本帖最后由 天堂雨 于 2023-7-13 23:10 编辑
在上一个贴子中,已查看U盘,发现无法正常打开,但用R-STUDIO可以找到文件
下面用WINHEX分析看看磁盘
可以看到有一个磁盘分了一个EXFAT分区
磁盘引导扇区共计64K,其中第一扇区512字节中有描述信息
Inval id partition table
Error loading operating system
Missing operatV4.5system
技术细节报告显示:
移动存储介质 7
型号: Generic Flash Disk
序列号: 47B7****
固件版本号: 8.01
Bus: USB
总容量: 251,658,240,000 字节 = 234 GB
每扇区字节数: 512
扇区统计: 491,520,000
Read consistency: no anomalies detected
分区类型: MBR
Disk signature: 92185DC7
未分区空间: 0 扇区
分区 1
扇区 128 - 491,519,999
分区表: 扇区 0
文件系统： exFAT
总容量: 251,658,174,464 字节 = 234 GB
扇区统计: 491,519,872
每扇区字节数: 512
每簇字节数: 131,072
空余簇: 1,068,421 = 56% 空余
簇总数: 1,919,927
序列号: 4ACE14C6 (hex)
序列号: C614CE4A (hex, rev)
序列号: 3323252298 (dec, rev)
未使用的 分区间隙 空间:
扇区 0 - 127 (64.0 KB)
= 64.0 KB
使用模板管理器查看MBR主引导记录
查看EXFAT分区,
初步看来分区下的信息如下:
1.首扇区(0扇区)分区引导记录记录和数据是正常的.
2.第1扇区至23扇区可能数据异常,第12扇区是0扇区备份数据已损坏.
3.FAT文件分配表看起来是正常的
文件分配表项目0:F8FFFFFF,表示磁盘类型是硬盘
文件分配表项目1:FFFFFFFF,保留
文件分配表项目2和3:03000000和FFFFFFFF,表示文件分配表占用第2簇和第3簇.
3.簇位图$Bitmap和大写字符$UpCase和根目录未能正常显示,看来已损坏.
正常U盘见下图
查看分区首扇区(0扇区)分区引导记录参数
可见根目录在第5簇,每簇256个扇区(2^8=256),每扇区512字节(2^9=512).
每簇共计131072字节(512*256=131072).
转到第5簇根目录扇区,未能发现有效的目录项目,也没有簇位图$Bitmap和大写字母$Upcase,没有卷标项目,没有一般文件目录项目.
据此可判定根目录已损坏导致无法显示目录文件.
根据参数共计有1919927簇,在簇位图每位代表一簇,每8簇占1字节,共计1919927/8+1=239991字节,占用2簇,转到2簇3簇,查看可认为是$Bitmap簇位图.
$Bitmap簇位图之后是$UpCase大写字符表,转到4簇,其符合簇位图的形式.
簇位图$Bitmap在2-3簇
大写字符$UpCase在第4簇
因此数据恢复的思路为修改第5簇根目录项目数据项,正确记载簇位图$Bitmap,大写字符表$Upcase,卷标项目,以及设法恢复丢失的根目录文件夹项和根目录文件.
由于根目录已损坏,相应的根目录文件名和根目录文件也无法恢复,只能自行重新命名.
|
发表于 2023-7-13 22:23:49
.