U盘中的文件和文件夹显示为乱码的数据恢复

U盘中的文件和文件夹显示为乱码的数据恢复 U盘中的文件和文件夹显示为乱码的数据恢复 华山剑客 现象 一朋友的U盘128M原来装的基本上是图片现在文件夹和文件名显示乱码 打开文件夹时出现错误提示 恢复过程 一、做U盘的镜像用WinHex做U盘的镜像 二、数据收集及分析 1、到根目录看看 第2016扇区 分析很明显它不是根目录内容这说明DBR有问。 2、看DBR参数 分析OEM的数据是乱码但这影响不大。 3、到FAT1去 第32扇区 分析这是FAT32的分区而且是FAT表正常 4、到FAT2 第1024扇区 分析和FAT1的一样看起来也没有问题目前这个U盘的数据分布情况如下 32 992 992 DIR DBR FAT1 FAT2 DATA 32 1024 2016 但再看与它第1024扇区相邻的两个扇区时发现了问题 第1023扇区结尾内容 第1025扇区开始内容 分析第1023扇区和第1025扇区的数据应该是一个FAT表中的一部分感觉第1024扇区FAT2的开始扇区的数据好像插在一个FAT表中间且FAT2只有一个扇区这说明FAT表有问题现在要找正确的FAT表然后恢复。 5、搜索FAT表 发现有三个FAT表 第32扇区 第990扇区 第1024扇区 分析除了原来看到的两个FAT表外在第990扇区发现一个FAT表如果这是正确的FAT2不 扇区现在到第1948扇区去 可能是FAT1那么DATA区的开始扇区为3299032×21948第1948扇区 它的上一扇区数据 第1947扇区 分析显然第1948扇区不是DATA开始的扇区DATA数据在FAT2后面而FAT2最后一个扇区的数据一般是00现在要找DATA开始的扇区。 6、找根目录区DIR或DATA区开始的扇区 说明FAT32分区中的根目录不是的固定的区域、固定大小与FAT16分区不同但一般情况下是从第二簇即DATA区开始的位置开始的即DATA区开始的数据是根目录数据。 寻找方法从DATA区向上找比如先到根目录第2016扇区其实在现在的U盘中不是根目录是DATA区中间部分然后向上搜索方法见下图搜索到后看下一个扇区是不是根目录或者DATA区开始的数据 最后在第1924扇区找到根据内容分析是根目录数据如果是子目录此扇区的第一个字节应该是2E感觉根目录在DATA区的开始位置后面还要论证 第1923扇区 第1924扇区 7、分析根目录区及子目录数据 ?主要分析没有删除的的子目录即文件夹数据从上图中可以找到两个子目录 子目录1锐利 子目录数据起始的簇号2CBH 即第715簇 子目录2建利荣华 子目录数据起始的簇号10002H 即第65538簇 ?找子目录数据不能直接到715簇或者65538簇去找因为现在的DBR有问题然后算出每簇扇区数叭啡螪ATA开始的位置。 方法搜索2E20202020202020 第3136扇区 第3198扇区 第3350扇区 第132996扇区 分析这4个子目录数据其实分析其中任意两个即可 该子目录所在的扇区数 目录项中描述的这个扇区的所在的簇数 3136无内容 608 3198有内容但删除 639 3350有内容 715 132996有内容 65538 现在根据以上数据计算 ?原来分区中的每簇扇区数重建DBR时会用到这个值 31983136?6396082 33503198?7156392 1329963350?655387152 结论每簇扇区数是2 ?计算DATA开始的扇区数假设是X 3136X6082×2 X1924 3198X6392×2 X1924 3350X7152×2 X1924 132996X655382×2 X1924 结论DATA区的开始扇区是第1924扇区而且根目录在DATA区开始的位置 ?目前的情况 DIR DBR FAT1 FAT2 DATA 0 1924 8、判断正确的FAT表并确定每FAT表扇区数 目前有两个不同的FAT表不讨论第1024扇区那个备份的FAT表先要判断哪个是正确的方法如下从前面分析的数据可知第715簇是一个子目录的起始簇那么在FAT表中不会有一个簇指向它因为如果有一个簇指向第715簇那么第715簇就不可能是一个开始的簇715换成16进制就是2CB在FAT表中应该表示为CB020000所以如果在某一个FAT表中能找到 CB020000那么这个FAT表就不是原来正确的FAT表在整个FAT表中1924扇区前搜索CB020000 结果只有第37扇区中有这个数据 第37扇区 这个扇区在从第32扇区开始的的FAT表中的数据那么从990扇区开始的FAT表有可能是正确的进一步判断在从990开始的FAT表中找到715簇对应的位置 第995扇区 从图中可以看出第715簇中的表项值即它的一下簇是716第716簇中的表项值是FFFFFF0F表示结束即这个子目录的内容占用715和716两个簇。基本上确认了从990开始的扇区是原来正确的FAT表而且应该是原来的FAT2那么现在可以推测出原来的分区情况 DIR DBR FAT1 FAT2 DATA 0 990 1924 每FAT扇区数为1924990934 FAT1开始的位置为99093456也是DBR中保留扇区的扇区数 因此原来的U盘数据分布情况 56 934 934 DIR DBR FAT1 FAT2 DATA 0 56 990 1924 三、手工修复 1、FAT2?FAT1 因为第1024扇区的数据从第4352簇―――4479簇由于有原来的FAT2的数据而覆盖了现在先要修复一下但不知道原来是多少现在只能用一个连续的没有碎片的没有结束标志的数据联结上能不能正确恢复要看运气了等恢复好后根据恢复情况再进一步微调。找一下从32开始的这个第4352簇―4479簇的数据发现全部是连续的符合条件 把它复制到第1024扇区去 这样第1024扇区的数据修复完毕现在把从第990扇区到第1923扇区的FAT2内容复制到第56扇区 2、修复DBR参数用修复简单些 修复前 修复后 只修改保留扇区数和每FAT扇区数据因为其它的数据是正确的 现在把U安全删除后再插上打开U盘原来的内容都在而且都能正常打开朋友非常满意因为涉及到隐私问 -1-20 华山剑客写于湖北随州 题所以我没有把恢复出来的照片扫图。 2008