mshowfat 命令是 mtools 工具集的一部分，用于显示 MS-DOS 文件在 FAT 文件系统中所占用的簇链信息。它可以显示文件在磁盘上的物理存储位置，对于文件系统分析、数据恢复和磁盘碎片检查非常有用。
mshowfat [选项] 文件...常用形式：
# 显示文件的簇链信息
mshowfat a:文件名
# 显示多个文件的簇链
mshowfat 文件1 文件2 文件3
# 从标准输入读取文件列表
mdir a: | mshowfat# Ubuntu/Debian
sudo apt update
sudo apt install mtools
# CentOS/RHEL
sudo yum install mtools
# Fedora
sudo dnf install mtools
# Arch Linux
sudo pacman -S mtools
# 验证安装
mshowfat --versionFAT文件系统使用簇来管理磁盘空间：
- 簇是文件分配的基本单位
- 一个文件可能占用多个簇
- 簇号组成文件的簇链
- 文件分配表（FAT）记录簇的使用情况
示例文件簇链：2 → 5 → 8 → EOF
表示文件数据存储在簇2、5、8中簇号 含义
---------- --------------------
0 FAT ID（介质描述符）
1 FAT表保留
2 - 0xFFFF 可用簇
0xFFF7 坏簇
0xFFF8-0xFFFF 文件结束标记（EOF）# 显示MS-DOS磁盘上文件的簇链
mshowfat a:file.txt
# 输出：a:file.txt: 2 5 8
# 这表示文件file.txt占用簇2、5、8
# 簇链顺序：2 → 5 → 8 → EOF# 十六进制显示
mshowfat -h a:data.bin
# 输出：a:data.bin: 0x0002 0x0005 0x0008
# 十进制显示
mshowfat -d a:document.doc
# 输出：a:document.doc: 2 5 8
# 八进制显示
mshowfat -o a:program.exe
# 输出：a:program.exe: 2 5 10# 显示簇链和文件大小
mshowfat -s a:largefile.dat
# 输出：
# a:largefile.dat: 2 5 8 11 14
# 文件大小: 5120 字节
# 占用簇数: 5
# 平均每簇: 1024 字节# 检查多个文件的簇链
mshowfat a:file1.txt a:file2.txt a:file3.txt
# 输出：
# a:file1.txt: 2 3
# a:file2.txt: 4 6 7
# a:file3.txt: 5
# 使用通配符
mshowfat a:*.txt#!/bin/bash
# 分析磁盘碎片情况
echo "磁盘碎片分析报告"
echo "========================"
# 检查所有文件的簇链连续性
for file in $(mdir a: | grep -v "Directory" | awk '{print $1}'); do
echo "文件: $file"
cluster_chain=$(mshowfat "a:$file")
echo "簇链: $cluster_chain"
# 简单的连续性检查
clusters=($cluster_chain)
if [ ${#clusters[@]} -gt 1 ]; then
prev=${clusters[0]}
for ((i=1; i<${#clusters[@]}; i++)); do
current=${clusters[i]}
if [ $((current - prev)) -ne 1 ]; then
echo "警告: 簇链不连续在位置 $i"
fi
prev=$current
done
fi
echo "---"
done#!/bin/bash
# 辅助数据恢复：查找可能的文件片段
echo "查找可能的文件片段..."
echo "========================"
# 假设我们知道文件的大致簇范围
START_CLUSTER=100
END_CLUSTER=200
# 检查这个范围内的所有文件
for file in $(mdir a: | grep -v "Directory" | awk '{print $1}'); do
clusters=$(mshowfat "a:$file" | awk '{print $2}')
# 检查文件是否跨越目标区域
for cluster in $clusters; do
if [ $cluster -ge $START_CLUSTER ] && [ $cluster -le $END_CLUSTER ]; then
echo "文件 $file 可能包含目标数据片段"
echo "簇链: $clusters"
break
fi
done
done#!/bin/bash
# 检查文件系统健康状态
echo "FAT文件系统健康检查"
echo "========================"
BAD_CLUSTERS=0
FRAGMENTED_FILES=0
# 检查所有文件
for file in $(mdir a: | grep -v "Directory" | awk '{print $1}'); do
# 获取簇链信息
result=$(mshowfat -s "a:$file")
clusters=$(echo "$result" | head -1 | cut -d: -f2 | xargs)
# 检查坏簇
if echo "$clusters" | grep -q "0xFFF7"; then
echo "警告: 文件 $file 包含坏簇"
((BAD_CLUSTERS++))
fi
# 检查碎片化
cluster_array=($clusters)
if [ ${#cluster_array[@]} -gt 1 ]; then
# 检查连续性
prev=${cluster_array[0]}
fragmented=false
for ((i=1; i<${#cluster_array[@]}; i++)); do
if [ $((${cluster_array[i]} - prev)) -ne 1 ]; then
fragmented=true
break
fi
prev=${cluster_array[i]}
done
if [ "$fragmented" = true ]; then
echo "文件 $file 存在碎片"
((FRAGMENTED_FILES++))
fi
fi
done
echo "检查完成:"
echo "- 发现 $BAD_CLUSTERS 个文件包含坏簇"
echo "- 发现 $FRAGMENTED_FILES 个文件存在碎片"#!/bin/bash
# 识别需要整理的大文件
echo "磁盘空间优化分析"
echo "========================"
# 查找占用最多簇的文件
echo "占用簇数最多的文件:"
echo "----------------"
{
for file in $(mdir a: | grep -v "Directory" | awk '{print $1}'); do
clusters=$(mshowfat "a:$file" | awk '{print $2}')
cluster_count=$(echo $clusters | wc -w)
echo "$cluster_count $file"
done
} | sort -nr | head -10
echo ""
echo "建议:"
echo "- 考虑对占用簇数多的文件进行碎片整理"
echo "- 删除不再需要的大文件"
echo "- 使用 mformat 重新格式化磁盘以优化空间"# 分析整个磁盘的文件分布
mdir a: | grep -v "Directory" | awk '{print $1}' | while read file; do
echo "=== $file ==="
mshowfat -s "a:$file"
echo
done
# 生成磁盘使用地图
echo "磁盘簇使用地图:"
for file in $(mdir a: | grep -v "Directory" | awk '{print $1}'); do
clusters=$(mshowfat "a:$file" | awk '{print $2}')
echo "文件 $file 使用簇: $clusters"
done#!/bin/bash
# 文件系统取证分析脚本
echo "FAT文件系统取证分析"
echo "========================"
# 检查已删除文件的痕迹
echo "1. 检查文件系统元数据..."
mshowfat -v a:\$MFT 2>/dev/null && echo "发现NTFS元数据文件"
mshowfat -v a:\$FAT1 2>/dev/null && echo "发现FAT表备份"
echo ""
echo "2. 分析文件簇链模式..."
# 查找异常的长簇链（可能表示文件损坏或隐藏数据）
for file in $(mdir a: | grep -v "Directory" | awk '{print $1}'); do
cluster_count=$(mshowfat "a:$file" | awk '{print NF-1}')
if [ $cluster_count -gt 100 ]; then
echo "警告: 文件 $file 有异常长的簇链 ($cluster_count 个簇)"
fi
done#!/bin/bash
# 生成简单的簇链可视化
visualize_clusters() {
local file=$1
local clusters=$(mshowfat "a:$file" | awk '{print $2}')
echo "文件: $file"
echo -n "簇链: "
for cluster in $clusters; do
case $cluster in
"0xFFF7")
echo -n "[坏簇] "
;;
"0xFFF8"|"0xFFF9"|"0xFFFA"|"0xFFFB"|"0xFFFC"|"0xFFFD"|"0xFFFE"|"0xFFFF")
echo -n "[EOF] "
;;
*)
echo -n "$cluster "
;;
esac
done
echo
}
# 使用示例
visualize_clusters "important.dat"#!/bin/bash
# 监控文件系统变化的脚本
LOG_FILE="/var/log/fat_monitor.log"
LAST_STATE="/tmp/last_fat_state.txt"
log() {
echo "$(date): $1" >> "$LOG_FILE"
}
# 获取当前文件簇链状态
get_current_state() {
for file in $(mdir a: | grep -v "Directory" | awk '{print $1}'); do
echo "$file: $(mshowfat "a:$file")"
done
}
# 比较状态变化
CURRENT_STATE=$(get_current_state)
if [ -f "$LAST_STATE" ]; then
if ! diff "$LAST_STATE" <(echo "$CURRENT_STATE") > /dev/null; then
log "检测到文件系统变化"
log "变化详情:"
diff "$LAST_STATE" <(echo "$CURRENT_STATE") >> "$LOG_FILE"
fi
fi
# 保存当前状态
echo "$CURRENT_STATE" > "$LAST_STATE"
log "监控检查完成"mshowfat -s 获取文件大小和簇使用统计mdir 和 mshowfat 进行完整的磁盘分析-h）便于识别特殊簇号-v 选项获取更详细的调试信息