winhex修复u盘目录乱码的数据恢复.doc

Winhex修复U盘乱码
目录乱码原因很多，但大多是由于病毒破坏或移动硬盘、u盘、sd卡的误操作。文件或目录乱码修复方法也很多，首先恢复数据或找到目录乱码的原因在用手工修复好错误，从而恢复数据，是我们现在最为科学的方法。用硬盘数据恢复软件先恢复数据的方法可以参考（r-studio数据恢复软件使用教程）链接地址： 
正好有个u盘出现目录乱码和文件乱码的现象，并且打开文件夹目录时提示目录名、文件名或卷标出现语法不正确的提示。

首先，我们先做u盘镜像文件备份，以防操作失误。winhex镜像文件方法这里我就不多说了，可以到这里学习一下：
完成镜像备份后导入备份的文件进行目录乱码的分析。先打看根目录看一下，看图很明显这并不是根目录下的数据内容，这说明DBR有问题。 

我们来检查一下DBR的参数，打开DBR  

分析OEM是乱码，但影响不大。我们来检测FAT1和FAT2是否正常。

分析：这是FAT32分区，FAT表正常

下来再查看与他（地1024扇区）相邻的两个扇区，这时发现问题了：

分析：第1023和1025扇区的数据，应该是一个FAT表中的一部分，感觉第1024扇区（FAT2的开始扇区）的数据好像插在一个FAT表中间了，且FAT2只有一个扇区，这说明FAT表有问题，现在要找正确的FAT表，然后恢复。
开始搜索FAT表： 

 查找发现3个FAT表：

分析：除原来看到的两个FAT表外，在第990扇区发现一个FAT表，如果这是正确的FAT2(不可能是fat1)，那么数据区的开始扇区为：32加(990-32)乘2等于1948扇区，现在到第1948扇区去： 

分析：显然第1948扇区不是数据开始的扇区（DATA数据在FAT2后面，而FAT2最后一个扇区的时间一般是00），现在一直数据开始的扇区。
那么我们要找根目录区（DIR）或数据区的扇区。说明：FAT32分区中的根目录不是固定的区域，固定大小与FAT16分区不同，但一般情况下是从第二簇（即DATA区开始的位置）开始的，也就是说：DATA数据区开始的数据是根目录数据。
寻找的方法：从DATA区向上找，比如先到根目录（第2016扇区，其实在现在的u盘中不是根目录，是DATA区中间部分），然后向上搜索（方法见下图），搜索到以后看下一个扇区是不是感冒了或者DATA区开始的数据。 

最后在第1924扇区找到，根据内容分析是根目录数据（如果是子目录，此扇区的第一个字节应该是2E），感觉根目录在DATA区的开始位置（后面还要验证）。 
开始分析根目录区及子目录数据：
1、主要分析没有删除的子目录（及文件夹）数据，从图中可以找到两个子目录：

子目录1：锐利            子目录数据起始簇号：1CBH   即第715簇
子目录2：建利荣华    子目录数据起始簇号：10002H   即第65538簇2、找子目录数据（不能直接到715簇或65538簇去找，因为现在的DBR有问题），然后算出每簇扇区数及确认DATA开始的位置。方法：寻找搜索2E20202020202020

分析这4个子目录数据（其实分析其中任意两个即可）：  

现在我们根据以上的公式来计算： 

我们已经基本掌握出现问题的情况，下一步进行确认和进行目录及数据修复，我们在下一节具体介绍：winhex修复u盘目录乱码的数据恢复：
接上节的《目录乱码-u盘文件目录乱码数据恢复》
接上节先来判断正确的FAT表，并确定每个FAT表的扇区数。
目前有两个不同的FAT表（不讨论1024扇区那个备份的FAT表），先要判断哪个是正确的，方法如下：从前面分析的数据可知，地715簇是一个子目录的起始簇，那么在FAT表中，不会有一个簇指向它（因为如果有一个簇指向第715簇，那么第715簇就不可能是一个开始簇），715换成16进制就是2CB，在FAT表中应该表示为CB020000，所以如果在某一个FAT表中能找到CB020000，那么这个FAT表就不是原来正确的FAT表，在整个FAT表中（1924扇区前）搜索CB020000。

搜索结果只有第37扇区有这个数据

这个扇区在从第32扇区开始的FAT表中的数据，那么从990扇区开始的FAT表有可能是正确的，进一步判断：在从990开始的FAT表中找到715簇对应的位置：

从图中可以看出，第715簇中的表项值（即它的下一簇）是716，第716簇中的表项值是FFFFF0F，表示结束，即这个子目录的内容占用715和716两个簇。基本上确认了从990开始的扇区是原来正确的FAT表，而且应该是原来的FAT2，那么现在可以推测出原来的分区情况：

每FAT扇区数为：1924—990=934
FAT1开始的位置为：990—934=56（也是DBR中保留扇区的扇区数）
因此原来的U盘数据分布情况：

下来我们开始手工修复：
1、FAT2---FAT1

因为第1024扇区的数据（从第4352簇---4479簇）由于有原来的FAT2的数据而覆盖了，现在先要修复一下，但不知道原来是多少，现在只能用一个连续的没有碎片的，没有结束标志的数据连结上，能不能正确恢复，要看运气了，等恢复好后根据恢复情况在进一步微调。找一下从32开始的这个第4352---4479簇的数据，发现全部是连续的，符合条件：

把它复制到1024扇区上：

这样1024扇区的数据修复完毕，现在把从第990扇区到1923扇区的FAT2内容复制到第56扇区：

2、下来修复DBR参数（用模板简单一些）

（只修改保留扇区数和每FAT扇区数据，因为其他的数据是正确的）

现在把u盘安全删除再插上，打开u盘，原来的内容都在，而且都能正常打开，手工修复完成。