数据恢复案例.doc

案例1.HYPERLINK"http://bbs.yuhedata.com/thread-15745-1-1.html"佳能相机EOS5DCF卡提示格式化恢复成功

今天客户拿来相机说卡提示格式化想要里面的视频，插在电脑上一看的确提示格式化，按着杜老师教的用Winhex打开一看MBR还在DBR全部变成FF了搜索F8FF只找到FAT表2FAT1只剩下后面部分了分析了一下FAT表2很完整并得知为FAT32文件系统。接着搜索2E20到根目录看一下有一个名为DCIM的文件目录项且没有损坏接着到3号簇和4号簇5号簇看一下都没发现问题计算簇大小为64Sec,接着计算FAT表大小为3811Sec利用FAT表大小得知分区扇区总数为31219584好了接着从别的硬盘Copy一个FAT32分区的DBR分别填入以上参数簇大小64SecFAT大小3811Sec和分区大小31219548Sec保存弹出从新插拔一下进我的电脑已经可以打开了数据恢复成功。
总结：需要对分区结构、基础知识牢固。利用winhex软件

案例2.HYPERLINK"http://bbs.yuhedata.com/thread-15639-1-1.html"加1减1，数据恢复有时就是这么简单！
昨日去办事情，偶遇一客户。手机8GB卡由于热插拔导致提示“未格式化”。找了一台电脑下了一个WINHEX。打开U盘，发现分区开始位置没有DBR，而DBR却被向下移动了一个扇区。这个很简单，我并没有把DBR向上复制，而是把分区的开始扇区号加了一个“1”，把DBR里的保留扇区减去一个“1”。好了，点保存，WINHEX提示IO错误。最终解决了IO错误，弹出卡，然后再插入，分区正常打开，数据很完整。

IO问题是tf卡有保护
总结：灵活利用知识

案例3最近流行的U盘病毒，导致WORD打不开的恢复方法
最近接到几个U盘.问题基本都是一样,里面的WORD文件基本是打不开的,原本以为是什么大问题,可能想着要设计到重组碎片,价格就报了几百元,打算不弄,后来我就随便用WINHEX打开看了一下,发现文件头的前面每6个字节都破坏.我就打开个好的WORD把前面6个字节覆盖到坏的里面.文件就可以正常打开.我运气还是算好，去年老遇到前面的扇区很有规律的被覆盖。虽然这个没有什么技术含量.希望可以对其他人有帮助。
总结：文件损坏，分析文件结构损坏规律
案例4

实际数据恢复案例-手工修复FAT32文件系统
找来的一篇好文章，拿出来跟大家分享！今天接到一个朋友的客户做数据恢复，原来是4个分区CDEF。客户由于觉得C盘小，利用PQ分区大师将D盘部分区域划分给C盘，重启系统后，原CDF三个分区数据正常，E盘分区找不到。朋友用R-Studio扫描全盘，E盘数据始终找不到。拿到盘后看到情况如下，用Winhex查看发现分区4只是联想硬盘中的隐藏分区（用来还原系统的，不在客户所说的四个分区中）。分区3文件结构和磁盘大小都正常正常。分区2的DBR显示大小和实际大小不一致只有80GB，所以初步判断客户需要的E盘应该是和原来D盘合并成了现在的分区2。但如果仅仅是简单的合并利用R-Studio应该可以直接扫描出来，现在却没能正常扫描到，需要进一步分析。磁盘分区分布图根据分区2DBR显示大小找到实际结束位置，在194579343扇区发现了一个NTFS的DBR，但是这只是个孤立的DBR没有紧接着并没有NTLDR，可能是个备份。而且继续向下查找，发现一个FAT32分区的DBR。继续向下分析，在194579351位置发现了NTFSINDX文件，并且向下发现了更多的NTFS分区信息。本来以为这只是个孤立的事件。但在向下查找过程中意外发现了类似FAT表的数据，找到头部，发现居然然是一个完整FAT表，而表后是目录项。然后对刚刚发现的那个FAT32DBR进行解析，如果把这个FAT32DBR当成备份的话，刚刚看到的这个FAT应该是FAT2。而且显示的分区大小和到分区3之间的扇区数相等。而且从分区3开始的位置，从后向前找NTFS分区备份，也未能找到，说明丢失的E盘应该是FAT32分区。通过以上分析我猜测，丢失的分区正是个FAT32分区，分区DBR和FAT1在PQ移动过程中被覆盖掉，现在盘上发现NTFSDBR的位置正好是原来FAT32DBR的位置。根据这个想法，把备份FAT32DBR贴回，计算FAT1的实际位置，将FAT2还原到FAT1，如表恢复后所示。用Winehx展开当前恢复的分区，数据正常访问，用工具恢复数据，恢复完成。总结：1、不能盲目相信恢复工具，在文件系统关键信息丢失的情况下，恢复工具无法智能分析出文件系统结构；2、使用PQ工具是一定要注意备份当前数据；3、对文件系统结构要非常熟悉。

案例6 硬盘在电脑上无法识别到盘符故障1
硬盘检