数据恢复

成功恢复一个同名覆盖的有143个碎片的EXCEL文档

     一个11.2M的EXCEL文档在一个40G的分区（FAT32）中被同名文件（13.5K）覆盖了，虽说要朋友发盘过来，但从内心里讲，我没有十分的把握（发盘前对朋友说过，成功的把握不大），因为以前做过实验，同名覆盖时，文件目录项有时没有覆盖，而且文件比较大，如果碎片比较多，而且比较乱，恢复的难度相当大。19号接到盘后，分析发现，文档目录项覆盖了，唯一能找到的就是一个11.2M的临时文件的目录项，但分析临时文件的对应的扇区的文件头发现，好像临时文件的文件头也覆盖了。最后只有根据极少的信息在分区中寻找相关信息，一个40G的分区，找一个信息在分区中找完要花近一个小时的时间，好不容易找到一个好像符合要求的文件头，但分析头的信息发现，这个文件是加密的，客户开始提供的信息是文件没有加密，和客户说的不一样，然后和客户又一次确认信息，客户说文件加密了。晕！！然后假设这个文件头是对的，进行了近两天的信息收集、分析（主要是利用晚上的业余时间来完成，白天要上班），最后终于把数据的范围锁定在90M的扇区范围内。最后分析数据，发现这个文件有143个碎片，而且最小的碎片是一个簇（文件共有358个簇，每簇64扇区）。今天中午花了一个小时的时间把这143个碎片提取并合成，根据客户提供的密码，正常打开，数据再现！！这个恢复能恢复成功，我感觉是一个奇迹，因为加密的文件如果有一个碎片不正常，就不可能打开，修复也是不可能成功。对这个碎片的提取，我感觉技术占三成，运气占七成，可能是运气比较好的原因吧。现写此帖，作为纪念吧，下次遇到这么多的碎片，这么大的文件能提取成功的可能性估计比较小。（20090523）