U盤丟失文件被找回

小知識：刪除的文件為什么可以恢復？:

　　
　存儲一個文件的時候，操作系統(tǒng)首先在記錄所有空間使用情況的文件分配表(FAT)中找到足夠容納文件的空間，然后把文件內容寫到相對應的硬盤扇區(qū)上，并在文件分配表中標出該空間已經被占用。刪除文件的時候，一般并不對文件所占用的扇區(qū)進行操作，而僅僅是在文件分配表中指明哪些空間可以分配給別的文件使用。
　　
　這個時候，被刪除文件的實際內容仍然存在，可以被恢復。如果刪除文件后又創(chuàng)建了新文件，那么被刪文件所占用的扇區(qū)就有可能被新文件所使用，這時候就無法恢復被刪文件的數(shù)據了。所以一旦誤刪除了文件，就不要再對該文件所在的分區(qū)進行寫操作了，否則有可能覆蓋原有數(shù)據，造成文件無法恢復。
　　
　小知識：恢復文件的三個階段

　　1．使用自動化恢復軟件

　　恢復軟件(如Finaldata或EasyRecovery等)使用很簡單，根據向導的指示操作就可以了。
　　2．手工恢復被刪除數(shù)據

　　手工恢復的原理是直接在存儲設備上尋找被刪除文件的關鍵內容。這種方法適合恢復有明顯特征而且結構簡單的文件，如文本文件。如果文件很大，且分散于磁盤的不同位置，還需要根據文檔的內部結構重新組織文檔，才能徹底恢復數(shù)據。
　
3．找專業(yè)的數(shù)據恢復公司
　　
　　5.備份數(shù)據
　　由于數(shù)據很重要，所以首先要進行備份，萬一出現(xiàn)誤操作，還可以把U盤恢復到最初的狀態(tài)。這一步很重要，并且U盤容量不大，備份不會占用太大磁盤空間。進行扇區(qū)級別的磁盤數(shù)據備份有很多工具，如Ghost、WinHex和DiskExplorer，下面主要介紹WinHex。WinHex是一個16進制文件編輯工具，可以跳過操作系統(tǒng)的文件系統(tǒng)直接讀取磁盤和U盤等設備，從而進行數(shù)據恢復。
　使用WinHex的“Tools”菜單下面的“Open Disk”命令，打開物理U盤。) 　　
　在WinHex中看到U盤的引導數(shù)據全是“FF”，分區(qū)表和文件系統(tǒng)完全丟失了。從“Edit”菜單中選擇“Define Block”，選擇起止為“Beginning of file”和“End of file”。'
　　然后再從“Edit”菜單中選擇“Copy Block”→“Into New File”，把整個U盤的數(shù)據寫到一個文件中(例如“u.img”)，這樣就完成了U盤的備份。
　　自動恢復#
　　
　　完成備份后，筆者嘗試用數(shù)據恢復工具Finaldata、EasyRecovery和Recover4All進行恢復，由于U盤容量很小，很快就搜索出很多文件，但是就是沒有發(fā)現(xiàn)要找的那個重要文件，看來只能手工操作了。　　


　　確定文件位置!
　　
　　詢問朋友得知該文件是中英文混合的Word文檔，大部分是中文，含有少量英文，因此筆者決定通過查找文件內容嘗試恢復文件。"　　.
　　用WinHex打開前面保存的U盤鏡像文件(在鏡像文件上進行數(shù)據恢復的好處是訪問速度比直接訪問U盤快，而且還可以避免破壞U盤原有數(shù)據。)選擇“Search”菜單中的“Find Text”命令，從鏡像文件中直接搜索文中包含的英文字符串“control needed”。由于搜索到太多的字符串“control needed”，因此目前還無法對文件進行定位。
　　如果能記住部分中文內容，搜索中文可以避免找到太多的結果。Word文檔中的中文用Unicode編碼，因此打開記事本輸入文章包含的中文字符“決策”，另存為Unicode編碼的文件(test.txt)。
　　用WinHex打開文件“test.txt”，開始的“FFFE”代表字符編碼的順序，因此隨后的“B351567B”就是“決策”的Unicode格式的16進制表示。

　　從WinHex的“Search”菜單中選擇“Find Hex Values”命令，在U盤鏡像文件中搜索“B351567B”。因為WinHex只能以內碼的格式顯示中文，Unicode格式的中文都顯示為亂碼，那么如何知道是否找到了正確的數(shù)據呢？.
　從搜索到“B351567B”的地方開始選擇一段數(shù)據，仍然是從“Edit”菜單中選擇“Copy Block”→“Into New File”復制到一個新的文件中(noname.txt)。
L
　　打開記事本，選定剛才保存的文件“noname.txt”，然后將編碼格式設置為“Unicode”格式后再打開就可以看到它的真實內容了，經朋友確認，這段文字就是要找的文件的部分內容
  
定位文件頭
　要完整地恢復Word文檔，僅找到文件部分內容是不夠的，我們需要找到DOC文件的開頭(文件頭)。用WinHex打開任意一個已知的完好的Word文件，可以看到文件的起始標志字符串為“D0CF11E0”，顯示為“邢.唷”。查到DOC文檔的特征標志為“D0CF11E0A1B11AE1”。,  　純文本格式的TXT文件不像Word文檔那樣有特征標志，但恢復時可以直接用WinHex搜索文件中包含的中文或者英文關鍵字，確定文件所處位置。
2 p+ T# O1 W  K　　仍然是使用WinHex的“Find Hex Values”命令，搜索方向設置為“Up”，也就是從剛才找到的特征字符串“決策”的位置往前搜索Word文件的起始標志“D0CF11E0”。
　找到Word文件起始位置后，選擇“Edit”菜單中的“Define Block”，設定塊開始的位置為標志字符串“D0CF11E0”開始的地方，根據文件的大小，設定一個估計的結束偏移量，可以盡量大一些，不要太小就可以了。從“Edit”菜單中選擇“Copy Block”→“Into New File”把定義的塊保存為一個新文件(new.doc)。
如何計算塊的大??？

　　WinHex中的一個偏移量代表一個字節(jié)(Byte)，運行Windows自帶的計算器，切換到十六進制模式，用結束地址減去開始地址就得到定義塊的大小。
　　360000－355A00＝A600 A600(十六進制)→42496(十進制)1 J
　　用Word打開剛才恢復出來的“new.doc”文件，發(fā)現(xiàn)就是朋友丟失的那個文件，絕大部分內容都在，格式也正確  　從下載評估版的WinHex開始計算，整個恢復過程總共半個小時，僅僅使用WinHex和記事本程序就把丟失的數(shù)據恢復了，結果非常令人滿意。:curse::curse:說實話這不在的.

(責任編輯：大白菜官網  eraitsolution.com)