硬盘提示“未格式化”的winhex手工恢复

王鹏 · 发表于 2010-1-13 17:11:00

作者简介：1.王鹏。现任山东青岛四通数据恢复总工程师，曾为《数据重现》的创作提供了宝贵的意见和建议，擅长RAID恢复（RAID0、RAID1、RAID5、RAID6、RAID-ADG、RAD-D）P并精通liunx unix mac下的RAID恢复。
一个希捷250G的移动硬盘，客户在使用的过程中，意外断电，重新插入打开第二个分区（FAT32）时提示“分区未被格式化，想现在格式化吗”的对话框。
客户上网求助，并没有做格式化的操作。（这是的100%恢复率的决定*因素， FAT32碎片的产生的几率非常高。如果格式化，或者删除，恢复出来的文件必然有打不开，或者打开为乱码的情况）
拿到我中心恢复，用winhex打开，如下图

用winhex打开，如下图

此位置应该为DBR，单现在已经被乱码覆盖。
分析：
一．计算相关参数
搜索F8FFFF0FH以查找两个FAT表
但到19646位置才找到一个F8FFFF0FH开头的扇区，分析发现，这是一个正常的FAT表，而且应该是FAT2接下来搜索根目录的其实位置。搜索2E202020偏移512=0，找到第一个2E202020开头的山区后，向上找一个簇，就是根目录的开始位置，在39260扇区找到了根目录。
由此可知，
1.FAT表大小=根目录的位置—FAT2的位置
39260-19646=19614（扇区）
2. FAT1表的起始位置=FAT2的位置-FAT表的大小

19646-19614=32
3.簇大小，FAT32一般根目录的起始位置为第二簇，向下搜索2E202020H，查看其关于自身位置的描述，如果为3，那么簇大小就等于2E202020H的扇区号减去根目录所在的扇区号 =
簇大小（扇区）。此案例中簇大小为64个扇区
（注：簇大小的计算方法有很多，以后的教程当中会逐步介绍）

二.用FAT2覆写FAT1
1.跳转到19464号扇区选取开始——跳转到39260扇区——在上一个扇区的最后一个字节选择“选取结尾”——单击右键——编辑——复制——十六进制
2.跳转到32号扇区的在第一个字节单击右键，选择编辑——写入，然后保存修改

三.重建DBR
重建DBR可以有快速的方法重建DBR的过程中，可以使用模板功能。具体方法如下:
查看——模板——boot sector FAT32.

在模板上修改，关闭后会提示是否保存。选择保存，重新启动
数据全部自动重现，100%恢复。