Winhex手工恢复U盘乱码数据一例

1、Winhex手工恢复U盘乱码数据一例 核心提示：U盘连接电脑后无法打开，拔插一次后可以打开，但目录变成乱码（如图1）。这是根目录受损的典型故障。往往是由于病毒的破坏或者干扰造成读写错误所致，具体破坏的程度和方式比较复杂。本案例显然是u盘感染了一种带有自动运行功能的病毒。乱码的文件夹无法打开U盘连接电脑后无法打开，拔插一次后可以打开，但目录变成乱码（如图1）。这是根目录受损的典型故障。往往是由于病毒的破坏或者干扰造成读写错误所致，具体破坏的程度和方式比较复杂。本案例显然是u盘感染了一种带有自动运行功能的病毒。乱码的文件夹无法打开。U盘里的一些重要数据丢失。由于重要数据装在文件夹里面，所以可以用w

2、inhex手工重建根目录文件夹的方法来找回丢失的重要数据（当然没有百分之百的把握）。 图1为了避免u盘长时间工作有可能导致硬件损坏的风险，以及数据受到二次破坏的风险，先用Winhex制作u盘的镜像文件，然后对镜像文件进行数据恢复操作。启动绿色版ha_WinHex14.1SR-6。点“工具打开磁盘”，在对话框中选择“逻辑磁盘”中的u盘盘符，或者“物理磁盘”中的u盘名称（本人选择后者），打开u盘。点“文件创建磁盘镜像”，在打开的对话框中选择镜像文件保存的路径，点选“raw镜像”（如图2），然后“确定”，几分钟后镜像文件创建完毕，关闭软件或关闭软件中打开的u盘，就可以把u盘退出来并拔掉。图2怎样在w

3、inhex中使用镜像文件恢复数据呢？在winhex中点“文件打开”，找到保存在电脑中的影像文件打开即可。接下来这步操作非常关键，点“专业工具设置镜像文件为磁盘”，这时打开的镜像文件就变成了与直接打开u盘的界面一摸一样了，操作起来与直接操作u盘没有什么区别（如图3，由于镜像文件是“物理磁盘”，需要双击“分区1”才会进入图3界面，如果镜像文件是“逻辑磁盘”可以直接看到图3的分区界面）。图3点击“offset”行右端的“访问”功能下拉菜单（黑三角），点选“根目录”，主界面跳到根目录的第一扇区（如图4，每个扇区有半透明横线隔开）。根目录的目录登记项就从这一扇区开始登记。U盘根目录中的文件夹和文件的名称

4、之所以变成乱码，就是因为这里的目录登记项被改写为“FF”或者乱码（如图4、图5所示，图5为点击滑动条向下移动看到的根目录第二扇区）。目录登记项一般占两行（如图5阴影部分）。长文件名目录登记项占4行，前两行里面有很多“FF”，很容易辨别出来，后两行与两行的目录登记项样式完全相同（如图6阴影部分）。以“E5”开头的目录登记项，说明该目录已经被删除。以下是名为“HH”的文件夹的目录登记项：48? 48? 20? 20? 20? 20? 20? 20? ?20? 20? 20? 10? 00? 5B? 4E? 865C? 39? 5C? 39? 0D? 00? 4F? 86? 5C? 39? 18?

5、4D? 00? 00? 00? 00该目录登记项为两行，前11个字节表示文件名和扩展名，其中“48”是“H”的编码，20表示空位。第二行左起第5、6、11、12个字节标明子目录文件夹所在位置的首簇号（文件是以簇为最小单位保存的，而不是以扇区为最小单位保存，本u盘一簇由8扇区构成）。第二行左起第5、6、11、12个字节分别为“0D”、“00”、“18”、“4D”，所以该子目录所在位置的首簇号为“000D4D18”（16进制，组合顺序为第6、5、12、11）。其他字节表示创建时间、更新时间、访问时间、属性等，本案例不需要关注这些内容。图4图5图6根目录文件夹和文件名称乱码，一般只是根目录登记项受破

6、坏，根目录登记项指向的子目录一般不会受破坏。所以需要把这些没有被破坏的子目录找到。点击“访问”功能下拉菜单的“搜索目录（向下）”（如图7），就可以自动找到一个子目录。子目录所在扇区的前四行是两个特殊的目录登记项（如图8），第一个目录登记项名称编码为“2E”，转化为文本就是“.”，第二个目录登记项名称编码为“2E2E”，转化为文本就是“.”。这两个文本符号是区分子目录的最明显标志。第一个目录登记项是该文件夹自身的目录登记项，首簇号就是该目录所在位置的簇号，第二个目录登记项其实就是父目录的目录登记项副本，首簇号指向父目录所在位置的簇号，如果父目录的目录登记项丢失的话，可以直接用这个副本做模板恢复，

7、只需要改一下文件夹名称即可。如果第二个目录登记项的首簇号全为“0”，说明该目录的父目录是根目录，如果不是“0”，说明该目录的父目录不是根目录。由于我们需要先恢复根目录，所以搜索时看到第二个目录登记项的首簇号全为“0”的目录，就把第一个目录登记项的首簇号数据抄下来，也就是记住该目录所在位置。不断点击“搜索目录（向下）”，直至显示100完成。搜索过程需要一定时间。图7图8找到所有指向根目录的子目录的首簇号后，我们就开始恢复根目录登记项。我们以任意一个子目录的“.”或“.”目录登记项为模板（如图9），拖动鼠标选中一个登记项，右击点“编辑复制选块标准”，完成复制。转到根目录第一扇区（如图10），右击第

8、一行第一个字符，或者选择一个已经删除的目录登记项右击开头的“E”字符，也可以选择全部是“FF”（即-1，表示空闲的地方）的奇数行的左起第一个字符位置，点选“剪贴板数据写入”，完成粘贴。一般来讲，后两种粘贴位置比较稳妥。粘贴的数据为蓝色，表示还没有真正写入，还可以撤销。本案例找到4个指向根目录的子目录，所以总共粘贴4次。然后更改粘贴的目录项的文件名，本案例分别更改为E、EE、EEE、EEEE，再把这4个目录登记项的首簇号分别改为搜索时抄下来的4个首簇号。至此恢复根目录登记项完成。点击“文件保存扇区”，弹出提示对话框点“确定”，完成保存，蓝色数据变为黑色，表明已经写入，无法撤销。 核心提示：图9

9、图10 要看到改写的实际效果，还要刷新。点专业工具获取卷快照，在弹出的对话框中点选获取新快照，确定（如图11）。获取快照完成，就可以在目录浏览器中看到恢复出来的四个文件夹（如图12）。双击打开这些文件图9图10要看到改写的实际效果，还要刷新。点“专业工具获取卷快照”，在弹出的对话框中点选“获取新快照”，确定（如图11）。获取快照完成，就可以在目录浏览器中看到恢复出来的四个文件夹（如图12）。双击打开这些文件夹，其中EEE文件夹里面看到了丢失的文件及文件夹，要找的重要数据都在里面（如图13）。点击处于最上方的“.”文件夹可以返回文件夹的上一层。右击EEE文件夹，点选“恢复/复制”，选择合适保存位

10、置提取恢复出来的文件即可（如图14）。图11图12图13图14以上恢复根目录的过程也可以用这样的方法来实现：在我们搜索到第一个子目录的时候，如果父目录不是根目录，直接将“.”目录登记项复制粘贴到根目录第一扇区，如果父目录是根目录，就将“.”目录登记项复制粘贴到根目录第一扇区，然后修改文件名即可。本人用这一办法恢复以上案例数据时文件夹名定为“HH”，刷新后就可以在目录浏览器中看到（如图15），双击打开就可以看到需要恢复的文件和文件夹。当然这样恢复具有一定的偶然性，不够严谨。不过省时省力，不妨在全面搜索之前试一下，也许会给你带来惊喜。图15如果想把根目录乱码文件夹和文件去掉，只需把根目录前8扇区（本u盘一簇为8扇区）中，除了我们建立的目录登记项外的其他位置，全部填上“FF”即可