ExFAT文件系统的FAT表之后就是数据区了,但数据区并不一定紧跟在FAT表之后,FAT表后面可能还会有一些保留扇区,每个分区不一样,这要看实际情况。数据区的开始位置在DBR的BPB中有描述,“首簇起始扇区号”起始就是数据区的开始。数据区中第一个簇就是2号簇,2号簇一般都分配给簇位图文件使用。

簇位图文件是在分区格式化时创建的,该文件不允许用户访问和修改。

还是以图4-519中的DBR所在分区为例,从偏移58H~5BH处可以看到“首簇起始扇区号”是4096,跳转到4096扇区,内容如图4-523所示。

ExFAT文件系统的簇位图文件分析-数据恢复迷

图4-523 首簇起始扇区

该扇区中只有一个字节“07H”,这就是簇位图文件的内容。

簇位图文件是ExFAT文件系统中的一个元文件,类似于NTFS文件系统中的元文件$BitMap,它的作用是用来管理分区中簇的使用情况。簇位图文件中的每一个位,映射到数据区中的每一个簇。如果某个簇分配给了文件,该簇在簇位图文件中对应的位就会被填入“1”,表示该簇已经占用;如果没用使用的空簇,它们在簇位图文件中对应的位就是“0”。

图4-523中簇位图文件的内容为“07H”,换算成二进制等于“00000111”,这8位就对应数据区的8个簇,也就是2号簇到9号簇这八个簇。从“00000111”这个数值中能够很明确地看出2、3、4这三个簇是被使用的,其他五个簇未被使用。而2、3、4这三个簇正是被簇位图文件、大写字符文件、根目录所占用的。

有关簇位图文件的开始位置和大小在其目录项中有记录,目录项结构将会在4.7.7节中介绍。