当前位置：首页 > 存储 > 存储分析 > 正文

实用技巧：恢复误格式化后的丢失数据

作者：许咏利

2008/10/6 0:00:00

本文关键字：存储分析

　　小王发现最近D分区文件读写速度很慢，干脆来个格式化(文件系统仍是NTFS)，顺手换个“每簇扇区数”（下图）走着。坏了，到外地旅游的照片还没备份出来，没事，用软件扫，这不，全有了，妈呀！！怎么全打不开呀。

图一

　　小王纳闷儿了，为啥软件里面能看到的文件就是打不开呢，其实原因是因为，虽然小王对硬盘进行格式化的格式仍然是NTFS，但簇的大小已经变化。这种情况，我们称之为误格簇变。那么本文就会讲解，如何在误格簇变的情况下恢复丢失的数据。

找寻完整的文件名

　　“误格簇变”是指格式化前后硬盘或分区的“每簇扇区数”发生了改变！（文件系统不变）。这时如果还只是用软件扫描，则恢复出来的文件要么打不开，要么打开后是乱码。总之要不断改变“每簇扇区数”后再扫描，现在的分区很大，这样太浪费时间！所以讲手工计算！
首先应该知道“某个用户文件的完整文件名”！

　　用户文件：福原爱.jpg 运行记事本程序，新建一个空白文本文档，内容就是: 福原爱.jpg 进入保存菜单，在“编码”中选Unicode文件名是1.txt，保存！随后用Winhex打开这个1.txt，会看到：FF FE表示Unicode码。其余被选中的值就是福原爱.jpg

图二

　　所对应十六进制值，右击-编辑-复制-十六进制值！用Winhex打开误格式化的分区（工具-启动中心-打开分区），菜单搜索-查找十六进制值，粘贴刚才的十六进制值，选“全部”，其余地方空选！当然，不可能一次就找到相应的文件记录，按F3继续搜索，找到后情景如图，这就是用户文件福原爱.jpg的文件记录。

（扇区的头四个值必须是 46 49 4C 45 ）

图三

图四

判断数据流属性

　　紧接着就是最重要的数据流属性了

图五

　　在数据流属性中找“相对偏移18-1F”，（图五） “相对偏移18-1F”的值是“该文件结尾簇的编号”。

图六

　　“该文件结尾簇的编号”+1=该文件总共占据的簇数。 “该文件结尾簇的编号”在Winhex中的显示为: 5C00000000000000 Winhex 数据解释器中“32位“后的数字就是对应的十进制数（92）。

　　该文件总共占据的簇数=92+1=93
　　“相对偏移28-2F”是该文件占据的字节数。(47616)

图7

　　47616/512= 该文件占据的扇区数=93。
　　该文件占据的扇区数/该文件总共占据的簇数=每簇扇区数=93/93=1。
　　所以误格式化之前的“每簇扇区数”是1，簇大小是512字节。
　　这时再用误格式化之前的“每簇扇区数”把该分区再格式化一遍，之后再用软件扫描，就能够成功恢复数据！

责编：

微信扫一扫实时了解行业动态

微信扫一扫分享本文给好友

著作权声明：畅享网文章著作权分属畅享网、网友和合作伙伴，部分非原创文章作者信息可能有所缺失，如需补充或修改请与我们联系，工作人员会在1个工作日内配合处理。