用winhex修复SD卡中丢失的数据

1、说明：1、本案例的恢复我是以图片形式上传，这样做有两方面的原因：一是案例中的图片较多，上传比较麻烦；二是防止别人“非法”转载（以前有的朋友在转载我的案例时变成自己的作品了，这至少是对原创者的不尊重。），这样做可以防止“盗版”，呵呵!2、如果你想看完整的内容，你得花费二两银子，二两银子不贵啊，我可是用了一天的时间才完成这个案例！如果你觉得这个案例不值二两银子就不用购买，也能看部分内容。;iD+的机翼机航窗CT山立trt用RNHIX恢复SD卡中丢失的数据幡者:华山仪惠4胡H3Ml分K&wn：本文仅供个人学习1时究.如需夏瑚.特装请注明出处.未!琲者许可，不得伸任何商业用if.TLC的SD卡

2、.里面是去黄山SJ玩时则哂第1录像，鱼后来不知什幺躺，大部公1UB强失.墓制SD卡后购1a魅后用ZnsDuk加拗Ht.4MtM觥后在电船中舁示的分包餐格RR见下国I本文的隆中的区朝邈个卡的常“”）&n1511客测6,丁英,餐3字节930n碓皂荔震工j驰谢I从属性中可以看出这个卡中装有923M的数据，打开这个分区，根目录下只有一个文件夹（DCIM）,这个文件夹中有156M的数据，名痂大小类型修改日期第1页共9页打开DCIM这个文件夹，发现里面只有一个文件夹（101CANON），156M数据:itDCIim«J名林大小类型修改日期101CAWM文件夹2008-5-31117121

3、01CAJIOBE性常规共享自定义口英猿文件夹位置I:DCIB大小：156NB（163,971,946字节）占用穷回：156»B（163,975,168字节）包含:3个文件，。个文件夹创建时间：2006年5月31日，11:1248101CAN0N打开101CANON这个文件夹，里面有两张图片和一个视域（以两种方式显示，见下图），图片不能打开，文件大小是0（这个后面再分析），156M的数据就是这个视频文件.而且这个视频可以正常播放.也就是说现在这个卡中现在能找到的有效数据只有这个视频.K9M0lCAm寰片犬小英N修改日口0D!EMoa-5-31Itt50DJTKE*8XAV3tIIHM

4、ICD1UUEaO-5-31II29RUtnMBH尺寸MO«MOIZDCIR1O1CKJTOU势着分析了这个分区的DBR.FAT表（FAT32分区）.一W正常,没有格式化的现象.但在分g属性中有923M的数宛,而实际看到的只有156M,还有加7M的数据没有了,现在要恢复的就是这767M的数据，根据我的经验（不一定正确力，SD卡的数据一般不是直接放在粮目录下，而是放在文件天中，先看根目录下的蜕据，Offset0123456789ABCDE001E00O08443494D2020202020202010000098001B0010BF38BF3802009859BF3891F600000

5、0001E0020000000000000000000000000000000001E0030000000000000000000000000000000只有一个文件夹，这个文件夹就是前面看到的DCIM文件夹，猫想有可能是文件夹的目录项丢失引起的,现在我这个分区中所有的文件夹薮据,寻找方法如下,否找16湃：M敷侨fSc下列的16迸制更值除被技素9：>120202020202020口用作通配苻M*（X）至即回条件（512«0搜索结果为:Offset00A7400000A7401000A74020O0A74O3000A7404C00A7405000A7406000A7407000A

6、7408000A74090620M20A034印3320340B520002000350035835004200020003100310031003203820385F霓5F385F38220BF20BF47C647C647C6120382E3838384D38。擘即2EBF49BF49BF49BF89ABCDE20202010E400AOBF38960800000020202010E400AOBF3803000000004A50472000005DBF38970829952C4A504720000020BF380400OC203A4A5047200000OBBF38A703Bl393394内

7、00?.就?.嬉00?.3BIIGJ545JPG00?.,?)?9B1G539JPG.00?.洽：32IIGJ540JPG200?.2m321408扇区Offset.仲?.怦?101CAWN.?z.W?靠7XAM3N?.铜?作909090800505050BOO3DBOBD6OD9O9O9OCOO000000000000000000E400E400000000g000602060601F1O1F1FO20912000209220930020382038203820380020BF20BF20W20C100205920594E594EB800209820984F984FC600200020004

8、E004E00002002200041024102002038203843384338831BFE5C1002F86F0002F86F0102F86F0202F8SF0302F86F0402F86F0502F86F0602F86F0702F86F0801557368扇区I.卅冲涛.卅TI.擀?尼微658JPG擀?.柝?授d?.IKJ659JPG7?.绮部.IKL1660JPGZnIW.5900590059005900SA00巽89800%33K00300OO8OOOO8ADOOOO8OOE48E4OOOOXOOOO8OO10F610F620F620F920叩20922091479347S477

9、22038203850385038503820BF2tBF4ABF4Aw4ABF09098999QA252535353508085857612929393F3O2000200036003600360002021212122020303030O8O8F8F8F8232353引35320BF20BF47BF47BF47BF20珀ZE阳1D22ID知1D阳2323434343EF£F5F9F9FZBZBEB4B4B2F8700002F8700102F8700202F8700302F8700402P8700502F8700602F8700702r8700802F8700901557376扇区

10、I.窗?.聃?摸?璃?.莉?虎.例;744JPG璃B800的00B800C600C600C629000000000005E400E40000930606061F1F2F2093209147“苔20382038503820C120C14AC13隼20B820B8“B820C620C634C6200020003700200220023102203S20385F3820C120C147C120382E384D382EC12KC1E5C12F8710002P8710102F8710202F8710302F871M0费871050?一.？|717.-779C00K00002DM2D0000googoog

11、BOO8OOOO1OU1OOOOO区2000200000MB203720370057320242024001552O9C2O9COO202D202D82000208002000200000203720370020242024820372E378断242£24003B8580103P3B388380401950144屋区分析，共找到5个文件夹，它们的位置分别在，21408扇区、1557368扇区、1557376扇区、1557384扇区、1950144扇区,其中第1950144扇区卬的文件夹是一个空文件夹，没有内容,这个技除，第1557384同区的数据好像全部端除，现在在W1NHE：中官

12、能看到的几个文件央所在的扇区，JIOICAMiaMMi而石"4"mtHowi"夕rmeeiwb4能看到三个文件夹，它II1所在的扇区是，1557368扇区、1557376扇区、1557384扇区,其中第15573弘扇区的这个文件夹删除了，和刚才分析的一样.所以可以判断丢失的那个文件夬是在第21408国区，再一次分析第21408扇区的数据：Offset01234500X74000202020202000A74010BF38BF3800000CA740202E2E2020202000A74030BF38BF38000000A740404940475P31350QA74

13、050BF38C63800000OA74060494D475F31350OA74070BF38C638000000X74080494D475F313500A74090BF38C6380000二卜文件夹中有数据，没有恻除，O4O45B9BO2上2929333933上OOOO4D3O4B2A2A353230它4O4OO9OCO1EOEOO2oaoB氢0800080003s101020202030603777477翳292O494O4A通20382038503850385038M20BF20BF4ABF4ABF4ABFfD00000000009500200039I.斓?.U?.灌.?.«?

14、IIGJ545JPG?.;?)?I1C.1539JPG.?.洽8一：IIC.1540JPC.2?.2?3现在到第3镇看看:001E1000001E1010001E1020001E1030001E10400000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000第3辍开始扇区的内容第4页共9页第3簇中没有数据,因此可以看出是这儿的数据丢失

15、引起的，现在在根目录下手工重建一个文件夹，指向第21408扇区就可以恢复数据了，但先要把第21408扇区中的数据要修正一下,将这个文件夹的上级目录指向根目录I00A74000Se2020202020202020202010E400AO9400A74010BF38BF380000AO94BF3896080000000000A740202E2E20202020202020202010E400AO9400A74030BF38BF380000AO94BF3810300100000000修正前00A740002E2020202020202020202010E400A09400A74010BF38BF38

16、0000AO94BF3896080000000000A740202E2E20202020202020202010E400A09400A74030BF38BF380000AO9400000000修正后接看在根目录下重建一个文件夹,这个文件夹所在的盗号指向第21408显区所在的旗号就可以把丢失的文件夹恢复，第21408扇区是多少簇呢？有一个蔺单方法就是直接到第21408扇区去看，从下图中可以看出，第21408扇区是第0896H旗:00A7400000A7401000A7402000A740302920202020202020BF38BF38时55；A0942E2E202020202020BF38B

17、F380000A09420BF20BF203820382010E4002010E400000000000000A000A00094009400看一二恢复的这个文件夹的数据大小:重建的这个文件夹中有124个文件,共758M的数据:名称上大小类型修改日期Q001文件夹2008-5-3111712：ODCIM文件夹2008-5-3111:12001属性常规共享自定义001类型：文件夹位置：工人大小：758MB。95,122,482字节）占用空间：758MB095,394,048字节）包含:创建时间：124个文件NT20。8年5月31中:恢复到此.慝觉谟结束了恒仔绢一看发现f司思：恢复的这个文件支加g

18、是758M.取来的文件夹的数提是I56M,总其是914M,但在分区尿性中的已用空砒323M，说明庄育9M的款据还没有恢复：e*2«时用966.228.M4TVW3O29.904.0M字节27IW80BHARD.COM硬盘基地第6夏共9H普记否，开始打开101CANON这个文件夹时看到里面有两个图片不能打开,且容量是0：OIWUMOICMDV大小奥力,日”幅片柏笔日财尺寸B片oa加G_l«5订0DJTK即爆200B-5-31II150DJTKSKI200»-5-3l11It窄力幻灯片查ISO.129DIWtt传tOB-5-31112tMOx480是不是这两个文件。字

19、节引起的呢？现在分析这两个文件:2F8700002F8700102F8700202F8700302F8700402F8700502P8700602P8700702F8700802F8700902F8700A02F8700B02EBF2EBFE5BF49BF49BFE5BF202038BF2E2038BF4D4738BF4D4738C94D4738C94D4738Cl20022002310231023102310020002000360036003600360020BF20BF4ABF4ABF4ABF4ABF202038922020389150473893504710“F60010E4F6002

20、000F664200000980000009800000098AD3300F7I.用机?神?森.啾?.启|jG658JPG格2V鸭IG1659TpgL.M38CEP9(000000的I?.维?矽5047200000015A1购讪1闻.Z3872FD1000000001Ti.Z?r?50472000000?5A腰G661JPG.Z3839022AEF5200Z?9魏这两个文件的大小都是00.分析第一个文件的数据.494D475F313635394A5047200000F759IMG659JPG.脑BF38C938oToolF759BF38ICEF9l00000000?.脑?矽这个文件的起始簇号是

21、02F9CEH（换成10进制是1950221到FAT表中的那个位置去:00000080000800300008008020202020202020202020202020299999999999AAID0MD8DCE0AE8KF0MF8FC00040O8OO80O000OOOOOOO0O0OOO020202020202020202020202029999AFFFFFFFFFFFFFBDTDBwESBTuuFSHFBFFaO0O0O0O0O0O08O0O0O0O0O0O080002020202020202020202020202OFFFFFFFFFFFFF00D2D6MDeE2扬EAUF2F6FAFI0200000000008800000000000000000202020202020202020202020200P9F9F9F9P9F9F9F9F9F9F9F9FA8D1D5D9D0E1ESB9ED门F5F9FD01000C2F30000C2F40000C2F50OOOC2F60000C2F70000C2F80000C2FK000C2FA0000C2FB0000C2