U盤的文件如果被删除,或者U盤被格式化以後,很多時候用恢複軟件恢複出來的office文件會打不開,其實隻要文件存在我們就可以使用winhex通過手工分析底層數據結構進行恢複。
這個是什麼原因呢?由于u盤的文件系統一般是fat32的,這種文件系統在存儲文件的時如果在u盤進行操作的次數多了就很容易産生碎片。
一旦u盤上存儲的文件産生碎片以後,由于這個文件的的底層數據存儲并不是連續存儲的,那麼如果用普通的恢複軟件去恢複的時候,往往恢複出來的文件都是不太正常的。
比如這個案例中,文件删除之後,用數據恢複軟件恢打開有問題
0
1
2
3
現在打開恢複完的文件看一下結果是看不懂的亂碼
4
在找不到專業軟件時,可以進行手工分析恢複那麼出現這種情況一般都是有碎片的文件,需要手工提取數據,這裡就用一款十六進制編輯器winhex來手工提取,當然這個前提是要對各類文件系統有深入的了解。
5
這就是那個分區在十六進制顯示的樣子,先跳轉到6291456号扇區
6
接下來把需要恢複的文件名轉換成Unicode編碼格式,因為NTFS分區格式是以Unicode編碼格式來命名的,轉換完之後點擊菜單欄的Search--->Find Hex Values 會彈出如下圖所示的窗口
7
把剛才轉換的16進制數值寫進去,向下搜索
8
光标停在了這個扇區,找到80屬性,我用紅色框框起來的就是我要恢複文件的簇流,就是根據這段簇流來恢複文件的,這個簇流不是連續的,有片段,這個就是平時所說的文件有碎片。
先算一下一個片段 起始位置:775124 簇大小:1
第二個片段 起始位置:16777253 簇大小:3 (第二個片段的起始位置是相對于第一個起始位置的)
第三個片段 起始位置:17552261 簇大小:41 (第三個片段的起始位置是相對于第二個起始位置的)
第四個片段 起始位置:17552345 簇大小:1 (第四個片段的起始位置是相對于第三個起始位置的)
一共有四個片段都計算完了,現在就需要提取每個片段的内容,先跳轉到第一個片段的位置将内容複制到新文件,剩下的操作都一樣
将每一個片段提取出來之後點擊winhex菜單欄Tools--->File Tools--->Concatenate會彈出需要保存文件的路徑及後綴
9
點擊保存後會彈出一個窗口選擇剛才提取出來的文件(注意,一定要按順序附加)
10
四個碎片附加完成之後點擊Done,附加完成,然後打開恢複的文件看一下
11
恢複完成,可以正常打開了
,更多精彩资讯请关注tft每日頭條,我们将持续为您更新最新资讯!