2022年winhex恢復(fù)U盤(pán)數(shù)據(jù)案例

1、儲(chǔ)備一個(gè)文件的時(shí)候,操作系統(tǒng)第一在記錄全部空間使用情形的文件支配表 FAT 中找到足夠容納文件的空間,然后把文件內(nèi)容寫(xiě)到相對(duì)應(yīng)的硬盤(pán)扇區(qū)上,并在文件支配表中標(biāo)出該空間已經(jīng)被占用；刪除文件的時(shí)候,一般并不對(duì)文件所占用的扇區(qū)進(jìn)行操作,而僅僅是在文件支配表中指明哪些空間可以支配給別的文件使用；這個(gè)時(shí)候, 被刪除文件的實(shí)際內(nèi)容仍然存在,可以被復(fù)原； 假如刪除文件后又創(chuàng)建了新文件,那么被刪文件所占用的扇區(qū)就有可能被新文件所使用,這時(shí)候就無(wú)法復(fù)原被刪文件的數(shù)據(jù)了； 所以一旦誤刪除了文件,就不要再對(duì)該文件所在的分區(qū)進(jìn)行寫(xiě)操作了,否就有可能掩蓋原有數(shù)據(jù),造成文件無(wú)法復(fù)原；學(xué)校問(wèn)：復(fù)原文件的三個(gè)階段1使用自動(dòng)化

2、復(fù)原軟件復(fù)原軟件 如 Finaldata或 EasyRecovery 等 使用很簡(jiǎn)潔,依據(jù)向?qū)У闹甘静僮骶涂梢?了；2手工復(fù)原被刪除數(shù)據(jù)手工復(fù)原的原理是直接在儲(chǔ)備設(shè)備上查找被刪除文件的關(guān)鍵內(nèi)容；這種方法適合復(fù)原有明顯特點(diǎn)而且結(jié)構(gòu)簡(jiǎn)潔的文件,如文本文件； 假如文件很大, 且分散于磁盤(pán)的不同位置,仍需要依據(jù)文檔的內(nèi)部結(jié)構(gòu)重新組織文檔,才能完全復(fù)原數(shù)據(jù)；3找專(zhuān)業(yè)的數(shù)據(jù)復(fù)原公司備份數(shù)據(jù)由于數(shù)據(jù)很重要,所以第一要進(jìn)行備份,萬(wàn)一顯現(xiàn)誤操作,仍可以把 U盤(pán)復(fù)原到最初的狀態(tài)； 這一步很重要,并且 U盤(pán)容量不大,備份不會(huì)占用太大磁盤(pán)空間；進(jìn)行扇區(qū)級(jí)別的磁盤(pán)數(shù)據(jù)備份有很多工具,如 Ghost、WinHex 和 D

3、iskExplorer,下面主要介紹 WinHex；WinHex是一個(gè) 16 進(jìn)制文件編輯工具,可以跳過(guò)操作系統(tǒng)的文件系統(tǒng)直接讀取磁盤(pán)和 U盤(pán)等設(shè)備,從而進(jìn)行數(shù)據(jù)復(fù)原；使用 WinHex 的“ Tools ” 菜單下面的“Open Disk” 命令,打開(kāi)物理U盤(pán)；在 WinHex 中看到 U盤(pán)的引導(dǎo)數(shù)據(jù)全是“FF” ,分區(qū)表和文件系統(tǒng)完全丟失了；從“ Edit ” 菜單中選擇“Define Block ” ,選擇起止為“Beginning of file” 和“End of file” ；Into New File” ,把整個(gè)U盤(pán)的數(shù)然后再?gòu)摹癊dit ” 菜單中選擇“Copy Block ”

4、 “據(jù)寫(xiě)到一個(gè)文件中 例如“u.img ” ,這樣就完成了U盤(pán)的備份；自動(dòng)復(fù)原完成備份后, 筆者嘗試用數(shù)據(jù)復(fù)原工具Finaldata、EasyRecovery 和 Recover4All進(jìn)行復(fù)原,由于 U盤(pán)容量很小, 很快就搜尋出很多文件,但是就是沒(méi)有發(fā)覺(jué)要找的那個(gè)重要文件,看來(lái)只能手工操作了；手工修復(fù)確定文件位置詢(xún)問(wèn)伴侶得知該文件是中英文混合的Word文檔,大部分是中文,含有少量英文,因此筆者準(zhǔn)備通過(guò)查找文件內(nèi)容嘗試復(fù)原文件；用 WinHex打開(kāi)前面儲(chǔ)存的U盤(pán)鏡像文件 在鏡像文件上進(jìn)行數(shù)據(jù)復(fù)原的好處是拜望速度比直接拜望 U盤(pán)快,而且仍可以防止破壞 U盤(pán)原有數(shù)據(jù)； 選擇“Search” 菜單中

5、的“Find Text ” 命令,從鏡像文件中直接搜尋文中包含的英文字符串“control needed” ；由于搜尋到太多的字符串“control needed” ,因此目前仍無(wú)法對(duì)文件進(jìn)行定位；假如能記住部分中文內(nèi)容,搜尋中文可以防止找到太多的結(jié)果；Word文檔中的中文用Unicode 編碼,因此打開(kāi)記事本輸入文章包含的中文字符“ 決策” ,另存為 Unicode 編碼的文件 test.txt；用 WinHex 打開(kāi)文件“test.txt” ,開(kāi)頭的“FFFE” 代表字符編碼的次序,因此隨后的“ B351567B” 就是“ 決策” 的Unicode 格式的 16 進(jìn)制表示；從 WinHex

6、 的“ Search” 菜單中選擇“Find Hex Values” 命令,在 U盤(pán)鏡像文件中搜尋“ B351567B” ；由于 WinHex 只能以?xún)?nèi)碼的格式顯示中文,Unicode 格式的中文都顯示為亂碼,那么如何知道是否找到了正確的數(shù)據(jù)呢？從搜尋到“B351567B” 的地方開(kāi)頭選擇一段數(shù)據(jù),仍然是從“Edit ” 菜單中選擇“Copy Block ” “Into New File” 復(fù)制到一個(gè)新的文件中noname.txt；打開(kāi)記事本, 選定剛才儲(chǔ)存的文件“noname.txt ” , 然后將編碼格式設(shè)置為“Unicode”格式后再打開(kāi)就可以看到它的真實(shí)內(nèi)容了,經(jīng)伴侶確認(rèn), 這段文字就

7、是要找的文件的部分內(nèi) 容；定位文件頭要完整地復(fù)原Word文檔,僅找到文件部分內(nèi)容是不夠的,我們需要找到DOC文件的開(kāi)頭 文件頭 ；用 WinHex 打開(kāi)任意一個(gè)已知的完好的Word 文件,可以看到文件的起始標(biāo)志字符串為“D0CF11E0” ,顯示為“ 邢. 唷” ；查到DOC文檔的特點(diǎn)標(biāo)志為“ D0CF11E0A1B11AE1” ；easy 提示純文本格式的TXT文件不像 Word文檔那樣有特點(diǎn)標(biāo)志,但復(fù)原時(shí)可以直接用WinHex搜尋文件中包含的中文或者英文關(guān)鍵字,確定文件所處位置；仍然是使用 WinHex的“ Find Hex Values” 命令,搜尋方向設(shè)置為“Up” ,也就是從剛才找到

8、的特點(diǎn)字符串“ 決策” 的位置往前搜尋 Word文件的起始標(biāo)志“D0CF11E0” ；找到 Word文件起始位置后,選擇“Edit ” 菜單中的“Define Block ” ,設(shè)定塊開(kāi)頭的位置為標(biāo)志字符串“D0CF11E0” 開(kāi)頭的地方,依據(jù)文件的大小, 設(shè)定一個(gè)估量的終止偏移量,可以盡量大一些,不要太小就可以了；從“Edit ” 菜單中選擇“Copy Block ” “Into New File ” 把定義的塊儲(chǔ)存為一個(gè)新文件 new.doc ；easy 提示如何運(yùn)算塊的大?。縒inHex 中的一個(gè)偏移量代表一個(gè)字節(jié)Byte ,運(yùn)行 Windows自帶的運(yùn)算器,切換到十六進(jìn)制模式,用終止地址減去開(kāi)頭地址就得到定義塊的大??；360000355A00A600 A600 十六進(jìn)制 42496十進(jìn)