CHS实验室

摘要：本文介绍沃尔安智能摄像机双摄像头删除视频的特殊恢复案例。摄像机采用FAT32+MP4格式，双路摄像头产生大量碎片文件，常规恢复方法失效。技术人员通过开发专用程序，先检测文件属性判断可恢复性，再基于MP4文件结构优化RAW级碎片重组程序，最终成功恢复全部指定时段的两路视频文件。案例表明智能摄像机数据恢复需专业方法，并建议遇数据丢失时应立即断电保护存储卡。

智能摄像机数据恢复案例：乐橙双摄像头格式化后重要影像取证恢复。该案例涉及32GB FAT32存储卡被恶意格式化后重新录制，需恢复关键dav格式视频文件。面对自定义文件结构、大量碎片等挑战，技术人员通过开发专用程序成功定位未覆盖数据，并优化RAW级碎片重组方案，最终完整恢复其中一路摄像头的重要视频。案例提示：遭遇智能摄像机数据丢失时，应立即断电保护存储卡原始状态。专业数据恢复需处理复杂文件结构和碎片问题，特殊场景下对恢复完整性要求极高。

摘要：本文介绍了奇盾安防监控录像机初始化后的数据恢复方法。奇盾采用自主研发的"嵌入式安防文件系统"，初始化后原有视频可能无法查找。通过使用"CHS零壹视频恢复程序高级版"，选择物理盘扫描，设置时间段参数，可有效恢复丢失的监控视频文件。文章详细说明了扫描设置、时间参数调整及文件保存等操作步骤，并提醒用户避免误初始化磁盘。该方法适用于奇盾安防设备初始化后的数据恢复需求。

摘要：本文介绍了天视通智能摄像机存储卡视频文件删除后的恢复方法。针对32GB Fat32格式存储卡中大量MP4视频文件被删除的情况，分析发现其采用265裸流编码且存在碎片化存储。通过升级"MOOV视频RAW级重组程序"，以文件头定位和循环处理方式，成功恢复了客户所需的6小时视频文件。该方法解决了目录区损坏和大批量文件恢复的难题，最终所有目标视频均完美恢复。

RAID0和RAID5最大的区别就在于校验P块，RAID0只做分块没有安全冗余所以也就没有校验块了，鉴于此开始分析，分析发现大华DSS还是使用了其独创的大华视频块结构，由于特征明显所以很快就确定了原始阵列应该是三盘RAID5，由于RAID5的安全冗余其最大缺盘数为1，而不见踪影的那块盘肯定是最先“离线”的，然后阵列一直处于“降级”运行的模式下，一般而言这种模式下存储服务器肯定会有各种提示（如闪灯或者在阵列界面提示添加新盘），对这些提示的无视才最终导致阵列崩溃！图6：RTT的虚拟磁盘最大的缺点就是“慢”

摘要：本文介绍了腾达(Tenda)安防监控录像机初始化后的数据恢复方法。腾达作为网络设备厂商，其监控产品采用自研嵌入式文件系统。当录像机被初始化并覆盖写入新数据后，需使用专业恢复工具扫描物理盘，选择"监控视频-腾达"类型，并设置指定时间段进行恢复。操作步骤包括选择物理盘、设置扫描参数、等待扫描完成及验证恢复数据。文章强调遇到此类问题需避免Windows系统误初始化磁盘，并推荐使用专业恢复程序处理。

家用智能摄像头一般采用的是mp4或者mov视频方案，这一类方案文件通用性强、使用简单，以MP4为例无论是APP在线播放还是TF卡接电脑查看都很轻松。即便如此，有些厂商还是走上了“自定义”的道路，自定义的文件结构导致无法正常播放（必须用其APP才可以播放），这也导致了此类文件极难恢复！下边我们来看一个PRV自定义文件删除的恢复方法。

奇盾(Qidun)的安防监控恢复了很多，这个品牌在某些地域市场占有率极高，算是一个有特色的地方品牌。一般而言，安防监控都是恢复的案例较多，下边这个案例不仅仅要恢复还需要能够转码成通用的MP4类文件并要求画面和声音实现“同步”。

蓝盾海康(LDHK)，国内一个比较小众的品牌（注意不是海康威视），其NVR设备采用了嵌入式文件系统。下边来看看蓝盾海康(LDHK)安防监控初始化后的恢复方法。

奇盾(QiDUN)安防监控恢复了很多，是典型的嵌入式文件系统，不过其还是保留了分区表，在接入到WINDWOS下时可以识别到两个分区，前边10G是存储元文件的，后边比较大的分区是存储监控视频数据的（不要尝试加载盘符因为操作系统不会识别嵌入式文件系统）。这就是奇盾(QiDUN)安防监控初始化后的恢复方法，目前CHS零壹视频恢复程序监控版支持超过160多个安防监控品牌，大家在遇到此类问题时，可以和CHS数据实验室联系！客户描述此监控盘由于使用中的失误，被意外初始化，然后又录了几个小时，需要恢复所有的视频文件。

4、需要对mp4/mov/3GP等qt类视频文件结构极其熟悉才可以做到心中有底，很多人可能对mp4文件有误解，认为mp4是一类视频格式，实际上mp4仅仅是一个容器而已，因为mp4可以把不同的视频和音频编码打包到一个文件，就像一个瓶子一样，至于瓶子中放什么东西，mp4并不关注，只要符合它要求的就是合法的，编码就可以得到播放器（比如基于ffmpeg的播放器或者编辑软件）的解码，所以我们要做的就是努力去把所有一切做到符合mp4规范。3、同步问题，所谓的同步，是在解码器解码时在解一帧画面时同时解码一帧或多帧音频。

相对来讲Ext4文件系统的在存储文件时产生“碎片”的机率要更高，而Ext4格式化和删除都会对i节点中的“盘区”指针进行全部清0操作，这种情况下通过文件系统恢复仅能找到文件属性（如文件名、长度等），但是没有指针，碎片化的文件如果没有指针恢复是没有意义的（原因之前讲过很多次感兴趣的参考博主相关帖子）。扫描完成后直接查看数据，由于AVI文件底层并不记录拍摄时间和通道信息，而每个逻辑盘找到的视频数量基数较大，经过大致对有客户需要的数据，为了提升鉴别速度，于是使用“OCR获取”功能来进行画面时间的获取。

安防监控中我们遇到最多的硬盘就是3.5寸的硬盘，这一类硬盘在稳定性上比2.5寸的硬盘更好，另外在安防设备中我们强烈建议您使用专门的监控硬盘（希捷和西数都有监控专用硬盘），监控盘是硬盘厂商根据安防产品频繁读/写的使用场景而设计的，可以更好的延长硬盘的使用寿命！其使用嵌入式安防文件系统，不过看底层结构其应该是抄袭了某大厂的嵌入式安防文件系统，下面我们讲下当遇到此类产品被初始化的恢复方法。扫描完成后直接查看数据，可以看到程序已经列出了通道、起始时间、结束时间、时长、文件长度等参数，通过此参数可以查找需要的数据。

由于国际对安防产品的要求，现在市场上主流的安防产品基本上都采用“嵌入式文件系统”,所谓嵌入式主要体现在数据的写入和读取都是不可见的，也就是一种非标准的文件系统，不具备通用性，需要在指定的设备上才能完成对数据的读取、写入等操作，这样整体的安全性就有了很大的提升。其使用的应该是自行开发的嵌入式安防系统，同时官网也有专用播放器，可以直接解码画面和声音，说明此品牌还是有一定的研发实力的，下面我们讲下当遇到此类产品被初始化的恢复方法。经过对比成功恢复了客户需要的数据，至此恢复完成！希捷2T监控专用硬盘。

最后一个则是剩余容量，看来是使用了均分的方法。FAT32文件系统优缺点太明显了，文件长度被限制为4G，但是安防设备倒是无此要求，在极端情况下选择FAT32做为基础实际不失为一个好方法，毕竟稳定性还是可以的。STEP1:使用CHS零壹视频恢复程序监控版扫描，选择逻辑H进行扫描，扫描小类选择”42:HBMFS汉邦高科(fat32/DAT)”.由于是三个逻辑盘，所以需要一个个轮流扫描。文件系统的最小操作单位是“块”或者“簇”，其大小一般大于1个扇区长度，而在RAW模式下最小操作单位是“扇区”。

经过对比分析发现九安针对初始化使用的和别的品牌不一样的操作方式，其对底层关键数据进行了清0操作（数据区是没有处理的）。通过对比分析增加了针对九安这种初始化操作的应对方案，就是直接遍历底层数据区，不对索引区进行判断（因为索引区已经清0），这样就可以得到数据区的实际数据、九安监控是国内一个十六线小安防品牌，目前CHS零壹视频恢复程序监控版、专业版、高级版是支持这个安防品牌的，不过下边这个案例比较特殊，具体情况如下。扫描完成后直接查看，可以看到开启深入扫描后找到的文件大小就正常了，至此恢复完成！

Rsfs是国内一种小品牌的嵌入式安防文件系统,这类小众产品一般采用自定义的文件系统，其IO速度和解决方案相比较一线品牌都较差。Rsfs这种安防文件系统之前程序一直支持，此次发现的是一种Rsfs的新版本经过升级程序目前已经支持新版本，如下图可以看到在0号扇区有Rsfs的标识。STEP3:扫描完成后直接查看，程序会列出通道、起始时间、结束时间、时长、文件长度等参数，点击文件右侧可以预览前几秒视频。运行程序，右键点击扫描->自动检测，程序会自动检测并切换至Rsfs->点击下方扫描。

分析发现此品牌使用现有的文件系统来进行管理，并非嵌入式，不过XFS这种服务器专用的文件系统正常情况下也无法解析，倒是起到一定的安全作用。分析发现其采用了两种编码，800*600是264编码，1080*800是265编码，但是在文件生成方面又独辟蹊径。今天要说的这个品牌是Tonnet，算是台湾的一个小的安防品牌，其就采用了非主流的解决方案。这种情况下该如何恢复数据？经过分析得到自定义BLOCK中时间、通道及stream和I文件的关联信息，当然这个需要大量的对比工作才能得出结论，然后写出程序进行合并。

客户自行使用RS扫描过不同的盘，发现所需要的数据在第三个逻辑盘，当然RS一类恢复后是无法播放的，因为格式化后FAT表清0，RS只能定位文件头，然后直接按无碎片处理，所以文件全是错的。STEP1:这种情况直接使用CHS零壹视频恢复程序标准版/专业版/高级版扫描即可，由于客户已经知道文件所在的逻辑盘，选择源盘点击右键“创建区域”，然后虚拟第三个逻辑盘，扫描大类选择“记录仪视频”，扫描小类选择“Jovision中维科技_Fat32_mp4”。此类小厂一般喜爱使用别人的现成的老旧方案，新的是不敢用怕有纠纷。

而数据的写入从底层分析的结果发现，还是以多路排序交叉写入的情况，在这种情况下就需要使用先定位再重组的方案才可以完美的恢复数据。定位的算法相对比较简单，很快就确定了，但是重组却比较麻烦，因为其采用目录元文件记录通道的方式，底层并不记录，所以无法有效甄别数据所属关系。STEP1:确定了算法就简单了运行CHS零壹视频恢复程序监控版/专业版/高级版进扫描，扫描大类选择“监控视频”，直接自动检测或者选择”SUNELL景阳”和别的小品牌不太一样，其并没有套用别人的方案，而是坚持走正向自主开发的路。

监控安防厂商开发的文件系统俗称“嵌入式安防文件系统”，这种独特的文件系统重点是解决提高IO速度以及合理使用存储空间，由于国内安防厂商数量很多，所以导致此类文件系统数量也很多，这就导致了恢复的难度，因为通用的恢复软件是无法有效识别这种“特殊”的文件系统。 监控视频的写入特点，基本上是不同摄像头传输的底层信息排队依次写入到存储设备上。这就会导致一个问题，数据严重碎片化，如果此...

近日我们遇到一个客户使用的天地伟业监控由于误操作导致数据丢失的案例。CHS数据恢复验室工程师从客户提供的镜像文件中成功分析出了视频编码，我们制定了碎片定位并重组的恢复方案，以下为分析过程。故障存储:4T硬盘故障现象:天地伟业监控中的硬盘拆下后接到大华录像机中去查看视频，结果发现数据丢失。处理方法：使用万能监控视频恢复程序，扫描类型设置成天地伟业，然后开始扫描。...