PC3000 军达成数据恢复论坛
标题:
成功解决照片碎片恢复
[打印本页]
作者:
军达成
时间:
2011-8-16 11:35:29
标题:
成功解决照片碎片恢复
前几天遇到一个客户要求恢复数据相机照片,症状是FAT32系统中病毒后清除了FAT表,目录项还在,先采用文件类型的恢复手段,几乎试遍了各种软件都不果,只是恢复了其中很少的一部分,得出以下结论:
1,文件是特殊结构的图片文件头,跟常规图像格式的文件头不一样;
分析:用WINHEX分析客户提供的样本文件,搜索其图像文件头"FFD8",发现文件头正常,排除这一项可能/
2,该照片存在碎片,经与客户沟通发现,该客户在拍摄过程边拍边删除,所拍的照片几乎已经存满SD卡,这就与上面能恢复一部分文件相印证(数据恢复软件是按文件连续存储即没有碎片来恢复的);
分析:因为以前从来没有接触过图片的存储结构,所以开始上网了解.通过两天的学习,大概知道了图片的一个存储结构,这时想到之前搜索文件夹头时,文件头相对集中在SD卡的前面1/8处,而且很多都是64K,再搜索"FFD9"图片结束标志,发现几乎两个文件隔了大概8-12M,这很符合原来图片的大小,初步猜测图片分成了两部分,一个前面的文件头,另一部分是介于两个"FFD9"之间的,马上验证,OK!图片完整恢复!
接下来的事情就简单啦,验证了四五个文件都能正常打开,OK,写脚本,收工!
作者:
清水莲心
时间:
2011-8-16 15:36:44
本帖最后由 军达成技术支持1 于 2015-10-8 22:26 编辑
这种情况现在很常见,很多照片复制到电脑上只有半截,估计都得重新手动重组碎片了。
作者:
dpb2000
时间:
2011-8-21 16:25:53
本帖最后由 军达成技术支持1 于 2015-10-8 22:26 编辑
文件全是分成了两部份了吗,太神奇了,如果是碎片的话应该不会这么规律吧
作者:
517343157
时间:
2011-10-18 00:18:35
本帖最后由 军达成技术支持1 于 2015-10-8 22:26 编辑
太神奇了
欢迎光临 PC3000 军达成数据恢复论坛 (http://www.jundacheng.com/bbs/)
Powered by Discuz! X2