用winhex工具：利用FAT表找出目录的下一个簇

 

利用FAT表找出目录的下一个簇

当第一个目录里的文件比较多时，一个簇存不下所有的文件，就会增加一个簇来存放文件，但它们往往不连续，就需要通过FAT表来定位目录的下个簇是第几号簇

寻找步骤：
本例子要找的是“数据恢复.rar”
①将要找的文件名“数据恢复.rar”用字符编码器转换为ANSI字符”CAFDBEDDBBD6B8B4”
 

②一个簇有16kb，根目录80kb，说明有5个簇
  

③点击FAT1表的2号簇，但看到的是41 0F 00 00而不是FF FF FF 0F（文件结束簇标志）说明这不是最后一个簇，所以转跳到3905号簇(41 0F 00 00)，

搜索要找文件的ANSI字符编码转换后的十六进制”CAFDBEDDBBD6B8B4”，如果没有立刻找到则不在该簇

 

④返回FAT1所在扇区，将数据变成十进制。因此每个簇距离fat表的起始位置都是4个字节，所以再用3905*4=15620，转跳的偏移量：从当前位置到十进制15620Bytes，找到下一个簇的位置

转到后，可以找到下一个簇的位置是7117

再转跳到簇号
  
搜索要找文件的ANSI字符编码转换后的十六进制”CAFDBEDDBBD6B8B4”，如果没有立刻找到则不在该簇

 

⑤再返回FAT1扇区，计算7117*4= 28468，转跳到偏移量：从当前位置到十进制28468Bytes，找到下一个簇的位置

转到后，可以找到下一个簇的位置是10081

转到10081簇，

搜索要找文件的ANSI字符编码转换后的十六进制”CAFDBEDDBBD6B8B4”，如果没有立刻找到则不在该簇

 

⑥再返回FAT1扇区，计算10081*4=40324，转跳到偏移量：从当前位置到十进制40324Bytes，找到下一个簇的位置

转到后，可以找到下一个簇的位置是13671

转到13671簇

搜索要找文件的ANSI字符编码转换后的十六进制”CAFDBEDDBBD6B8B4”

找到了

由于文件夹中有两个含“数据恢复”的文件，因此哪个先找到都有可能。看后缀名RAR的那个数据恢复的文件才是我们要找的
 

⑦提取文件的数据内容

  高位时1，低位时3599，则将十六进制13599转为十进制79257
也可以用公式起始簇号=低16位的数值+（高16位的数值*65536）
            (3599十进制13721)即13721+1*65536=79257

转跳到簇号79257，可以看到扇区号和目录上的完全相同

且文件大小也是99B

复制该簇的99个字节到新文件，保存到任意目录

完成后打开，没有错误，且压缩包里的文件完全恢复成功

注意：如果复制的字节少于99，则会报错；但是多余99则不会出错！