winhex修復(fù)u盤目錄亂碼的數(shù)據(jù)恢復(fù)

1、目錄亂碼原因很多，但大多是由于病毒破壞或移動(dòng)硬盤、u盤、sd卡的誤操作。文件或目錄亂碼修復(fù)方法也很多，首先恢復(fù)數(shù)據(jù)或找到目錄亂碼的原因在用手工修復(fù)好錯(cuò)誤，從而恢復(fù)數(shù)據(jù)，是我們現(xiàn)在最為科學(xué)的方法。用硬盤數(shù)據(jù)恢復(fù)軟件先恢復(fù)數(shù)據(jù)的方法可以參考（r-studio數(shù)據(jù)恢復(fù)軟件使用教程）鏈接地址：正好有個(gè)u盤出現(xiàn)目錄亂碼和文件亂碼的現(xiàn)象，并且打開文件夾目錄時(shí)提示目錄名、文件名或卷標(biāo)出現(xiàn)語法不正確的提示。首先，我們先做u盤鏡像文件備份，以防操作失誤。winhex鏡像文件方法這里我就不多說了，可以到這里學(xué)習(xí)一下：完成鏡像備份后導(dǎo)入備份的文件進(jìn)行目錄亂碼的分析。先打看根目錄看一下，看圖很明顯這并不是根目錄下的數(shù)

2、據(jù)內(nèi)容，這說明DBR有問題。  我們來檢查一下DBR的參數(shù)，打開DBR   分析OEM是亂碼，但影響不大。我們來檢測FAT1和FAT2是否正常。 分析：這是FAT32分區(qū)，F(xiàn)AT表正常下來再查看與他（地1024扇區(qū)）相鄰的兩個(gè)扇區(qū)，這時(shí)發(fā)現(xiàn)問題了：分析：第1023和1025扇區(qū)的數(shù)據(jù)，應(yīng)該是一個(gè)FAT表中的一部分，感覺第1024扇區(qū)（FAT2的開始扇區(qū)）的數(shù)據(jù)好像插在一個(gè)FAT表中間了，且FAT2只有一個(gè)扇區(qū)，這說明FAT表有問題，現(xiàn)在要找正確的FAT表，然后恢復(fù)。開始搜索FAT表：  查找發(fā)現(xiàn)3個(gè)FAT表：分析：

3、除原來看到的兩個(gè)FAT表外，在第990扇區(qū)發(fā)現(xiàn)一個(gè)FAT表，如果這是正確的FAT2(不可能是fat1)，那么數(shù)據(jù)區(qū)的開始扇區(qū)為：32加(990-32)乘2等于1948扇區(qū)，現(xiàn)在到第1948扇區(qū)去： 分析：顯然第1948扇區(qū)不是數(shù)據(jù)開始的扇區(qū)（DATA數(shù)據(jù)在FAT2后面，而FAT2最后一個(gè)扇區(qū)的時(shí)間一般是00），現(xiàn)在一直數(shù)據(jù)開始的扇區(qū)。那么我們要找根目錄區(qū)（DIR）或數(shù)據(jù)區(qū)的扇區(qū)。說明：FAT32分區(qū)中的根目錄不是固定的區(qū)域，固定大小與FAT16分區(qū)不同，但一般情況下是從第二簇（即DATA區(qū)開始的位置）開始的，也就是說：DATA數(shù)據(jù)區(qū)開始的數(shù)據(jù)是根目錄數(shù)據(jù)。尋找的方法：從DATA區(qū)向上

4、找，比如先到根目錄（第2016扇區(qū)，其實(shí)在現(xiàn)在的u盤中不是根目錄，是DATA區(qū)中間部分），然后向上搜索（方法見下圖），搜索到以后看下一個(gè)扇區(qū)是不是感冒了或者DATA區(qū)開始的數(shù)據(jù)。 最后在第1924扇區(qū)找到，根據(jù)內(nèi)容分析是根目錄數(shù)據(jù)（如果是子目錄，此扇區(qū)的第一個(gè)字節(jié)應(yīng)該是2E），感覺根目錄在DATA區(qū)的開始位置（后面還要驗(yàn)證）。 開始分析根目錄區(qū)及子目錄數(shù)據(jù)：1、主要分析沒有刪除的子目錄（及文件夾）數(shù)據(jù)，從圖中可以找到兩個(gè)子目錄：子目錄1：銳利           

5、子目錄數(shù)據(jù)起始簇號(hào)：1CBH   即第715簇子目錄2：建利榮華    子目錄數(shù)據(jù)起始簇號(hào)：10002H   即第65538簇2、找子目錄數(shù)據(jù)（不能直接到715簇或65538簇去找，因?yàn)楝F(xiàn)在的DBR有問題），然后算出每簇扇區(qū)數(shù)及確認(rèn)DATA開始的位置。方法：尋找搜索2E20202020202020 分析這4個(gè)子目錄數(shù)據(jù)（其實(shí)分析其中任意兩個(gè)即可）：  現(xiàn)在我們根據(jù)以上的公式來計(jì)算： 我們已經(jīng)基本掌握出現(xiàn)問題的情況，下一步進(jìn)行確認(rèn)和進(jìn)行目錄及數(shù)據(jù)修復(fù)，我們?cè)谙乱还?jié)具體介紹：wi

6、nhex修復(fù)u盤目錄亂碼的數(shù)據(jù)恢復(fù)：接上節(jié)的目錄亂碼-u盤文件目錄亂碼數(shù)據(jù)恢復(fù)接上節(jié)先來判斷正確的FAT表，并確定每個(gè)FAT表的扇區(qū)數(shù)。目前有兩個(gè)不同的FAT表（不討論1024扇區(qū)那個(gè)備份的FAT表），先要判斷哪個(gè)是正確的，方法如下：從前面分析的數(shù)據(jù)可知，地715簇是一個(gè)子目錄的起始簇，那么在FAT表中，不會(huì)有一個(gè)簇指向它（因?yàn)槿绻幸粋€(gè)簇指向第715簇，那么第715簇就不可能是一個(gè)開始簇），715換成16進(jìn)制就是2CB，在FAT表中應(yīng)該表示為CB020000，所以如果在某一個(gè)FAT表中能找到CB020000，那么這個(gè)FAT表就不是原來正確的FAT表，在整個(gè)FAT表中（1924扇區(qū)前）搜索CB

7、020000。 搜索結(jié)果只有第37扇區(qū)有這個(gè)數(shù)據(jù)這個(gè)扇區(qū)在從第32扇區(qū)開始的FAT表中的數(shù)據(jù)，那么從990扇區(qū)開始的FAT表有可能是正確的，進(jìn)一步判斷：在從990開始的FAT表中找到715簇對(duì)應(yīng)的位置： 從圖中可以看出，第715簇中的表項(xiàng)值（即它的下一簇）是716，第716簇中的表項(xiàng)值是FFFFF0F，表示結(jié)束，即這個(gè)子目錄的內(nèi)容占用715和716兩個(gè)簇。基本上確認(rèn)了從990開始的扇區(qū)是原來正確的FAT表，而且應(yīng)該是原來的FAT2，那么現(xiàn)在可以推測出原來的分區(qū)情況：每FAT扇區(qū)數(shù)為：1924990=934FAT1開始的位置為：990934=56（也是DBR中保留扇區(qū)的扇區(qū)數(shù)）因此原來的U盤數(shù)據(jù)分布情況： 下來我們開始手工修復(fù)：1、FAT2-FAT1因?yàn)榈?024扇區(qū)的數(shù)據(jù)（從第4352簇-4479簇）由于有原來的FAT2的數(shù)據(jù)而覆蓋了，現(xiàn)在先要修復(fù)一下，但不知道原來是多少，現(xiàn)在只能用一個(gè)連續(xù)的沒有碎片的，沒有結(jié)束標(biāo)志的數(shù)據(jù)連結(jié)上，能不能正確恢復(fù)，要看運(yùn)氣了，等恢復(fù)好后根據(jù)恢復(fù)情況在進(jìn)一步微調(diào)。找一下從32開始的這個(gè)第4352-4479簇的數(shù)據(jù)，發(fā)現(xiàn)全部是連續(xù)的，符合條件： 把它復(fù)制到1024扇區(qū)上：  這樣1024扇區(qū)的數(shù)據(jù)修復(fù)完畢，現(xiàn)在把從第990扇區(qū)到1923扇區(qū)的FAT2內(nèi)容復(fù)