网络安全课程设计(7)

（2）使用WinHex获取D盘快照

单击工具栏“WinHex”按钮，打开WinHex。单击“工具”｜“打开磁盘”， 在逻辑驱动器中选择“（D：）”，确定。

「注」 不要选择“不要再显示此提示信息”，如果选中了则不能获取新快照。

可以通过“帮助”|“设置”|“初始化”来取消选择。

获取新快照后可以看到驱动器D中所包含的目录、文件、文件分配表的大小和起始位置等相关信息。

（3）查看FAT1

单击WinHex中D盘快照中文件列表中的FAT1即可查看FAT1。单击FAT1中的数据可在左侧的参数框中看到数据所代表的簇号和簇的当前状态。

（4）计算FDT的起始位置

在文件列表中可以看到FAT1和FAT2的第1扇区位置，FAT2是FAT1的备份，所以大小相等内容相同。因此可以推算出它的大小为：FAT2的第1扇区位置－FAT1的第1扇区位置。FAT1的大小是：2271 FDT的位置在FAT2之后，所以可以通过：FAT2的第1扇区位置2305＋FAT1的大小(扇区总数为2271)来得到FDT的起始位置。 FDT的起始位置的逻辑扇区编号是：4576 （5）跳转到FDT的起始地址

单击“位置”|“转到扇区”|在扇区输入框中输入FDT的起始位置的逻辑扇区编号|“确定”，即可跳转到FDT的起始地址。