CHS实验室

最近流行的3.5寸大容量台式硬盘+移动盒子是一种性价比较高的组合，为了方便如涉及到跨平台（win和mac），大多数此类组合选择了exfat文件系统。下边这个案例就是我们经常遇到的exfat变0字节。ST8000HKVS002 8T/exfat 文件系统。

这种问题一般出现在移动存储设备上，往往是在复制过程中移动存储设备因为种种原因导致离线（如USB接口不灵、数据线接触等问题），正常情况下操作系统检测到离线会报错，但是就和windows的蓝屏信息一样，有时候操作系统并没有报错而是继续着虚假的进度，由于复制时需要通过内存中转，而离线后的存储设备获取的数据显然是错误的，这就会导致目标文件底层数据不正常（常见是00，极端情况会出现一些内存中的垃圾代码）。很显示第1种情况是无法恢复的，那么至于卡是那种情况，我们扫描完成后就知道了。

下图可以看到通用恢复软件只会定位到文件目录所在的第一个簇，也就是文件头所在，但是后边的区域就是直接以长度获取了，所以肯定是不能用的。第3条会产生最不愿意看到的情况-----“音视频”数据区交叉，HVC采用的也是压缩算法，其会对采集画面进行量化后压缩，对于压缩来讲就是为了让数据不在松散，所以根本没有任何规律而言（有规律的一定是结构体而不是数据本身），此种情况下恢复难度是很大的，因为就算用CHS零壹视频恢复系列软件，也无法甄别数据区交叉碎片的情况，这个时候只能通过穷举遍历法结合恢复经验来判断。

虽然这个案例中所需要的文件数量并不大，升级过的“chs moov视频RAW级重组程序stsz“辅助程序基本上是杀鸡用牛刀，唯一要处理的地方就是 moov前置，在程序外部增加了一个可选设置，然后增加了处理此模块的算法。智能摄像头我们恢复了很多，这次恢复的是千鸟物联，在恢复的过程中发现此品牌使用的方案相对来讲是比较冷门的。由于文件名中就包含了日期和时间所以这个也可以精确定位到客户需要的文件，经过通用软件扫描发现客户要的文件名都在，而且第一簇起始是相对靠中间的，所以恢复的机率还是比较大的。

对于恢复文件客户的要求是不画面和声音必须同步且不允许出现花帧、错帧的情况，而针对碎片化严重的这种方案只能手工去处理，之前我们也处理过类似问题，还专门写出过一个辅助小程序，但是这次客户需要的时间段和数据量是比较大的（如图3：初步统计文件在1000个左右，后经过精简确定为600多个），如此庞大的数量，之前的小程序明显应付不来。3、采用的方案是在生成当前MP4文件结构体时，已经在采集新的视频画面数据，此时会导致两个文件碎片交叉，糟糕的是有时候碎片的大小仅仅只有一个簇，即碎片又小又多。

可能有人会说真正的数据并没有清0，事实确实如此，一般情况下格式化或者删除只是对元文件区域进行了初始化，但是数据区是不会做任何操作的，这个就给恢复提供了机会，但是由于如果数据是“碎片化”存储，那么此时依赖的是FAT表，但是格式化会对FAT表进行初始化操作，没有FAT表也就无法获取文件的存储位置，这就是普通恢复软件能发现视频文件却无法播放的原因。数据可以恢复，下一步就是具体使用什么样的恢复软件进行恢复，在找到我们之前客户已经自行尝试过使用各种通用恢复软件进行扫描，能发现一些MP4文件但是保存后是无法播放的。

也就是目录项->FAT表所有环节通通出错，目前尚不清楚这是个例还是仅在大型存储上存在，因为目前以我的经验至少没有发现在闪存类存在此问题，所以不好下结论，只能以“exfat的文件系统结构不适合管理大型存储“来做总结，在这里我们强烈建议如果您是视频从业者，在存储文件要用到微软文件系统时强烈建议”非闪存类的存储设备慎用exfat文件系统“避免因此导致数据出问题。从幸存的xml文件中可以看出来，摄像机型号是:索尼ILME-FX3，视频编码为AVC，这也是索尼摄像机比较常用的视频编码。10T/exfat 文件系统。

经过对现存数据的分析发现，其四路视频文件应该是排队写入，而其碎片化的程度已经达到了“骨灰”级---一个簇一个碎片（如图2），这种原因可能和管理程序有关，个人猜测可能格式化时就默认了簇大小，然后在传输时直接以簇大小为标准进行分割，这样四路监控每次传输过来就直接写入对应的文件相对来讲方案简单（因为每次包的大小是固定的）。双重困难之下，想要完美恢复只能通过手工恢复的方法去解决，最有效的方法就是不断的写入簇来不断的播放查看，虽然慢但是有效。客户提供的信息是格式化后又重新录了不多的视频，然后关机断电未曾再使用。

可能有人会说真正的数据并没有清0，事实确实如此，一般情况下格式化或者删除只是对元文件区域进行了初始化（注意：有一些摄像机管理程序提供恢复出厂级的格式化，这个功能会对底层进行写00或者FF操作会导致所有数据永久丢失且无法恢复，此功能一定要慎用），但是数据区是不会做任何操作的，这个就给恢复提供了机会，但是由于如果数据是“碎片化”存储，那么此时依赖的是FAT表，但是格式化会对FAT表进行初始化操作，没有FAT表也就无法获取文件的存储位置，这就是普通恢复软件能发现视频文件却无法播放的原因（如图3）。

以往我们处理的索尼断电案例中无论是使用mp4或者是mxf的，基本上会生成一个扩展名为RSV的文件，像这种扩展名为MXF且容量不正常的，相对比较少，具体原因尚不清楚。扫描完成后直接查看，经过恢复发现共13条视频，容量为61.43G，由于文件级别为5这一类文件是无法直接播放的，因为没有结构体，所以需要先保存再修复。STEP5:点击“视频修复”切换到修复模块，点击”样本文件“添加好文件，再点击”损坏文件批量”添加所有的文件，再点击“修复”按钮。而逻辑盘最小单位为簇或者块。选择逻辑盘，然后点击右键，选择扫描。

而诡异的是为何查看的文件丢失，而其它文件却正常，个人推测可能是安卓系统播放器或者视频编辑类的APP出错，导致这些文件被删除，至于原因尚不清楚。碎片化的文件通用类的恢复软件，只能通过文件头获取文件长度，然后直接连续保存，当然这个结果肯定是错误的，最终就是文件无法播放。进一步分析可以看到，DCIM才是DDPAI的数据文件夹，其中存在视频\GPS\截图等文件夹（图3），可以看到记录仪的管理系统提供丰富的多种功能，另外在VIDEO中可以看到其存在前置和后置两个文件夹说明其存在两个物理摄像头（图4）。

所以最终导致了文件”碎片化“，这一类设备一般使用fat32或者exfat这一类文件系统，在格式化或者删除后用普通恢复软件只能定位到首簇，而fat表链是获取不了的（因为删除或者格式化会对FAT表清0了），所以导致恢复后不正常。注意，注意，注意，强烈建议在扫描的时候添加样本文件，特别是这种在不同设备上使用的卡，通过样本文件程序可以进行精确定位，通过元文件、编码特征，可以有效的筛选海量数据中我们最需要的视频文件。这就是大疆Pocket3手持记录仪格式化后视频文件的恢复方法，大家在遇到此类问题时，可以和我们联系。

FAT表一旦损坏，文件系统层面就没有恢复的可能性了。STEP1:由于文件系统已经彻底损坏，所以直接选择物理盘就可以（本例中直接打开镜像文件），扫描大类选择”高清视频“，扫描小类选择”JVC_MP4，然后点击确定。STEP3:查看数据，我们重点查找的是L5级的文件，即原始文件，编号499文件长度为1.04G极有可能是客户要的文件，其它文件都比较小，所以直接保存此文件。由于FAT表已经“挂”掉了，所以重建DBR之类就显的没任何意义了，所以直接使用CHS零壹视频恢复程序专业版进行扫描即可。

由于至少是三个品牌的摄像机：松下、索尼、iphone，而通过和客户沟通其摄像机生成的文件拍摄时间是精确的，所以根据文件结构先开发了一个快速定位这三个品牌的程序，这样就可以检索出所需数据的大概区间。STEP4:查看数据，经过扫描后对比结果发现，索尼类的查找到197条大约171G，松下大约有200多G，而 iphone的约有30G不到；STEP2:选择32T存储，点击右键选择“扫描“，扫描大类->高清视频，扫描小类选择打开样本文件，因为有三个品牌所以需要三轮扫描，点击确定开始扫描。

5DMARK IV算是佳能比较经典的一款摄像机，是佳能早期使用MOV的摄像机之一，MOV是当初佳能高端机的象征，当然现在佳能已经不在通过MOV和MP4来区分硬件级别了。STEP6:查看修复结果，可以看到时长为5分25秒，经过和客户核对正是丢失的DAT文件中婚礼开场的一部分，而其它文件经过判断确定是被覆盖了，至次恢复工作完成！STEP4:查看数据，我们重点查找的是L5级的文件，即原始文件，编号499文件长度为1.04G极有可能是客户要的文件，其它文件都比较小，所以直接保存此文件。直接扫描，等待完成。

transport stream（传送流）简称TS流，其设计初衷是为了服务于数字电视机顶盒，在那个刚普及数字电视的时代，设计理念是小块传输（为了应对可怜的带宽）、终端校验（有问题直接丢包不影响下一个包的解析），在这些理念加持下，TS流变成了一个固定长度，切割视频、音频数据分片传输的结构。而在重组时也不好判断上下碎片的从属关系，种种特征导致TS流想要用程序去定位和重组的话难度较大，经常会出现窜帧的问题，这些问题的解决更多的还是靠经验判断，所以目前CHS使用的是程序定位+手工重组的恢复方案。

级别为5的文件，即L5级文件，这一类文件是程序通过之前样本构建的模型深入扫描到视频+音频数据RAW文件，这一类RAW文件并无结构本，所以需要保存后使用高级版“视频修复”功能进行修复才可以查看。样本文件还是要牢记之前的“二同”要求，修复完成后为了方便使用了”OCR获取“功能，此功能会对画面上的时间进行OCR识别，对于后期文件的鉴别提升了工作效率。由于需要所有的视频文件，所以使用CHS零壹视频恢复程序高级版扫描，对于0级的直接保存，对于5级深入找出来的文件进行修复，尽可能保证恢复的完整性。直接扫描，等待完成。

512G的卡误格式化后又进行了拍摄，卡使用了120G不到的空间，其它底层全是00没有写入，证明这是一张新卡。STEP3:查看数据，可以看到程序已经列出来了拍摄时间、摄像机型号、视频编码、时长、逻辑长度、实际长度等参数，根据这些参数来保存需要的文件，经过对比找到一些需要的文件。STEP4:点击高级版左上方的视频修复进行功能导航切换，先点击样本文件->打开损坏文件->修复，等待修复完成。可以看到程序已经对样本进行了解析，获取了相应的参数，这样有利于程序建立精确模型，提升扫描精度。逻辑盘和物理盘有什么区别？

STEP6:查看修复结果，可以看到时长为5分51秒，经过和客户核对正是丢失的DAT文件，经过对比发现此文件应该是存在覆盖，所以导致只恢复了一部分，而这部分正好是最重要的画面，至次恢复工作完成！这款R6 m2摄像机使用了特殊的DEC和小块，所以强烈建议添加样本，如果十在没有样本，可以点击下方“高级设置”对子帧最小值进行设置，参考图4。STEP4:查看数据，我们重点查找的是L5级的文件，即原始文件，编号573文件长度为2.48G极有可能是客户要的文件，直接保存此文件。直接扫描，等待完成。

此类通用软件恢复后无法播放的可以100%判断存在碎片化的情况，原因之前说了很多次，对于exfat来讲，其对碎片化的管理模式是采用的是fat表+目录项中的首簇指针组合方式，可以说是照搬FAT32。等待扫描完成，可以看到程序已经解析并列出了样本文件的一些参数，如类型、拍摄时间、品牌、速率、编码等，所以强烈建议打开样本文件，特别是扫描大容量的存储设备。STEP2:直接扫描，扫描大类选择记录仪，然后打开样本文件，此时扫描小类会自动切换到“0：导入样本文件自动分析”故障存储:1T存储卡 Exfat文件系统。

STEP4:查看数据，可以看到程序已经列出了相应的参数，但是会发现拍摄时间都一样，这个原因是由于底层结构并没有记录拍摄时间（QT类并无强制要求大多数厂商会更新拍摄时间），为了方便查找此时需要使用”OCR获取“功能，点击”OCR获取”。等待扫描完成，可以看到程序已经解析并列出了样本文件的一些参数，如类型、拍摄时间、品牌、速率、编码等，所以强烈建议打开样本文件，特别是扫描大容量的存储设备。STEP2:直接扫描，扫描大类选择记录仪视频，然后打开样本文件，此时扫描小类会自动切换到“0：导入样本文件自动分析”

也就是目录项->FAT表所有环节通通出错，目前尚不清楚这是个例还是仅在大型存储上存在，因为目前以我的经验至少没有发现在闪存类存在此问题，所以不好下结论，只能以“exfat的文件系统结构不适合管理大型存储“来做总结，在这里我们强烈建议如果您是视频从业者，在存储文件要用到微软文件系统时强烈建议”非闪存类的存储设备慎用exfat文件系统“避免因此导致数据出问题。FAT就是之前FAT32中的“FAT”即文件分配表，这个表研究数据结构的人不算陌生，从字面意思就能看出，exfat并非全新的文件系统。

exfat文件系统问题导致文件属性出错表现就是长度变成0字节+首簇指针清0，近期处理了太多此类故障。我们来看看索尼素材变0字节的案例。wd元素系列12T/MS Exfat文件系统。元素系列是WD比较经典的移动硬盘，

之后更换电脑查看时U盘中了EXE病毒，然后换电脑使用360杀毒，数据全部丢失，再次接入到电脑（电脑上的病毒还在所以U盘再次感染），多次感染并杀毒后，U盘上只剩下图1中一大堆EXE文件。这就是金士顿U盘中病毒后的恢复方法，对于各种安防产品、专业影视、智能摄像头、可视门铃、无人机、记录仪等设备CHS恢复的效果可以做到取证级---确保每一帧画面都100%正常，成功助力国内各大公检法机构的取证请求，大家在遇到此类问题时，欢迎和我们联系！这个案例中U盘经历了多次感染，多次杀毒，最终结果导致U盘中没有任何有效数据。

也就是目录项->FAT表所有环节通通出错，目前尚不清楚这是个例还是仅在大型存储上存在，因为目前以我的经验至少没有发现在闪存类存在此问题，所以不好下结论，只能以“exfat的文件系统结构不适合管理大型存储“来做总结，在这里我们强烈建议如果您是视频从业者，在存储文件要用到微软文件系统时强烈建议”非闪存类的存储设备慎用exfat文件系统“避免因此导致数据出问题。之前我们处理过阿莱的MXF和MOV等文件，今天要说的案例是ARRI的MOV，还是之前熟悉的EXFAT文件系统然后长度突然变0字节的问题。

这就是智能摄像头PRV文件的恢复方法，对于各种智能摄像头、可视门铃，CHS恢复的效果可以做到取证级---确保每一帧画面都100%正常，成功助力国内各大公检法机构的取证请求，大家在遇到此类问题时，欢迎和我们联系！家用智能摄像头一般采用的是mp4或者mov视频方案，常见的是mp4，对于部分有开发能力的厂商可能会采用自定义方案（如360的bin文件）,今天我们来看一个小厂的PRV自定义文件的恢复案例。经过对比发现其采用的是PRV自定义的方案，类似于360的BIN方案（具体参考360可视门铃的帖子）。

这个方案个人感觉用在门铃这种小而精的设备上确实效果很好，比常见的MP4方案更稳定（MP4方案经常会出现封装出错的问题），另外使用自定义二进制文件写入效率更高，因为只需要把采集的声音和画面直接以裸流的形式写入（比如265编码直接写入，去掉了中间打包成HVC编码的环节），另外安全性也更高，因为BIN文件需要后期分离、组合才能得到真正的视频流和音频流，单独的BIN文件是无法被任何播放器解析的。这里把音频块直接剔除了，因为音频是以后期合成MP4的方式体现的，客户只要求有视频画面，所以不再对音频进行单独的处理。

第3条会产生最不愿意看到的情况-----“音视频”数据区交叉，HVC采用的也是压缩算法，其会对采集画面进行量化后压缩，对于压缩来讲就是为了让数据不在松散，所以根本没有任何规律而言（有规律的一定是结构体而不是数据本身），此种情况下恢复难度是很大的，因为就算用CHS零壹视频恢复系列软件，也无法甄别数据区交叉碎片的情况，这个时候只能通过穷举遍历法结合恢复经验来判断。下图为恢复效果，40个文件播放没有任何问题，视频帧及音频帧全部正常，40个文件消耗了近两周的时间，恢复的成功再次验证了方案的可行性。

也就是目录项->FAT表所有环节通通出错，目前尚不清楚这是个例还是仅在大型存储上存在，因为目前以我的经验至少没有发现在闪存类存在此问题，所以不好下结论，只能以“exfat的文件系统结构不适合管理大型存储“来做总结，在这里我们强烈建议如果您是视频从业者，在存储文件要用到微软文件系统时强烈建议”非闪存类的存储设备慎用exfat文件系统“避免因此导致数据出问题。STEP4:查看扫描结果，经过扫描发现有大约14T数据，通过对比文件名发现0字节的数据有大约1.3T，然后保存文件，经过核对文件就是客户所需要的。

所以重点以23.8G空间为查找范围，此记录仪使用主流的MP4格式，硬件使用AMBA安霸芯片，视频编码格式为AVC，音频则比较罕见使用了PCM高清音频（一般记录仪小型设备都会使用aac高压缩音频）。STEP2:查看扫描结果，可以看到总共查找到791个文件容量为63.44G，这个总容量是59.5G，但是此时程序找到的文件总容量却大于卡本身的容量，为什么？选择所有5级文件，然后保存。STEP4:点击切换到”视频修复“切换，点击”样本文件“打开好的文件，然后点击”损坏文批量”，打开所有文件，然后点击“修复”。

海安行车记录仪，听名字就知道是个小小小品牌，而且用的文件格式是比较古老的AVI，这种文件格式是微软设计的，后来并没有普及（不支持4G以上大文件而且结构过于松散）。客户描述发生了事故看过记录仪回放文件是在的，后取下记录仪接电脑备份文件，结果在第一台电脑上没有发现文件，所有文件都看不到，接第二台发现有病毒，然后杀病毒后找不到碰撞时的文件。从图2中也能看到，此记录仪使用的是连续文件名方式，其规律是某种数字不断累加，可以看到从5817开始就直接跳到5828了，这中间缺失了至少8个文件（5828为出事故后的时间）。

永安视(yasaf)一个小到连官网都没有的安防厂商，是国内众多品牌中的一个，可以说是小十八线，让人敬佩的是这么一个小厂也自行写了嵌入式方案，下边我们来看看这个恢复案例。经过对永安视(yasaf)嵌入式文件系统的分析，得到了其文件系统的规律和文件结构特征，目前CHS零壹视频恢复监控版/专业版/高级版已经可以支持此安防品牌。STEP1:运行CHS零壹视频恢复监控版/专业版/高级版，选择磁盘点击右键“扫描”，点击自动检测或者直接选择永安视(yasaf)此安防设备在使用过程中被初始化，导致的所有监控视频全部丢失。

通过分析存在文件，发现PWM-580这种摄像机的碎片是比较多的，如图1能看到，这个25.9的MXF文件碎片数量达到了惊人的1756个。STEP3:查看数据，经过对比筛选存在的两条，一个25.9G一个是10.9,重点查找为L5级的文件，可以看至爱一个16.83G的文件比较吻合，保存此文件进行下一步修复工作。索尼的摄像机型号是比较繁多的，高端系列基本上是以mxf文件为主，这一类案例之前处理不少，今天我们看一个索尼pmw-580摄像机删除后又覆盖的恢复案例。第二步：点击损坏文件批量添加按钮，添加损坏文件。

但是一定要注意此命令使用是有一堆先觉条件的，因为数据在实际的存储中是灵活多变的，所以很难保证chkdsk后能达到原来的状态。也就是目录项->FAT表所有环节通通出错，目前尚不清楚这是个例还是仅在大型存储上存在，因为目前以我的经验至少没有发现在闪存类存在此问题，所以不好下结论，只能以“exfat的文件系统结构不适合管理大型存储“来做总结，在这里我们强烈建议如果您是视频从业者，在存储文件要用到微软文件系统时强烈建议”非闪存类的存储设备慎用exfat文件系统“避免因此导致数据出问题。

图2可以看到碎片数量为6，可能感觉不多，但这一类方案是刚格式化的卡由于空间大，能做到碎片少，随着写入的增加没有写入的碎片化越来越多，最终就是碎片数量多且小，小到只有一簇。根据此方案，重新写了一个小程序进行碎片的筛选和定位，写入一轮再查看一轮，最终完成定位和重组，好在文件较小，所需要的文件也就4个，3个文件定位还算比较正常，碎片的区间也不大，其中一个文件的碎片区间却让人大跌眼镜，6.45M的文件碎片却散落在65667个簇中（约1G多的空间），这个是目前为止遇到过的区间最大的值。

佳能R6是佳能R系列中的一款高端机，佳能的案例不少，这个案例特殊在m2的机型使用了新的DEC标识，还有就是其断电后没有立即停止拍摄，所以存在覆盖的可能性。这款R6 m2摄像机使用了特殊的DEC和小块，所以强烈建议添加样本，如果十在没有样本，可以点击下方“高级设置”对子帧最小值进行设置，参考图4。STEP4:查看数据，我们重点查找的是L5级的文件，即原始文件，编号481文件长度为10G极有可能是客户要的文件，直接保存此文件。图2：12点18分的文件为一个容量为0的DAT文件，可以看到后续还有新的文件写入。

Gopro之前也说过很多次，其在采集画面时一般是生成三个文件，THM、LRV、MP4，其中THM是第一帧的静态画面，另外两个一个是预览的分辨率较低小视频LRV（用于在GORPO小屏上播放），一个是分辨率较高的视频MP4。这个是通用类恢复软件恢复后无法播放的主因，因为格式化后FAT表清0，文件链表不存在，所以只能通过起始簇和文件大小进行恢复，这也就导致了恢复错误。STEP1:直接扫描，扫描大类不用动默认是记录仪，然后打开样本文件，此时扫描小类会自动切换到“0：导入样本文件自动分析”直接扫描，等待完成。

解析视频->抽取头帧->量化->分析照片->OCR获取字符串->整理字符串->输出，一般是操作视频的都要占用大量资源需要大量的时间，所以速度不快。仅识别文本信息（中文）--------以中文为参考识别字符（仅用于监控版通道信息的查找）（英文）--------以英文为参考识别字符（仅用于监控版通道信息的查找）仅识别日期和时间（英文）------以英文为参考识别日期和时间字符。仅识别日期和时间（中文）------以中文为参考识别日期和时间字符。分析照片->OCR获取字符串->整理字符串->输出。

Exfat更像是FAT32文件系统的一个大号“补丁”，其仍然保留了FAT表（对于存在碎片的文件仍然使用FAT表），如果是64T，那么这个FAT表将会很大，存在各种管理弊端，特别是做为网络存储经常要写入数据从而导致FAT表IO频繁，出错是再所难免。CHS零壹视频恢复程序标准版、专业版、高级版都支持大型存储的扫描，这里再赘述下，扫描大型存储最好是引入样本文件，让程序建立精确模型，从而提升扫描和重组的速度，其它的就是STEP2中的设置了。故障存储:64T NAS，品牌不详，使用MS Exfat文件系统。

STEP5:修复完成后就可以查看数据了，修复后肯定是没有日期的，新版本高级版增加了“OCR时间”，由于此次扫描的是行车记录仪其画面上存在时间，如果文件数量大就可以通过OCR识别这个功能来获取时间，点击上方的“OCR获取”，即可以获取时间。行车记录仪是一种常见的视频采集设备，随着国内汽车市场的疯涨而普及，基本上每个车上都有，这一类记录仪有的是主机厂自带的（如特斯拉），但更多的是第三方厂商生产的独立的记录仪。64G的SD卡，FAT32文件系统，使用常见的记录仪循环写入不断覆盖的方式存储数据。