基于文件签名的FAT32文件恢复技术原理与实践

作者：王春兰

来源：计算机时代, 2021, (11): 60-67.

DOI：10.16644/j.cnki.cn33-1094/tp.2021.11.015

• 文件删除
• 文件恢复
• 文件签名
• 文件类型
• 扇区

文件恢复对电子取证行业非常重要,而文件签名恢复文件是一种常用的文件恢复方法。其过程是,搜索文件签名以确定文件起始扇区号;根据文件签名尾或大小来估算文件的结尾扇区号;把起始和结尾扇区之间的内容复制生成一个新文件即可得到被删文件。如果文件在数据区中是连续存放的,该恢复方法的成功率非常高。文章以FAT32文件系统为例,把一个JPG文件彻底删除,再借助WinHex软件成功地对其进行恢复。