FAT32文件系统数据恢复

FAT32文件系统数据恢复...





来源：woocs(ID：datarecovery1）

案例名称：U盘文件剪切后打开报错 数据丢失数据恢复成功

客户名称：某上市公司管理人员

介质名称：金士顿64G优盘

故障现象：用户想把重要文档从U盘剪切到电脑，中途报错，导致数据丢失

数据恢复及取证过程：

1、本案例是典型的FAT32文件系统数据丢失的故障，文件剪切与删除在底层所做的变化是一样的，所以按照文件删除的方法去恢复。

2、由于FAT32文件系统的特点，文件删除后会破坏一些重要的记录数据地址的指针，即使后续没有其他数据的写入覆盖操作，也并不一定能100%恢复数据。

3、本案例中，使用加拿大R-Studio恢复的效果并不理想，但是使用达思数据恢复软件标准版进行删除恢复，恢复成功率95%以上，如图一，达思数据恢复软件和国外R-Studio的恢复结果对比图。

图一中我们看到，R-Studio根目录并没有扫描到剪切或者删掉的文件夹，而达思数据恢复软件标准版则完整的扫描到了。

技术难点及对客户建议：

FAT32文件系统数据删除后，会将描述文件存放地址的高位字节清零，文件分配表也清空，如图二。

如果文件或文件夹的高位字节有数据并被清零后，普通的数据恢复软件是无法正确定位到数据的存放地址的，那么当然就无法恢复出正常有效的数据。这就好比如我们看一本书的时候，从目录中知道了第二章是从105页开始的，直接翻到105页就可以阅读到相关内容了，那如果目录中第二章的页码变成了5，那么我们翻到第5页看到的内容根本就不是所要找的章节。这也是为什么图一中显示的国外的一款恢复软件只恢复出了少量的删除文件的原因。

达思科技研发的d-recovery forstandard软件针对此结构特点采取了独有的算法，能大大提高该故障类型的恢复成功率。但基于FAT32文件系统的特点，建议用户尽量将U盘作为一个转存的介质，不要频繁的在闪存介质上进行大量的数据修改，防止发生不必要的数据丢失。

    关注 电子物证