案例名稱：日立移動硬盤格式化后變RAW格式數(shù)據(jù)恢復(fù)成功案例
客戶名稱：左女士
介質(zhì)名稱：日立移動硬盤，型號：HTS541010A9E680
故障現(xiàn)象：
用戶在格式化U盤的時候，移動硬盤也插在筆記本上，誤以為移動硬盤是U盤，誤操作格式化了移動硬盤，發(fā)現(xiàn)誤操作后，立即拔掉移動硬盤的數(shù)據(jù)線，然后重新接上移動硬盤后分區(qū)無法打開，顯示RAW格式，如圖一所示。
圖一：格式化過程中拔掉硬盤，變成raw格式
數(shù)據(jù)恢復(fù)及取證過程：
1、 從底層分析發(fā)現(xiàn)格式化后$MFT被重建了，整個大小只有8簇個長度，如圖2。
圖二：$MFT被重建
2、搜索是否還存在原始$MFTmirr的記錄，找到后復(fù)制粘貼到$MFT處覆蓋現(xiàn)有的不正確數(shù)據(jù)，如圖3。
圖三：查找到原始$MFTmirr
3、 重構(gòu)了主文件表以后，就等于找到了書本的目錄，這時就可以用正確的恢復(fù)出所有數(shù)據(jù)了。其實(shí)還有一種簡單的辦法，直接用達(dá)思數(shù)據(jù)恢復(fù)軟件標(biāo)準(zhǔn)版自動掃描就可以自動重建，展開分區(qū)查看數(shù)據(jù)了，如圖4。
圖四：達(dá)思數(shù)據(jù)恢復(fù)軟件標(biāo)準(zhǔn)版的優(yōu)化算法簡化數(shù)據(jù)恢復(fù)
技術(shù)難點(diǎn)及對客戶建議：
該案例做成功需要掌握扎實(shí)的文件系統(tǒng)技術(shù)，看似簡單，還是有一些技巧可以研究的。通過手工更改或重建重要參數(shù)數(shù)據(jù)，可以大大提高恢復(fù)數(shù)據(jù)的效率和成功率，如果嫌麻煩，用數(shù)據(jù)恢復(fù)軟件工具倒也不是沒辦法。
關(guān)于達(dá)思科技
達(dá)思科技，國家級高新技術(shù)企業(yè)，天津市國家保密局涉密載體數(shù)據(jù)恢復(fù)唯一協(xié)作單位，數(shù)據(jù)恢復(fù)行業(yè)著名品牌，在國內(nèi)乃至全亞洲數(shù)據(jù)恢復(fù)技術(shù)領(lǐng)先!
達(dá)思科技中國數(shù)據(jù)恢復(fù)與取證真專家!熱線：4007000017
更多數(shù)據(jù)恢復(fù)與取證前沿技術(shù)請關(guān)注微信公眾賬號：woocs
微信號：woocs
長按識別二維碼關(guān)注
專注數(shù)據(jù)恢復(fù)與取證技術(shù)、互聯(lián)網(wǎng)
投稿：woocs@qq.com
