苏州数据恢复中心一次太仓数据恢复的$MFT元文件手工数据恢复

[ 所属分类： 技术资料   日期：2011/5/29  人气：5615 ]

今天接一太仓数据恢复的客户咨询说移动硬盘在使用过后拔的时候安全删除删不了，最后没办法只能强行将移动硬盘给拔下来了，下次使用的时候就打开不了了，打开的时候提示文件或目录项受损，无法打开磁盘

 

进winhex也是打开不了的，提示如下

 

转到786432号簇分析发现，元文件$MFT已经受损了

 

从图中可知发生了8个字节的偏移，再往下分析发现，文件记录有些是偏移的有些不是偏移的，将元文件$MFT给单独提出来分析，此时我们要做的是将其修复，给大家提供个思路，可以手工改写（工作量很大）也可以通过脚本，脚本的设计思路是先判定是否偏移如果偏移了将偏移的扇区提到正确位置。

将提出来的元文件$MFT修复完之后，将修改完的文件回写到磁盘上重新遍历磁盘此时在winhex中数据已经出来了，现在就可以通过winhex将数据给拷出来了

 

不过时间会比较久，我们可以借助CHKDSK H：/F来对磁盘进行修复，但是在修复的时候命令被终止了，看来中间还有几个重要的文件没被修复

 

尝试打开分区是打开不了的，此时的报错如下图：

 

思考一番之后，重于想到了对策，其实很简单，就是在这个基础上多走一步就可以在资源管理器中打开文件了，在这里留给大家自己思考，提示一下只要想办法把元文件$MFT的前16个文件记录修复就可以了，大家可以QQ交流：353440624。下面是修复并用CHK命令后在资源管理器中的内容：

 

因为客户出现故障之后没有做过什么操作所以恢复相对来说是比较完美的，因为只是元文件$MFT损坏了，而目录项是没有受损的所以手工来进行恢复的话是很节省时间的，如果用软件对一个200多G的分区进行扫描的话估计得有半天时间。虽然软件最后可能也会把数据做出来，但是里面的树的结构可能会受影响，软件相对手工恢复来说还是有很大差距的。苏州绿数数据恢复中心在此提示数据丢失的朋友，当您的数据丢失的时候不要自己到网上下载软件乱尝试，除非您知道你的每一步操作对您的数据有哪些影响，以免造成对您宝贵数据的二次破坏。苏州绿数数据恢复中心咨询电话：0512-68785997。