一種基于Winhex的FAT32系統(tǒng)誤格式化數(shù)據(jù)恢復(fù)方法

張珈銘 馬昊

摘要：在數(shù)字化進(jìn)程中，數(shù)據(jù)丟失造成的破壞難以衡量。該文基于Winhex軟件，介紹了數(shù)據(jù)恢復(fù)的原理，以FAT32誤格式化為例，介紹了數(shù)據(jù)恢復(fù)的詳細(xì)過程，重點(diǎn)介紹了一種快速計算簇大小的方法，提高數(shù)據(jù)恢復(fù)的速度和準(zhǔn)確度。

關(guān)鍵詞：數(shù)據(jù)恢復(fù);Winhex;簇大小

中圖分類號：TP319 文獻(xiàn)標(biāo)識碼：A

文章編號：1009-3044（2020）13-0284-02

在信息數(shù)字化高速發(fā)展的今天，存儲在計算機(jī)中的數(shù)據(jù)資源極其重要。而一些人為，病毒，甚至存儲介質(zhì)自身缺陷造成的數(shù)據(jù)丟失，往往無法用金錢來衡量。因此，如何預(yù)防存儲介質(zhì)中的數(shù)據(jù)免受破壞，如何快速恢復(fù)丟失的數(shù)據(jù)，引起了越來越多的重視。在常見的數(shù)據(jù)恢復(fù)方法中，把數(shù)據(jù)恢復(fù)分為：硬恢復(fù)和軟恢復(fù)，如果保存數(shù)據(jù)的存儲介質(zhì)出現(xiàn)了物理故障，比如盤體有壞道，電路板芯片燒壞，盤體異響等故障，導(dǎo)致用戶取不出里面的數(shù)據(jù)，在這種情況下對該介質(zhì)中丟失的數(shù)據(jù)進(jìn)行恢復(fù)，就稱為硬恢復(fù);如果保存數(shù)據(jù)的存儲介質(zhì)沒有任何物理故障，由人為或病毒破壞所造成的數(shù)據(jù)丟失（比如誤格式化，誤分區(qū)），那么這樣的數(shù)據(jù)恢復(fù)就叫軟恢復(fù)。本文主要介紹的是一種基于Winhex工具的數(shù)據(jù)恢復(fù)。

1Winhex介紹

Winhex是一款功能十分強(qiáng)大的數(shù)據(jù)恢復(fù)軟件，占用內(nèi)存小，它主要用來檢查和修復(fù)各種文件、恢復(fù)刪除文件、硬盤損壞造成的數(shù)據(jù)丟失等。同時它還可以讓你看到其他程序隱藏起來的文件和數(shù)據(jù)。

Winhex還是一款十六進(jìn)制磁盤編輯軟件，用它來進(jìn)行數(shù)據(jù)恢復(fù)時，如圖l所示先用Winhex打開磁盤，邏輯驅(qū)動器是指電腦中的C、D、E、F盤格式化時產(chǎn)生的盤符;物理驅(qū)動器是指：電腦中看得見摸得著的物理硬盤、u盤、移動硬盤、光盤等。一般數(shù)據(jù)恢復(fù)都是從物理硬盤中打開需要恢復(fù)的分區(qū)。Winhex界面主要由工具欄，文件顯示區(qū)，偏移，十六進(jìn)制區(qū)，文本字符區(qū)，硬盤分區(qū)信息組成，如圖2所示。

2數(shù)據(jù)恢復(fù)原理

數(shù)據(jù)是存儲在硬盤上，硬盤一般劃分為四個部分。分別是主引導(dǎo)扇區(qū)MBR，文件分配表FAT，目錄區(qū)DIR和數(shù)據(jù)區(qū)Data。

硬盤的MBR分區(qū)表也叫Dos分區(qū)表，0號扇區(qū)是主引導(dǎo)記錄（MBR），Dos分區(qū)體系常用分區(qū)表來記錄每個分區(qū)的類型起始位置和分區(qū)的大小，如圖3所示。其中分區(qū)表就位于0號扇區(qū)，所以0號扇區(qū)如果損壞，那么硬盤就不能正確地識別分區(qū)。分區(qū)表的00H-00H偏移長度有1字節(jié)，OOH：不可引導(dǎo);80H：可引導(dǎo)（一般是系統(tǒng)盤）。01H-03H偏移長度有3字節(jié)，內(nèi)容是分區(qū)的起始CHS地址。04H-04H偏移長度有1字節(jié)，為分區(qū)的類型。05H-07H偏移長度有3字節(jié)，內(nèi)容為CHS地址（可空）。08H-0BH偏移長度有4字節(jié)，為分區(qū)的起始扇區(qū)號。0CH-0FH偏移長度有4字節(jié)，為分區(qū)所包含的扇區(qū)數(shù)。07H為NTFS、EX-FAT格式。0CH、OBH為FAT32格式，0FH、05H表示擴(kuò)展分區(qū)表。EEH表示為GPT格式。MBR硬盤的分區(qū)是連續(xù)的，一個緊挨著一個。所以在做數(shù)據(jù)恢復(fù)時，往往找到一個分區(qū)時，很快就能找到所有的分區(qū)。

每個硬盤一般都有幾億到幾十億個扇區(qū)，為了方便查看所需的信息首先需要找到對應(yīng)的字符。可以通過搜索界面查找所需信息（如圖4所示），偏移條件是指每512個字節(jié)從第幾個字節(jié)開始比較，比如搜索扇區(qū)結(jié)尾55AA（如圖3所示），可以設(shè)置偏移計算512=510（即跳過前面510個字節(jié)，只搜后兩字節(jié)），這樣可以大大縮短搜索信息所需的時間，提高工作效率。也可以選擇列出搜索結(jié)果（如圖5所示），判斷出所需要的字符串具體有幾個，在第幾個扇區(qū)，由此判斷出硬盤有什么問題，最后對癥下藥進(jìn)行恢復(fù)。

3FAT32誤格式化成NTFS恢復(fù)方法

在數(shù)據(jù)丟失中，有一種常見的故障，就是誤格式化。比如，硬盤或磁盤被誤格式化，引起數(shù)據(jù)全部丟失。這種數(shù)據(jù)丟失，可以依靠專門的數(shù)據(jù)恢復(fù)工具Winhex，手工計算，恢復(fù)分區(qū)表等辦法，來實(shí)現(xiàn)數(shù)據(jù)恢復(fù)。

首先，在計算機(jī)下附加FAT32格式的磁盤，在磁盤里存放一些文件，然后將其格式化成NTFS格式，再用Winhex軟件打開。看一下6號扇區(qū)它的備份DBR是否存在，備份DBR一般是已經(jīng)消失的。搜索F8FF，尋找FAT表，然后分別在2048扇區(qū)找到了FATl，在30720扇區(qū)找到了FAT2，兩個扇區(qū)數(shù)相減等于28672，求得整個FAT表的大小了。FAT表的大小加上FAT2的位置為59392，求得根目錄的位置。FAT表的大小為28672，每個FAT表有128個扇區(qū)，整個文件系統(tǒng)有128"28672=3670016個簇，用總扇區(qū)數(shù)232763737減去根目錄位置59392差值為232704345再除以3670016，商為63，最接近的數(shù)為64，即簇的大小為64。

除了上面介紹的常規(guī)方法之外，還有一種快速計算簇大小的方法。先搜索F8FF，用來尋找FAT表。之后在2048號扇區(qū)找到了FAT表1，在131072號扇區(qū)找到了FAT表2。用兩個子目錄來計算簇大小，在260160找到了一個子目錄，按F3繼續(xù)搜索，在260224找到了第二個子目錄，那么簇大小就是260224-260160=64，這樣能準(zhǔn)確地算出簇大小而不是算出近似值。

隨意打開一個FAT32格式的磁盤，查找它的DBR，將其復(fù)制到被格式化盤的0號扇區(qū)，修改關(guān)鍵參數(shù)：簇大小，F(xiàn)AT表大小，文件系統(tǒng)總扇區(qū)數(shù)，保存之后再重新打開，被破壞的文件就能被看到了。如果不能直接打開就只能復(fù)制文件出來，F(xiàn)AT32文件系統(tǒng)的文件不像NTFS文件系統(tǒng)，NTFS的文件是全都保存在一塊地方，可以用命令恢復(fù)，而FAT32的文件保存的相對比較分散，所以還是直接復(fù)制出來更好。

4結(jié)語

FAT32文件系統(tǒng)格式化成NTFS，對文件的破壞主要是對NTFS文件系統(tǒng)的特點(diǎn)進(jìn)行的。NTFS在格式化時會產(chǎn)生一些源文件，會分布在硬盤的各個地方，但是它對文件的破壞是很小的，不像FAT文件系統(tǒng)格式化成FAT32，要將前面的那些關(guān)鍵的FAT表，根目錄直接破壞掉，一般格式化成NTFS是沒有那么嚴(yán)重的，是隨機(jī)的。最后，快速計算簇大小的方法，可以精確計算，節(jié)省時間和避免誤差。