數(shù)據(jù)介質(zhì)：三星手機(jī)SM-G3518 4G TF卡
客戶信息：江西贛州許先生
數(shù)據(jù)恢復(fù)與取證的故障描述：
許先生求助，三星手機(jī)SM-3518的外置TF卡中保存的通話錄音不見(jiàn)了，希望進(jìn)行手機(jī)錄音的數(shù)據(jù)恢復(fù)。手機(jī)中一直保存著一年前跟一個(gè)朋友打電話的時(shí)候錄音，為了避免將來(lái)引起糾紛，這些錄音是他和朋友溝通是留下的證據(jù)。2個(gè)月前在手機(jī)里還回放過(guò)，昨天拿出來(lái)就沒(méi)找到這個(gè)錄音了，自己也嘗試過(guò)用網(wǎng)上的數(shù)據(jù)恢復(fù)軟件進(jìn)行恢復(fù)，但沒(méi)成功。
數(shù)據(jù)恢復(fù)與取證的過(guò)程一波三折：
三星手機(jī)SM-G3518的手機(jī)機(jī)身內(nèi)存是8G,還有一張4G的TF卡作為存儲(chǔ)數(shù)據(jù)補(bǔ)充。許先生自己嘗試過(guò)數(shù)據(jù)恢復(fù)操作，手機(jī)已經(jīng)取得了ROOT權(quán)限。數(shù)據(jù)恢復(fù)工程師把TF卡取下，接在讀卡器上，打算先把TF卡做個(gè)鏡像，TF卡的狀態(tài)是在資源管理器中提示格式化，如圖一：
圖一：TF卡插在電腦上提示格式化磁盤
數(shù)據(jù)恢復(fù)工程師心里咯噔一下，根據(jù)經(jīng)驗(yàn)，這可能就是TF卡有壞塊的表現(xiàn)，如果真的是TF卡壞塊，數(shù)據(jù)恢復(fù)可能就非常麻煩了。于是進(jìn)一步排除是不是讀卡器問(wèn)題，換了幾個(gè)讀卡器仍然提示格式化，換其他好的TF卡又顯示正常，由此判斷是TF卡問(wèn)題。打開磁盤管理器，如圖二：
圖二：TF卡容量可以識(shí)別，但是未分配狀態(tài)
從圖二我們看到，TF卡的容量顯示是正常的。
我們打開磁盤分析工具看看，發(fā)現(xiàn)根本無(wú)法正常掃描，如圖三。這就印證了工程師的判斷，這個(gè)TF卡的確是壞塊的問(wèn)題。但是我們不能輕易放棄，繼續(xù)嘗試其他辦法提取鏡像。
圖三、TF卡無(wú)法正常掃描
我們看看用PC3000能不能處理掉壞塊的問(wèn)題?我們發(fā)現(xiàn)，TF卡的壞塊特征非常明顯，每個(gè)扇區(qū)都是黑色的。如圖四所示。
圖四、TF卡壞塊嚴(yán)重，無(wú)法正常鏡像
看到這情況工程師暈了，根據(jù)經(jīng)驗(yàn)，遇到這種問(wèn)題，很多資深的工程師就會(huì)想到放棄了，因?yàn)檫@種情況想要做出數(shù)據(jù)鏡像，幾乎是不可能完成的人。搞數(shù)據(jù)恢復(fù)技術(shù)的工程師有個(gè)習(xí)慣，遇到疑難問(wèn)題不會(huì)一直揪著不放，而是先放在一邊，有其他比較容易做的數(shù)據(jù)恢復(fù)業(yè)務(wù)優(yōu)先做，這并不等于放棄了，大腦里卻一直“放著”這個(gè)難啃的骨頭，一直會(huì)默默的想辦法。
被忽視的強(qiáng)悍!柳暗花明又一村
數(shù)據(jù)恢復(fù)工程師決定先看看手機(jī)內(nèi)存中是否可以恢復(fù)出錄音文件呢?于是先把手機(jī)內(nèi)存做個(gè)鏡像，連接手機(jī)，打開達(dá)思手機(jī)數(shù)據(jù)恢復(fù)軟件專業(yè)版，鏡像DATA分區(qū)，軟件順利的進(jìn)入了工作狀態(tài)。如圖圖五所示
圖五、達(dá)思手機(jī)數(shù)據(jù)恢復(fù)軟件專業(yè)版提取手機(jī)內(nèi)存鏡像
圖六、手機(jī)內(nèi)存鏡像到本地
鏡像速度非?？?，軟件運(yùn)行穩(wěn)定，大約十幾分鐘鏡像完畢，如圖六所示。接下來(lái)對(duì)機(jī)身內(nèi)存進(jìn)行通話錄音的提取，如圖七所示。
圖七、導(dǎo)出手機(jī)內(nèi)存鏡像中的錄音文件
正如許先生所講的，錄音文件一直是保存在外置的TF卡里的，手機(jī)內(nèi)存中并沒(méi)有保存過(guò)?，F(xiàn)在唯一的希望就放在TF卡上了，現(xiàn)在的問(wèn)題就是怎么對(duì)TF卡里面的數(shù)據(jù)進(jìn)行提取?已經(jīng)嘗試了R-Studio、winhex這些老牌的數(shù)據(jù)恢復(fù)工具做鏡像無(wú)果，甚至動(dòng)用了PC3000，依然對(duì)這個(gè)TF卡的鏡像無(wú)可奈何!
現(xiàn)在無(wú)法鏡像TF，怎么能提取到里面的數(shù)據(jù)呢?在關(guān)閉達(dá)思手機(jī)數(shù)據(jù)恢復(fù)軟件專業(yè)版的一剎那，工程師突然眼前一亮，看見(jiàn)了幾個(gè)非常不起眼的字“手機(jī)SD卡備份”!如圖八所示。
圖八、被忽視的手機(jī)外置卡備份功能
這是達(dá)思手機(jī)數(shù)據(jù)恢復(fù)軟件專業(yè)版中的一個(gè)比較常用的功能，說(shuō)實(shí)話，工程師幾乎沒(méi)用過(guò)，因?yàn)榇蠖鄶?shù)TF卡好的情況下，搞數(shù)據(jù)恢復(fù)的工程師一般會(huì)用剛才提到的三個(gè)工具做鏡像。
很多搞數(shù)據(jù)恢復(fù)技術(shù)的工程師都知道，PC3000是頂尖的數(shù)據(jù)恢復(fù)軟件，它的DE鏡像功能特別強(qiáng)大，在這里很多人也許會(huì)說(shuō)，剛才你不是用了PC3000UDMA了嗎，它不是鏡像失敗了嗎?難道達(dá)思軟件對(duì)TF卡鏡像會(huì)比PC3000還厲害嗎?其實(shí)工程師開始也是心里沒(méi)底，試試就知道了，但結(jié)果卻大大出乎工程師的預(yù)料，如圖九所示。
圖九、被忽視的強(qiáng)悍 鏡像功能竟然如此強(qiáng)悍
用達(dá)思手機(jī)數(shù)據(jù)恢復(fù)軟件專業(yè)版做這個(gè)壞塊TF卡的鏡像，不但可以鏡像順利，竟然一點(diǎn)都不卡，4G的鏡像居然十幾分鐘就做完了!如圖十所示。
圖十、完美做出的手機(jī)TF卡鏡像文件
雖然有了鏡像，但是能不能恢復(fù)錄音文件，還是個(gè)未知數(shù)，我們繼續(xù)往下看。
用達(dá)思手機(jī)數(shù)據(jù)恢復(fù)軟件專業(yè)版提取TF卡鏡像中的錄音文件，如圖十一所示。
圖十一、達(dá)思手機(jī)數(shù)據(jù)恢復(fù)軟件專業(yè)版導(dǎo)出錄音文件
圖十二 2455個(gè)錄音文件完美恢復(fù)成功
數(shù)據(jù)恢復(fù)結(jié)果：
天哪，居然恢復(fù)出來(lái)的錄音文件有2455個(gè)!數(shù)據(jù)恢復(fù)工程師異常興奮，挑了幾個(gè)容量較大的錄音文件打開試聽，完全沒(méi)問(wèn)題!最終，許先生找到了需要的錄音文件，表示十分滿意。100%數(shù)據(jù)恢復(fù)成功，如圖十二所示。
本案例提供者：達(dá)思手機(jī)數(shù)據(jù)恢復(fù)軟件核心伙伴-江西贛州金譽(yù)數(shù)據(jù)恢復(fù)中心郭工
為什么達(dá)思軟件可以提取壞塊TF卡的鏡像呢?
達(dá)思科技技術(shù)專家表示：這是一個(gè)典型的手機(jī)外置卡壞塊的案例，達(dá)思軟件在開發(fā)過(guò)程中就考慮到了遇到壞塊自動(dòng)跳過(guò)并自動(dòng)復(fù)位的算法，經(jīng)過(guò)多方測(cè)試驗(yàn)證，不僅僅支持TF卡，實(shí)際上還支持手機(jī)內(nèi)存的壞塊鏡像，比如手機(jī)莫名其妙的卡頓，死機(jī)，屏幕沒(méi)反應(yīng)等等，都可以嘗試使用達(dá)思手機(jī)數(shù)據(jù)恢復(fù)軟件專業(yè)版的手機(jī)外置卡鏡像功能。
關(guān)于達(dá)思科技
達(dá)思科技，國(guó)家級(jí)高新技術(shù)企業(yè)，天津市國(guó)家保密局涉密載體數(shù)據(jù)恢復(fù)唯一協(xié)作單位，數(shù)據(jù)恢復(fù)和取證行業(yè)著名品牌，是一家以技術(shù)研發(fā)為核心生產(chǎn)力的技術(shù)型企業(yè)，在國(guó)內(nèi)乃至全亞洲數(shù)據(jù)恢復(fù)與取證技術(shù)領(lǐng)先!
達(dá)思科技 中國(guó)數(shù)據(jù)恢復(fù)與取證專家!
更多數(shù)據(jù)恢復(fù)與取證技術(shù)、互聯(lián)網(wǎng)請(qǐng)關(guān)注微信公眾訂閱號(hào)：woocs
微信號(hào)：woocs
長(zhǎng)按識(shí)別二維碼關(guān)注
專注數(shù)據(jù)恢復(fù)與取證技術(shù)、互聯(lián)網(wǎng)
投稿：woocs@qq.com
