分区在VISTA下格式化后的特殊性

作者：北京北亚数据恢复中心    文章来源：WWW.SJHF.NET

 

案例：

[故障描述]

用户欲将U盘做快速格式化操作，不小心误选了笔记本硬盘的一个数据分区，3秒钟后意识到操作错误，迅速中止刚才的误操作，但被误操作的分区已经无法正常访问，提示格式化。

[分析结果]

将硬盘挂载到其他机器上对其进行分析，发现该损坏的分区前2.5GB底层的二进制流数据均为0，对原分区的文件系统痕迹进行跟踪，确定原文件系统格式为NTFS，原文件系统的$MFT尚未受到破坏

[解决过程]

首先对该分区做出完整镜像备份，然后对DBR进行修复并对文件系统结构进行一致性检验确定没有问题，针对上述分析过程中检测到的异常情况（分区前2.5GB底层的二进制流数据均为0）进行跟踪，发现前2.5GB并非没有文件存在，$MFT中的许多文件数据块指向均在此范围内，由此推测可能是由于VISTA格式化会对分区进行数据清除操作。为了验证上述推测的正确性，选择一块装有数据的无用实验盘，在VISTA下重复用户之前的误操作，格式化进行数秒中后中止，将实验盘挂载后进行分析，分析结果表明上述推测是正确的。至此，数据恢复基本完成，用户的文件目录结构完好，但有2.5GB左右的数据在格式化后丢失，目前情况下是无法恢复的。

[案例分析和总结]

在VISTA以前的WINDOWS系统中，对分区进行格式化操作，文件系统是不会出现底层清0的情况的，至少是大部分数据都有机会得以恢复的，但VISTA对于文件系统的管理可能又有了新的发展（至于目的就无从所知了），对分区格式化不同于以前的WINDOWS系统，即便是快速格式化也很有可能会清除以前的所有数据，这一点是非常值得注意的。

[用户提醒]

在VISTA下即使是对分区进行快速格式化操作也一定要非常小心，这个操作对于分区中以前的数据的破坏可是非常严重的。