winhex修復(fù)u盤目錄亂碼的數(shù)據(jù)恢復(fù)

1、目錄亂碼原因很多，但大多是由于病毒破壞或移動硬盤、u盤、sd卡的誤操作。文件或目錄亂碼修復(fù)方法也很多，首先恢復(fù)數(shù)據(jù)或找到目錄亂碼的原因在用手工修復(fù)好錯誤，從而恢復(fù)數(shù)據(jù)，是我們現(xiàn)在最為科學(xué)的方法。用硬盤數(shù)據(jù)恢復(fù)軟件先恢復(fù)數(shù)據(jù)的方法可以參考（r-studio數(shù)據(jù)恢復(fù)軟件使用教程）鏈接地址：正好有個u盤出現(xiàn)目錄亂碼和文件亂碼的現(xiàn)象，并且打開文件夾目錄時提示目錄名、文件名或卷標出現(xiàn)語法不正確的提示。首先，我們先做u盤鏡像文件備份，以防操作失誤。winhex鏡像文件方法這里我就不多說了，可以到這里學(xué)習(xí)一下：完成鏡像備份后導(dǎo)入備份的文件進行目錄亂碼的分析。先打看根目錄看一下，看圖很明顯這并不是根目錄下的數(shù)

2、據(jù)內(nèi)容，這說明DBR有問題。  我們來檢查一下DBR的參數(shù)，打開DBR   分析OEM是亂碼，但影響不大。我們來檢測FAT1和FAT2是否正常。 分析：這是FAT32分區(qū)，F(xiàn)AT表正常下來再查看與他（地1024扇區(qū)）相鄰的兩個扇區(qū)，這時發(fā)現(xiàn)問題了：分析：第1023和1025扇區(qū)的數(shù)據(jù)，應(yīng)該是一個FAT表中的一部分，感覺第1024扇區(qū)（FAT2的開始扇區(qū)）的數(shù)據(jù)好像插在一個FAT表中間了，且FAT2只有一個扇區(qū)，這說明FAT表有問題，現(xiàn)在要找正確的FAT表，然后恢復(fù)。開始搜索FAT表：  查找發(fā)現(xiàn)3個FAT表：分析：

3、除原來看到的兩個FAT表外，在第990扇區(qū)發(fā)現(xiàn)一個FAT表，如果這是正確的FAT2(不可能是fat1)，那么數(shù)據(jù)區(qū)的開始扇區(qū)為：32加(990-32)乘2等于1948扇區(qū)，現(xiàn)在到第1948扇區(qū)去： 分析：顯然第1948扇區(qū)不是數(shù)據(jù)開始的扇區(qū)（DATA數(shù)據(jù)在FAT2后面，而FAT2最后一個扇區(qū)的時間一般是00），現(xiàn)在一直數(shù)據(jù)開始的扇區(qū)。那么我們要找根目錄區(qū)（DIR）或數(shù)據(jù)區(qū)的扇區(qū)。說明：FAT32分區(qū)中的根目錄不是固定的區(qū)域，固定大小與FAT16分區(qū)不同，但一般情況下是從第二簇（即DATA區(qū)開始的位置）開始的，也就是說：DATA數(shù)據(jù)區(qū)開始的數(shù)據(jù)是根目錄數(shù)據(jù)。尋找的方法：從DATA區(qū)向上

4、找，比如先到根目錄（第2016扇區(qū)，其實在現(xiàn)在的u盤中不是根目錄，是DATA區(qū)中間部分），然后向上搜索（方法見下圖），搜索到以后看下一個扇區(qū)是不是感冒了或者DATA區(qū)開始的數(shù)據(jù)。 最后在第1924扇區(qū)找到，根據(jù)內(nèi)容分析是根目錄數(shù)據(jù)（如果是子目錄，此扇區(qū)的第一個字節(jié)應(yīng)該是2E），感覺根目錄在DATA區(qū)的開始位置（后面還要驗證）。 開始分析根目錄區(qū)及子目錄數(shù)據(jù)：1、主要分析沒有刪除的子目錄（及文件夾）數(shù)據(jù)，從圖中可以找到兩個子目錄：子目錄1：銳利           

5、子目錄數(shù)據(jù)起始簇號：1CBH   即第715簇子目錄2：建利榮華    子目錄數(shù)據(jù)起始簇號：10002H   即第65538簇2、找子目錄數(shù)據(jù)（不能直接到715簇或65538簇去找，因為現(xiàn)在的DBR有問題），然后算出每簇扇區(qū)數(shù)及確認DATA開始的位置。方法：尋找搜索2E20202020202020 分析這4個子目錄數(shù)據(jù)（其實分析其中任意兩個即可）：  現(xiàn)在我們根據(jù)以上的公式來計算： 我們已經(jīng)基本掌握出現(xiàn)問題的情況，下一步進行確認和進行目錄及數(shù)據(jù)修復(fù)，我們在下一節(jié)具體介紹：wi

6、nhex修復(fù)u盤目錄亂碼的數(shù)據(jù)恢復(fù)：接上節(jié)的目錄亂碼-u盤文件目錄亂碼數(shù)據(jù)恢復(fù)接上節(jié)先來判斷正確的FAT表，并確定每個FAT表的扇區(qū)數(shù)。目前有兩個不同的FAT表（不討論1024扇區(qū)那個備份的FAT表），先要判斷哪個是正確的，方法如下：從前面分析的數(shù)據(jù)可知，地715簇是一個子目錄的起始簇，那么在FAT表中，不會有一個簇指向它（因為如果有一個簇指向第715簇，那么第715簇就不可能是一個開始簇），715換成16進制就是2CB，在FAT表中應(yīng)該表示為CB020000，所以如果在某一個FAT表中能找到CB020000，那么這個FAT表就不是原來正確的FAT表，在整個FAT表中（1924扇區(qū)前）搜索CB

7、020000。 搜索結(jié)果只有第37扇區(qū)有這個數(shù)據(jù)這個扇區(qū)在從第32扇區(qū)開始的FAT表中的數(shù)據(jù)，那么從990扇區(qū)開始的FAT表有可能是正確的，進一步判斷：在從990開始的FAT表中找到715簇對應(yīng)的位置： 從圖中可以看出，第715簇中的表項值（即它的下一簇）是716，第716簇中的表項值是FFFFF0F，表示結(jié)束，即這個子目錄的內(nèi)容占用715和716兩個簇?；旧洗_認了從990開始的扇區(qū)是原來正確的FAT表，而且應(yīng)該是原來的FAT2，那么現(xiàn)在可以推測出原來的分區(qū)情況：每FAT扇區(qū)數(shù)為：1924990=934FAT1開始的位置為：990934=56（也是DBR中保留扇區(qū)的扇區(qū)數(shù)）因此原來的U盤數(shù)據(jù)分布情況： 下來我們開始手工修復(fù)：1、FAT2-FAT1因為第1024扇區(qū)的數(shù)據(jù)（從第4352簇-4479簇）由于有原來的FAT2的數(shù)據(jù)而覆蓋了，現(xiàn)在先要修復(fù)一下，但不知道原來是多少，現(xiàn)在只能用一個連續(xù)的沒有碎片的，沒有結(jié)束標志的數(shù)據(jù)連結(jié)上，能不能正確恢復(fù)，要看運氣了，等恢復(fù)好后根據(jù)恢復(fù)情況在進一步微調(diào)。找一下從32開始的這個第4352-4479簇的數(shù)據(jù)，發(fā)現(xiàn)全部是連續(xù)的，符合條件： 把它復(fù)制到1024扇區(qū)上：  這樣1024扇區(qū)的數(shù)據(jù)修復(fù)完畢，現(xiàn)在把從第990扇區(qū)到1923扇區(qū)的FAT2內(nèi)容復(fù)