filename']}, Start Cluster: {file_info['start_cluster']}, Size: {file_info['file_size']} bytes") ``` 此代码实现了以下几个功能： - 解析 FAT32 引导扇区的关键参数。 - 遍历根目录区域，寻找已被标记为删除的文件记录。 - 输出这些文件的基本信息，包括文件名、起始簇号以及大小。 需要注意的是，该脚本仅适用于简单的 FAT32 系统，并假设输入为完整的磁盘映像文件。如果目标设备启用了 LBA 或其他高级特性，则需进一步扩展支持逻辑[^2]。 --- ####