数据恢复系列教程（十）16GU盘提示未格式化后的手工数据恢复

烟雨斜阳 · 发表于 2012-4-6 21:17

本帖最后由 ssqj111 于 2012-6-18 00:49 编辑

故障：上述三个区域被随机字节填充，在“我的电脑”中打开盘符提示未格式化。
解决：首先使用名气很高的R-studio恢复，详细扫描模式，16GU盘大约用了20多分钟完毕，但是有部分数据没有恢复出来。所以手工恢复。
1、搜索“55AA”，没有找到。说明MBR和DBR都破坏了。
2、搜索“F8 FF FF 0F”，找到一个位于14788号扇区，从位置判断应该是FAT2的起始位置，继续向下搜索没有找到。
3、接下来要寻找数据区的起始地址，好确定FAT表的大小。方法有很多，可以搜索根目录下的文件名。如果u盘有卷标，那一定是根目录中的第一项，就是数据区的开始，经过搜索在29538号扇区找到数据区的起点。
4、则每个FAT表的大小为14750个扇区。FAT表的起始扇区为38号扇区。
5、由于DBR一般占用32个扇区，所以隐含扇区应为6
6、将计算好的参数写回MBR和DBR中，再将FAT2复制到FAT1

最后数据完美重现。

补充：
1、MBR和DBR可以从别的同文件系统的U盘复制过来，再修改相应的参数。
2、磁盘签名不起作用（实验中发现清空后不出错）
3、文件系统标识0C与0B没有发现区别。
4、扇区总数计算中有小误差不影响数据恢复的结果。

烟雨斜阳 · 发表于 2012-4-6 21:18

使用的工具为大名鼎鼎的WinHex

周而复始 · 发表于 2012-4-6 21:32

谢谢。。。。。。。。。

数据恢复系列教程（十）16GU盘提示未格式化后的手工数据恢复

使用高级回帖 (可批量传图、插入视频等)快速回复