设为首页收藏本站

 找回密码
 注册
搜索
52RD研发论坛»论坛 › 综合技术研发论坛(System R&D Forum) › 平板电脑 › 透彻分析FAT文件系统
返回列表 发新帖回复
查看: 1468|回复: 2

[讨论] 透彻分析FAT文件系统

[复制链接]
zmqyjx
发表于 2007-1-26 09:27:14 | 显示全部楼层 |阅读模式
透彻分析FAT文件系统
一、硬盘的物理结构：硬盘存储数据是根据电、磁转换原理实现的。硬盘由一个或几个表面镀有磁性物质的金属或玻璃等物质盘片以及盘片两面所安装的磁头和相应的控制电路组成(图1)，其中盘片和磁头密封在无尘的金属壳中。
      硬盘工作时，盘片以设计转速高速旋转，设置在盘片表面的磁头则在电路控制下径向移动到指定位置然后将数据存储或读取出来。当系统向硬盘写入数据时，磁头中“写数据”电流产生磁场使盘片表面磁性物质状态发生改变，并在写电流磁场消失后仍能保持，这样数据就存储下来了；当系统从硬盘中读数据时，磁头经过盘片指定区域，盘片表面磁场使磁头产生感应电流或线圈阻抗产生变化，经相关电路处理后还原成数据。因此只要能将盘片表面处理得更平滑、磁头设计得更精密以及尽量提高盘片旋转速度，就能造出容量更大、读写数据速度更快的硬盘。这是因为盘片表面处理越平、转速越快就能越使磁头离盘片表面越近，提高读、写灵敏度和速度；磁头设计越小越精密就能使磁头在盘片上占用空间越小，使磁头在一张盘片上建立更多的磁道以存储更多的数据。
二、硬盘的逻辑结构。
    硬盘由很多盘片(platter)组成，每个盘片的每个面都有一个读写磁头。如果有N个盘片，就有2N个面，对应2N个磁头(Heads)，从0、1、2开始编号。每个盘片被划分成若干个同心圆磁道(逻辑上的，是不可见的。)每个盘片的划分规则通常是一样的。这样每个盘片的半径均为固定值R的同心圆再逻辑上形成了一个以电机主轴为轴的柱面(Cylinders)，从外至里编号为0、1、2……每个盘片上的每个磁道又被划分为几十个扇区(Sector)，通常的容量是512byte，并按照一定规则编号为1、2、3……形成Cylinders×Heads×Sector个扇区。这三个参数即是硬盘的物理参数。我们下面的很多实践需要深刻理解这三个参数的意义。  
三、磁盘引导原理。
　　3.1  MBR(master  boot  record)扇区：
    计算机在按下power键以后，开始执行主板bios程序。进行完一系列检测和配置以后。开始按bios中设定的系统引导顺序引导系统。假定现在是硬盘。Bios执行完自己的程序后如何把执行权交给硬盘呢。交给硬盘后又执行存储在哪里的程序呢。其实，称为mbr的一段代码起着举足轻重的作用。MBR(master  boot  record),即主引导记录，有时也称主引导扇区。位于整个硬盘的0柱面0磁头1扇区(可以看作是硬盘的第一个扇区)，bios在执行自己固有的程序以后就会jump到mbr中的第一条指令。将系统的控制权交由mbr来执行。在总共512byte的主引导记录中，MBR的引导程序占了其中的前446个字节(偏移0H~偏移1BDH)，随后的64个字节(偏移1BEH~偏移1FDH)为DPT(Disk  PartitionTable，硬盘分区表)，最后的两个字节“55  AA”(偏移1FEH~偏移1FFH)是分区有效结束标志。
      MBR不随操作系统的不同而不同，意即不同的操作系统可能会存在相同的MBR，即使不同，MBR也不会夹带操作系统的性质。具有公共引导的特性。
我们来分析一段mbr。下面是用winhex查看的一块希捷120GB硬盘的mbr。

      你的硬盘的MBR引导代码可能并非这样。不过即使不同，所执行的功能大体是一样的。这里找wowocock关于磁盘mbr的反编译，已加了详细的注释，感兴趣可以细细研究一下。
      我们看DPT部分。操作系统为了便于用户对磁盘的管理。加入了磁盘分区的概念。即将一块磁盘逻辑划分为几块。磁盘分区数目的多少只受限于C～Z的英文字母的数目，在上图DPT共64个字节中如何表示多个分区的属性呢?microsoft通过链接的方法解决了这个问题。在DPT共64个字节中，以16个字节为分区表项单位描述一个分区的属性。也就是说，第一个分区表项描述一个分区的属性，一般为基本分区。第二个分区表项描述除基本分区外的其余空间，一般而言，就是我们所说的扩展分区。这部分的大体说明见表1。
表１　图２分区表第一字段
字节位移字节长度值字段名和定义
0X01BEBYTE0X80引导指示符(Boot  Indicator)指明该分区是否是活动分区。
0X01BFBYTE0X01开始磁头(Starting  Head)。
0X01C06位0X01开始扇区(Startkng  Sector)。只用了0~5位，后面两位(第6位和第7位)被开始柱面字段所使用。
0X01C110位0X00开始柱面(Starting  Cylinder)除了开始扇区字段的最后两位外,还使用了1位来组成该柱面值。开始柱面是一个10位数，最大值为1023。
0X01C2BYTE0X07系统ID(System  ID)，定义了分区的类型，详细定义，请参阅图4。
0X01C3BYTE0XFE结束磁头(Ending  Head)
0X01C46位0XFF结束扇区(Ending  Sectro)。只使用了0~5位。最后两位(第6、7位)被  结束柱面字段所使用。
0X01C510位0X7B结束柱面(Ending  Cylinder)。除了结束扇区字段最后两位外，还使用了1位，以组成该柱面值。结束柱面是一个10位数，最大值为1023。
.0X01C6DWORD0X0000003F相对扇区数(Relative  Sectors)从该磁盘开始到该分区的开始的位移量，以扇区来计算
0X01CADWORD0X00DAA83D总扇区数(Total  Sectors)。该分区中的扇区总数。

注：上表中的超过1字节的数据都以实际数据显示，就是按高位到地位的方式显示。存储时是按低位到高位存储的。两者表现不同，请仔细看清楚。以后出现的表，图均同。也可以在winhex中看到这些参数的意义：　说明：  每个分区表项占用16个字节，假定偏移地址从0开始。如图3的分区表项3。分区表项4同分区表项3。
    1、0H偏移为活动分区是否标志，只能选00H和80H。80H为活动，00H为非活动。其余值对microsoft而言为非法值。  
    2、重新说明一下(这个非常重要)：大于1个字节的数被以低字节在前的存储格式格式(little  endian  format)或称反字节顺序保存下来。低字节在前的格式是一种保存数的方法，这样，最低位的字节最先出现在十六进制数符号中。例如，相对扇区数字段的值0x3F000000的低字节在前表示为0x0000003F。这个低字节在前的格式数的十进制数为63。  
    3、系统在分区时，各分区都不允许跨柱面，即均以柱面为单位，这就是通常所说的分区粒度。有时候我们分区是输入分区的大小为7000M，分出来却是6997M，就是这个原因。  偏移2H和偏移6H的扇区和柱面参数中,扇区占6位(bit)，柱面占10位(bit)，以偏移6H为例，其低6位用作扇区数的二进制表示。其高两位做柱面数10位中的高两位，偏移7H组成的8位做柱面数10位中的低8位。由此可知，实际上用这种方式表示的分区容量是有限的，柱面和磁头从0开始编号,扇区从1开始编号,所以最多只能表示1024个柱面×63个扇区×256个磁头×512byte=8455716864byte。即通常的8.4GB(实际上应该是7.8GB左右)限制。实际上磁头数通常只用到255个(由汇编语言的寻址寄存器决定),即使把这3个字节按线性寻址，依然力不从心。  在后来的操作系统中，超过8.4GB的分区其实已经不通过C/H/S的方式寻址了。而是通过偏移CH～偏移FH共4个字节32位线性扇区地址来表示分区所占用的扇区总数。可知通过4个字节可以表示2^32个扇区，即2TB=2048GB，目前对于大多数计算机而言，这已经是个天文数字了。在未超过8.4GB的分区上，C/H/S的表示方法和线性扇区的表示方法所表示的分区大小是一致的。也就是说，两种表示方法是协调的。即使不协调，也以线性寻址为准。(可能在某些系统中会提示出错)。超过8.4GB的分区结束C/H/S一般填充为FEH  FFH  FFH。即C/H/S所能表示的最大值。有时候也会用柱面对1024的模来填充。不过这几个字节是什么其实都无关紧要了。  
      虽然现在的系统均采用线性寻址的方式来处理分区的大小。但不可跨柱面的原则依然没变。本分区的扇区总数加上与前一分区之间的保留扇区数目依然必须是柱面容量的整数倍。(保留扇区中的第一个扇区就是存放分区表的MBR或虚拟MBR的扇区，分区的扇区总数在线性表示方式上是不计入保留扇区的。如果是第一个分区，保留扇区是本分区前的所有扇区。
附：分区表类型标志如图4　　3.2  扩展分区
      扩展分区中的每个逻辑驱动器都存在一个类似于MBR的扩展引导记录(  Extended  Boot  Record,  EBR)，也有人称之为虚拟mbr或扩展mbr，意思是一样的。扩展引导记录包括一个扩展分区表和该扇区的标签。扩展引导记录将记录只包含扩展分区中每个逻辑驱动器的第一个柱面的第一面的信息。一个逻辑驱动器中的引导扇区一般位于相对扇区32或63。但是，如果磁盘上没有扩展分区，那么就不会有扩展引导记录和逻辑驱动器。第一个逻辑驱动器的扩展分区表中的第一项指向它自身的引导扇区。第二项指向下一个逻辑驱动器的EBR。如果不存在进一步的逻辑驱动器，第二项就不会使用，而且被记录成一系列零。如果有附加的逻辑驱动器，那么第二个逻辑驱动器的扩展分区表的第一项会指向它本身的引导扇区。第二个逻辑驱动器的扩展分区表的第二项指向下一个逻辑驱动器的EBR。扩展分区表的第三项和第四项永远都不会被使用。通过一幅4分区的磁盘结构图可以看到磁盘的大致组织形式。如图5：      关于扩展分区，如图6所示，扩展分区中逻辑驱动器的扩展引导记录是一个连接表。该图显示了一个扩展分区上的三个逻辑驱动器，说明了前面的逻辑驱动器和最后一个逻辑驱动器之间在扩展分区表中的差异。      除了扩展分区上最后一个逻辑驱动器外，表2中所描述的扩展分区表的格式在每个逻辑驱动器中都是重复的：第一个项标识了逻辑驱动器本身的引导扇区，第二个项标识了下一个逻辑驱动器的EBR。最后一个逻辑驱动器的扩展分区表只会列出它本身的分区项。最后一个扩展分区表的第二个项到第四个项被使用。
    扩展分区表项中的相对扇区数字段所显示的是从扩展分区开始到逻辑驱动器中第一个扇区的位移的字节数。总扇区数字段中的数是指组成该逻辑驱动器的扇区数目。总扇区数字段的值等于从扩展分区表项所定义的引导扇区到逻辑驱动器末尾的扇区数。
      有时候在磁盘的末尾会有剩余空间，剩余空间是什么呢？我们前面说到，分区是以1柱面的容量为分区粒度的，那么如果磁盘总空间不是整数个柱面的话，不够一个柱面的剩下的空间就是剩余空间了，这部分空间并不参与分区，所以一般无法利用。照道理说，磁盘的物理模式决定了磁盘的总容量就应该是整数个柱面的容量，为什么会有不够一个柱面的空间呢。在我的理解看来，本来现在的磁盘为了更大的利用空间，一般在物理上并不是按照外围的扇区大于里圈的扇区这种管理方式，只是为了与操作系统兼容而抽象出来CHS。可能其实际空间容量不一定正好为整数个柱面的容量吧。
四、FAT分区原理。
先来一幅结构图：      现在我们着重研究FAT格式分区内数据是如何存储的。FAT分区格式是MICROSOFT最早支持的分区格式，依据FAT表中每个簇链的所占位数(有关概念，后面会讲到)分为fat12、fat16、fat32三种格式"变种"，但其基本存储方式是相似的。
      仔细研究图7中的fat16和fat32分区的组成结构。下面依次解释DBR、FAT1、FAT2、根目录、数据区、剩余扇区的概念。提到的地址如无特别提示均为分区内部偏移。
　
4.1  关于DBR.
      DBR区(DOS  BOOT  RECORD)即操作系统引导记录区的意思，通常占用分区的第0扇区共512个字节(特殊情况也要占用其它保留扇区，我们先说第0扇)。在这512个字节中，其实又是由跳转指令，厂商标志和操作系统版本号，BPB(BIOS  Parameter  Block)，扩展BPB，os引导程序，结束标志几部分组成。  以用的最多的FAT32为例说明分区DBR各字节的含义。见图8。图8的对应解释见表3图9给出了winhex对图8  DBR的相关参数解释：    根据上边图例，我们来讨论DBR各字节的参数意义。        
      MBR将CPU执行转移给引导扇区，因此，引导扇区的前三个字节必须是合法的可执行的基于x86的CPU指令。这通常是一条跳转指令，该指令负责跳过接下来的几个不可执行的字节(BPB和扩展BPB)，跳到操作系统引导代码部分。
    跳转指令之后是8字节长的OEM  ID，它是一个字符串，OEM  ID标识了格式化该分区的操作系统的名称和版本号。为了保留与MS-DOS的兼容性，通常Windows  2000格式化该盘是在FAT16和FAT32磁盘上的该字段中记录了“MSDOS  5.0”，在NTFS磁盘上(关于ntfs，另述)，Windows  2000记录的是“NTFS”。通常在被Windows  95格式化的磁盘上OEM  ID字段出现“MSWIN4.0”，在被Windows  95  OSR2和Windows  98格式化的磁盘上OEM  ID字段出现“MSWIN4.1”。
      接下来的从偏移0x0B开始的是一段描述能够使可执行引导代码找到相关参数的信息。通常称之为BPB(BIOS  Parameter  Block)，BPB一般开始于相同的位移量，因此，标准的参数都处于一个已知的位置。磁盘容量和几何结构变量都被封在BPB之中。由于引导扇区的第一部分是一个x86跳转指令。因此，将来通过在BPB末端附加新的信息，可以对BPB进行扩展。只需要对该跳转指令作一个小的调整就可以适应BPB的变化。图9已经列出了项目的名称和取值，为了系统的研究，针对图8，将FAT32分区格式的BPB含义和扩展BPB含义释义为表格，      DBR的偏移0x5A开始的数据为操作系统引导代码。这是由偏移0x00开始的跳转指令所指向的。在图8所列出的偏移0x00~0x02的跳转指令"EB  58  90"清楚地指明了OS引导代码的偏移位置。jump  58H加上跳转指令所需的位移量，即开始于0x5A。此段指令在不同的操作系统上和不同的引导方式上，其内容也是不同的。大多数的资料上都说win98,构建于fat基本分区上的win2000,winxp所使用的DBR只占用基本分区的第0扇区。他们提到，对于fat32，一般的32个基本分区保留扇区只有第0扇区是有用的。实际上，以FAT32构建的操作系统如果是win98,系统会使用基本分区的第0扇区和第2扇区存储os引导代码；以FAT32构建的操作系统如果是win2000或winxp,系统会使用基本分区的第0扇区和第0xC扇区(win2000或winxp,其第0xC的位置由第0扇区的0xAB偏移指出)存储os引导代码。所以，在fat32分区格式上，如果DBR一扇区的内容正确而缺少第2扇区(win98系统)或第0xC扇区(win2000或winxp系统)，系统也是无法启动的。如果自己手动设置NTLDR双系统，必须知道这一点。
      DBR扇区的最后两个字节一般存储值为0x55AA的DBR有效标志，对于其他的取值，系统将不会执行DBR相关指令。上面提到的其他几个参与os引导的扇区也需以0x55AA为合法结束标志。
FAT16  DBR：
    FAT32中DBR的含义大致如此，对于FAT12和FAT16其基本意义类似，只是相关偏移量和参数意义有小的差异，FAT格式的区别和来因，以后会说到，此处不在多说FAT12与FAT16。我将FAT16的扇区参数意义列表。感兴趣的朋友自己研究一下，和FAT32大同小异的。
4.2  关于保留扇区
    在上述FAT文件系统DBR的偏移0x0E处，用2个字节存储保留扇区的数目。所谓保留扇区(有时候会叫系统扇区，隐藏扇区)，是指从分区DBR扇区开始的仅为系统所有的扇区，包括DBR扇区。在FAT16文件系统中，保留扇区的数据通常设置为1，即仅仅DBR扇区。而在FAT32中，保留扇区的数据通常取为32，有时候用Partition  Magic分过的FAT32分区会设置36个保留扇区，有的工具可能会设置63个保留扇区。
    FAT32中的保留扇区除了磁盘总第0扇区用作DBR，总第2扇区(win98系统)或总第0xC扇区(win2000,winxp)用作OS引导代码扩展部分外，其余扇区都不参与操作系统管理与磁盘数据管理，通常情况下是没作用的。操作系统之所以在FAT32中设置保留扇区，是为了对DBR作备份或留待以后升级时用。FAT32中，DBR偏移0x34占2字节的数据指明了DBR备份扇区所在，一般为0x06，即第6扇区。当FAT32分区DBR扇区被破坏导致分区无法访问时。可以用第6扇区的原备份替换第0扇区来找回数据。
4.3  FAT表和数据的存储原则。    FAT表(File  Allocation  Table  文件分配表)，是Microsoft在FAT文件系统中用于磁盘数据(文件)索引和定位引进的一种链式结构。假如把磁盘比作一本书，FAT表可以认为相当于书中的目录，而文件就是各个章节的内容。但FAT表的表示方法却与目录有很大的不同。
    在FAT文件系统中，文件的存储依照FAT表制定的簇链式数据结构来进行。同时，FAT文件系统将组织数据时使用的目录也抽象为文件，以简化对数据的管理。  ★存储过程假想：
      我们模拟对一个分区存储数据的过程来说明FAT文件系统中数据的存储原则。
      假定现在有一个空的完全没有存放数据的磁盘，大小为100KB，我们将其想象为线形的空间地址。为了存储管理上的便利，我们人为的将这100KB的空间均分成100份，每份1KB。我们来依次存储这样几个文件：A.TXT(大小10KB),B.TXT(大小53.6KB)，C.TXT(大小20.5KB)。        最起码能够想到，我们可以顺序的在这100KB空间中存放这3个文件。同时不要忘了，我们还要记下他们的大小和开始的位置，这样下次要用时才能找的到，这就像是目录。为了便于查找，我们假定用第1K的空间来存储他们的特征(属性)。还有，我们设计的存储单位是1KB，所以，A.TXT我们需要10个存储单位(为了说明方便，我们把存储单位叫做“簇”吧。也能少打点字，呵呵。)，B.TXT需要54个簇，C.TXT需要21个簇。可能有人会说B.TXT和C.TXT不是各自浪费了不到1簇的空间吗？干嘛不让他们紧挨着，不是省地方吗？我的回答是，如果按照这样的方式存储，目录中原本只需要记下簇号，现在还需要记下簇内的偏移，这样会增加目录的存储量，而且存取没有了规则，读取也不太方便，是得不偿失的。
      根据上面所说的思想，我们设计了这样的图4.3.1所示的存储方式。      我们再考虑如何来写这三个文件的目录。对于每个文件而言，一定要记录的有：文件名，开始簇，大小，创建日期、时间，修改日期、时间，文件的读写属性等。这里大小能不能用结束簇来计算呢？一定不能，因为文件的大小不一定就是整数个簇的大小，否则的话像B.TXT的内容就是54KB的内容了，少了固然不行，可多了也是不行的。那么我们怎么记录呢？可以想象一下。为了管理上的方便，我们用数据库的管理方式来管理我们的目录。于是我把1KB再分成10份，假定开始簇号为0，定义每份100B的各个位置的代表含义如图4.3.2        这样设计的结构绝对可以对文件进行正确的读写了。接着让我们设计的文件系统工作吧。先改动个文件，比如A.TXT，增加点内容吧！咦？增加后往哪里放呀，虽然存储块的后面有很多空间，但紧随其后B.TXT的数据还顶着呢？要是把A.TXT移到后边太浪费处理资源，而且也不一定解决问题。这个问题看来暂时解决不了。
    那我们换个操作，把B.txt删了，b.txt的空间随之释放。这时候空间如图4.3.3，目录如图4.3.4      这个操作看来还可以，我们接着做，在存入一个文件D.txt(大小为60.3KB),总共100簇的空间只用了31簇，还有68簇剩余，按说能放下。可是？往那里放呢？没有61个连续的空间了，目录行没办法写了，看来无连续块存储暂时也不行。
    你一定能够想到我们可以在连续空间不够或增加文件长度的时候转移影响我们操作的其他文件，从而腾出空间来，但我要问你，那不是成天啥也不要干了，就是倒腾东西了吗？
    看来我们设计的文件系统有致命的漏洞，怎么解决呢？。。。。
。。。。。。
    其实可以这样解决：
    首先我们允许文件的不连续存储。目录中依然只记录开始簇和文件的大小。那么我们怎么记录文件占用那些簇呢，以文件映射簇不太方便，因为文件名是不固定的。我们换个思想，可以用簇来映射文件，在整个存储空间的前部留下几簇来记录数据区中数据与簇号的关系。对于上例因为总空间也不大，所以用前部的1Kb的空间来记录这种对应，假设3个文件都存储，空间分配如图4.3.5，同时修改一下目录，如图4.3.6      第一簇用来记录数据区中每一簇的被占用情况，暂时称其为文件分配表。结合文件分配表和文件目录就可以达到完全的文件读取了。我们想到，把文件分配表做成一个数据表，以图4.3.7的形式记录簇与数据的对应。
  用图4.3.7的组织方式是完全可以实现对文件占有簇的记录的。但还不够效率。比如文件名在文件分配表中记录太多，浪费空间，而实际上在目录中已经记录了文件的开始簇了。所以可以改良一下，用链的方式来存放占有簇的关系，变成图4.3.8的组织方式。

    参照图4.3.8来理解一下文件分配表的意义。如文件a.txt我们根据目录项中指定的a.txt的首簇为2，然后找到文件分配表的第2簇记录，上面登记的是3，我们就能确定下一簇是3。找到文件分配表的第3簇记录，上面登记的是4，我们就能确定下一簇是4......直到指到第11簇，发现下一个指向是FF，就是结束。文件便丝毫无误读取完毕。    我们再看上面提到的第三种情况，就是将b.txt删除以后，存入一个大小为60.3KB的d.txt。利用簇链可以很容易的实现。实现后的磁盘如图4.3.9  4.3.10  4.3.11      上面是我们对文件存储的一种假设，也该揭开谜底的时候了。上面的思想其实就是fat文件系统的思想的精髓(但并不是，尤其像具体的参数的意义与我们所举的例子是完全不同的。请忘掉上边细节，努力记忆下边)。
★FAT16存储原理:       当把一部分磁盘空间格式化为fat文件系统时，fat文件系统就将这个分区当成整块可分配的区域进行规划，以便于数据的存储。一般来讲，其划分形式如图7所示。我们把FAT16部分提取出来，详细描述一下：
    FAT16是Microsoft较早推出的文件系统，具有高度兼容性，目前仍然广泛应用于个人电脑尤其是移动存储设备中，FAT16简单来讲由图4.3.12所示的6部分组成(主要是前5部分)。引导扇区(DBR)我们已经说过,FAT16在DBR之后没有留有任何保留扇区，其后紧随的便是FAT表。FAT表是FAT16用来记录磁盘数据区簇链结构的。像前面我们说过的例子一样，FAT将磁盘空间按一定数目的扇区为单位进行划分，这样的单位称为簇。通常情况下，每扇区512字节的原则是不变的。簇的大小一般是2n  (n为整数)个扇区的大小，像512B,1K,2K,4K,8K,16K,32K，64K。实际中通常不超过32K。  之所以簇为单位而不以扇区为单位进行磁盘的分配，是因为当分区容量较大时，采用大小为512b的扇区管理会增加fat表的项数，对大文件存取增加消耗，文件系统效率不高。分区的大小和簇的取值是有关系的，见表9         注意：少于32680个扇区的分区中，簇空间大小可最多达到每个簇8个扇区。不管用户是使用磁盘管理器来格式化分区，还是使用命令提示行键入format命令格式化，格式化程序都创建一个12位的FAT。少于16MB的分区，系统通常会将其格式化成12位的FAT，FAT12是FAT的初始实现形式，是针对小型介质的。FAT12文件分配表要比FAT16和FAT32的文件分配表小，因为它对每个条目使用的空间较少。这就给数据留下较多的空间。所有用FAT12格式化的5.25英寸软盘以及1.44MB的3.5英寸软盘都是由FAT12格式化的。除了FAT表中记录每簇链结的二进制位数与FAT16不同外，其余原理与FAT16均相同，不再单独解释。。。        格式化FAT16分区时，格式化程序根据分区的大小确定簇的大小，然后根据保留扇区的数目、根目录的扇区数目、数据区可分的簇数与FAT表本身所占空间  来确定FAT表所需的扇区数目，然后将计算后的结果写入DBR的相关位置。
    FAT16  DBR参数的偏移0x11处记录了根目录所占扇区的数目。偏移0x16记录了FAT表所占扇区的数据。偏移0x10记录了FAT表的副本数目。系统在得到这几项参数以后，就可以确定数据区的开始扇区偏移了。
    FAT16文件系统从根目录所占的32个扇区之后的第一个扇区开始以簇为单位进行数据的处理，这之前仍以扇区为单位。对于根目录之后的第一个簇，系统并不编号为第0簇或第1簇  (可能是留作关键字的原因吧)，而是编号为第2簇，也就是说数据区顺序上的第1个簇也是编号上的第2簇。
     FAT文件系统之所以有12，16，32不同的版本之分，其根本在于FAT表用来记录任意一簇链接的二进制位数。以FAT16为例，每一簇在FAT表中占据2字节(二进制16位)。所以，FAT16最大可以表示的簇号为0xFFFF(十进制的65535)，以32K为簇的大小的话，FAT32可以管理的最大磁盘空间为：32KB×65535=2048MB,这就是为什么FAT16不支持超过2GB分区的原因。
      FAT表实际上是一个数据表，以2个字节为单位，我们暂将这个单位称为FAT记录项，通常情况其第1、2个记录项(前4个字节)用作介质描述。从第三个记录项开始记录除根目录外的其他文件及文件夹的簇链情况。根据簇的表现情况FAT用相应的取值来描述，见表10      看一幅在winhex所截FAT16的文件分配表，图10：如图，FAT表以"F8  FF  FF  FF"  开头，此2字节为介质描述单元，并不参与FAT表簇链关系。小红字标出的是FAT扇区每2字节对应的簇号。      相对偏移0x4~0x5偏移为第2簇(顺序上第1簇)，此处为FF,表示存储在第2簇上的文件(目录)是个小文件，只占用1个簇便结束了。      第3簇中存放的数据是0x0005，这是一个文件或文件夹的首簇。其内容为第5簇，就是说接下来的簇位于第5簇——〉  FAT表指引我们到达FAT表的第5簇指向，上面写的数据是"FF  FF",意即此文件已至尾簇。
      第4簇中存放的数据是0x0006，这又是一个文件或文件夹的首簇。其内容为第6簇，就是说接下来的簇位于第6簇——〉FAT表指引我们到达FAT表的第6簇指向，上面写的数据是0x0007，就是说接下来的簇位于第7簇——〉FAT表指引我们到达FAT表的第7簇指向……直到根据FAT链读取到扇区相对偏移0x1A~0x1B，也就是第13簇，上面写的数据是0x000E，也就是指向第14簇——〉14簇的内容为"FF  FF"，意即此文件已至尾簇。
        后面的FAT表数据与上面的道理相同。不再分析。        FAT表记录了磁盘数据文件的存储链表，对于数据的读取而言是极其重要的，以至于Microsoft为其开发的FAT文件系统中的FAT表创建了一份备份，就是我们看到的FAT2。FAT2与FAT1的内容通常是即时同步的，也就是说如果通过正常的系统读写对FAT1做了更改，那么FAT2也同样被更新。如果从这个角度来看，系统的这个功能在数据恢复时是个天灾。      FAT文件系统的目录结构其实是一颗有向的从根到叶的树，这里提到的有向是指对于FAT分区内的任一文件(包括文件夹)，均需从根目录寻址来找到。可以这样认为：目录存储结构的入口就是根目录。
      FAT文件系统根据根目录来寻址其他文件(包括文件夹)，故而根目录的位置必须在磁盘存取数据之前得以确定。FAT文件系统就是根据分区的相关DBR参数与DBR中存放的已经计算好的FAT表(2份)的大小来确定的。格式化以后，跟目录的大小和位置其实都已经确定下来了：位置紧随FAT2之后，大小通常为32个扇区。根目录之后便是数据区第2簇。
      FAT文件系统的一个重要思想是把目录(文件夹)当作一个特殊的文件来处理，FAT32甚至将根目录当作文件处理(旁：NTFS将分区参数、安全权限等好多东西抽象为文件更是这个思想的升华)，在FAT16中，虽然根目录地位并不等同于普通的文件或者说是目录，但其组织形式和普通的目录(文件夹)并没有不同。FAT分区中所有的文件夹(目录)文件，实际上可以看作是一个存放其他文件(文件夹)入口参数的数据表。所以目录的占用空间的大小并不等同于其下所有数据的大小，但也不等同于0。通常是占很小的空间的，可以看作目录文件是一个简单的二维表文件。其具体存储原理是：      不管目录文件所占空间为多少簇，一簇为多少字节。系统都会以32个字节为单位进行目录文件所占簇的分配。这32个字节以确定的偏移来定义本目录下的一个文件(或文件夹)的属性，实际上是一个简单的二维表。
      这32个字节的各字节偏移定义如表11：对表11中的一些取值进行说明：
    (1)、对于短文件名，系统将文件名分成两部分进行存储，即主文件名+扩展名。0x0~0x7字节记录文件的主文件名，0x8~0xA记录文件的扩展名，取文件名中的ASCII码值。不记录主文件名与扩展名之间的"."  主文件名不足8个字符以空白符(20H)填充，扩展名不足3个字符同样以空白符(20H)填充。0x0偏移处的取值若为00H，表明目录项为空；若为E5H，表明目录项曾被使用，但对应的文件或文件夹已被删除。(这也是误删除后恢复的理论依据)。文件名中的第一个字符若为“.”或“..”表示这个簇记录的是一个子目录的目录项。“.”代表当前目录；“..”代表上级目录(和我们在dos或windows中的使用意思是一样的，如果磁盘数据被破坏，就可以通过这两个目录项的具体参数推算磁盘的数据区的起始位置，猜测簇的大小等等，故而是比较重要的)
    (2)、0xB的属性字段：可以看作系统将0xB的一个字节分成8位，用其中的一位代表某种属性的有或无。这样，一个字节中的8位每位取不同的值就能反映各个属性的不同取值了。如00000101就表示这是个文件，属性是只读、系统。
    (3)、0xC~0x15在原FAT16的定义中是保留未用的。在高版本的WINDOWS系统中有时也用它来记录修改时间和最近访问时间。那样其字段的意义和FAT32的定义是相同的，见后边FAT32。
    (4)、0x16~0x17中的时间=小时*2048+分钟*32+秒/2。得出的结果换算成16进制填入即可。也就是：0x16字节的0~4位是以2秒为单位的量值；0x16字节的5~7位和0x17字节的0~2位是分钟；0x17字节的3~7位是小时。
    (5)、0x18~0x19中的日期=(年份-1980)*512+月份*32+日。得出的结果换算成16进制填入即可。也就是：0x18字节0~4位是日期数；0x18字节5~7位和0x19字节0位是月份；0x19字节的1~7位为年号，原定义中0~119分别代表1980~2099，目前高版本的Windows允许取0~127，即年号最大可以到2107年。
    (6)、0x1A~0x1B存放文件或目录的表示文件的首簇号，系统根据掌握的首簇号在FAT表中找到入口，然后再跟踪簇链直至簇尾，同时用0x1C~0x1F处字节判定有效性。就可以完全无误的读取文件(目录)了。
    (7)、普通子目录的寻址过程也是通过其父目录中的目录项来指定的，与数据文件(指非目录文件)不同的是目录项偏移0xB的第4位置1，而数据文件为0。   对于整个FAT分区而言，簇的分配并不完全总是分配干净的。如一个数据区为99个扇区的FAT系统，如果簇的大小设定为2扇区，就会有1个扇区无法分配给任何一个簇。这就是分区的剩余扇区，位于分区的末尾。有的系统用最后一个剩余扇区备份本分区的DBR，这也是一种好的备份方法。
    早的FAT16系统并没有长文件名一说，Windows操作系统已经完全支持在FAT16上的长文件名了。FAT16的长文件名与FAT32长文件名的定义是相同的，关于长文件名，在FAT32部分再详细作解释。
★FAT32存储原理：
    FAT32是个非常有功劳的文件系统，Microsoft成功地设计并运用了它，直到今天NTFS铺天盖地袭来的时候，FAT32依然占据着Microsoft  Windows文件系统中重要的地位。FAT32最早是出于FAT16不支持大分区、单位簇容量大以致空间急剧浪费等缺点设计的。实际应用中，FAT32还是成功的。
    FAT32与FAT16的原理基本上是相同的，图4.3.13标出了FAT32分区的基本构成。    FAT32在格式化的过程中就根据分区的特点构建好了它的DBR，其中BPB参数是很重要的，可以回过头来看一下表4和表5。首先FAT32保留扇区的数目默认为32个，而不是FAT16的仅仅一个。这样的好处是有助于磁盘DBR指令的长度扩展，而且可以为DBR扇区留有备份空间。上面我们已经提到，构建在FAT32上的win98或win2000、winXP，其操作系统引导代码并非只占一个扇区了。留有多余的保留扇区就可以很好的拓展OS引导代码。在BPB中也记录了DBR扇区的备份扇区编号。备份扇区可以让我们在磁盘遭到意外破坏时恢复DBR。
    FAT32的文件分配表的数据结构依然和FAT16相同，所不同的是，FAT32将记录簇链的二进制位数扩展到了32位，故而这种文件系统称为FAT32。32位二进制位的簇链决定了FAT表最大可以寻址2T个簇。这样即使簇的大小为1扇区，理论上仍然能够寻址1TB范围内的分区。但实际中FAT32是不能寻址这样大的空间的，随着分区空间大小的增加，FAT表的记录数会变得臃肿不堪，严重影响系统的性能。所以在实际中通常不格式化超过32GB的FAT32分区。WIN2000及之上的OS已经不直接支持对超过32GB的分区格式化成FAT32，但WIN98依然可以格式化大到127GB的FAT32分区，但这样没必要也不推荐。同时FAT32也有小的限制，FAT32卷必须至少有65527个簇，所以对于小的分区，仍然需要使用FAT16或FAT12。
    分区变大时，如果簇很小，文件分配表也随之变大。仍然会有上面的效率问题存在。既要有效地读写大文件，又要最大可能的减少空间的浪费。FAT32同样规定了相应的分区空间对应的簇的大小，见表12：      FAT32簇的取值意义和FAT16类似，不过是位数长了点罢了，比较见表13：
      FAT32的另一项重大改革是根目录的文件化，即将根目录等同于普通的文件。这样根目录便没有了FAT16中512个目录项的限制，不够用的时候增加簇链，分配空簇即可。而且，根目录的位置也不再硬性地固定了，可以存储在分区内可寻址的任意簇内，不过通常根目录是最早建立的(格式化就生成了)目录表。所以，我们看到的情况基本上都是根目录首簇占簇区顺序上的第1个簇。在图4.3.12中也是按这种情况制作的画的。
      FAT32对簇的编号依然同FAT16。顺序上第1个簇仍然编号为第2簇，通常为根目录所用(这和FAT16是不同的，FAT16的根目录并不占簇区空间，32个扇区的根目录以后才是簇区第1个簇)  
      FAT32的文件寻址方法与FAT16相同，但目录项的各字节参数意义却与FAT16有所不同，一方面它启用了FAT16中的目录项保留字段，同时又完全支持长文件名了。
      对于短文件格式的目录项。其参数意义见表14：说明：
      (1)、这是FAT32短文件格式目录项的意义。其中文件名、扩展名、时间、日期的算法和FAT16时相同的。
      (2)、由于FAT32可寻址的簇号到了32位二进制数。所以系统在记录文件(文件夹)开始簇地址的时候也需要32位来记录，FAT32启用目录项偏移0x12~0x13来表示起始簇号的高16位。
      (3)、文件长度依然用4个字节表示，这说明FAT32依然只支持小于4GB的文件(目录)，超过4GB的文件(目录),系统会截断处理。

      FAT32的一个重要的特点是完全支持长文件名。长文件名依然是记录在目录项中的。为了低版本的OS或程序能正确读取长文件名文件，系统自动为所有长文件名文件创建了一个对应的短文件名，使对应数据既可以用长文件名寻址，也可以用短文件名寻址。不支持长文件名的OS或程序会忽略它认为不合法的长文件名字段，而支持长文件名的OS或程序则会以长文件名为显式项来记录和编辑，并隐藏起短文件名。
      当创建一个长文件名文件时，系统会自动加上对应的短文件名，其一般有的原则：
      (1)、取长文件名的前6个字符加上"~1"形成短文件名，扩展名不变。
      (2)、如果已存在这个文件名，则符号"~"后的数字递增，直到5。
      (3)、如果文件名中"~"后面的数字达到5，则短文件名只使用长文件名的前两个字母。通过数学操纵长文件名的剩余字母生成短文件名的后四个字母，然后加后缀"~1"直到最后(如果有必要，或是其他数字以避免重复的文件名)。
      (4)、如果存在老OS或程序无法读取的字符，换以"_"

    长文件名的实现有赖于目录项偏移为0xB的属性字节，当此字节的属性为：只读、隐藏、系统、卷标，即其值为0FH时，DOS和WIN32会认为其不合法而忽略其存在。这正是长文件名存在的依据。将目录项的0xB置为0F，其他就任由系统定义了，Windows9x或Windows  2000、XP通常支持不超过255个字符的长文件名。系统将长文件名以13个字符为单位进行切割，每一组占据一个目录项。所以可能一个文件需要多个目录项，这时长文件名的各个目录项按倒序排列在目录表中，以防与其他文件名混淆。
    长文件名中的字符采用unicode形式编码(一个巨大的进步哦)，每个字符占据2字节的空间。其目录项定义如表15。



    系统在存储长文件名时，总是先按倒序填充长文件名目录项，然后紧跟其对应的短文件名。从表15可以看出，长文件名中并不存储对应文件的文件开始簇、文件大小、各种时间和日期属性。文件的这些属性还是存放在短文件名目录项中，一个长文件名总是和其相应的短文件名一一对应，短文件名没有了长文件名还可以读，但长文件名如果没有对应的短文件名，不管什么系统都将忽略其存在。所以短文件名是至关重要的。在不支持长文件名的环境中对短文件名中的文件名和扩展名字段作更改(包括删除，因为删除是对首字符改写E5H)，都会使长文件名形同虚设。长文件名和短文件名之间的联系光靠他们之间的位置关系维系显然远远不够。其实，长文件名的0xD字节的校验和起很重要的作用，此校验和是用短文件名的11个字符通过一种运算方式来得到的。系统根据相应的算法来确定相应的长文件名和短文件名是否匹配。这个算法不太容易用公式说明，我们用一段c程序来加以说明。
      假设文件名11个字符组成字符串shortname[],校验和用chknum表示。得到过程如下：

    int  i，j,chknum=0;
    for  (i=11;  i>0;  i--)
        chksum  =  ((chksum  &  1)  ?  0x80  :  0)  +  (chksum  >>  1)  +  shortname[j++];

      如果通过短文件名计算出来的校验和与长文件名中的0xD偏移处数据不相等。系统无论如何都不会将它们配对的。
      依据长文件名和短文件名对目录项的定义，加上对簇的编号和链接，FAT32上数据的读取便游刃有余了。

比较详细的MBR分析  (本文来自风笛工作室)
说明：硬盘主引导记录独立于操作系统，但又和操作系统息息相关——很多时候它又是由
;  操作系统所提供的工具所生成（例外的情况是您使用了其他的分区工具，不过它又运行在
;  什么操作系统中呢？;(）。
;
;  如果您安装了Windows  98(我现在暂时不能接触95下的主引导记录，总不能用95重装我的
;  系统吧？)操作系统，那您机器上的主引导记录已经与以前的大有不同了，通过下面的分析
;  您一定能对Windows  98为什么要更改主引导记录有所了解——它已经开始支持扩展Int13h
;  了！并且这个主引导记录的编程技巧更是我们应该学习的。
;
;  主引导记录包括代码、数据两部分。它在被BIOS中断Int19h装入内存后获得控制权。数据
;  部分最重要的当然是分区表了！彻底熟悉主引导记录，可以帮助我们了解系统的引导过程,
;  处理因主引导记录损坏所造成的无法引导故障，消除引导型计算机病毒，更使我们能通过
;  修改主引导记录完成我们希望的工作：如多重引导，系统加软锁等...
;
;  BIOS中断总是把主引导记录所在扇区（硬盘的0头0道1扇区）的内容（包括代码和数据）
;  装入内存0000：7C00起始的区域，然后检验该扇区内容的最后两个字节是不是“AA55”,
;  如果不是,那么对不起，Int19h将不把控制权交给主引导记录；若是，则下面的主引导记录
;  才能获得了控制权了（Int19通过跳转指令交转控制权）：
;
;  二进制形式的主引导记录：
0000:0600  33  C0  8E  D0  BC  00  7C  FB-50  07  50  1F  FC  BE  1B  7C  3.....|.P.P....|
0000:0610  BF  1B  06  50  57  B9  E5  01-F3  A4  CB  BE  BE  07  B1  04  ...PW...........
0000:0620  38  2C  7C  09  75  15  83  C6-10  E2  F5  CD  18  8B  14  8B  8,|.u...........
0000:0630  EE  83  C6  10  49  74  16  38-2C  74  F6  BE  10  07  4E  AC  ....It.8,t....N.
0000:0640  3C  00  74  FA  BB  07  00  B4-0E  CD  10  EB  F2  89  46  25  <.t...........F%
0000:0650  96  8A  46  04  B4  06  3C  0E-74  11  B4  0B  3C  0C  74  05  ..F...<.t...<.t.
0000:0660  3A  C4  75  2B  40  C6  46  25-06  75  24  BB  AA  55  50  B4  :.u+@.F%.u$..UP.
0000:0670  41  CD  13  58  72  16  81  FB-55  AA  75  10  F6  C1  01  74  A..Xr...U.u....t
0000:0680  0B  8A  E0  88  56  24  C7  06-A1  06  EB  1E  88  66  04  BF  ....V$.......f..
0000:0690  0A  00  B8  01  02  8B  DC  33-C9  83  FF  05  7F  03  8B  4E  .......3.......N
0000:06A0  25  03  4E  02  CD  13  72  29-BE  2D  07  81  3E  FE  7D  55  %.N...r).-..>.}U
0000:06B0  AA  74  5A  83  EF  05  7F  DA-85  F6  75  83  BE  1A  07  EB  .tZ.......u.....
0000:06C0  8A  98  91  52  99  03  46  08-13  56  0A  E8  12  00  5A  EB  ...R..F..V....Z.
0000:06D0  D5  4F  74  E4  33  C0  CD  13-EB  B8  00  00  80  49  12  00  .Ot.3........I..
0000:06E0  56  33  F6  56  56  52  50  06-53  51  BE  10  00  56  8B  F4  V3.VVRP.SQ...V..
0000:06F0  50  52  B8  00  42  8A  56  24-CD  13  5A  58  64  10  72  PR..B.V$..ZX.d.r
0000:0700  0A  40  75  01  42  80  C7  02-E2  F7  F8  5E  C3  EB  74  B7  .@u.B......^..t.
0000:0710  D6  C7  F8  B1  ED  CE  DE  D0-A7  00  BC  D3  D4  D8  B2  D9  ................
0000:0720  D7  F7  CF  B5  CD  B3  CA  B1-B3  F6  B4  ED  00  4D  69  73  .............Mis
0000:0730  73  69  6E  67  20  6F  70  65-72  61  74  69  6E  67  20  73  sing  operating  s
0000:0740  79  73  74  65  6D  00  00  00-00  00  00  00  00  00  00  00  ystem...........
0000:0750  00  00  00  00  00  00  00  00-00  00  00  00  00  00  00  00  ................
0000:0760  00  00  00  00  00  00  00  00-00  00  00  00  00  00  00  00  ................
0000:0770  00  00  00  00  00  00  00  00-00  00  00  00  00  00  00  00  ................
0000:0780  00  00  00  8B  FC  1E  57  8B-F5  CB  00  00  00  00  00  00  ......W.........
0000:0790  00  00  00  00  00  00  00  00-00  00  00  00  00  00  00  00  ................
0000:07A0  00  00  00  00  00  00  00  00-00  00  00  00  00  00  00  00  ................
0000:07B0  00  00  00  00  00  00  00  00-86  D8  00  00  00  00  80  01  ................
0000:07C0  01  00  06  3F  3F  FD  3F  00-00  00  41  A0  0F  00  00  00  ...??.?...A.....
0000:07D0  01  FE  05  3F  FF  FE  80  A0-0F  00  C0  4F  2F  00  00  00  ...?.......O/...
0000:07E0  00  00  00  00  00  00  00  00-00  00  00  00  00  00  00  00  ................
0000:07F0  00  00  00  00  00  00  00  00-00  00  00  00  00  00  55  AA  ..............U.
;
;  反汇编结果
;
;  0000:7C00～0000:7C1A：初始化各个段寄存器、堆栈指针，最后将主引导记录在内存中搬家，腾出其所占内
;  存空间以供装入分区引导记录。
0000:7C00  33C0        XOR    AX,AX          ;AX寄存器清0
0000:7C02  8ED0        MOV    SS,AX          ;SS=0
0000:7C04  BC007C      MOV    SP,7C00        ;装填栈指针——SS:SP=0000:7C00
0000:7C07  FB          STI                  ;开中断(装填栈指针时为避免硬件中断引起栈混乱应关中断)
0000:7C08  50          PUSH    AX            ;
0000:7C09  07          POP    ES            ;装填附加数据段寄存器ES=0
0000:7C0A  50          PUSH    AX            ;
0000:7C0B  1F          POP    DS            ;装填数据段寄存器DS=0
0000:7C0C  FC          CLD                  ;规定其后的串操作为正向串操作
0000:7C0D  BE1B7C      MOV    SI,7C1B        ;源指针
0000:7C10  BF1B06      MOV    DI,061B        ;目的指针
0000:7C13  50          PUSH    AX            ;
0000:7C14  57          PUSH    DI            ;看看0000:7C1A——构造一个跳转
0000:7C15  B9E501      MOV    CX,01E5        ;
0000:7C18  F3          REPZ                  ;
0000:7C19  A4          MOVSB                ;0000:7C1B起始的CX字节传送至0000:061B起始的区域
0000:7C1A  CB          RETF                  ;跳转到0000:061B(这是一种技巧跳转)
;  
;  为直观起见，下面的地址按实际运行时的地址给出。
;  0000:061B～0000:062B：对分区表进行初步检验，一旦检测到某分区表项状态字节大于等于80h，就通过（当
;  然，在此之前如果检测到某项分区表的状态字节小于80h，就转错误处理。当然，如果四个分区项的状态字节
;  都为零，主引导记录就会调用BIOS-ROM的INT  18h，显示"PRESS  A  KEY  TO  REBOOT"信息等待你的操作。
0000:061B  BEBE07      MOV    SI,07BE        ;SI指向第一个分区表项，这时CX=0
0000:061E  B104        MOV    CL,04          ;分区表共四个表项
0000:0620  382C        CMP    [SI],CH        ;
0000:0622  7C09        JL      062D          ;大于等于80h转[注意JL指令:(SF  xor  OF)=1则转]
0000:0624  7515        JNZ    063B          ;不为0则[SI]一定小于80h，只能转错误处理了！
0000:0626  83C610      ADD    SI,+10        ;为零则检查下一表项
0000:0629  E2F5        LOOP    0620          ;检查下一表项
0000:062B  CD18        INT    18            ;四表项的状态字节都为0，则系统只好调用INT  18h了!
;  
;  0000:062D～0000:0639：检查剩余的分区表项——状态字节必须为零，否则显示错误信息“分区表无效”然后当机！拜托，微软搞错没有，怎么用中文提示信息？真TM傻得可爱！
;  这里还有个小BUG，前面放行原则是只要状态字节大于等于80h，那么如果这个字节是诸如A0h、E5h之类数值
;  呢？嘿嘿，这个引导记录统统认为是有效的可引导分区了！
0000:062D  8B14        MOV    DX,[SI]        ;为读分区引导记录做准备：磁头号→DH，驱动器号→DL
0000:062F  8BEE        MOV    BP,SI          ;SI→BP，保存可引导分区表项的指针
;  
0000:0631  83C610      ADD    SI,+10        ;其余的分区表项还要检查检查的
0000:0634  49          DEC    CX            ;
0000:0635  7416        JZ      064D          ;CX=0则检查顺利通过，转继续
0000:0637  382C        CMP    [SI],CH        ;
0000:0639  74F6        JZ      0631          ;为零，是合法表项，再查下一表项
;  
;  0000:063B～0000:064B：执行错误处理——报告错误信息后当机
0000:063B  BE1007      MOV    SI,0710        ;错误信息字符串偏移+1→SI
0000:063E  4E          DEC    SI            ;SI-1→SI
0000:063F  AC          LODSB                ;SI+1→SI
0000:0640  3C00        CMP    AL,00          ;
0000:0642  74FA        JZ      063E          ;AL=0则表明一条错误信息显示完毕,系统陷入一个死循环
0000:0644  BB0700      MOV    BX,0007        ;字符方式显示
0000:0647  B40E        MOV    AH,0E          ;
0000:0649  CD10        INT    10            ;以写电传方式显示信息(只显示一个字符)
0000:064B  EBF2        JMP    063F          ;显示下一个字符，直到遇到提示信息结束为止
;  
;  0000:064D～0000:0662：判断可引导分区的分区类型，然后转相应处理程序。
0000:064D  894625      MOV    [BP+25],AX    ;BP=指向第一个可引导分区表项的指针，这时AX=0000h
                                          ;使用长度最短的指令将[BP+25]起始的两个单元清零
                                          ;这两个单元将被用来存放中间变量
0000:0650  96          XCHG    SI,AX          ;此时SI清零的最佳指令选择(仅1字节)，将服务于0000:06B8
0000:0651  8A4604      MOV    AL,[BP+04]    ;取分区类型(本例是“06”喽——FAT16主DOS分区)
0000:0654  B406        MOV    AH,06          ;为扩展INT  13h无法使用做好更改分区类型的准备
0000:0656  3C0E        CMP    AL,0E          ;0Eh：需要用扩展INT  13h访问的FAT16主DOS分区
0000:0658  7411        JZ      066B          ;0Eh类型的分区转066Bh
0000:065A  B40B        MOV    AH,0B          ;
0000:065C  3C0C        CMP    AL,0C          ;0Ch：需要用扩展INT  13h访问的FAT32分区
0000:065E  7405        JZ      0665          ;0Ch类型的分区转0665h先行预处理
0000:0660  3AC4        CMP    AL,AH          ;0Bh：用传统INT  13h就可以访问的FAT32分区
0000:0662  752B        JNZ    068F          ;其他类型的分区转068Fh
;  
;  0000:0664～0000:06A1：根据分区类型和分区表表项内容进行读取分区引导记录前的处理工作
0000:0664  40          INC    AX            ;★★★0Bh类型的分区由此开始处理，此条指令用意是清ZF位
0000:0665  C6462506    MOV    BYTE  PTR  [BP+25],06  ;★★★0Ch类型的分区由此开始处理
                                          ;为什么取值06，一时没有自圆我说的解释，请耐心几天吧。
0000:0669  7524        JNZ    068F          ;请注意上面指令对ZF位的影响：0Bh类型分区转，0Ch则不转
;  0000:066B～0000:068C这段代码仅当分区类型是0Ch、0Eh才有获得执行的机会
0000:066B  BBAA55      MOV    BX,55AA        ;★★★0Eh类型的分区由此开始处理
0000:066E  50          PUSH    AX            ;
0000:066F  B441        MOV    AH,41          ;扩展INT  13h功能，检测BIOS是否已经支持扩展INT13h
0000:0671  CD13        INT    13            ;入口参数：BX=55AAh,DL=驱动器号,AH=41h
0000:0673  58          POP    AX            ;执行完恢复AX为060Eh
0000:0674  7216        JB      068C          ;不支持则转
0000:0676  81FB55AA    CMP    BX,AA55        ;
0000:067A  7510        JNZ    068C          ;扩展INT13h不可用也转
0000:067C  F6C101      TEST    CL,01          ;测试扩展盘访问是否被支持
0000:067F  740B        JZ      068C          ;不支持还转
;  因为扩展INT13h方式读盘与标准INT13h方式读盘有很大差别，所以0000:0686处指令修改其后的代码以保证按
;  照扩展读方式读分区引导扇区时能正确跳转到相应的处理程序中。
0000:0681  8AE0        MOV    AH,AL          ;分区类型→AH
0000:0683  885624      MOV    [BP+24],DL    ;保存驱动器号→[BP+24]
0000:0686  C706A106EB1E  MOV    WORD  PTR  [06A1],1EEB  ;修改0000:06A1处代码为"JMP  06C1"
0000:068C  886604      MOV    [BP+04],AH    ;注意：如果扩展INT13h不能使用则A改分区类型为06，但如果
                                          ;扩展INT13h能使用，则仍保持原分区类型不变
0000:068F  BF0A00      MOV    DI,000A        ;★★★其它类型分区由此开始处理。此条指令初始化计数器
0000:0692  B80102      MOV    AX,0201        ;AH：读操作，AL：读取1个扇区的内容
0000:0695  8BDC        MOV    BX,SP          ;SP=7C00→BX，指定分区引导记录装入内存的位置偏移
0000:0697  33C9        XOR    CX,CX          ;CX清零
0000:0699  83FF05      CMP    DI,+05        ;注意5  
0000:069C  7F03        JG      06A1          ;大于则转去读由分区表指定的分区引导扇区
0000:069E  8B4E25      MOV    CX,[BP+25]    ;小于则证明所读分区表指定的引导扇区无合法的引导记录，
                                          ;改按？？？再读，毕竟多一种选择多一次机会嘛！;)
;  以下标有①②者请注意它们的地址都是一样的，就是说实际运行中只可能是二者之一，但为了分析之方便，我
;  把两者都列了出来以供对比，阅读时千万别看成是两条指令了啊！
①0000:06A1  034E02      ADD    CX,[BP+02]    ;获取分区引导扇区所在的柱面号和物理扇区号
②0000:06A1  EB1E        JMP    06C1          ;如果分区类型是0Ch、0Eh而且扩展读能使用则执行该指令
;  
;  0000:06A4：将可引导分区的分区引导记录装入内存指定区域
;  入口参数：AH=功能号，02为读盘操作；AL=一次读取的扇区数
;          ES:BX=读入内存的起始地址
;          CH=10位柱面号的低8位；CL：高两位是10位柱面号的高两位，低6位是物理扇区号
;          DH=磁头号；DL=驱动器号，最高位(即位7)为0是软盘，为1是硬盘
0000:06A4  CD13        INT    13            ;读分区引导记录到0000:7C00起始的区域
;  
;  
0000:06A6  7229        JB      06D1          ;不成功转
0000:06A8  BE2D07      MOV    SI,072D        ;错误信息字符串偏移→SI
0000:06AB  813EFE7D55AA  CMP    WORD  PTR  [7DFE],AA55  ;分区引导记录合法吗？
0000:06B1  745A        JZ      070D          ;合法则转（这是主引导记录唯一的正常出口）  
0000:06B3  83EF05      SUB    DI,+05        ;不合法则为换读其他扇区做准备
0000:06B6  7FDA        JG      0692          ;只有一次换读扇区的机会！
;  
;  0000:06B8～0000:06BF：错误预处理
0000:06B8  85F6        TEST    SI,SI          ;测试SI值是否为0，其意义在于确定该显示哪条信息
0000:06BA  7583        JNZ    063F          ;不为0则转错误处理，显示“Missing  operating  system”
0000:06BC  BE1A07      MOV    SI,071A        ;错误信息字符串偏移→SI
0000:06BF  EB8A        JMP    064B          ;转错误处理，显示“加载操作系统时出错”
;  
;  0000:06C1～0000:06CF：整理扩展读所需入口参数，然后调用扩展读子程序
;  这段代码只有在以扩展读方式读取分区引导记录时才有机会获得执行
0000:06C1  98          CBW                  ;转换字节AL为字AX，执行后，AX中是一次要读的扇区数
0000:06C2  91          XCHG    CX,AX          ;AX→CX，CX→AX，执行后，CX中是一次要读的扇区数
0000:06C3  52          PUSH    DX            ;
0000:06C4  99          CWD                  ;将字AX转换为双字→DX,AX
0000:06C5  034608      ADD    AX,[BP+08]    ;
0000:06C8  13560A      ADC    DX,[BP+0A]    ;执行后，DX:AX=LBA绝对物理扇区号
0000:06CB  E81200      CALL    06E0          ;调用扩展读子程序
0000:06CE  5A          POP    DX            ;
0000:06CF  EBD5        JMP    06A6          ;
;  
;  0000:06D1～0000:06D8分区引导记录装入失败时的处理
0000:06D1  4F          DEC    DI            ;计数器减1
0000:06D2  74E4        JZ      06B8          ;五次读盘均未成功则转错误处理(注意这时SI=0)
0000:06D4  33C0        XOR    AX,AX          ;置功能号
0000:06D6  CD13        INT    13            ;复位磁盘系统
0000:06D8  EBB8        JMP    0692          ;再读
;  
;  
0000:06DA  00  00  80  49  12  00  ...I..
;  
;  0000:06E0～0000:070C：使用扩展INT  13h功能读取分区引导记录的子程序
;  调用时，SP=7BFE。这段程序利用压栈寄存器方式构造了一个磁盘地址包，请注意体会。另外，0000:06FC处
;  的一条指令就释放了几乎全部由本段程序占用的栈空间，构思之巧妙，绝对需要我们学习！
;  所以，分析该段程序，一个重点应放在栈的变化上。
0000:06E0  56          PUSH    SI            ;保存SI——注意，这次压栈并不构造磁盘地址包
0000:06E1  33F6        XOR    SI,SI          ;清零
0000:06E3  56          PUSH    SI            ;
0000:06E4  56          PUSH    SI            ;
0000:06E5  52          PUSH    DX            ;
0000:06E6  50          PUSH    AX            ;以上四条指令压栈的是扇区LBA号码*2
0000:06E7  06          PUSH    ES            ;压栈内存目标缓冲区首址段址
0000:06E8  53          PUSH    BX            ;压栈内存目标缓冲区首址偏移
0000:06E9  51          PUSH    CX            ;压栈所读扇区数
0000:06EA  BE1000      MOV    SI,0010        ;注意SI的高8位对应着磁盘地址包的保留字节，必须为0
0000:06ED  56          PUSH    SI            ;压栈磁盘地址包包长，执行完本条指令一个包已经构造完毕
0000:06EE  8BF4        MOV    SI,SP          ;规定磁盘地址包偏移指针，这时SP=7BEA
0000:06F0  50          PUSH    AX            ;保存AX
0000:06F1  52          PUSH    DX            ;保存DX
0000:06F2  B80042      MOV    AX,4200        ;置扩展读功能号
0000:06F5  8A5624      MOV    DL,[BP+24]    ;取驱动器号，参照0000:0683
;  入口参数：AH=功能号，02为读盘操作；DL=驱动器号
;          DS:SI=16字节磁盘地址包——第0字节：包长度(固定为10h)；第1字节：保留，必须为0；
;          第2、3字节：所读扇区数；第4～5字节：内存目标缓冲区首址偏移；
;          第6～7字节：内存目标缓冲区首址段址；  第8～15字节：扇区LBA号码
;  出口参数：成功则AH=0；错误则AH=错误代码
0000:06F8  CD13        INT    13            ;执行扩展读操作
0000:06FA  5A          POP    DX            ;
0000:06FB  58          POP    AX            ;
0000:06FC  8D6410      LEA    SP,[SI+10]    ;7BEA+10h=7BFA→SP（注意是取偏移而不是取单元内容）
0000:06FF  720A        JB      070B          ;扩展读不成功转
0000:0701  40          INC    AX            ;
0000:0702  7501        JNZ    0705          ;
0000:0704  42          INC    DX            ;AX加1溢出时（比如0FFFFh+1）DX才加1
0000:0705  80C702      ADD    BH,02          ;调整BX，使偏移量增加512字节（刚好一扇区）
0000:0708  E2F7        LOOP    0701          ;0701～0708一段代码暂未明白其真实意图！
0000:070A  F8          CLC                  ;
0000:070B  5E          POP    SI            ;
0000:070C  C3          RET                  ;
;  
;  0000:070D：中继跳转
0000:070D  EB74        JMP    0783          ;
;  
;  070F～0745是错误信息！果然是中文Windows98生成的主引导记录，所以我要特别
;  “感谢”微软这个傻B，真难为它竟然用中文表述前两个信息！可惜真需显示的时
;  候鬼才能看懂是什么呢！！！我K!——耍弄我们耶！？
;  070F～0718：“分区表无效”中文信息
;  071A～072B：“加载操作系统时出错”中文信息
;  072D～0744：“Missing  operating  system”英文信息
0000:070F  B7  .  
0000:0710  D6  C7  F8  B1  ED  CE  DE  D0-A7  00  BC  D3  D4  D8  B2  D9  ................
0000:0720  D7  F7  CF  B5  CD  B3  CA  B1-B3  F6  B4  ED  00  4D  69  73  .............Mis
0000:0730  73  69  6E  67  20  6F  70  65-72  61  74  69  6E  67  20  73  sing  operating  s
0000:0740  79  73  74  65  6D  00  00  00-00  00  00  00  00  00  00  00  system..........
0000:0750  00  00  00  00  00  00  00  00-00  00  00  00  00  00  00  00  ................
0000:0760  00  00  00  00  00  00  00  00-00  00  00  00  00  00  00  00  ................
0000:0770  00  00  00  00  00  00  00  00-00  00  00  00  00  00  00  00  ................
0000:0780  00  00  00  ...
;  
;  0000:0783～0000:0789：控制权移交
0000:0783  8BFC        MOV    DI,SP          ;
0000:0785  1E          PUSH    DS            ;
0000:0786  57          PUSH    DI            ;构造一个跳转地址
0000:0787  8BF5        MOV    SI,BP          ;
0000:0789  CB          RETF                  ;交控制权给分区引导记录（0000:7C00）
;  
;  
0000:078A  00  00  00  00  00  00  ......
0000:0790  00  00  00  00  00  00  00  00-00  00  00  00  00  00  00  00  ................
0000:07A0  00  00  00  00  00  00  00  00-00  00  00  00  00  00  00  00  ................
;  
;  07B8～07BB四个字节的内容用于什么呢？（不同机器此四字节均不同）
;  07BE～07FD为分区表，内含四个分区表项(每表项10h字节)
0000:07B0  00  00  00  00  00  00  00  00-86  D8  00  00  00  00  80  01  ................
0000:07C0  01  00  06  3F  3F  FD  3F  00-00  00  41  A0  0F  00  00  00  ...??.?...A.....
0000:07D0  01  FE  05  3F  FF  FE  80  A0-0F  00  C0  4F  2F  00  00  00  ...?.......O/...
0000:07E0  00  00  00  00  00  00  00  00-00  00  00  00  00  00  00  00  ................
0000:07F0  00  00  00  00  00  00  00  00-00  00  00  00  00  00  55  AA  ..............U.  
*1：因为物理扇区号总是从1排列而起
*2：由此可见，就是使用LBA扩展读的功能，主引导记录却限制了分区引导扇区必须在LBA绝对物理扇区
    0FFFFFFFFh之前才有可能从该分区引导系统！

读扇区汇编程序源程序清单
;********************************************  
;文件名：ARSE.ASM
;功能：读硬盘０面０头１扇区数据并建立存储文件
;********************************************
data  segment                      ;1.定义数据段
ostr  db  'Enter  file  name:','$'    ;2.屏幕提示
filename  db  15                    ;3.输入的文件名
          db  ?                    ;4.
          db  15  dup(0)            ;5.
buffer  db  512  dup(0)              ;6.扇区数据
tmp  db  15  dup(0)                  ;7.转存的文件名
data  ends                        ;8.
code  segment                      ;9.定义代码段
      assume  cs:code,ds:data      ;10.
start:                            ;11.程序开始
        mov  ax,data              ;12.初始化数据段
        mov  ds,ax                ;13.
                                  ;14.
        mov  ax,seg  buffer        ;15.用buffer初始化附加段es
        mov  es,ax                ;16.
        mov  bx,offset  buffer      ;17.取址
        mov  ax,0201h              ;18.程序入口参数
        mov  cx,0001h              ;19.
        mov  dx,0080h              ;20.
        int  13h                  ;21.调用中断
        mov  dx,offset  ostr        ;22.
        mov  ah,09h                ;23.输出字符串
        int  21h                  ;24.
                                  ;25.
        mov  dx,offset  filename    ;26.
        mov  ah,0ah                ;27.接收字符串
        int  21h                  ;28.
        mov  si,offset  filename    ;29.
        mov  di,offset  tmp        ;30.
lstr:    mov  dl,[si+2]            ;31.取字符
        mov  [di],dl              ;32.存字符
        inc  si                    ;33.地址递增
        inc  di                    ;34.
        cmp  dl,0dh                ;35.判断是否为回车符
        jne  lstr                  ;36.不等转
                                  ;37.
        mov  bl,0                  ;38.补0
        mov  [di-1],bl            ;39.
        mov  dx,offset  tmp        ;40.取文件名
        mov  cx,0                  ;41.
        mov  ah,3ch                ;42.建立文件
        int  21h                  ;43.
        mov  dx,offset  buffer      ;44.取缓冲区数据地址
        mov  cx,512                ;45.
        mov  bx,ax                ;46.
        mov  ah,40h                ;47.写文件
        int  21h                  ;48.
        mov  ah,3eh                ;49.关闭文件
        int  21h                  ;50.
        mov  ah,4ch                ;51.返回系统
        int  21h                  ;52.
code  ends                        ;53.
        end  start                ;54.程序结束
源程序解释
在对汇编源程序进行解释的时候，有些属于汇编程序的基本格式和基本语法，就不再介绍了。大家可以看看汇编语言的基础教程，这一类的书是很多的。
第2行定义了缓冲区内的一个字符串，该字符串是作为提示行输出到屏幕的。因为输出字符串是由INT21H中断里的09H号DOS功能调用完成的，所以字符串必须以“$”作为结束符。
第3-5行在内存中开辟一块缓冲区，用来存储由键盘输入的文件名。
第6行在内存中开辟一块缓冲区，用来存储512字节扇区数据。
第7行在内存中开辟一块缓冲区，准备转存键盘输入的文件名。前面已经将文件名存入缓冲区里了，为什么还要转存呢？
因为由键盘输入的表示文件名的字符串，是由0aH号DOS功能调用接收完成的。该功能调用向缓冲区存入字符串时，从第三个字节开始存放字符串的首字节。缓冲区的第一个字节设置为缓冲区的最大容量，属于功能调用的入口参数。缓冲区的第二个字节存放实际读入的字符数（回车符除外），属于功能调用的出口参数，是在键盘输入结束后，由系统写入的。
键盘输入的字符串就是下一步要建立的存储扇区数据的文件名。建立文件是由3cH号DOS功能调用完成的，该功能调用对缓冲区的存储要求与0aH号DOS功能调用不一样，因此必须进行上述转存工作。
第15-16行取变量buffer的段址，用该段址初始化附加段ES。这是由基本INT13H中断的入口参数所要求的，其数据缓冲区地址＝ES:BX。
第17-21行设置各项入口参数，然后执行13H中断。下面顺序介绍各项功能：将变量buffer的地址取到BX寄存器中；AH＝02H，执行读功能；AL＝01H，读一个扇区；CH＝00H，磁道号（也就是柱面号）为０；CL＝01H，扇区号为１；DH＝00H，磁头号为０；DL＝80H，驱动器号为第一硬盘（如果读取第二硬盘的扇区，设置DL＝81H）。
第22-24行在屏幕上输出提示字符串。
第26-28行接收键盘输入的字符串。
第29-36行是字符串转存，每次转存一个字符。因为键盘输入的字符串以回车作为结束符，回车的ASCII码值是0dH，所以第35行设置一判断语句，若取的字符与回车相等，则结束循环。第31行将地址跳过2个字节，从第3个字节开始取字符。
第38-39行在转存字符串后面补0，作为字符串的结束符。
第40-50行建立文件、向建立的文件中写入扇区数据、最后关闭文件。这几步都是常规的简单操作，就不用详细解释了。
第51-54行返回DOS系统、结束程序。
  
                            程序编译和运行
  
汇编源程序的编译和连接，是用命令行方式，使用Borland  C++  3.1自带的两个程序完成的。TASM.EXE可将源程序编译成OBJ二进制文件，TLINK.EXE可将二进制文件连接成EXE可执行文件。
如果在安装Borland  C++  3.1编译软件以后，没有在自动批处理文件AUTOEXEC.BAT里面设置相关路径，就需要先进入Borland  C++  3.1的安装目录，然后才能运行有关程序。
最好的方法是修改AUTOEXEC.BAT文件，在里面设置好路径。当硬盘启动时就能自动加载，不论在哪一个目录下，都可以运行程序了。
以我用的硬盘为例，将Borland  C++  3.1安装在Ｅ盘的BC目录中，用文本编辑软件打开Ｃ盘根目录下的AUTOEXEC.BAT文件，在其中加上一行：
SET  PATH=%PATH%;E:\BC\BIN
编译时先执行命令TASM  ARSE，生成ARSE.OBJ文件，再执行命令TLINK  ARSE，可生成ARSE.EXE文件。如果源程序有逻辑错误或语法错误，屏幕上会有出错提示或警告提示，并指出发生在哪一行。
可以将上面执行两次的命令合成一步来完成，方法是用文本编辑软件建一个批处理文件。文件名可定为TASMLINK.BAT，其内容是：
TASM  %1
TLINK  %1
将TASMLINK.BAT放在E:\BC\BIN目录中，编译时执行TASMLINK  ARSE。
运行程序时执行命令ARSE，屏幕上提示“Enter  file  name:”，输入文件名后回车，在当前目录下生成一个512字节的扇区数据文件。
生成的扇区数据文件不是文本方式的，不能直接用文本编辑软件查看。
每一个想从事数据恢复工作的人，都必须能写自己的工具程序，才能在数据恢复中得心应手。因为现成的应用软件谁都会用，任何人都没有技术上的优势，有的只是时间上的优势，也就是比别人早用了几天而已。
只有形成自己的有特色的分析方法，配合自己的工具程序，才能有领先于别人的优势。同时在编写自己的工具程序的过程中，对文件系统的存储原理，对磁盘扇区的存储规律，就会有比别人更深刻的认识。
  
硬盘保护锁
我在前一段时间写了一个硬盘锁，拿出来和大家交流交流，同时有个问题，希望大家能帮我想想。
首先，大略介绍一下我的程序，我是用汇编写成，程序有2个文件：hdlock.exe  
hdlock.dat  ,其中hdlock.dat是我写的用于装入硬盘0柱0道1扇的硬盘锁,hdlock.exe实现
（1）把hdlock.dat装入硬盘0柱0道1扇并设置硬盘锁的密码，（2）修改密码，（3）卸载
硬盘锁
在此，先介绍一下  hdlock.dat，因为硬盘锁本身受空间限制，必须严格控制在1bdH
字节内，（知道为什么吗？）所以是不能用masm先写原程序，再编译，我基本上是用debug
的A命令一次性写出来的，我把这些反汇编了出来，加上一些注释，给大家看看，互相学习
吗。　  
;这一段是将整个硬盘锁从0000:7c00移至0000:0600,以免被后来读入的代码覆盖  
0F6D:0100  1E  PUSHDS  
0F6D:0101  06  PUSHES  
0F6D:0102  B90001  MOVCX,0100  
0F6D:0105  BF0006  MOVDI,0600  
0F6D:0108  B80000  MOVAX,0000  
0F6D:010B  8ED8  MOVDS,AX  
0F6D:010D  8EC0  MOVES,AX  
0F6D:010F  BE007C  MOVSI,7C00  
0F6D:0112  F2  REPNZ  
0F6D:0113  A5  MOVSW  
0F6D:0114  EA1A060000  JMP0000:061A  ;长跳转至移动后的代码，也就是从011a处开始执行  
0F6D:0119  90  NOP  
0F6D:011A  EB09  JMP0125  ;这一段是对屏幕进行初始化,显示字符串"PASSWORD"
0F6D:0125  B80006  MOVAX,0600  
0F6D:0128  B7F0  MOVBH,F0  
0F6D:012A  B90000  MOVCX,0000  
0F6D:012D  BA4F18  MOVDX,184F  
0F6D:0130  CD10  INT10  ;初始化屏幕(前景为黑色,背景为灰白,字符闪烁)  
0F6D:0132  B21A  MOVDL,1A  
0F6D:0134  BE1C06  MOVSI,061C  ;从061cH处显示字符(因为程序将被读入了0000:0600处，
;实际显示的也就是现在的11cH处开始的字符串)  
0F6D:0137  B402  MOVAH,02  
0F6D:0139  B610  MOVDH,10  
0F6D:013B  B700  MOVBH,00  
0F6D:013D  CD10  INT10  ;设光标位置(10H行1aH列)
0F6D:013F  8A04  MOVAL,[SI]  
0F6D:0141  3C00  CMPAL,00  
0F6D:0143  741B  JZ0160  ;是否已显示完字符串,是则跳至从键盘读取密码处  
0F6D:0145  B409  MOVAH,09  
0F6D:0147  B90100  MOVCX,0001  
0F6D:014A  B700  MOVBH,00  
0F6D:014C  B370  MOVBL,70  
0F6D:014E  CD10  INT10  ;显示一个字符  
0F6D:0150  FEC2  INCDL  ;光标后移一位  
0F6D:0152  46  INCSI  ;字符指针后移一位  
0F6D:0153  EBE2  JMP0137  ;继续显示下一字符  0f6d:011c  db  'PASSWARD'00  ;用于显示的字符串  ;  从键盘读取密码
0F6D:0160  B90400  MOVCX,0004  
0F6D:0163  B80000  MOVAX,0000  
0F6D:0166  8EC0  MOVES,AX  
0F6D:0168  BF0108  MOVDI,0801  
0F6D:016B  F3  REPZ  
0F6D:016C  AB  STOSW  ;在0000:0801开始处开一片长度为8个字节的缓冲区
;(用00H来标记),用于存放从键盘读入的密码,(密码
;最多为8个字符,最少为0个字符)  
0F6D:016D  B90900  MOVCX,0009  ;最多读9次键盘(当然第9次是重头读过)  
0F6D:0170  BF0108  MOVDI,0801  ;从801H处开始写密码  
0F6D:0173  B223  MOVDL,23  0F6D:0175  B400  MOVAH,00  
0F6D:0177  CD16  INT16  ;读键盘  
0F6D:0179  3C0D  CMPAL,0D  
0F6D:017B  7479  JZ01F6  ;是回车则跳至密码比较处  
0F6D:017D  B402  MOVAH,02  
0F6D:017F  90  NOP  
0F6D:0180  90  NOP  
0F6D:0181  B610  MOVDH,10  
0F6D:0183  B700  MOVBH,00  
0F6D:0185  CD10  INT10  ;设置光标位置(当然是"PASSWARD"字符串后面了)  
0F6D:0187  3C08  CMPAL,08  
0F6D:0189  7437  JZ01C2  ;是退格键则跳至退格处理  
0F6D:018B  50  PUSHAX  
0F6D:018C  B40E  MOVAH,0E  
0F6D:018E  B02A  MOVAL,2A  
0F6D:0190  B307  MOVBL,07  
0F6D:0192  CD10  INT10  ;显示一个"*"(没有回显的密码输入是不是很恐怖)  
0F6D:0194  58  POPAX  
0F6D:0195  0423  ADDAL,23  ;密码字符加23H(受空间限制，加上该程序在系统启
;动前执行，在此，我只是简单的将密字加上23H，
;如果谁有好而小巧的算法，别忘了告诉我)  
0F6D:0197  8805  MOV[DI],AL  
0F6D:0199  47  INCDI  
0F6D:019A  49  DECCX  
0F6D:019B  83F900  CMPCX,+00  
0F6D:019E  740A  JZ01AA  ;是否读了第9次键盘,是跳转至输入溢出处  
0F60:01A0  FEC2  INC  DL  
0F60:01A2  EBD1  JMP  0175  ;本段用于处理键盘输入超过8次
0F6D:01AA  B610  MOVDH,10  
0F6D:01AC  B402  MOVAH,02  
0F6D:01AE  B223  MOVDL,23  
0F6D:01B0  B700  MOVBH,00  
0F6D:01B2  CD10  INT10  
0F6D:01B4  B409  MOVAH,09  
0F6D:01B6  B000  MOVAL,00  
0F6D:01B8  B307  MOVBL,07  
0F6D:01BA  B90900  MOVCX,0009  
0F6D:01BD  CD10  INT10  
0F6D:01BF  EB9F  JMP0160  ;重新读取密码  ;本段用于退格处理
0F6D:01C2  51  PUSHCX  
0F6D:01C3  B403  MOVAH,03  
0F6D:01C5  B700  MOVBH,00  
0F6D:01C7  CD10  INT10  ;读光标位置  
0F6D:01C9  80FA23  CMPDL,23  
0F6D:01CC  74A7  JZ0175  ;光标是否已到头,是则去读下一密字  
0F6D:01CE  81FF0008  CMPDI,0800  
0F6D:01D2  74A1  JZ0175  ;密码缓冲是否已到头,是则去读下一密字  0F6D:01D4  B402  MOVAH,02  
0F6D:01D6  FECA  DECDL  
0F6D:01D8  CD10  INT10  
0F6D:01DA  B40E  MOVAH,0E  
0F6D:01DC  B000  MOVAL,00  
0F6D:01DE  B307  MOVBL,07  
0F6D:01E0  CD10  INT10  ;光标前移一位,并删除一个"*"  
0F6D:01E2  B80000  MOVAX,0000  
0F6D:01E5  8905  MOV[DI],AX  ;密码缓冲当前指针处清零  
0F6D:01E7  4F  DECDI  ;密码缓冲指针减一  
0F6D:01E8  8905  MOV[DI],AX  ;密码缓冲当前指针处清零  
0F6D:01EA  59  POPCX  
INC  CX  ;///CX  应该加1  
0F6D:01EB  EB88  JMP0175  ;重新读键盘  ;本段用于比较密字
0F6D:01F6  B80000  MOVAX,0000  
0F6D:01F9  8EC0  MOVES,AX  
0F6D:01FB  8ED8  MOVDS,AX  
0F6D:01FD  BEB007  MOVSI,07B0  
0F6D:0200  BF0108  MOVDI,0801  
0F6D:0203  B90400  MOVCX,0004  
0F6D:0206  F3  REPZ  
0F6D:0207  A7  CMPSW  
0F6D:0208  7404  JZ020E  ;字符串相同则跳转至正确引导系统代码  
0F6D:020A  EB3C  JMP0248  ;字符串不相同则跳转至加密硬盘代码  ;正确引导系统代码  
0F6D:020E  B80000  MOVAX,0000  
0F6D:0211  8EC0  MOVES,AX  
0F6D:0213  B80102  MOVAX,0201  
0F6D:0216  B90200  MOVCX,0002  
0F6D:0219  BA8000  MOVDX,0080  
0F6D:021C  BB00F0  MOVBX,F000  
0F6D:021F  CD13  INT13  
0F6D:0221  B80103  MOVAX,0301  
0F6D:0224  B90100  MOVCX,0001  
0F6D:0227  BA8000  MOVDX,0080  
0F6D:022A  CD13  INT13  ;0柱0道2扇是HDBOOT.EXE写入的由硬盘锁代码
;(也就是大家现在看到的代码)+正确的硬盘分
;区表组成,将其写入0柱0道1扇后操作系统就可
;正常读取硬盘了  
0F6D:022C  B80000  MOVAX,0000  
0F6D:022F  8EC0  MOVES,AX  
0F6D:0231  B80102  MOVAX,0201  
0F6D:0234  B90300  MOVCX,0003  
0F6D:0237  BA8000  MOVDX,0080  
0F6D:023A  BB007C  MOVBX,7C00  
0F6D:023D  CD13  INT13  ;0柱0道3扇是HDBOOT.EXE写入的原MBR区的备份,将
;其读入0000:7c00处  
0F6D:023F  EA007C0000  JMP0000:7C00  ;长跳转至原MBR代码处执行(以后怎么样引导就不
;是我们现在讨论的了),从而正确引导系统  ;加密硬盘代码
0F6D:0248  B80000  MOVAX,0000  
0F6D:024B  8EC0  MOVES,AX  
0F6D:024D  B80102  MOVAX,0201  
0F6D:0250  B90400  MOVCX,0004  
0F6D:0253  BA8000  MOVDX,0080  
0F6D:0256  BB00F0  MOVBX,F000  
0F6D:0259  CD13  INT13  
0F6D:025B  B80103  MOVAX,0301  
0F6D:025E  B90100  MOVCX,0001  
0F6D:0261  BA8000  MOVDX,0080  
0F6D:0264  CD13  INT13  ;0柱0道4扇是HDBOOT.EXE写入的由硬盘锁代码(也就是
;大家现在看到的代码)加上江明原理的逻辑锁,将其写入
;0柱0道1扇后操作系统就被完全锁死了(不能从其它盘引导)  
0F6D:0266  CD19  INT19  ;不用多说吧,相当于热启动  大家看后一定看出了一些问题，为了能够让这个硬盘锁可以跨平台，我设置为输入正确密码后就将
正确的分区表读入0柱0道1扇，输入不正确密码后就将江明锁读入0柱0道1扇，明白人一下就看出了，如
果电脑主人上次用正确密码进入了电脑,而电脑非法使用者一次都不试密码，就直接用软盘或光盘或
USB盘引导，那么就可以非法访问硬盘了，说实话，这个问题困扰了我许久，一直不得其解，不这样做，
就得在输入正确密码后就将正确的分区表读入0柱0道1扇，然后在操作系统启动后再做手脚把0柱0道1扇的
分区表加密，这样做有两个问题，(1)操作系统启动做的手脚一定是放在操作系统的自启动中(如DOS的
AUTOEXEC.BAT、WIN98的"启动"等)，这样做显然不安全，(2)同时这样做显然不能做到"跨平台",所以我只
能在程序说明中告诉使用者,如果离开电脑,就故意输入一错误密码,那么江明锁就将硬盘锁死了,这样电脑
非法使用者用软盘或光盘或USB盘都不能引导了,(大家知道所谓江明锁,就是让扩展分区指向自己,从而使
启动程序陷入死循环,这个该死的东西也不知害死了多少硬盘,也该让他做做好事了),要是谁有更好的方法
解决这一问题,一定要告诉我.
再来介绍一下HDLCOK.EXE文件，以下是完整的程序源代码：  ;硬盘锁安装程序  
DATA  SEGMENT  
D1  DB  0CDH,0BFH,0D1H,0E5H,0EAH,0CDH  
D2  DB  'You  had  not  install  the  HDLOCK,do  you  install?(y/n)',0dh,0ah,'$'  
D3  DB  'HDLOCK.DAT',00H  
D4  DB  'Can  not  find  file  (HDLOCK.DAT)',0dh,0ah,'$'  
D5  DB  'PASSWORD',00H  
D6  DB  1EH,06H,0B9H,00H,01H,0BFH,00H,06H,0B8H,00H,00H,8EH,0D8H,8EH,0C0H,0BEH;逻辑锁  
DB  00H,7CH,0F2H,0A5H,0EAH,1AH,06H,00H,00H,90H,0EBH,09H,50H,41H,53H,53H  
DB  57H,4FH,52H,44H,00H,0B8H,00H,06H,0B7H,0F0H,0B9H,00H,00H,0BAH,4FH,18H  
DB  0CDH,10H,0B2H,01AH,0BEH,1CH,06H,0B4H,02H,0B6H,10H,0B7H,00H,0CDH,10H,8AH  
DB  04H,3CH,00H,74H,1BH,0B4H,09H,0B9H,01H,00H,0B7H,00H,0B3H,70H,0CDH,10H  
DB  0FEH,0C2H,46H,0EBH,0E2H,0CDH,20H,4FH,3DH,33H,0CDH,20H,33H,33H,33H,33H  
DB  0B9H,04H,00H,0B8H,00H,00H,8EH,0C0H,0BFH,01H,08H,0F3H,0ABH,0B9H,09H,00H  
DB  0BFH,01H,08H,0B2H,23H,0B4H,00H,0CDH,16H,3CH,0DH,74H,79H,0B4H,02H,90H  
DB  90H,0B6H,10H,0B7H,00H,0CDH,10H,3CH,08H,74H,37H,50H,0B4H,0EH,0B0H,2AH  
DB  0B3H,07H,0CDH,10H,58H,04H,23H,88H,05H,47H,49H,83H,0F9H,00H,74H,0AH  
DB  0FEH,0C2H,0EBH,0D1H,24H,67H,00H,77H,69H,6EH,0B6H,10H,0B4H,02H,0B2H,23H  
DB  0B7H,00H,0CDH,10H,0B4H,09H,0B0H,00H,0B3H,07H,0B9H,09H,00H,0CDH,10H,0EBH  
DB  9FH,51H,51H,0B4H,03H,0B7H,00H,0CDH,10H,80H,0FAH,23H,74H,0A7H,81H,0FFH  
DB  00H,08H,74H,0A1H,0B4H,02H,0FEH,0CAH,0CDH,10H,0B4H,0EH,0B0H,00H,0B3H,07H  
DB  0CDH,10H,0B8H,00H,00H,89H,05H,4FH,89H,05H,59H,0EBH,88H,07H,43H,04H  
DB  0E8H,86H,0CDH,20H,44H,44H,0B8H,00H,00H,8EH,0C0H,8EH,0D8H,0BEH,0B0H,07H  
DB  0BFH,01H,08H,0B9H,04H,00H,0F3H,0A7H,74H,04H,0EBH,3CH,55H,55H,0B8H,00H  
DB  00H,8EH,0C0H,0B8H,01H,02H,0B9H,02H,00H,0BAH,80H,00H,0BBH,00H,0F0H,0CDH  
DB  13H,0B8H,01H,03H,0B9H,01H,00H,0BAH,80H,00H,0CDH,13H,0B8H,00H,00H,8EH  
DB  0C0H,0B8H,01H,02H,0B9H,03H,00H,0BAH,80H,00H,0BBH,00H,7CH,0CDH,13H,0EAH  
DB  00H,7CH,00H,00H,00H,00H,00H,00H,0B8H,00H,00H,8EH,0C0H,0B8H,01H,02H  
DB  0B9H,04H,00H,0BAH,80H,00H,0BBH,00H,0F0H,0CDH,13H,0B8H,01H,03H,0B9H,01H  
DB  00H,0BAH,80H,00H,0CDH,13H,0CDH,19H,00H,00H,00H,00H,00H,00H,00H,00H  
DB  00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H  
DB  00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H  
DB  00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H  
DB  00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H  
DB  64H,64H,64H,64H,64H,64H,64H,64H,00H,00H,00H,00H,00H,00H,00H,00H  
DB  01H,00H,05H,0FEH,7FH,05H,3FH,00H,00H,00H,47H,39H,40H,00H,00H,00H  
DB  00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H  
DB  00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H  
DB  00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,55H,0AAH  
D7  DB  'You  have  been  installed  HDLOCK,do  you  remove?(y/n)',0dh,'$'  
D8  DB  'PASSWORD  ERROR$'  
D9  DB  0dh,0ah  
DB  0dh,0ah  
DB  '  #  #  #  #  #  #  #  #  #  #  #  #  #',0dh,0ah  
DB  '  #  #  #  #  #  #  #  #  #  #  #  #  #',0dh,0ah
回复

使用道具 举报

zmqyjx
 楼主| 发表于 2007-1-26 09:27:14 | 显示全部楼层 |阅读模式
透彻分析FAT文件系统
一、硬盘的物理结构：硬盘存储数据是根据电、磁转换原理实现的。硬盘由一个或几个表面镀有磁性物质的金属或玻璃等物质盘片以及盘片两面所安装的磁头和相应的控制电路组成(图1)，其中盘片和磁头密封在无尘的金属壳中。
      硬盘工作时，盘片以设计转速高速旋转，设置在盘片表面的磁头则在电路控制下径向移动到指定位置然后将数据存储或读取出来。当系统向硬盘写入数据时，磁头中“写数据”电流产生磁场使盘片表面磁性物质状态发生改变，并在写电流磁场消失后仍能保持，这样数据就存储下来了；当系统从硬盘中读数据时，磁头经过盘片指定区域，盘片表面磁场使磁头产生感应电流或线圈阻抗产生变化，经相关电路处理后还原成数据。因此只要能将盘片表面处理得更平滑、磁头设计得更精密以及尽量提高盘片旋转速度，就能造出容量更大、读写数据速度更快的硬盘。这是因为盘片表面处理越平、转速越快就能越使磁头离盘片表面越近，提高读、写灵敏度和速度；磁头设计越小越精密就能使磁头在盘片上占用空间越小，使磁头在一张盘片上建立更多的磁道以存储更多的数据。
二、硬盘的逻辑结构。
    硬盘由很多盘片(platter)组成，每个盘片的每个面都有一个读写磁头。如果有N个盘片，就有2N个面，对应2N个磁头(Heads)，从0、1、2开始编号。每个盘片被划分成若干个同心圆磁道(逻辑上的，是不可见的。)每个盘片的划分规则通常是一样的。这样每个盘片的半径均为固定值R的同心圆再逻辑上形成了一个以电机主轴为轴的柱面(Cylinders)，从外至里编号为0、1、2……每个盘片上的每个磁道又被划分为几十个扇区(Sector)，通常的容量是512byte，并按照一定规则编号为1、2、3……形成Cylinders×Heads×Sector个扇区。这三个参数即是硬盘的物理参数。我们下面的很多实践需要深刻理解这三个参数的意义。  
三、磁盘引导原理。
　　3.1  MBR(master  boot  record)扇区：
    计算机在按下power键以后，开始执行主板bios程序。进行完一系列检测和配置以后。开始按bios中设定的系统引导顺序引导系统。假定现在是硬盘。Bios执行完自己的程序后如何把执行权交给硬盘呢。交给硬盘后又执行存储在哪里的程序呢。其实，称为mbr的一段代码起着举足轻重的作用。MBR(master  boot  record),即主引导记录，有时也称主引导扇区。位于整个硬盘的0柱面0磁头1扇区(可以看作是硬盘的第一个扇区)，bios在执行自己固有的程序以后就会jump到mbr中的第一条指令。将系统的控制权交由mbr来执行。在总共512byte的主引导记录中，MBR的引导程序占了其中的前446个字节(偏移0H~偏移1BDH)，随后的64个字节(偏移1BEH~偏移1FDH)为DPT(Disk  PartitionTable，硬盘分区表)，最后的两个字节“55  AA”(偏移1FEH~偏移1FFH)是分区有效结束标志。
      MBR不随操作系统的不同而不同，意即不同的操作系统可能会存在相同的MBR，即使不同，MBR也不会夹带操作系统的性质。具有公共引导的特性。
我们来分析一段mbr。下面是用winhex查看的一块希捷120GB硬盘的mbr。

      你的硬盘的MBR引导代码可能并非这样。不过即使不同，所执行的功能大体是一样的。这里找wowocock关于磁盘mbr的反编译，已加了详细的注释，感兴趣可以细细研究一下。
      我们看DPT部分。操作系统为了便于用户对磁盘的管理。加入了磁盘分区的概念。即将一块磁盘逻辑划分为几块。磁盘分区数目的多少只受限于C～Z的英文字母的数目，在上图DPT共64个字节中如何表示多个分区的属性呢?microsoft通过链接的方法解决了这个问题。在DPT共64个字节中，以16个字节为分区表项单位描述一个分区的属性。也就是说，第一个分区表项描述一个分区的属性，一般为基本分区。第二个分区表项描述除基本分区外的其余空间，一般而言，就是我们所说的扩展分区。这部分的大体说明见表1。
表１　图２分区表第一字段
字节位移字节长度值字段名和定义
0X01BEBYTE0X80引导指示符(Boot  Indicator)指明该分区是否是活动分区。
0X01BFBYTE0X01开始磁头(Starting  Head)。
0X01C06位0X01开始扇区(Startkng  Sector)。只用了0~5位，后面两位(第6位和第7位)被开始柱面字段所使用。
0X01C110位0X00开始柱面(Starting  Cylinder)除了开始扇区字段的最后两位外,还使用了1位来组成该柱面值。开始柱面是一个10位数，最大值为1023。
0X01C2BYTE0X07系统ID(System  ID)，定义了分区的类型，详细定义，请参阅图4。
0X01C3BYTE0XFE结束磁头(Ending  Head)
0X01C46位0XFF结束扇区(Ending  Sectro)。只使用了0~5位。最后两位(第6、7位)被  结束柱面字段所使用。
0X01C510位0X7B结束柱面(Ending  Cylinder)。除了结束扇区字段最后两位外，还使用了1位，以组成该柱面值。结束柱面是一个10位数，最大值为1023。
.0X01C6DWORD0X0000003F相对扇区数(Relative  Sectors)从该磁盘开始到该分区的开始的位移量，以扇区来计算
0X01CADWORD0X00DAA83D总扇区数(Total  Sectors)。该分区中的扇区总数。

注：上表中的超过1字节的数据都以实际数据显示，就是按高位到地位的方式显示。存储时是按低位到高位存储的。两者表现不同，请仔细看清楚。以后出现的表，图均同。也可以在winhex中看到这些参数的意义：　说明：  每个分区表项占用16个字节，假定偏移地址从0开始。如图3的分区表项3。分区表项4同分区表项3。
    1、0H偏移为活动分区是否标志，只能选00H和80H。80H为活动，00H为非活动。其余值对microsoft而言为非法值。  
    2、重新说明一下(这个非常重要)：大于1个字节的数被以低字节在前的存储格式格式(little  endian  format)或称反字节顺序保存下来。低字节在前的格式是一种保存数的方法，这样，最低位的字节最先出现在十六进制数符号中。例如，相对扇区数字段的值0x3F000000的低字节在前表示为0x0000003F。这个低字节在前的格式数的十进制数为63。  
    3、系统在分区时，各分区都不允许跨柱面，即均以柱面为单位，这就是通常所说的分区粒度。有时候我们分区是输入分区的大小为7000M，分出来却是6997M，就是这个原因。  偏移2H和偏移6H的扇区和柱面参数中,扇区占6位(bit)，柱面占10位(bit)，以偏移6H为例，其低6位用作扇区数的二进制表示。其高两位做柱面数10位中的高两位，偏移7H组成的8位做柱面数10位中的低8位。由此可知，实际上用这种方式表示的分区容量是有限的，柱面和磁头从0开始编号,扇区从1开始编号,所以最多只能表示1024个柱面×63个扇区×256个磁头×512byte=8455716864byte。即通常的8.4GB(实际上应该是7.8GB左右)限制。实际上磁头数通常只用到255个(由汇编语言的寻址寄存器决定),即使把这3个字节按线性寻址，依然力不从心。  在后来的操作系统中，超过8.4GB的分区其实已经不通过C/H/S的方式寻址了。而是通过偏移CH～偏移FH共4个字节32位线性扇区地址来表示分区所占用的扇区总数。可知通过4个字节可以表示2^32个扇区，即2TB=2048GB，目前对于大多数计算机而言，这已经是个天文数字了。在未超过8.4GB的分区上，C/H/S的表示方法和线性扇区的表示方法所表示的分区大小是一致的。也就是说，两种表示方法是协调的。即使不协调，也以线性寻址为准。(可能在某些系统中会提示出错)。超过8.4GB的分区结束C/H/S一般填充为FEH  FFH  FFH。即C/H/S所能表示的最大值。有时候也会用柱面对1024的模来填充。不过这几个字节是什么其实都无关紧要了。  
      虽然现在的系统均采用线性寻址的方式来处理分区的大小。但不可跨柱面的原则依然没变。本分区的扇区总数加上与前一分区之间的保留扇区数目依然必须是柱面容量的整数倍。(保留扇区中的第一个扇区就是存放分区表的MBR或虚拟MBR的扇区，分区的扇区总数在线性表示方式上是不计入保留扇区的。如果是第一个分区，保留扇区是本分区前的所有扇区。
附：分区表类型标志如图4　　3.2  扩展分区
      扩展分区中的每个逻辑驱动器都存在一个类似于MBR的扩展引导记录(  Extended  Boot  Record,  EBR)，也有人称之为虚拟mbr或扩展mbr，意思是一样的。扩展引导记录包括一个扩展分区表和该扇区的标签。扩展引导记录将记录只包含扩展分区中每个逻辑驱动器的第一个柱面的第一面的信息。一个逻辑驱动器中的引导扇区一般位于相对扇区32或63。但是，如果磁盘上没有扩展分区，那么就不会有扩展引导记录和逻辑驱动器。第一个逻辑驱动器的扩展分区表中的第一项指向它自身的引导扇区。第二项指向下一个逻辑驱动器的EBR。如果不存在进一步的逻辑驱动器，第二项就不会使用，而且被记录成一系列零。如果有附加的逻辑驱动器，那么第二个逻辑驱动器的扩展分区表的第一项会指向它本身的引导扇区。第二个逻辑驱动器的扩展分区表的第二项指向下一个逻辑驱动器的EBR。扩展分区表的第三项和第四项永远都不会被使用。通过一幅4分区的磁盘结构图可以看到磁盘的大致组织形式。如图5：      关于扩展分区，如图6所示，扩展分区中逻辑驱动器的扩展引导记录是一个连接表。该图显示了一个扩展分区上的三个逻辑驱动器，说明了前面的逻辑驱动器和最后一个逻辑驱动器之间在扩展分区表中的差异。      除了扩展分区上最后一个逻辑驱动器外，表2中所描述的扩展分区表的格式在每个逻辑驱动器中都是重复的：第一个项标识了逻辑驱动器本身的引导扇区，第二个项标识了下一个逻辑驱动器的EBR。最后一个逻辑驱动器的扩展分区表只会列出它本身的分区项。最后一个扩展分区表的第二个项到第四个项被使用。
    扩展分区表项中的相对扇区数字段所显示的是从扩展分区开始到逻辑驱动器中第一个扇区的位移的字节数。总扇区数字段中的数是指组成该逻辑驱动器的扇区数目。总扇区数字段的值等于从扩展分区表项所定义的引导扇区到逻辑驱动器末尾的扇区数。
      有时候在磁盘的末尾会有剩余空间，剩余空间是什么呢？我们前面说到，分区是以1柱面的容量为分区粒度的，那么如果磁盘总空间不是整数个柱面的话，不够一个柱面的剩下的空间就是剩余空间了，这部分空间并不参与分区，所以一般无法利用。照道理说，磁盘的物理模式决定了磁盘的总容量就应该是整数个柱面的容量，为什么会有不够一个柱面的空间呢。在我的理解看来，本来现在的磁盘为了更大的利用空间，一般在物理上并不是按照外围的扇区大于里圈的扇区这种管理方式，只是为了与操作系统兼容而抽象出来CHS。可能其实际空间容量不一定正好为整数个柱面的容量吧。
四、FAT分区原理。
先来一幅结构图：      现在我们着重研究FAT格式分区内数据是如何存储的。FAT分区格式是MICROSOFT最早支持的分区格式，依据FAT表中每个簇链的所占位数(有关概念，后面会讲到)分为fat12、fat16、fat32三种格式"变种"，但其基本存储方式是相似的。
      仔细研究图7中的fat16和fat32分区的组成结构。下面依次解释DBR、FAT1、FAT2、根目录、数据区、剩余扇区的概念。提到的地址如无特别提示均为分区内部偏移。
　
4.1  关于DBR.
      DBR区(DOS  BOOT  RECORD)即操作系统引导记录区的意思，通常占用分区的第0扇区共512个字节(特殊情况也要占用其它保留扇区，我们先说第0扇)。在这512个字节中，其实又是由跳转指令，厂商标志和操作系统版本号，BPB(BIOS  Parameter  Block)，扩展BPB，os引导程序，结束标志几部分组成。  以用的最多的FAT32为例说明分区DBR各字节的含义。见图8。图8的对应解释见表3图9给出了winhex对图8  DBR的相关参数解释：    根据上边图例，我们来讨论DBR各字节的参数意义。        
      MBR将CPU执行转移给引导扇区，因此，引导扇区的前三个字节必须是合法的可执行的基于x86的CPU指令。这通常是一条跳转指令，该指令负责跳过接下来的几个不可执行的字节(BPB和扩展BPB)，跳到操作系统引导代码部分。
    跳转指令之后是8字节长的OEM  ID，它是一个字符串，OEM  ID标识了格式化该分区的操作系统的名称和版本号。为了保留与MS-DOS的兼容性，通常Windows  2000格式化该盘是在FAT16和FAT32磁盘上的该字段中记录了“MSDOS  5.0”，在NTFS磁盘上(关于ntfs，另述)，Windows  2000记录的是“NTFS”。通常在被Windows  95格式化的磁盘上OEM  ID字段出现“MSWIN4.0”，在被Windows  95  OSR2和Windows  98格式化的磁盘上OEM  ID字段出现“MSWIN4.1”。
      接下来的从偏移0x0B开始的是一段描述能够使可执行引导代码找到相关参数的信息。通常称之为BPB(BIOS  Parameter  Block)，BPB一般开始于相同的位移量，因此，标准的参数都处于一个已知的位置。磁盘容量和几何结构变量都被封在BPB之中。由于引导扇区的第一部分是一个x86跳转指令。因此，将来通过在BPB末端附加新的信息，可以对BPB进行扩展。只需要对该跳转指令作一个小的调整就可以适应BPB的变化。图9已经列出了项目的名称和取值，为了系统的研究，针对图8，将FAT32分区格式的BPB含义和扩展BPB含义释义为表格，      DBR的偏移0x5A开始的数据为操作系统引导代码。这是由偏移0x00开始的跳转指令所指向的。在图8所列出的偏移0x00~0x02的跳转指令"EB  58  90"清楚地指明了OS引导代码的偏移位置。jump  58H加上跳转指令所需的位移量，即开始于0x5A。此段指令在不同的操作系统上和不同的引导方式上，其内容也是不同的。大多数的资料上都说win98,构建于fat基本分区上的win2000,winxp所使用的DBR只占用基本分区的第0扇区。他们提到，对于fat32，一般的32个基本分区保留扇区只有第0扇区是有用的。实际上，以FAT32构建的操作系统如果是win98,系统会使用基本分区的第0扇区和第2扇区存储os引导代码；以FAT32构建的操作系统如果是win2000或winxp,系统会使用基本分区的第0扇区和第0xC扇区(win2000或winxp,其第0xC的位置由第0扇区的0xAB偏移指出)存储os引导代码。所以，在fat32分区格式上，如果DBR一扇区的内容正确而缺少第2扇区(win98系统)或第0xC扇区(win2000或winxp系统)，系统也是无法启动的。如果自己手动设置NTLDR双系统，必须知道这一点。
      DBR扇区的最后两个字节一般存储值为0x55AA的DBR有效标志，对于其他的取值，系统将不会执行DBR相关指令。上面提到的其他几个参与os引导的扇区也需以0x55AA为合法结束标志。
FAT16  DBR：
    FAT32中DBR的含义大致如此，对于FAT12和FAT16其基本意义类似，只是相关偏移量和参数意义有小的差异，FAT格式的区别和来因，以后会说到，此处不在多说FAT12与FAT16。我将FAT16的扇区参数意义列表。感兴趣的朋友自己研究一下，和FAT32大同小异的。
4.2  关于保留扇区
    在上述FAT文件系统DBR的偏移0x0E处，用2个字节存储保留扇区的数目。所谓保留扇区(有时候会叫系统扇区，隐藏扇区)，是指从分区DBR扇区开始的仅为系统所有的扇区，包括DBR扇区。在FAT16文件系统中，保留扇区的数据通常设置为1，即仅仅DBR扇区。而在FAT32中，保留扇区的数据通常取为32，有时候用Partition  Magic分过的FAT32分区会设置36个保留扇区，有的工具可能会设置63个保留扇区。
    FAT32中的保留扇区除了磁盘总第0扇区用作DBR，总第2扇区(win98系统)或总第0xC扇区(win2000,winxp)用作OS引导代码扩展部分外，其余扇区都不参与操作系统管理与磁盘数据管理，通常情况下是没作用的。操作系统之所以在FAT32中设置保留扇区，是为了对DBR作备份或留待以后升级时用。FAT32中，DBR偏移0x34占2字节的数据指明了DBR备份扇区所在，一般为0x06，即第6扇区。当FAT32分区DBR扇区被破坏导致分区无法访问时。可以用第6扇区的原备份替换第0扇区来找回数据。
4.3  FAT表和数据的存储原则。    FAT表(File  Allocation  Table  文件分配表)，是Microsoft在FAT文件系统中用于磁盘数据(文件)索引和定位引进的一种链式结构。假如把磁盘比作一本书，FAT表可以认为相当于书中的目录，而文件就是各个章节的内容。但FAT表的表示方法却与目录有很大的不同。
    在FAT文件系统中，文件的存储依照FAT表制定的簇链式数据结构来进行。同时，FAT文件系统将组织数据时使用的目录也抽象为文件，以简化对数据的管理。  ★存储过程假想：
      我们模拟对一个分区存储数据的过程来说明FAT文件系统中数据的存储原则。
      假定现在有一个空的完全没有存放数据的磁盘，大小为100KB，我们将其想象为线形的空间地址。为了存储管理上的便利，我们人为的将这100KB的空间均分成100份，每份1KB。我们来依次存储这样几个文件：A.TXT(大小10KB),B.TXT(大小53.6KB)，C.TXT(大小20.5KB)。        最起码能够想到，我们可以顺序的在这100KB空间中存放这3个文件。同时不要忘了，我们还要记下他们的大小和开始的位置，这样下次要用时才能找的到，这就像是目录。为了便于查找，我们假定用第1K的空间来存储他们的特征(属性)。还有，我们设计的存储单位是1KB，所以，A.TXT我们需要10个存储单位(为了说明方便，我们把存储单位叫做“簇”吧。也能少打点字，呵呵。)，B.TXT需要54个簇，C.TXT需要21个簇。可能有人会说B.TXT和C.TXT不是各自浪费了不到1簇的空间吗？干嘛不让他们紧挨着，不是省地方吗？我的回答是，如果按照这样的方式存储，目录中原本只需要记下簇号，现在还需要记下簇内的偏移，这样会增加目录的存储量，而且存取没有了规则，读取也不太方便，是得不偿失的。
      根据上面所说的思想，我们设计了这样的图4.3.1所示的存储方式。      我们再考虑如何来写这三个文件的目录。对于每个文件而言，一定要记录的有：文件名，开始簇，大小，创建日期、时间，修改日期、时间，文件的读写属性等。这里大小能不能用结束簇来计算呢？一定不能，因为文件的大小不一定就是整数个簇的大小，否则的话像B.TXT的内容就是54KB的内容了，少了固然不行，可多了也是不行的。那么我们怎么记录呢？可以想象一下。为了管理上的方便，我们用数据库的管理方式来管理我们的目录。于是我把1KB再分成10份，假定开始簇号为0，定义每份100B的各个位置的代表含义如图4.3.2        这样设计的结构绝对可以对文件进行正确的读写了。接着让我们设计的文件系统工作吧。先改动个文件，比如A.TXT，增加点内容吧！咦？增加后往哪里放呀，虽然存储块的后面有很多空间，但紧随其后B.TXT的数据还顶着呢？要是把A.TXT移到后边太浪费处理资源，而且也不一定解决问题。这个问题看来暂时解决不了。
    那我们换个操作，把B.txt删了，b.txt的空间随之释放。这时候空间如图4.3.3，目录如图4.3.4      这个操作看来还可以，我们接着做，在存入一个文件D.txt(大小为60.3KB),总共100簇的空间只用了31簇，还有68簇剩余，按说能放下。可是？往那里放呢？没有61个连续的空间了，目录行没办法写了，看来无连续块存储暂时也不行。
    你一定能够想到我们可以在连续空间不够或增加文件长度的时候转移影响我们操作的其他文件，从而腾出空间来，但我要问你，那不是成天啥也不要干了，就是倒腾东西了吗？
    看来我们设计的文件系统有致命的漏洞，怎么解决呢？。。。。
。。。。。。
    其实可以这样解决：
    首先我们允许文件的不连续存储。目录中依然只记录开始簇和文件的大小。那么我们怎么记录文件占用那些簇呢，以文件映射簇不太方便，因为文件名是不固定的。我们换个思想，可以用簇来映射文件，在整个存储空间的前部留下几簇来记录数据区中数据与簇号的关系。对于上例因为总空间也不大，所以用前部的1Kb的空间来记录这种对应，假设3个文件都存储，空间分配如图4.3.5，同时修改一下目录，如图4.3.6      第一簇用来记录数据区中每一簇的被占用情况，暂时称其为文件分配表。结合文件分配表和文件目录就可以达到完全的文件读取了。我们想到，把文件分配表做成一个数据表，以图4.3.7的形式记录簇与数据的对应。
  用图4.3.7的组织方式是完全可以实现对文件占有簇的记录的。但还不够效率。比如文件名在文件分配表中记录太多，浪费空间，而实际上在目录中已经记录了文件的开始簇了。所以可以改良一下，用链的方式来存放占有簇的关系，变成图4.3.8的组织方式。

    参照图4.3.8来理解一下文件分配表的意义。如文件a.txt我们根据目录项中指定的a.txt的首簇为2，然后找到文件分配表的第2簇记录，上面登记的是3，我们就能确定下一簇是3。找到文件分配表的第3簇记录，上面登记的是4，我们就能确定下一簇是4......直到指到第11簇，发现下一个指向是FF，就是结束。文件便丝毫无误读取完毕。    我们再看上面提到的第三种情况，就是将b.txt删除以后，存入一个大小为60.3KB的d.txt。利用簇链可以很容易的实现。实现后的磁盘如图4.3.9  4.3.10  4.3.11      上面是我们对文件存储的一种假设，也该揭开谜底的时候了。上面的思想其实就是fat文件系统的思想的精髓(但并不是，尤其像具体的参数的意义与我们所举的例子是完全不同的。请忘掉上边细节，努力记忆下边)。
★FAT16存储原理:       当把一部分磁盘空间格式化为fat文件系统时，fat文件系统就将这个分区当成整块可分配的区域进行规划，以便于数据的存储。一般来讲，其划分形式如图7所示。我们把FAT16部分提取出来，详细描述一下：
    FAT16是Microsoft较早推出的文件系统，具有高度兼容性，目前仍然广泛应用于个人电脑尤其是移动存储设备中，FAT16简单来讲由图4.3.12所示的6部分组成(主要是前5部分)。引导扇区(DBR)我们已经说过,FAT16在DBR之后没有留有任何保留扇区，其后紧随的便是FAT表。FAT表是FAT16用来记录磁盘数据区簇链结构的。像前面我们说过的例子一样，FAT将磁盘空间按一定数目的扇区为单位进行划分，这样的单位称为簇。通常情况下，每扇区512字节的原则是不变的。簇的大小一般是2n  (n为整数)个扇区的大小，像512B,1K,2K,4K,8K,16K,32K，64K。实际中通常不超过32K。  之所以簇为单位而不以扇区为单位进行磁盘的分配，是因为当分区容量较大时，采用大小为512b的扇区管理会增加fat表的项数，对大文件存取增加消耗，文件系统效率不高。分区的大小和簇的取值是有关系的，见表9         注意：少于32680个扇区的分区中，簇空间大小可最多达到每个簇8个扇区。不管用户是使用磁盘管理器来格式化分区，还是使用命令提示行键入format命令格式化，格式化程序都创建一个12位的FAT。少于16MB的分区，系统通常会将其格式化成12位的FAT，FAT12是FAT的初始实现形式，是针对小型介质的。FAT12文件分配表要比FAT16和FAT32的文件分配表小，因为它对每个条目使用的空间较少。这就给数据留下较多的空间。所有用FAT12格式化的5.25英寸软盘以及1.44MB的3.5英寸软盘都是由FAT12格式化的。除了FAT表中记录每簇链结的二进制位数与FAT16不同外，其余原理与FAT16均相同，不再单独解释。。。        格式化FAT16分区时，格式化程序根据分区的大小确定簇的大小，然后根据保留扇区的数目、根目录的扇区数目、数据区可分的簇数与FAT表本身所占空间  来确定FAT表所需的扇区数目，然后将计算后的结果写入DBR的相关位置。
    FAT16  DBR参数的偏移0x11处记录了根目录所占扇区的数目。偏移0x16记录了FAT表所占扇区的数据。偏移0x10记录了FAT表的副本数目。系统在得到这几项参数以后，就可以确定数据区的开始扇区偏移了。
    FAT16文件系统从根目录所占的32个扇区之后的第一个扇区开始以簇为单位进行数据的处理，这之前仍以扇区为单位。对于根目录之后的第一个簇，系统并不编号为第0簇或第1簇  (可能是留作关键字的原因吧)，而是编号为第2簇，也就是说数据区顺序上的第1个簇也是编号上的第2簇。
     FAT文件系统之所以有12，16，32不同的版本之分，其根本在于FAT表用来记录任意一簇链接的二进制位数。以FAT16为例，每一簇在FAT表中占据2字节(二进制16位)。所以，FAT16最大可以表示的簇号为0xFFFF(十进制的65535)，以32K为簇的大小的话，FAT32可以管理的最大磁盘空间为：32KB×65535=2048MB,这就是为什么FAT16不支持超过2GB分区的原因。
      FAT表实际上是一个数据表，以2个字节为单位，我们暂将这个单位称为FAT记录项，通常情况其第1、2个记录项(前4个字节)用作介质描述。从第三个记录项开始记录除根目录外的其他文件及文件夹的簇链情况。根据簇的表现情况FAT用相应的取值来描述，见表10      看一幅在winhex所截FAT16的文件分配表，图10：如图，FAT表以"F8  FF  FF  FF"  开头，此2字节为介质描述单元，并不参与FAT表簇链关系。小红字标出的是FAT扇区每2字节对应的簇号。      相对偏移0x4~0x5偏移为第2簇(顺序上第1簇)，此处为FF,表示存储在第2簇上的文件(目录)是个小文件，只占用1个簇便结束了。      第3簇中存放的数据是0x0005，这是一个文件或文件夹的首簇。其内容为第5簇，就是说接下来的簇位于第5簇——〉  FAT表指引我们到达FAT表的第5簇指向，上面写的数据是"FF  FF",意即此文件已至尾簇。
      第4簇中存放的数据是0x0006，这又是一个文件或文件夹的首簇。其内容为第6簇，就是说接下来的簇位于第6簇——〉FAT表指引我们到达FAT表的第6簇指向，上面写的数据是0x0007，就是说接下来的簇位于第7簇——〉FAT表指引我们到达FAT表的第7簇指向……直到根据FAT链读取到扇区相对偏移0x1A~0x1B，也就是第13簇，上面写的数据是0x000E，也就是指向第14簇——〉14簇的内容为"FF  FF"，意即此文件已至尾簇。
        后面的FAT表数据与上面的道理相同。不再分析。        FAT表记录了磁盘数据文件的存储链表，对于数据的读取而言是极其重要的，以至于Microsoft为其开发的FAT文件系统中的FAT表创建了一份备份，就是我们看到的FAT2。FAT2与FAT1的内容通常是即时同步的，也就是说如果通过正常的系统读写对FAT1做了更改，那么FAT2也同样被更新。如果从这个角度来看，系统的这个功能在数据恢复时是个天灾。      FAT文件系统的目录结构其实是一颗有向的从根到叶的树，这里提到的有向是指对于FAT分区内的任一文件(包括文件夹)，均需从根目录寻址来找到。可以这样认为：目录存储结构的入口就是根目录。
      FAT文件系统根据根目录来寻址其他文件(包括文件夹)，故而根目录的位置必须在磁盘存取数据之前得以确定。FAT文件系统就是根据分区的相关DBR参数与DBR中存放的已经计算好的FAT表(2份)的大小来确定的。格式化以后，跟目录的大小和位置其实都已经确定下来了：位置紧随FAT2之后，大小通常为32个扇区。根目录之后便是数据区第2簇。
      FAT文件系统的一个重要思想是把目录(文件夹)当作一个特殊的文件来处理，FAT32甚至将根目录当作文件处理(旁：NTFS将分区参数、安全权限等好多东西抽象为文件更是这个思想的升华)，在FAT16中，虽然根目录地位并不等同于普通的文件或者说是目录，但其组织形式和普通的目录(文件夹)并没有不同。FAT分区中所有的文件夹(目录)文件，实际上可以看作是一个存放其他文件(文件夹)入口参数的数据表。所以目录的占用空间的大小并不等同于其下所有数据的大小，但也不等同于0。通常是占很小的空间的，可以看作目录文件是一个简单的二维表文件。其具体存储原理是：      不管目录文件所占空间为多少簇，一簇为多少字节。系统都会以32个字节为单位进行目录文件所占簇的分配。这32个字节以确定的偏移来定义本目录下的一个文件(或文件夹)的属性，实际上是一个简单的二维表。
      这32个字节的各字节偏移定义如表11：对表11中的一些取值进行说明：
    (1)、对于短文件名，系统将文件名分成两部分进行存储，即主文件名+扩展名。0x0~0x7字节记录文件的主文件名，0x8~0xA记录文件的扩展名，取文件名中的ASCII码值。不记录主文件名与扩展名之间的"."  主文件名不足8个字符以空白符(20H)填充，扩展名不足3个字符同样以空白符(20H)填充。0x0偏移处的取值若为00H，表明目录项为空；若为E5H，表明目录项曾被使用，但对应的文件或文件夹已被删除。(这也是误删除后恢复的理论依据)。文件名中的第一个字符若为“.”或“..”表示这个簇记录的是一个子目录的目录项。“.”代表当前目录；“..”代表上级目录(和我们在dos或windows中的使用意思是一样的，如果磁盘数据被破坏，就可以通过这两个目录项的具体参数推算磁盘的数据区的起始位置，猜测簇的大小等等，故而是比较重要的)
    (2)、0xB的属性字段：可以看作系统将0xB的一个字节分成8位，用其中的一位代表某种属性的有或无。这样，一个字节中的8位每位取不同的值就能反映各个属性的不同取值了。如00000101就表示这是个文件，属性是只读、系统。
    (3)、0xC~0x15在原FAT16的定义中是保留未用的。在高版本的WINDOWS系统中有时也用它来记录修改时间和最近访问时间。那样其字段的意义和FAT32的定义是相同的，见后边FAT32。
    (4)、0x16~0x17中的时间=小时*2048+分钟*32+秒/2。得出的结果换算成16进制填入即可。也就是：0x16字节的0~4位是以2秒为单位的量值；0x16字节的5~7位和0x17字节的0~2位是分钟；0x17字节的3~7位是小时。
    (5)、0x18~0x19中的日期=(年份-1980)*512+月份*32+日。得出的结果换算成16进制填入即可。也就是：0x18字节0~4位是日期数；0x18字节5~7位和0x19字节0位是月份；0x19字节的1~7位为年号，原定义中0~119分别代表1980~2099，目前高版本的Windows允许取0~127，即年号最大可以到2107年。
    (6)、0x1A~0x1B存放文件或目录的表示文件的首簇号，系统根据掌握的首簇号在FAT表中找到入口，然后再跟踪簇链直至簇尾，同时用0x1C~0x1F处字节判定有效性。就可以完全无误的读取文件(目录)了。
    (7)、普通子目录的寻址过程也是通过其父目录中的目录项来指定的，与数据文件(指非目录文件)不同的是目录项偏移0xB的第4位置1，而数据文件为0。   对于整个FAT分区而言，簇的分配并不完全总是分配干净的。如一个数据区为99个扇区的FAT系统，如果簇的大小设定为2扇区，就会有1个扇区无法分配给任何一个簇。这就是分区的剩余扇区，位于分区的末尾。有的系统用最后一个剩余扇区备份本分区的DBR，这也是一种好的备份方法。
    早的FAT16系统并没有长文件名一说，Windows操作系统已经完全支持在FAT16上的长文件名了。FAT16的长文件名与FAT32长文件名的定义是相同的，关于长文件名，在FAT32部分再详细作解释。
★FAT32存储原理：
    FAT32是个非常有功劳的文件系统，Microsoft成功地设计并运用了它，直到今天NTFS铺天盖地袭来的时候，FAT32依然占据着Microsoft  Windows文件系统中重要的地位。FAT32最早是出于FAT16不支持大分区、单位簇容量大以致空间急剧浪费等缺点设计的。实际应用中，FAT32还是成功的。
    FAT32与FAT16的原理基本上是相同的，图4.3.13标出了FAT32分区的基本构成。    FAT32在格式化的过程中就根据分区的特点构建好了它的DBR，其中BPB参数是很重要的，可以回过头来看一下表4和表5。首先FAT32保留扇区的数目默认为32个，而不是FAT16的仅仅一个。这样的好处是有助于磁盘DBR指令的长度扩展，而且可以为DBR扇区留有备份空间。上面我们已经提到，构建在FAT32上的win98或win2000、winXP，其操作系统引导代码并非只占一个扇区了。留有多余的保留扇区就可以很好的拓展OS引导代码。在BPB中也记录了DBR扇区的备份扇区编号。备份扇区可以让我们在磁盘遭到意外破坏时恢复DBR。
    FAT32的文件分配表的数据结构依然和FAT16相同，所不同的是，FAT32将记录簇链的二进制位数扩展到了32位，故而这种文件系统称为FAT32。32位二进制位的簇链决定了FAT表最大可以寻址2T个簇。这样即使簇的大小为1扇区，理论上仍然能够寻址1TB范围内的分区。但实际中FAT32是不能寻址这样大的空间的，随着分区空间大小的增加，FAT表的记录数会变得臃肿不堪，严重影响系统的性能。所以在实际中通常不格式化超过32GB的FAT32分区。WIN2000及之上的OS已经不直接支持对超过32GB的分区格式化成FAT32，但WIN98依然可以格式化大到127GB的FAT32分区，但这样没必要也不推荐。同时FAT32也有小的限制，FAT32卷必须至少有65527个簇，所以对于小的分区，仍然需要使用FAT16或FAT12。
    分区变大时，如果簇很小，文件分配表也随之变大。仍然会有上面的效率问题存在。既要有效地读写大文件，又要最大可能的减少空间的浪费。FAT32同样规定了相应的分区空间对应的簇的大小，见表12：      FAT32簇的取值意义和FAT16类似，不过是位数长了点罢了，比较见表13：
      FAT32的另一项重大改革是根目录的文件化，即将根目录等同于普通的文件。这样根目录便没有了FAT16中512个目录项的限制，不够用的时候增加簇链，分配空簇即可。而且，根目录的位置也不再硬性地固定了，可以存储在分区内可寻址的任意簇内，不过通常根目录是最早建立的(格式化就生成了)目录表。所以，我们看到的情况基本上都是根目录首簇占簇区顺序上的第1个簇。在图4.3.12中也是按这种情况制作的画的。
      FAT32对簇的编号依然同FAT16。顺序上第1个簇仍然编号为第2簇，通常为根目录所用(这和FAT16是不同的，FAT16的根目录并不占簇区空间，32个扇区的根目录以后才是簇区第1个簇)  
      FAT32的文件寻址方法与FAT16相同，但目录项的各字节参数意义却与FAT16有所不同，一方面它启用了FAT16中的目录项保留字段，同时又完全支持长文件名了。
      对于短文件格式的目录项。其参数意义见表14：说明：
      (1)、这是FAT32短文件格式目录项的意义。其中文件名、扩展名、时间、日期的算法和FAT16时相同的。
      (2)、由于FAT32可寻址的簇号到了32位二进制数。所以系统在记录文件(文件夹)开始簇地址的时候也需要32位来记录，FAT32启用目录项偏移0x12~0x13来表示起始簇号的高16位。
      (3)、文件长度依然用4个字节表示，这说明FAT32依然只支持小于4GB的文件(目录)，超过4GB的文件(目录),系统会截断处理。

      FAT32的一个重要的特点是完全支持长文件名。长文件名依然是记录在目录项中的。为了低版本的OS或程序能正确读取长文件名文件，系统自动为所有长文件名文件创建了一个对应的短文件名，使对应数据既可以用长文件名寻址，也可以用短文件名寻址。不支持长文件名的OS或程序会忽略它认为不合法的长文件名字段，而支持长文件名的OS或程序则会以长文件名为显式项来记录和编辑，并隐藏起短文件名。
      当创建一个长文件名文件时，系统会自动加上对应的短文件名，其一般有的原则：
      (1)、取长文件名的前6个字符加上"~1"形成短文件名，扩展名不变。
      (2)、如果已存在这个文件名，则符号"~"后的数字递增，直到5。
      (3)、如果文件名中"~"后面的数字达到5，则短文件名只使用长文件名的前两个字母。通过数学操纵长文件名的剩余字母生成短文件名的后四个字母，然后加后缀"~1"直到最后(如果有必要，或是其他数字以避免重复的文件名)。
      (4)、如果存在老OS或程序无法读取的字符，换以"_"

    长文件名的实现有赖于目录项偏移为0xB的属性字节，当此字节的属性为：只读、隐藏、系统、卷标，即其值为0FH时，DOS和WIN32会认为其不合法而忽略其存在。这正是长文件名存在的依据。将目录项的0xB置为0F，其他就任由系统定义了，Windows9x或Windows  2000、XP通常支持不超过255个字符的长文件名。系统将长文件名以13个字符为单位进行切割，每一组占据一个目录项。所以可能一个文件需要多个目录项，这时长文件名的各个目录项按倒序排列在目录表中，以防与其他文件名混淆。
    长文件名中的字符采用unicode形式编码(一个巨大的进步哦)，每个字符占据2字节的空间。其目录项定义如表15。



    系统在存储长文件名时，总是先按倒序填充长文件名目录项，然后紧跟其对应的短文件名。从表15可以看出，长文件名中并不存储对应文件的文件开始簇、文件大小、各种时间和日期属性。文件的这些属性还是存放在短文件名目录项中，一个长文件名总是和其相应的短文件名一一对应，短文件名没有了长文件名还可以读，但长文件名如果没有对应的短文件名，不管什么系统都将忽略其存在。所以短文件名是至关重要的。在不支持长文件名的环境中对短文件名中的文件名和扩展名字段作更改(包括删除，因为删除是对首字符改写E5H)，都会使长文件名形同虚设。长文件名和短文件名之间的联系光靠他们之间的位置关系维系显然远远不够。其实，长文件名的0xD字节的校验和起很重要的作用，此校验和是用短文件名的11个字符通过一种运算方式来得到的。系统根据相应的算法来确定相应的长文件名和短文件名是否匹配。这个算法不太容易用公式说明，我们用一段c程序来加以说明。
      假设文件名11个字符组成字符串shortname[],校验和用chknum表示。得到过程如下：

    int  i，j,chknum=0;
    for  (i=11;  i>0;  i--)
        chksum  =  ((chksum  &  1)  ?  0x80  :  0)  +  (chksum  >>  1)  +  shortname[j++];

      如果通过短文件名计算出来的校验和与长文件名中的0xD偏移处数据不相等。系统无论如何都不会将它们配对的。
      依据长文件名和短文件名对目录项的定义，加上对簇的编号和链接，FAT32上数据的读取便游刃有余了。

比较详细的MBR分析  (本文来自风笛工作室)
说明：硬盘主引导记录独立于操作系统，但又和操作系统息息相关——很多时候它又是由
;  操作系统所提供的工具所生成（例外的情况是您使用了其他的分区工具，不过它又运行在
;  什么操作系统中呢？;(）。
;
;  如果您安装了Windows  98(我现在暂时不能接触95下的主引导记录，总不能用95重装我的
;  系统吧？)操作系统，那您机器上的主引导记录已经与以前的大有不同了，通过下面的分析
;  您一定能对Windows  98为什么要更改主引导记录有所了解——它已经开始支持扩展Int13h
;  了！并且这个主引导记录的编程技巧更是我们应该学习的。
;
;  主引导记录包括代码、数据两部分。它在被BIOS中断Int19h装入内存后获得控制权。数据
;  部分最重要的当然是分区表了！彻底熟悉主引导记录，可以帮助我们了解系统的引导过程,
;  处理因主引导记录损坏所造成的无法引导故障，消除引导型计算机病毒，更使我们能通过
;  修改主引导记录完成我们希望的工作：如多重引导，系统加软锁等...
;
;  BIOS中断总是把主引导记录所在扇区（硬盘的0头0道1扇区）的内容（包括代码和数据）
;  装入内存0000：7C00起始的区域，然后检验该扇区内容的最后两个字节是不是“AA55”,
;  如果不是,那么对不起，Int19h将不把控制权交给主引导记录；若是，则下面的主引导记录
;  才能获得了控制权了（Int19通过跳转指令交转控制权）：
;
;  二进制形式的主引导记录：
0000:0600  33  C0  8E  D0  BC  00  7C  FB-50  07  50  1F  FC  BE  1B  7C  3.....|.P.P....|
0000:0610  BF  1B  06  50  57  B9  E5  01-F3  A4  CB  BE  BE  07  B1  04  ...PW...........
0000:0620  38  2C  7C  09  75  15  83  C6-10  E2  F5  CD  18  8B  14  8B  8,|.u...........
0000:0630  EE  83  C6  10  49  74  16  38-2C  74  F6  BE  10  07  4E  AC  ....It.8,t....N.
0000:0640  3C  00  74  FA  BB  07  00  B4-0E  CD  10  EB  F2  89  46  25  <.t...........F%
0000:0650  96  8A  46  04  B4  06  3C  0E-74  11  B4  0B  3C  0C  74  05  ..F...<.t...<.t.
0000:0660  3A  C4  75  2B  40  C6  46  25-06  75  24  BB  AA  55  50  B4  :.u+@.F%.u$..UP.
0000:0670  41  CD  13  58  72  16  81  FB-55  AA  75  10  F6  C1  01  74  A..Xr...U.u....t
0000:0680  0B  8A  E0  88  56  24  C7  06-A1  06  EB  1E  88  66  04  BF  ....V$.......f..
0000:0690  0A  00  B8  01  02  8B  DC  33-C9  83  FF  05  7F  03  8B  4E  .......3.......N
0000:06A0  25  03  4E  02  CD  13  72  29-BE  2D  07  81  3E  FE  7D  55  %.N...r).-..>.}U
0000:06B0  AA  74  5A  83  EF  05  7F  DA-85  F6  75  83  BE  1A  07  EB  .tZ.......u.....
0000:06C0  8A  98  91  52  99  03  46  08-13  56  0A  E8  12  00  5A  EB  ...R..F..V....Z.
0000:06D0  D5  4F  74  E4  33  C0  CD  13-EB  B8  00  00  80  49  12  00  .Ot.3........I..
0000:06E0  56  33  F6  56  56  52  50  06-53  51  BE  10  00  56  8B  F4  V3.VVRP.SQ...V..
0000:06F0  50  52  B8  00  42  8A  56  24-CD  13  5A  58  64  10  72  PR..B.V$..ZX.d.r
0000:0700  0A  40  75  01  42  80  C7  02-E2  F7  F8  5E  C3  EB  74  B7  .@u.B......^..t.
0000:0710  D6  C7  F8  B1  ED  CE  DE  D0-A7  00  BC  D3  D4  D8  B2  D9  ................
0000:0720  D7  F7  CF  B5  CD  B3  CA  B1-B3  F6  B4  ED  00  4D  69  73  .............Mis
0000:0730  73  69  6E  67  20  6F  70  65-72  61  74  69  6E  67  20  73  sing  operating  s
0000:0740  79  73  74  65  6D  00  00  00-00  00  00  00  00  00  00  00  ystem...........
0000:0750  00  00  00  00  00  00  00  00-00  00  00  00  00  00  00  00  ................
0000:0760  00  00  00  00  00  00  00  00-00  00  00  00  00  00  00  00  ................
0000:0770  00  00  00  00  00  00  00  00-00  00  00  00  00  00  00  00  ................
0000:0780  00  00  00  8B  FC  1E  57  8B-F5  CB  00  00  00  00  00  00  ......W.........
0000:0790  00  00  00  00  00  00  00  00-00  00  00  00  00  00  00  00  ................
0000:07A0  00  00  00  00  00  00  00  00-00  00  00  00  00  00  00  00  ................
0000:07B0  00  00  00  00  00  00  00  00-86  D8  00  00  00  00  80  01  ................
0000:07C0  01  00  06  3F  3F  FD  3F  00-00  00  41  A0  0F  00  00  00  ...??.?...A.....
0000:07D0  01  FE  05  3F  FF  FE  80  A0-0F  00  C0  4F  2F  00  00  00  ...?.......O/...
0000:07E0  00  00  00  00  00  00  00  00-00  00  00  00  00  00  00  00  ................
0000:07F0  00  00  00  00  00  00  00  00-00  00  00  00  00  00  55  AA  ..............U.
;
;  反汇编结果
;
;  0000:7C00～0000:7C1A：初始化各个段寄存器、堆栈指针，最后将主引导记录在内存中搬家，腾出其所占内
;  存空间以供装入分区引导记录。
0000:7C00  33C0        XOR    AX,AX          ;AX寄存器清0
0000:7C02  8ED0        MOV    SS,AX          ;SS=0
0000:7C04  BC007C      MOV    SP,7C00        ;装填栈指针——SS:SP=0000:7C00
0000:7C07  FB          STI                  ;开中断(装填栈指针时为避免硬件中断引起栈混乱应关中断)
0000:7C08  50          PUSH    AX            ;
0000:7C09  07          POP    ES            ;装填附加数据段寄存器ES=0
0000:7C0A  50          PUSH    AX            ;
0000:7C0B  1F          POP    DS            ;装填数据段寄存器DS=0
0000:7C0C  FC          CLD                  ;规定其后的串操作为正向串操作
0000:7C0D  BE1B7C      MOV    SI,7C1B        ;源指针
0000:7C10  BF1B06      MOV    DI,061B        ;目的指针
0000:7C13  50          PUSH    AX            ;
0000:7C14  57          PUSH    DI            ;看看0000:7C1A——构造一个跳转
0000:7C15  B9E501      MOV    CX,01E5        ;
0000:7C18  F3          REPZ                  ;
0000:7C19  A4          MOVSB                ;0000:7C1B起始的CX字节传送至0000:061B起始的区域
0000:7C1A  CB          RETF                  ;跳转到0000:061B(这是一种技巧跳转)
;  
;  为直观起见，下面的地址按实际运行时的地址给出。
;  0000:061B～0000:062B：对分区表进行初步检验，一旦检测到某分区表项状态字节大于等于80h，就通过（当
;  然，在此之前如果检测到某项分区表的状态字节小于80h，就转错误处理。当然，如果四个分区项的状态字节
;  都为零，主引导记录就会调用BIOS-ROM的INT  18h，显示"PRESS  A  KEY  TO  REBOOT"信息等待你的操作。
0000:061B  BEBE07      MOV    SI,07BE        ;SI指向第一个分区表项，这时CX=0
0000:061E  B104        MOV    CL,04          ;分区表共四个表项
0000:0620  382C        CMP    [SI],CH        ;
0000:0622  7C09        JL      062D          ;大于等于80h转[注意JL指令:(SF  xor  OF)=1则转]
0000:0624  7515        JNZ    063B          ;不为0则[SI]一定小于80h，只能转错误处理了！
0000:0626  83C610      ADD    SI,+10        ;为零则检查下一表项
0000:0629  E2F5        LOOP    0620          ;检查下一表项
0000:062B  CD18        INT    18            ;四表项的状态字节都为0，则系统只好调用INT  18h了!
;  
;  0000:062D～0000:0639：检查剩余的分区表项——状态字节必须为零，否则显示错误信息“分区表无效”然后当机！拜托，微软搞错没有，怎么用中文提示信息？真TM傻得可爱！
;  这里还有个小BUG，前面放行原则是只要状态字节大于等于80h，那么如果这个字节是诸如A0h、E5h之类数值
;  呢？嘿嘿，这个引导记录统统认为是有效的可引导分区了！
0000:062D  8B14        MOV    DX,[SI]        ;为读分区引导记录做准备：磁头号→DH，驱动器号→DL
0000:062F  8BEE        MOV    BP,SI          ;SI→BP，保存可引导分区表项的指针
;  
0000:0631  83C610      ADD    SI,+10        ;其余的分区表项还要检查检查的
0000:0634  49          DEC    CX            ;
0000:0635  7416        JZ      064D          ;CX=0则检查顺利通过，转继续
0000:0637  382C        CMP    [SI],CH        ;
0000:0639  74F6        JZ      0631          ;为零，是合法表项，再查下一表项
;  
;  0000:063B～0000:064B：执行错误处理——报告错误信息后当机
0000:063B  BE1007      MOV    SI,0710        ;错误信息字符串偏移+1→SI
0000:063E  4E          DEC    SI            ;SI-1→SI
0000:063F  AC          LODSB                ;SI+1→SI
0000:0640  3C00        CMP    AL,00          ;
0000:0642  74FA        JZ      063E          ;AL=0则表明一条错误信息显示完毕,系统陷入一个死循环
0000:0644  BB0700      MOV    BX,0007        ;字符方式显示
0000:0647  B40E        MOV    AH,0E          ;
0000:0649  CD10        INT    10            ;以写电传方式显示信息(只显示一个字符)
0000:064B  EBF2        JMP    063F          ;显示下一个字符，直到遇到提示信息结束为止
;  
;  0000:064D～0000:0662：判断可引导分区的分区类型，然后转相应处理程序。
0000:064D  894625      MOV    [BP+25],AX    ;BP=指向第一个可引导分区表项的指针，这时AX=0000h
                                          ;使用长度最短的指令将[BP+25]起始的两个单元清零
                                          ;这两个单元将被用来存放中间变量
0000:0650  96          XCHG    SI,AX          ;此时SI清零的最佳指令选择(仅1字节)，将服务于0000:06B8
0000:0651  8A4604      MOV    AL,[BP+04]    ;取分区类型(本例是“06”喽——FAT16主DOS分区)
0000:0654  B406        MOV    AH,06          ;为扩展INT  13h无法使用做好更改分区类型的准备
0000:0656  3C0E        CMP    AL,0E          ;0Eh：需要用扩展INT  13h访问的FAT16主DOS分区
0000:0658  7411        JZ      066B          ;0Eh类型的分区转066Bh
0000:065A  B40B        MOV    AH,0B          ;
0000:065C  3C0C        CMP    AL,0C          ;0Ch：需要用扩展INT  13h访问的FAT32分区
0000:065E  7405        JZ      0665          ;0Ch类型的分区转0665h先行预处理
0000:0660  3AC4        CMP    AL,AH          ;0Bh：用传统INT  13h就可以访问的FAT32分区
0000:0662  752B        JNZ    068F          ;其他类型的分区转068Fh
;  
;  0000:0664～0000:06A1：根据分区类型和分区表表项内容进行读取分区引导记录前的处理工作
0000:0664  40          INC    AX            ;★★★0Bh类型的分区由此开始处理，此条指令用意是清ZF位
0000:0665  C6462506    MOV    BYTE  PTR  [BP+25],06  ;★★★0Ch类型的分区由此开始处理
                                          ;为什么取值06，一时没有自圆我说的解释，请耐心几天吧。
0000:0669  7524        JNZ    068F          ;请注意上面指令对ZF位的影响：0Bh类型分区转，0Ch则不转
;  0000:066B～0000:068C这段代码仅当分区类型是0Ch、0Eh才有获得执行的机会
0000:066B  BBAA55      MOV    BX,55AA        ;★★★0Eh类型的分区由此开始处理
0000:066E  50          PUSH    AX            ;
0000:066F  B441        MOV    AH,41          ;扩展INT  13h功能，检测BIOS是否已经支持扩展INT13h
0000:0671  CD13        INT    13            ;入口参数：BX=55AAh,DL=驱动器号,AH=41h
0000:0673  58          POP    AX            ;执行完恢复AX为060Eh
0000:0674  7216        JB      068C          ;不支持则转
0000:0676  81FB55AA    CMP    BX,AA55        ;
0000:067A  7510        JNZ    068C          ;扩展INT13h不可用也转
0000:067C  F6C101      TEST    CL,01          ;测试扩展盘访问是否被支持
0000:067F  740B        JZ      068C          ;不支持还转
;  因为扩展INT13h方式读盘与标准INT13h方式读盘有很大差别，所以0000:0686处指令修改其后的代码以保证按
;  照扩展读方式读分区引导扇区时能正确跳转到相应的处理程序中。
0000:0681  8AE0        MOV    AH,AL          ;分区类型→AH
0000:0683  885624      MOV    [BP+24],DL    ;保存驱动器号→[BP+24]
0000:0686  C706A106EB1E  MOV    WORD  PTR  [06A1],1EEB  ;修改0000:06A1处代码为"JMP  06C1"
0000:068C  886604      MOV    [BP+04],AH    ;注意：如果扩展INT13h不能使用则A改分区类型为06，但如果
                                          ;扩展INT13h能使用，则仍保持原分区类型不变
0000:068F  BF0A00      MOV    DI,000A        ;★★★其它类型分区由此开始处理。此条指令初始化计数器
0000:0692  B80102      MOV    AX,0201        ;AH：读操作，AL：读取1个扇区的内容
0000:0695  8BDC        MOV    BX,SP          ;SP=7C00→BX，指定分区引导记录装入内存的位置偏移
0000:0697  33C9        XOR    CX,CX          ;CX清零
0000:0699  83FF05      CMP    DI,+05        ;注意5  
0000:069C  7F03        JG      06A1          ;大于则转去读由分区表指定的分区引导扇区
0000:069E  8B4E25      MOV    CX,[BP+25]    ;小于则证明所读分区表指定的引导扇区无合法的引导记录，
                                          ;改按？？？再读，毕竟多一种选择多一次机会嘛！;)
;  以下标有①②者请注意它们的地址都是一样的，就是说实际运行中只可能是二者之一，但为了分析之方便，我
;  把两者都列了出来以供对比，阅读时千万别看成是两条指令了啊！
①0000:06A1  034E02      ADD    CX,[BP+02]    ;获取分区引导扇区所在的柱面号和物理扇区号
②0000:06A1  EB1E        JMP    06C1          ;如果分区类型是0Ch、0Eh而且扩展读能使用则执行该指令
;  
;  0000:06A4：将可引导分区的分区引导记录装入内存指定区域
;  入口参数：AH=功能号，02为读盘操作；AL=一次读取的扇区数
;          ES:BX=读入内存的起始地址
;          CH=10位柱面号的低8位；CL：高两位是10位柱面号的高两位，低6位是物理扇区号
;          DH=磁头号；DL=驱动器号，最高位(即位7)为0是软盘，为1是硬盘
0000:06A4  CD13        INT    13            ;读分区引导记录到0000:7C00起始的区域
;  
;  
0000:06A6  7229        JB      06D1          ;不成功转
0000:06A8  BE2D07      MOV    SI,072D        ;错误信息字符串偏移→SI
0000:06AB  813EFE7D55AA  CMP    WORD  PTR  [7DFE],AA55  ;分区引导记录合法吗？
0000:06B1  745A        JZ      070D          ;合法则转（这是主引导记录唯一的正常出口）  
0000:06B3  83EF05      SUB    DI,+05        ;不合法则为换读其他扇区做准备
0000:06B6  7FDA        JG      0692          ;只有一次换读扇区的机会！
;  
;  0000:06B8～0000:06BF：错误预处理
0000:06B8  85F6        TEST    SI,SI          ;测试SI值是否为0，其意义在于确定该显示哪条信息
0000:06BA  7583        JNZ    063F          ;不为0则转错误处理，显示“Missing  operating  system”
0000:06BC  BE1A07      MOV    SI,071A        ;错误信息字符串偏移→SI
0000:06BF  EB8A        JMP    064B          ;转错误处理，显示“加载操作系统时出错”
;  
;  0000:06C1～0000:06CF：整理扩展读所需入口参数，然后调用扩展读子程序
;  这段代码只有在以扩展读方式读取分区引导记录时才有机会获得执行
0000:06C1  98          CBW                  ;转换字节AL为字AX，执行后，AX中是一次要读的扇区数
0000:06C2  91          XCHG    CX,AX          ;AX→CX，CX→AX，执行后，CX中是一次要读的扇区数
0000:06C3  52          PUSH    DX            ;
0000:06C4  99          CWD                  ;将字AX转换为双字→DX,AX
0000:06C5  034608      ADD    AX,[BP+08]    ;
0000:06C8  13560A      ADC    DX,[BP+0A]    ;执行后，DX:AX=LBA绝对物理扇区号
0000:06CB  E81200      CALL    06E0          ;调用扩展读子程序
0000:06CE  5A          POP    DX            ;
0000:06CF  EBD5        JMP    06A6          ;
;  
;  0000:06D1～0000:06D8分区引导记录装入失败时的处理
0000:06D1  4F          DEC    DI            ;计数器减1
0000:06D2  74E4        JZ      06B8          ;五次读盘均未成功则转错误处理(注意这时SI=0)
0000:06D4  33C0        XOR    AX,AX          ;置功能号
0000:06D6  CD13        INT    13            ;复位磁盘系统
0000:06D8  EBB8        JMP    0692          ;再读
;  
;  
0000:06DA  00  00  80  49  12  00  ...I..
;  
;  0000:06E0～0000:070C：使用扩展INT  13h功能读取分区引导记录的子程序
;  调用时，SP=7BFE。这段程序利用压栈寄存器方式构造了一个磁盘地址包，请注意体会。另外，0000:06FC处
;  的一条指令就释放了几乎全部由本段程序占用的栈空间，构思之巧妙，绝对需要我们学习！
;  所以，分析该段程序，一个重点应放在栈的变化上。
0000:06E0  56          PUSH    SI            ;保存SI——注意，这次压栈并不构造磁盘地址包
0000:06E1  33F6        XOR    SI,SI          ;清零
0000:06E3  56          PUSH    SI            ;
0000:06E4  56          PUSH    SI            ;
0000:06E5  52          PUSH    DX            ;
0000:06E6  50          PUSH    AX            ;以上四条指令压栈的是扇区LBA号码*2
0000:06E7  06          PUSH    ES            ;压栈内存目标缓冲区首址段址
0000:06E8  53          PUSH    BX            ;压栈内存目标缓冲区首址偏移
0000:06E9  51          PUSH    CX            ;压栈所读扇区数
0000:06EA  BE1000      MOV    SI,0010        ;注意SI的高8位对应着磁盘地址包的保留字节，必须为0
0000:06ED  56          PUSH    SI            ;压栈磁盘地址包包长，执行完本条指令一个包已经构造完毕
0000:06EE  8BF4        MOV    SI,SP          ;规定磁盘地址包偏移指针，这时SP=7BEA
0000:06F0  50          PUSH    AX            ;保存AX
0000:06F1  52          PUSH    DX            ;保存DX
0000:06F2  B80042      MOV    AX,4200        ;置扩展读功能号
0000:06F5  8A5624      MOV    DL,[BP+24]    ;取驱动器号，参照0000:0683
;  入口参数：AH=功能号，02为读盘操作；DL=驱动器号
;          DS:SI=16字节磁盘地址包——第0字节：包长度(固定为10h)；第1字节：保留，必须为0；
;          第2、3字节：所读扇区数；第4～5字节：内存目标缓冲区首址偏移；
;          第6～7字节：内存目标缓冲区首址段址；  第8～15字节：扇区LBA号码
;  出口参数：成功则AH=0；错误则AH=错误代码
0000:06F8  CD13        INT    13            ;执行扩展读操作
0000:06FA  5A          POP    DX            ;
0000:06FB  58          POP    AX            ;
0000:06FC  8D6410      LEA    SP,[SI+10]    ;7BEA+10h=7BFA→SP（注意是取偏移而不是取单元内容）
0000:06FF  720A        JB      070B          ;扩展读不成功转
0000:0701  40          INC    AX            ;
0000:0702  7501        JNZ    0705          ;
0000:0704  42          INC    DX            ;AX加1溢出时（比如0FFFFh+1）DX才加1
0000:0705  80C702      ADD    BH,02          ;调整BX，使偏移量增加512字节（刚好一扇区）
0000:0708  E2F7        LOOP    0701          ;0701～0708一段代码暂未明白其真实意图！
0000:070A  F8          CLC                  ;
0000:070B  5E          POP    SI            ;
0000:070C  C3          RET                  ;
;  
;  0000:070D：中继跳转
0000:070D  EB74        JMP    0783          ;
;  
;  070F～0745是错误信息！果然是中文Windows98生成的主引导记录，所以我要特别
;  “感谢”微软这个傻B，真难为它竟然用中文表述前两个信息！可惜真需显示的时
;  候鬼才能看懂是什么呢！！！我K!——耍弄我们耶！？
;  070F～0718：“分区表无效”中文信息
;  071A～072B：“加载操作系统时出错”中文信息
;  072D～0744：“Missing  operating  system”英文信息
0000:070F  B7  .  
0000:0710  D6  C7  F8  B1  ED  CE  DE  D0-A7  00  BC  D3  D4  D8  B2  D9  ................
0000:0720  D7  F7  CF  B5  CD  B3  CA  B1-B3  F6  B4  ED  00  4D  69  73  .............Mis
0000:0730  73  69  6E  67  20  6F  70  65-72  61  74  69  6E  67  20  73  sing  operating  s
0000:0740  79  73  74  65  6D  00  00  00-00  00  00  00  00  00  00  00  system..........
0000:0750  00  00  00  00  00  00  00  00-00  00  00  00  00  00  00  00  ................
0000:0760  00  00  00  00  00  00  00  00-00  00  00  00  00  00  00  00  ................
0000:0770  00  00  00  00  00  00  00  00-00  00  00  00  00  00  00  00  ................
0000:0780  00  00  00  ...
;  
;  0000:0783～0000:0789：控制权移交
0000:0783  8BFC        MOV    DI,SP          ;
0000:0785  1E          PUSH    DS            ;
0000:0786  57          PUSH    DI            ;构造一个跳转地址
0000:0787  8BF5        MOV    SI,BP          ;
0000:0789  CB          RETF                  ;交控制权给分区引导记录（0000:7C00）
;  
;  
0000:078A  00  00  00  00  00  00  ......
0000:0790  00  00  00  00  00  00  00  00-00  00  00  00  00  00  00  00  ................
0000:07A0  00  00  00  00  00  00  00  00-00  00  00  00  00  00  00  00  ................
;  
;  07B8～07BB四个字节的内容用于什么呢？（不同机器此四字节均不同）
;  07BE～07FD为分区表，内含四个分区表项(每表项10h字节)
0000:07B0  00  00  00  00  00  00  00  00-86  D8  00  00  00  00  80  01  ................
0000:07C0  01  00  06  3F  3F  FD  3F  00-00  00  41  A0  0F  00  00  00  ...??.?...A.....
0000:07D0  01  FE  05  3F  FF  FE  80  A0-0F  00  C0  4F  2F  00  00  00  ...?.......O/...
0000:07E0  00  00  00  00  00  00  00  00-00  00  00  00  00  00  00  00  ................
0000:07F0  00  00  00  00  00  00  00  00-00  00  00  00  00  00  55  AA  ..............U.  
*1：因为物理扇区号总是从1排列而起
*2：由此可见，就是使用LBA扩展读的功能，主引导记录却限制了分区引导扇区必须在LBA绝对物理扇区
    0FFFFFFFFh之前才有可能从该分区引导系统！

读扇区汇编程序源程序清单
;********************************************  
;文件名：ARSE.ASM
;功能：读硬盘０面０头１扇区数据并建立存储文件
;********************************************
data  segment                      ;1.定义数据段
ostr  db  'Enter  file  name:','$'    ;2.屏幕提示
filename  db  15                    ;3.输入的文件名
          db  ?                    ;4.
          db  15  dup(0)            ;5.
buffer  db  512  dup(0)              ;6.扇区数据
tmp  db  15  dup(0)                  ;7.转存的文件名
data  ends                        ;8.
code  segment                      ;9.定义代码段
      assume  cs:code,ds:data      ;10.
start:                            ;11.程序开始
        mov  ax,data              ;12.初始化数据段
        mov  ds,ax                ;13.
                                  ;14.
        mov  ax,seg  buffer        ;15.用buffer初始化附加段es
        mov  es,ax                ;16.
        mov  bx,offset  buffer      ;17.取址
        mov  ax,0201h              ;18.程序入口参数
        mov  cx,0001h              ;19.
        mov  dx,0080h              ;20.
        int  13h                  ;21.调用中断
        mov  dx,offset  ostr        ;22.
        mov  ah,09h                ;23.输出字符串
        int  21h                  ;24.
                                  ;25.
        mov  dx,offset  filename    ;26.
        mov  ah,0ah                ;27.接收字符串
        int  21h                  ;28.
        mov  si,offset  filename    ;29.
        mov  di,offset  tmp        ;30.
lstr:    mov  dl,[si+2]            ;31.取字符
        mov  [di],dl              ;32.存字符
        inc  si                    ;33.地址递增
        inc  di                    ;34.
        cmp  dl,0dh                ;35.判断是否为回车符
        jne  lstr                  ;36.不等转
                                  ;37.
        mov  bl,0                  ;38.补0
        mov  [di-1],bl            ;39.
        mov  dx,offset  tmp        ;40.取文件名
        mov  cx,0                  ;41.
        mov  ah,3ch                ;42.建立文件
        int  21h                  ;43.
        mov  dx,offset  buffer      ;44.取缓冲区数据地址
        mov  cx,512                ;45.
        mov  bx,ax                ;46.
        mov  ah,40h                ;47.写文件
        int  21h                  ;48.
        mov  ah,3eh                ;49.关闭文件
        int  21h                  ;50.
        mov  ah,4ch                ;51.返回系统
        int  21h                  ;52.
code  ends                        ;53.
        end  start                ;54.程序结束
源程序解释
在对汇编源程序进行解释的时候，有些属于汇编程序的基本格式和基本语法，就不再介绍了。大家可以看看汇编语言的基础教程，这一类的书是很多的。
第2行定义了缓冲区内的一个字符串，该字符串是作为提示行输出到屏幕的。因为输出字符串是由INT21H中断里的09H号DOS功能调用完成的，所以字符串必须以“$”作为结束符。
第3-5行在内存中开辟一块缓冲区，用来存储由键盘输入的文件名。
第6行在内存中开辟一块缓冲区，用来存储512字节扇区数据。
第7行在内存中开辟一块缓冲区，准备转存键盘输入的文件名。前面已经将文件名存入缓冲区里了，为什么还要转存呢？
因为由键盘输入的表示文件名的字符串，是由0aH号DOS功能调用接收完成的。该功能调用向缓冲区存入字符串时，从第三个字节开始存放字符串的首字节。缓冲区的第一个字节设置为缓冲区的最大容量，属于功能调用的入口参数。缓冲区的第二个字节存放实际读入的字符数（回车符除外），属于功能调用的出口参数，是在键盘输入结束后，由系统写入的。
键盘输入的字符串就是下一步要建立的存储扇区数据的文件名。建立文件是由3cH号DOS功能调用完成的，该功能调用对缓冲区的存储要求与0aH号DOS功能调用不一样，因此必须进行上述转存工作。
第15-16行取变量buffer的段址，用该段址初始化附加段ES。这是由基本INT13H中断的入口参数所要求的，其数据缓冲区地址＝ES:BX。
第17-21行设置各项入口参数，然后执行13H中断。下面顺序介绍各项功能：将变量buffer的地址取到BX寄存器中；AH＝02H，执行读功能；AL＝01H，读一个扇区；CH＝00H，磁道号（也就是柱面号）为０；CL＝01H，扇区号为１；DH＝00H，磁头号为０；DL＝80H，驱动器号为第一硬盘（如果读取第二硬盘的扇区，设置DL＝81H）。
第22-24行在屏幕上输出提示字符串。
第26-28行接收键盘输入的字符串。
第29-36行是字符串转存，每次转存一个字符。因为键盘输入的字符串以回车作为结束符，回车的ASCII码值是0dH，所以第35行设置一判断语句，若取的字符与回车相等，则结束循环。第31行将地址跳过2个字节，从第3个字节开始取字符。
第38-39行在转存字符串后面补0，作为字符串的结束符。
第40-50行建立文件、向建立的文件中写入扇区数据、最后关闭文件。这几步都是常规的简单操作，就不用详细解释了。
第51-54行返回DOS系统、结束程序。
  
                            程序编译和运行
  
汇编源程序的编译和连接，是用命令行方式，使用Borland  C++  3.1自带的两个程序完成的。TASM.EXE可将源程序编译成OBJ二进制文件，TLINK.EXE可将二进制文件连接成EXE可执行文件。
如果在安装Borland  C++  3.1编译软件以后，没有在自动批处理文件AUTOEXEC.BAT里面设置相关路径，就需要先进入Borland  C++  3.1的安装目录，然后才能运行有关程序。
最好的方法是修改AUTOEXEC.BAT文件，在里面设置好路径。当硬盘启动时就能自动加载，不论在哪一个目录下，都可以运行程序了。
以我用的硬盘为例，将Borland  C++  3.1安装在Ｅ盘的BC目录中，用文本编辑软件打开Ｃ盘根目录下的AUTOEXEC.BAT文件，在其中加上一行：
SET  PATH=%PATH%;E:\BC\BIN
编译时先执行命令TASM  ARSE，生成ARSE.OBJ文件，再执行命令TLINK  ARSE，可生成ARSE.EXE文件。如果源程序有逻辑错误或语法错误，屏幕上会有出错提示或警告提示，并指出发生在哪一行。
可以将上面执行两次的命令合成一步来完成，方法是用文本编辑软件建一个批处理文件。文件名可定为TASMLINK.BAT，其内容是：
TASM  %1
TLINK  %1
将TASMLINK.BAT放在E:\BC\BIN目录中，编译时执行TASMLINK  ARSE。
运行程序时执行命令ARSE，屏幕上提示“Enter  file  name:”，输入文件名后回车，在当前目录下生成一个512字节的扇区数据文件。
生成的扇区数据文件不是文本方式的，不能直接用文本编辑软件查看。
每一个想从事数据恢复工作的人，都必须能写自己的工具程序，才能在数据恢复中得心应手。因为现成的应用软件谁都会用，任何人都没有技术上的优势，有的只是时间上的优势，也就是比别人早用了几天而已。
只有形成自己的有特色的分析方法，配合自己的工具程序，才能有领先于别人的优势。同时在编写自己的工具程序的过程中，对文件系统的存储原理，对磁盘扇区的存储规律，就会有比别人更深刻的认识。
  
硬盘保护锁
我在前一段时间写了一个硬盘锁，拿出来和大家交流交流，同时有个问题，希望大家能帮我想想。
首先，大略介绍一下我的程序，我是用汇编写成，程序有2个文件：hdlock.exe  
hdlock.dat  ,其中hdlock.dat是我写的用于装入硬盘0柱0道1扇的硬盘锁,hdlock.exe实现
（1）把hdlock.dat装入硬盘0柱0道1扇并设置硬盘锁的密码，（2）修改密码，（3）卸载
硬盘锁
在此，先介绍一下  hdlock.dat，因为硬盘锁本身受空间限制，必须严格控制在1bdH
字节内，（知道为什么吗？）所以是不能用masm先写原程序，再编译，我基本上是用debug
的A命令一次性写出来的，我把这些反汇编了出来，加上一些注释，给大家看看，互相学习
吗。　  
;这一段是将整个硬盘锁从0000:7c00移至0000:0600,以免被后来读入的代码覆盖  
0F6D:0100  1E  PUSHDS  
0F6D:0101  06  PUSHES  
0F6D:0102  B90001  MOVCX,0100  
0F6D:0105  BF0006  MOVDI,0600  
0F6D:0108  B80000  MOVAX,0000  
0F6D:010B  8ED8  MOVDS,AX  
0F6D:010D  8EC0  MOVES,AX  
0F6D:010F  BE007C  MOVSI,7C00  
0F6D:0112  F2  REPNZ  
0F6D:0113  A5  MOVSW  
0F6D:0114  EA1A060000  JMP0000:061A  ;长跳转至移动后的代码，也就是从011a处开始执行  
0F6D:0119  90  NOP  
0F6D:011A  EB09  JMP0125  ;这一段是对屏幕进行初始化,显示字符串"PASSWORD"
0F6D:0125  B80006  MOVAX,0600  
0F6D:0128  B7F0  MOVBH,F0  
0F6D:012A  B90000  MOVCX,0000  
0F6D:012D  BA4F18  MOVDX,184F  
0F6D:0130  CD10  INT10  ;初始化屏幕(前景为黑色,背景为灰白,字符闪烁)  
0F6D:0132  B21A  MOVDL,1A  
0F6D:0134  BE1C06  MOVSI,061C  ;从061cH处显示字符(因为程序将被读入了0000:0600处，
;实际显示的也就是现在的11cH处开始的字符串)  
0F6D:0137  B402  MOVAH,02  
0F6D:0139  B610  MOVDH,10  
0F6D:013B  B700  MOVBH,00  
0F6D:013D  CD10  INT10  ;设光标位置(10H行1aH列)
0F6D:013F  8A04  MOVAL,[SI]  
0F6D:0141  3C00  CMPAL,00  
0F6D:0143  741B  JZ0160  ;是否已显示完字符串,是则跳至从键盘读取密码处  
0F6D:0145  B409  MOVAH,09  
0F6D:0147  B90100  MOVCX,0001  
0F6D:014A  B700  MOVBH,00  
0F6D:014C  B370  MOVBL,70  
0F6D:014E  CD10  INT10  ;显示一个字符  
0F6D:0150  FEC2  INCDL  ;光标后移一位  
0F6D:0152  46  INCSI  ;字符指针后移一位  
0F6D:0153  EBE2  JMP0137  ;继续显示下一字符  0f6d:011c  db  'PASSWARD'00  ;用于显示的字符串  ;  从键盘读取密码
0F6D:0160  B90400  MOVCX,0004  
0F6D:0163  B80000  MOVAX,0000  
0F6D:0166  8EC0  MOVES,AX  
0F6D:0168  BF0108  MOVDI,0801  
0F6D:016B  F3  REPZ  
0F6D:016C  AB  STOSW  ;在0000:0801开始处开一片长度为8个字节的缓冲区
;(用00H来标记),用于存放从键盘读入的密码,(密码
;最多为8个字符,最少为0个字符)  
0F6D:016D  B90900  MOVCX,0009  ;最多读9次键盘(当然第9次是重头读过)  
0F6D:0170  BF0108  MOVDI,0801  ;从801H处开始写密码  
0F6D:0173  B223  MOVDL,23  0F6D:0175  B400  MOVAH,00  
0F6D:0177  CD16  INT16  ;读键盘  
0F6D:0179  3C0D  CMPAL,0D  
0F6D:017B  7479  JZ01F6  ;是回车则跳至密码比较处  
0F6D:017D  B402  MOVAH,02  
0F6D:017F  90  NOP  
0F6D:0180  90  NOP  
0F6D:0181  B610  MOVDH,10  
0F6D:0183  B700  MOVBH,00  
0F6D:0185  CD10  INT10  ;设置光标位置(当然是"PASSWARD"字符串后面了)  
0F6D:0187  3C08  CMPAL,08  
0F6D:0189  7437  JZ01C2  ;是退格键则跳至退格处理  
0F6D:018B  50  PUSHAX  
0F6D:018C  B40E  MOVAH,0E  
0F6D:018E  B02A  MOVAL,2A  
0F6D:0190  B307  MOVBL,07  
0F6D:0192  CD10  INT10  ;显示一个"*"(没有回显的密码输入是不是很恐怖)  
0F6D:0194  58  POPAX  
0F6D:0195  0423  ADDAL,23  ;密码字符加23H(受空间限制，加上该程序在系统启
;动前执行，在此，我只是简单的将密字加上23H，
;如果谁有好而小巧的算法，别忘了告诉我)  
0F6D:0197  8805  MOV[DI],AL  
0F6D:0199  47  INCDI  
0F6D:019A  49  DECCX  
0F6D:019B  83F900  CMPCX,+00  
0F6D:019E  740A  JZ01AA  ;是否读了第9次键盘,是跳转至输入溢出处  
0F60:01A0  FEC2  INC  DL  
0F60:01A2  EBD1  JMP  0175  ;本段用于处理键盘输入超过8次
0F6D:01AA  B610  MOVDH,10  
0F6D:01AC  B402  MOVAH,02  
0F6D:01AE  B223  MOVDL,23  
0F6D:01B0  B700  MOVBH,00  
0F6D:01B2  CD10  INT10  
0F6D:01B4  B409  MOVAH,09  
0F6D:01B6  B000  MOVAL,00  
0F6D:01B8  B307  MOVBL,07  
0F6D:01BA  B90900  MOVCX,0009  
0F6D:01BD  CD10  INT10  
0F6D:01BF  EB9F  JMP0160  ;重新读取密码  ;本段用于退格处理
0F6D:01C2  51  PUSHCX  
0F6D:01C3  B403  MOVAH,03  
0F6D:01C5  B700  MOVBH,00  
0F6D:01C7  CD10  INT10  ;读光标位置  
0F6D:01C9  80FA23  CMPDL,23  
0F6D:01CC  74A7  JZ0175  ;光标是否已到头,是则去读下一密字  
0F6D:01CE  81FF0008  CMPDI,0800  
0F6D:01D2  74A1  JZ0175  ;密码缓冲是否已到头,是则去读下一密字  0F6D:01D4  B402  MOVAH,02  
0F6D:01D6  FECA  DECDL  
0F6D:01D8  CD10  INT10  
0F6D:01DA  B40E  MOVAH,0E  
0F6D:01DC  B000  MOVAL,00  
0F6D:01DE  B307  MOVBL,07  
0F6D:01E0  CD10  INT10  ;光标前移一位,并删除一个"*"  
0F6D:01E2  B80000  MOVAX,0000  
0F6D:01E5  8905  MOV[DI],AX  ;密码缓冲当前指针处清零  
0F6D:01E7  4F  DECDI  ;密码缓冲指针减一  
0F6D:01E8  8905  MOV[DI],AX  ;密码缓冲当前指针处清零  
0F6D:01EA  59  POPCX  
INC  CX  ;///CX  应该加1  
0F6D:01EB  EB88  JMP0175  ;重新读键盘  ;本段用于比较密字
0F6D:01F6  B80000  MOVAX,0000  
0F6D:01F9  8EC0  MOVES,AX  
0F6D:01FB  8ED8  MOVDS,AX  
0F6D:01FD  BEB007  MOVSI,07B0  
0F6D:0200  BF0108  MOVDI,0801  
0F6D:0203  B90400  MOVCX,0004  
0F6D:0206  F3  REPZ  
0F6D:0207  A7  CMPSW  
0F6D:0208  7404  JZ020E  ;字符串相同则跳转至正确引导系统代码  
0F6D:020A  EB3C  JMP0248  ;字符串不相同则跳转至加密硬盘代码  ;正确引导系统代码  
0F6D:020E  B80000  MOVAX,0000  
0F6D:0211  8EC0  MOVES,AX  
0F6D:0213  B80102  MOVAX,0201  
0F6D:0216  B90200  MOVCX,0002  
0F6D:0219  BA8000  MOVDX,0080  
0F6D:021C  BB00F0  MOVBX,F000  
0F6D:021F  CD13  INT13  
0F6D:0221  B80103  MOVAX,0301  
0F6D:0224  B90100  MOVCX,0001  
0F6D:0227  BA8000  MOVDX,0080  
0F6D:022A  CD13  INT13  ;0柱0道2扇是HDBOOT.EXE写入的由硬盘锁代码
;(也就是大家现在看到的代码)+正确的硬盘分
;区表组成,将其写入0柱0道1扇后操作系统就可
;正常读取硬盘了  
0F6D:022C  B80000  MOVAX,0000  
0F6D:022F  8EC0  MOVES,AX  
0F6D:0231  B80102  MOVAX,0201  
0F6D:0234  B90300  MOVCX,0003  
0F6D:0237  BA8000  MOVDX,0080  
0F6D:023A  BB007C  MOVBX,7C00  
0F6D:023D  CD13  INT13  ;0柱0道3扇是HDBOOT.EXE写入的原MBR区的备份,将
;其读入0000:7c00处  
0F6D:023F  EA007C0000  JMP0000:7C00  ;长跳转至原MBR代码处执行(以后怎么样引导就不
;是我们现在讨论的了),从而正确引导系统  ;加密硬盘代码
0F6D:0248  B80000  MOVAX,0000  
0F6D:024B  8EC0  MOVES,AX  
0F6D:024D  B80102  MOVAX,0201  
0F6D:0250  B90400  MOVCX,0004  
0F6D:0253  BA8000  MOVDX,0080  
0F6D:0256  BB00F0  MOVBX,F000  
0F6D:0259  CD13  INT13  
0F6D:025B  B80103  MOVAX,0301  
0F6D:025E  B90100  MOVCX,0001  
0F6D:0261  BA8000  MOVDX,0080  
0F6D:0264  CD13  INT13  ;0柱0道4扇是HDBOOT.EXE写入的由硬盘锁代码(也就是
;大家现在看到的代码)加上江明原理的逻辑锁,将其写入
;0柱0道1扇后操作系统就被完全锁死了(不能从其它盘引导)  
0F6D:0266  CD19  INT19  ;不用多说吧,相当于热启动  大家看后一定看出了一些问题，为了能够让这个硬盘锁可以跨平台，我设置为输入正确密码后就将
正确的分区表读入0柱0道1扇，输入不正确密码后就将江明锁读入0柱0道1扇，明白人一下就看出了，如
果电脑主人上次用正确密码进入了电脑,而电脑非法使用者一次都不试密码，就直接用软盘或光盘或
USB盘引导，那么就可以非法访问硬盘了，说实话，这个问题困扰了我许久，一直不得其解，不这样做，
就得在输入正确密码后就将正确的分区表读入0柱0道1扇，然后在操作系统启动后再做手脚把0柱0道1扇的
分区表加密，这样做有两个问题，(1)操作系统启动做的手脚一定是放在操作系统的自启动中(如DOS的
AUTOEXEC.BAT、WIN98的"启动"等)，这样做显然不安全，(2)同时这样做显然不能做到"跨平台",所以我只
能在程序说明中告诉使用者,如果离开电脑,就故意输入一错误密码,那么江明锁就将硬盘锁死了,这样电脑
非法使用者用软盘或光盘或USB盘都不能引导了,(大家知道所谓江明锁,就是让扩展分区指向自己,从而使
启动程序陷入死循环,这个该死的东西也不知害死了多少硬盘,也该让他做做好事了),要是谁有更好的方法
解决这一问题,一定要告诉我.
再来介绍一下HDLCOK.EXE文件，以下是完整的程序源代码：  ;硬盘锁安装程序  
DATA  SEGMENT  
D1  DB  0CDH,0BFH,0D1H,0E5H,0EAH,0CDH  
D2  DB  'You  had  not  install  the  HDLOCK,do  you  install?(y/n)',0dh,0ah,'$'  
D3  DB  'HDLOCK.DAT',00H  
D4  DB  'Can  not  find  file  (HDLOCK.DAT)',0dh,0ah,'$'  
D5  DB  'PASSWORD',00H  
D6  DB  1EH,06H,0B9H,00H,01H,0BFH,00H,06H,0B8H,00H,00H,8EH,0D8H,8EH,0C0H,0BEH;逻辑锁  
DB  00H,7CH,0F2H,0A5H,0EAH,1AH,06H,00H,00H,90H,0EBH,09H,50H,41H,53H,53H  
DB  57H,4FH,52H,44H,00H,0B8H,00H,06H,0B7H,0F0H,0B9H,00H,00H,0BAH,4FH,18H  
DB  0CDH,10H,0B2H,01AH,0BEH,1CH,06H,0B4H,02H,0B6H,10H,0B7H,00H,0CDH,10H,8AH  
DB  04H,3CH,00H,74H,1BH,0B4H,09H,0B9H,01H,00H,0B7H,00H,0B3H,70H,0CDH,10H  
DB  0FEH,0C2H,46H,0EBH,0E2H,0CDH,20H,4FH,3DH,33H,0CDH,20H,33H,33H,33H,33H  
DB  0B9H,04H,00H,0B8H,00H,00H,8EH,0C0H,0BFH,01H,08H,0F3H,0ABH,0B9H,09H,00H  
DB  0BFH,01H,08H,0B2H,23H,0B4H,00H,0CDH,16H,3CH,0DH,74H,79H,0B4H,02H,90H  
DB  90H,0B6H,10H,0B7H,00H,0CDH,10H,3CH,08H,74H,37H,50H,0B4H,0EH,0B0H,2AH  
DB  0B3H,07H,0CDH,10H,58H,04H,23H,88H,05H,47H,49H,83H,0F9H,00H,74H,0AH  
DB  0FEH,0C2H,0EBH,0D1H,24H,67H,00H,77H,69H,6EH,0B6H,10H,0B4H,02H,0B2H,23H  
DB  0B7H,00H,0CDH,10H,0B4H,09H,0B0H,00H,0B3H,07H,0B9H,09H,00H,0CDH,10H,0EBH  
DB  9FH,51H,51H,0B4H,03H,0B7H,00H,0CDH,10H,80H,0FAH,23H,74H,0A7H,81H,0FFH  
DB  00H,08H,74H,0A1H,0B4H,02H,0FEH,0CAH,0CDH,10H,0B4H,0EH,0B0H,00H,0B3H,07H  
DB  0CDH,10H,0B8H,00H,00H,89H,05H,4FH,89H,05H,59H,0EBH,88H,07H,43H,04H  
DB  0E8H,86H,0CDH,20H,44H,44H,0B8H,00H,00H,8EH,0C0H,8EH,0D8H,0BEH,0B0H,07H  
DB  0BFH,01H,08H,0B9H,04H,00H,0F3H,0A7H,74H,04H,0EBH,3CH,55H,55H,0B8H,00H  
DB  00H,8EH,0C0H,0B8H,01H,02H,0B9H,02H,00H,0BAH,80H,00H,0BBH,00H,0F0H,0CDH  
DB  13H,0B8H,01H,03H,0B9H,01H,00H,0BAH,80H,00H,0CDH,13H,0B8H,00H,00H,8EH  
DB  0C0H,0B8H,01H,02H,0B9H,03H,00H,0BAH,80H,00H,0BBH,00H,7CH,0CDH,13H,0EAH  
DB  00H,7CH,00H,00H,00H,00H,00H,00H,0B8H,00H,00H,8EH,0C0H,0B8H,01H,02H  
DB  0B9H,04H,00H,0BAH,80H,00H,0BBH,00H,0F0H,0CDH,13H,0B8H,01H,03H,0B9H,01H  
DB  00H,0BAH,80H,00H,0CDH,13H,0CDH,19H,00H,00H,00H,00H,00H,00H,00H,00H  
DB  00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H  
DB  00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H  
DB  00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H  
DB  00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H  
DB  64H,64H,64H,64H,64H,64H,64H,64H,00H,00H,00H,00H,00H,00H,00H,00H  
DB  01H,00H,05H,0FEH,7FH,05H,3FH,00H,00H,00H,47H,39H,40H,00H,00H,00H  
DB  00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H  
DB  00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H  
DB  00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,00H,55H,0AAH  
D7  DB  'You  have  been  installed  HDLOCK,do  you  remove?(y/n)',0dh,'$'  
D8  DB  'PASSWORD  ERROR$'  
D9  DB  0dh,0ah  
DB  0dh,0ah  
DB  '  #  #  #  #  #  #  #  #  #  #  #  #  #',0dh,0ah  
DB  '  #  #  #  #  #  #  #  #  #  #  #  #  #',0dh,0ah
回复

使用道具 举报

qqinong
发表于 2012-7-8 21:46:44 | 显示全部楼层
楼主辛苦了，谢谢啦
点评回复

使用道具 举报

返回列表 发新帖 回复
高级模式
B Color Image Link Quote Code Smilies

本版积分规则

Archiver|手机版|小黑屋|52RD我爱研发网 ( 沪ICP备2022007804号-2 )

GMT+8, 2024-12-29 14:23 , Processed in 0.064415 second(s), 16 queries , Gzip On.

Powered by Discuz! X3.5

© 2001-2023 Discuz! Team.

快速回复 返回顶部 返回列表