恢复案例. CASES OF RESTORATION

 

栏目导航
所在位置:首页 > 恢复案例
NTFS-$Volume丢失导致分区无法正常打开一例
更新时间:2019-09-20 作者:海马鑫好
详细介绍

在我们数据恢复工作中经常会遇到“分区提示格式化”或是“文件目录结构错误或损坏”这类故障,出现此原因一般是因为硬盘有坏道或是分区参数损坏导致的。

通常情况下我们先使用第三方恢复工具把数据先安全备份后在对原始设备进行修复。

Chkdsk.exe 是 CHKDSK 程序的命令行界面,我们可以在命令提示符程序框下直接使用该命令,该程序用于验证文件系统的逻辑完整性。如果 CHKDSK 在文件系统数据中发现存在逻辑不一致性,CHKDSK 将执行可修复该文件系统数据的操作。

一直以来磁盘检修命令(chkdsk)都是我们**得力的命令之一,但有时候也会遇到特殊情况无法使用该命令修复分区文件目录损坏的问题,如本例:

希捷1TB移动硬盘分区RAW案例,多数情况下该故障的原因为文件系统目录损坏或其他逻辑性问题。正常流程应首先拷贝分区内数据,待数据拷贝完成之后对故障分区做磁盘检修。但不保证会磁盘检修成功,或检修后可能会出现部分文件损坏目录损坏的情况。

在该故障盘数据拷贝完成之后,对其进行命令检修,发现总是如下提示:

更换电脑、卸载硬盘等方法尝试后无果,winhex中查看该分区,发现在目录浏览器中没有$MFTMirr文件,判断故障原因可能还是和NTFS系统元文件有关,首先定位$MFT和$MFTMirr,发现在$MFT中,3号ID的“卷”文件记录有丢失,前后查看发现是文件记录发生偏移导致的“卷”文件记录的丢失,如下图:

确定4号ID之前的文件记录问题后,将0、1、2号记录写回正常位置,从正常分区中拷贝“卷”文件记录至故障分区相应位置:

保存退出后发现分区即可打开正常使用,确保正常无误我们再次使用检修命令,发现检修顺利,用户数据完整:

 

更多 >>更多产品
山西鑫远数据恢复,太原鑫远数据恢复,太原数据恢复,山西数据恢复,太原开盘数据恢复,太原服务器恢复,太原数据库修复,山西数据库修复,太原硬盘数据恢复,太原raid恢复,山西服务器数据恢复,山西硬盘数据恢复,山西数据库修复,山西数据恢复,RAID数据恢复,****病毒修复,固态硬盘恢复上门为山西某高校物联
山西鑫远数据恢复,太原鑫远数据恢复,太原数据恢复,山西数据恢复,太原开盘数据恢复,太原服务器恢复,太原数据库修复,山西数据库修复,太原硬盘数据恢复,太原raid恢复,山西服务器数据恢复,山西硬盘数据恢复,山西数据库修复,山西数据恢复,RAID数据恢复,****病毒修复,固态硬盘恢复上门为某涉密单位海康
USBC首先不是中毒,但俗称“USBC病毒”此类故障大部分发生在FAT移动介质,比如TF卡,sd卡,cf卡等之类,有的会严重破坏文件系统,当然有的只是轻微的破坏造成目录偏移篡改之类的。网上说的chkdsk不要用,会改写原始的数据,那样会造成文件系统的二次损坏或者彻底恢复不了,我们要保持原样(保护案发现场)!!!在这里我们只说winhex,winhex才是王道!因为本案例用普通recovery软件是恢复不了的,我甚至都尝试过写WINHEX脚本全盘来做,做出的效果还是不够理想,中间还是会参杂别的视频信息,结果也是不敬人意上图出现乱码的目录也是因为文件系统偏移或损坏造成,起始DBR信息已经损坏,根据分析定位FAT表信息以及根目录起始位置确定了FAT表长度,以及簇大小64。手工回写了DBR信息,顺利展开了损坏的文件系统但是目录结构里面刚好缺失掉中午的视频素材,心情顿时凉凉的,怎么办。。。不是手工矫正文件系统后顺利拷贝客户需要的数据吗?以前都是这样的。这次失手了,难怪客户找了几家都没有恢复出来,去年年底的视频拖到了5月。一头又扎到十六进制里面,有种“识数寻踪”的赶脚(这是本书,有想了解的可以百度),根据以往恢复经验,大部分的MTS视频开始都是003F3F3F3F47400010(3F通配符),通过手工编写winhex脚本精准定位到数据的起始扇区20938752sec,成功截取了视频,大概2GB左右。通过播放软件播放,效果很差,隔几贞就会有别的视频镜头,很是卡顿。明显是视频碎片化存储了(本案例无数据写入,没有覆盖)。根据该视频的起始扇区推算出对应的簇号(326786)上面,根据分析文件系统的FAT表发现只破坏了前面一个扇区,FAT表基本完整,因此我们把思路转到了FAT表上面。FAT表中记录了每个文件的簇链结构;FAT表中记录的与数据区簇对应的表项,从0号标记开始至当前数据区所分配的簇的****数值,记录簇信息到FAT项;但是注意:其中0号~1号簇的值都是操作系统预先不留设定的特殊标记,而数据区的起始簇是2号簇。接下来我们的工作就是通过FAT表链对应的数据区,手工截取该视频碎片文件。。。工作量好大啊~通过FAT表链,分段截取视频碎片,合并成1.9GBmts文件,顺利播放。没有辜负我们付出的努力,同时也祝视频里面的新人新婚快乐~~视频恢复后无法正常播
山西鑫远数据恢复,太原鑫远数据恢复,太原数据恢复,山西数据恢复,太原开盘数据恢复,太原服务器恢复,太原数据库修复,山西数据库修复,太原硬盘数据恢复,太原raid恢复,山西服务器数据恢复,山西硬盘数据恢复,山西数据库修复,山西数据恢复,RAID数据恢复,****病毒修复,固态硬盘恢复51不放假-太原某高新企

友情链接:中国数据库修复网 合肥数据恢复  淮南数据恢复 服务器数据恢复 太原数据恢复  大同数据恢复 

虚拟主机 中国名店网 深圳户口办理  数据人 自动秒收录