FAT下的winhex数据恢复

一·我在自己的U盘中建一个一个文件abc.word,然后删除

 

二·用winhex打开需要恢复的磁盘

我这是U盘 I：按确定打开它

三.来到它的根目录下

 

 

四·查找文件名，找到文件目录项

  

   文件起始簇号：5D80十进制为：23936

      文件大小：     9A00 十进制为：39424字节转换成扇区数为：39424/512=77

五·跳转至文件数据所在簇23936

确定后如图：

 

六·恢复文件到新文件

1.       在第一个字节上单击右键选择“选块起始位置”也就是D处

2.       将文件占用扇区大小与文件数据所在扇区相加77+207856= 20165207933

4.       跳转至207933扇区在扇区末尾处点击右键选择“选块尾部“

5.       单击右键->编辑->复制选块->至新文件，弹出一个对话框，修改后缀名为doc保存即可

 

 

      

 当然实际我这里只是讲基础，文件结尾处应该是00 00 00之类的，但如果有文件碎片，文件便不连续 不能采用这种方法了。你需要找到多个选快 然后合并。当你按shift+delete彻底删除时，文件高温地址簇，也就是上面图中起始簇前两个字节00 00，会被清零，上述低位是5D80。你需要找到建立日期相近的文件，然后借用它的高位试试

转载于:https://www.cnblogs.com/magicdmer/p/4465922.html