海云数据恢复群有个网友,接了个500GB硬盘因为vista转xp后分区D,E,F分区能打开,但数据全部丢失的案例 (以前四个分区,现在还是四个分区)。网友自行使用数据恢复大师寻找分区未果,于是联系了我。
分析的结果:原D分区与新D分区开始扇区位置没变,但大小变化,原E,F 分区DBR,EBR均破坏,分析完后,数据成功恢复。
曲折的过程:我首先试图用winhex寻找落在柱面上的ebr,没找到。使用3f的寻找DBR,没有发现有用的。初步判断分区是好的,仅仅是误格式化了。于是用我写的80属性工具,算出了d盘的第一个元文件的dataruns,然后chkdsk/f,数据基本上完美恢复了.这进一步让我感觉分区应该没坏。 但是,同样的方法,在E,F盘是失效了,客户确定还有几百GB的东西,不翼而飞了!后来发现winhex快照能找到目录,但是所有的文件夹都是空的!
于是,我又分析了80属性工具生成的dataruns,用winhex跳过去一看,结果发现了两套MFT!原来分区是坏的!于是根据后一套MFT算出了分区开始位置和分区大小,重建了分区表和DBR,数据终于恢复了!
这一场耗了两天的远程数据恢复宣布结束! |