U盘文件夹变文件的恢复.docVIP

一4G大小U盘，在WIN7下被系统自动修复后一个文件夹变成了文件，大小为32K. 首先是想到远程协助，发了个给远程工具给网友。 远程连接上后，发现速度实在是太慢了。根本操作不起来，只能放弃。 网友说慢没关系，只要能恢复就行。晕，此慢非彼慢。 远程行不通，就让网友做U盘镜像，然后把镜像发过来恢复。 结果1个多月才发完。(N多波折就不在这里唠叨了) 首先打开U盘镜像，查看DBR：EB 00 90起头，不过应该没什么大问题。 再看：每簇扇区数8，保留扇区数6280。也没什么问题。 确实如网友所说：U盘根目录下只有一个“我的文件”文件夹，起始于8256扇区，3号簇。 打开“我的文件”，下面是“英语”和“娱乐”。据网友描述，原来这两个都是文件夹，现在的问题就是“娱乐”变成文件了。 我们知道，一个目录项是文件还是文件夹，是由目录项的0B处的值来描述的。值为10 H，代表文件夹；值为20 H，代表文件，同时使用目录项的1C-1F处的值来表示文件大小。 那我们就想，是不是把20改回10，并将大小改0就可以了呢？ 修改之后保存，获取新快照后确实变成文件夹了。 但是里面没有任何内容，这是为什么呢？ 仔细看扇区的内容就会发现，这些根本不是目录项，可能是一些数据。 没有正确的目录项，里面就看不到数据。 当前是在6740032扇区，我们再向下看： 我们发现6740033扇区有一些目录项，都是MP3和歌词(注意红框内)，再向下就是6740034扇区，已经全部是0了。但是据网友描述，这个文件夹下面还有很多文件和文件夹，远不止这些MP3和歌词。 那么我们向下搜索文件夹： 结果在6740096扇区找到了一个子目录。 如下图： 经过询问网友，确认这就是网友要的数据。 现在问题就好办了。我们只要把6740032扇区的子目录链修复一下即可。 主要修复前3个目录项即可： 第一个目录项代表文件夹本身。 第二个目录项代表上一级目录。 第三个目录项代表下一级目录。 其余的内容可以全部填0也可以不理会，不影响。 保存，重新获取快照。 因网友要求，所以没有在这里完全验证数据。 至此，数据恢复完成。可以直接用WINHEX提取数据，也可以加载镜像成硬盘提取数据。 题外话：本案例用软件扫描也是可以完成的。但是WINHEX手工分析的话，有几点好处、1是恢复出来的数据结构完整，而软件扫描出来的数据还要自己整理，如果数据量大的话，那么这是一个非常麻烦的事情。 2是如果在原U盘操作的话，不用转存储数据。如果用软件扫描的话，数据还要经过2次拷贝，如果数据量大的话，也是要花很长时间的。