FAT32分区格式化后手工恢复数据一例(手工重建FAT和FDT).doc

FAT32分区格式化后手工恢复数据一例(手工重建FAT和FDT)前段时间在论坛上发表了一篇关于NTFS分区格式化后用WINHEX手工提取数据一例原文地址：/viewthread.php?tid=46244后，很多朋友加了我的QQ，互相讨论了些关于文件系统方面的问题。在此我个人认为，尽管很多问题，比如说误格式化了用一些恢复软件扫描有哪些信誉好的足球投注网站也能恢复出数据。但如果真正从事数据恢复行业想成为数据恢复高手，不了解文件系统根本是不可能达到的。特别是到了磁盘阵列的数据恢复不了解文件系统根本就无从下手。刚好今天手上有个案例，是用手工恢复的，涉及到文件系统方面的知识（FAT32格式的）就花了点时间放上来供大家相互讨论、交流问题：客户描述为因系统感染病毒重做系统后又在系统下把另外两个盘也格式化了，才想起一些重要的资料放在桌面我的文档里面。分析：客户原来的系统是XP的，说到这很多朋友就会知道了，有些版本的XP系统桌面上我的文档其实是在D盘里面，而D盘现在已被格式化首先，我们对原盘做个镜像，（最好不要在原盘上进行操作）然后用WINHEX打开镜像——专业工具——设置镜像为磁盘。到这里，有必要说明一下，我做数据的首先工具就是WINHEX，也不怕大家笑话，别的工具我还真不太会用。WINHEX的功能非常强大，包含了格式化后对全盘进行扫描有哪些信誉好的足球投注网站及有哪些信誉好的足球投注网站某一类型的文件，在这里就不讲解这些了。打开格式化了的D盘，在专业工具——获取快照如图：??1.jpg 1.jpg (41.18 KB) 2008-10-20 16:35 2008-7-18 15:30在彻底有哪些信誉好的足球投注网站文件系统数据结构前面的小方框打上勾点击左下角的OK开始全盘有哪些信誉好的足球投注网站 ?? 2.jpg (53.39 KB) 2008-10-20 16:35 2008-7-18 15:30有哪些信誉好的足球投注网站的速度很快，10G的分区几分钟就搜完了? ? 3.jpg (60.46 KB) 2008-10-20 16:35 2008-7-18 15:30点击OK，我们会在目录浏览器下发现多了一个Path unknown（未适路径）双击打开：?? 4.jpg (38.65 KB) 2008-10-20 16:35 2008-7-18 15:30可以看出有哪些信誉好的足球投注网站出来的文件是以簇号作为文件夹存放的，这样我们查阅起来非常不方便，我们可以按文件来排列：? ? 5.jpg (66.57 KB) 2008-10-20 16:35 2008-7-18 15:30如上图按文件来排列后我们可以选择任意一个文件单击右键进行预览或者是复制到指定的路径。上面我们选择了一个文件进行预览结果为：? ? 6.jpg (21.35 KB) 2008-10-20 16:35 2008-7-18 15:30点了确定后还是打不开。那么指定路径拷到硬盘上再打开呢，试了很多文件包括照片、文档大都打不开要么就是乱码。用别的软件有哪些信誉好的足球投注网站呢，也试了，效果更差，更难得整理。这时候我们转回头来再来分析格式化了后对数据结构产生了哪些破坏呢？我们看DBR如下图：? ? 7.jpg (60.48 KB) 2008-10-20 16:35 2008-7-18 15:30好像没发现有什么问题。暂且不管，再看FAT：? ? 8.jpg (66.47 KB) 2008-10-20 16:35 2008-7-18 15:30从FAT表中可以看到除了用以记录介质描述的簇0和簇1的的位置为F8 FF FF 0F FF FF FF FF外，整个FAT表格式化后被全部清空了。转到看备份的FAT2也遭到破坏。再到根目录下看看文件目录登记项：? ? 9.jpg (65.17 KB) 2008-10-20 16:35 2008-7-18 15:30除了只留下一个卷标外连回收站都给清除了。再往下查看子目录的内容发现都是完好的，没有被清0。但我们在资源管理器下看不到，是因为FAT和FDT 被清0了，也就没有记录它们的入口了，所以对操作系统来讲，它们是不存在的。其实想想就会明白，对于较大的文件或是整个分区我们在删除、格式化时所花的时间比拷入文件时所花费的时间少得多，所以不可能对数据区也清0。这就有了只要没覆盖过的数据在理论上都能恢复的说法。也就是说格式后只是删除了FAT和FDT，那么我们就可以想是不是恢复了FAT和FDT就恢复数据呢？这只是一个假想，我们可以来试一下。? ?可以查找子目录的标示2E或2E2E，也可以用查找文件名方式。因为查找到子目录的标示后还要一个一个的排除，很慢。所以这里我们采用查找文件名的方式，客户描述有个名为“董事会股东会文件”的文件夹，那么我们新建一个文本文档输入这几个字保存。然后用WINHEX打开： ? ?