u盘数据如何恢复

WinHex找回U盘的丢失数据

《WinHex》找回闪存盘的失意数据winhex数据恢复案例

前⼏天，⼀个朋友的重要⽂稿不见了，系统提⽰存放⽂件的U盘没有格式化，所以不能读出任何有效的⽂件，情急之下只得请

我出马。下⾯就给⼤家说说笔者从U盘上找回丢失⽂件的过程。

⼩知识：删除的⽂件为什么可以恢复？

存储⼀个⽂件的时候，操作系统⾸先在记录所有空间使⽤情况的⽂件分配表(FAT)中找到⾜够容纳⽂件的空间，然后把⽂件内

容写到相对应的硬盘扇区上，并在⽂件分配表中标出该空间已经被占⽤。删除⽂件的时候，⼀般并不对⽂件所占⽤的扇区进⾏

操作，⽽仅仅是在⽂件分配表中指明哪些空间可以分配给别的⽂件使⽤。

这个时候，被删除⽂件的实际内容仍然存在，可以被恢复。如果删除⽂件后⼜创建了新⽂件，那么被删⽂件所占⽤的扇区就有

可能被新⽂件所使⽤，这时候就⽆法恢复被删⽂件的数据了。所以⼀旦误删除了⽂件，就不要再对该⽂件所在的分区进⾏写操

作了，否则有可能覆盖原有数据，造成⽂件⽆法恢复。

⼩知识：恢复⽂件的三个阶段

1．使⽤⾃动化恢复软件

恢复软件(如Finaldata或EasyRecovery等)使⽤很简单，根据向导的指⽰操作就可以了。

2．⼿⼯恢复被删除数据

⼿⼯恢复的原理是直接在存储设备上寻找被删除⽂件的关键内容。这种⽅法适合恢复有明显特征⽽且结构简单的⽂件，如⽂本

⽂件。如果⽂件很⼤，且分散于磁盘的不同位置，还需要根据⽂档的内部结构重新组织⽂档，才能彻底恢复数据。

3．找专业的数据恢复公司

备份数据

由于数据很重要，所以⾸先要进⾏备份，万⼀出现误操作，还可以把U盘恢复到最初的状态。这⼀步很重要，并且U盘容量不

⼤，备份不会占⽤太⼤磁盘空间。进⾏扇区级别的磁盘数据备份有很多⼯具，如Ghost、WinHex和DiskExplorer，下⾯主要介

绍WinHex。WinHex是⼀个16进制⽂件编辑⼯具，可以跳过操作系统的⽂件系统直接读取磁盘和U盘等设备，从⽽进⾏数据恢

复。

使⽤WinHex的“Tools”菜单下⾯的“OpenDisk”命令，打开物理U盘。

在WinHex中看到U盘的引导数据全是“FF”，分区表和⽂件系统完全丢失了。从“Edit”菜单中选择“DefineBlock”，选择起⽌

为“Beginningoffile”和“Endoffile”。

然后再从“Edit”菜单中选择“Copy

Block”→“IntoNewFile”，把整个U盘的数据写到⼀个⽂件中(例如“”)，这样就完成了U盘的备份。

⾃动恢复

完成备份后，笔者尝试⽤数据恢复⼯具Finaldata、EasyRecovery和Recover4All进⾏恢复，由于U盘容量很⼩，很快就搜索出

很多⽂件，但是就是没有发现要找的那个重要⽂件，看来只能⼿⼯操作了。

⼿⼯修复

确定⽂件位置

询问朋友得知该⽂件是中英⽂混合的Word⽂档，⼤部分是中⽂，含有少量英⽂，因此笔者决定通过查找⽂件内容尝试恢复⽂

件。

⽤WinHex打开前⾯保存的U盘镜像⽂件(在镜像⽂件上进⾏数据恢复的好处是访问速度⽐直接访问U盘快，⽽且还可以避免破

坏U盘原有数据。)选择“Search”菜单中的“FindText”命令，从镜像⽂件中直接搜索⽂中包含的英⽂字符串“controlneeded”。由

于搜索到太多的字符串“controlneeded”，因此⽬前还⽆法对⽂件进⾏定位。

如果能记住部分中⽂内容，搜索中⽂可以

避免找到太多的结果。Word⽂档中的中⽂⽤Unicode编码，因此打开记事本输⼊⽂章包含的中⽂字符“决策”，另存为Unicode

编码的⽂件()。

⽤WinHex打开⽂件“”，开始的“FFFE”代表字符编码的顺序，因此随后的

“B351567B”就是“决策”的Unicode格式的16进制表⽰。

从WinHex的“Search”菜单中选择“FindHexValues”命令，在U盘镜像⽂件中搜索“B351567B”。因为WinHex只能以内码的格

式显⽰中⽂，Unicode格式的中⽂都显⽰为乱码，那么如何知道是否找到了正确的数据呢？

从搜索到“B351567B”的地⽅开始选择⼀段数据，仍然是从“Edit”菜单中选择“CopyBlock”→“IntoNewFile”复制到⼀个新的⽂件

中()。

打开记事本，选定刚才保存的⽂件“”，然后将编码格式设置为“Unicode”格式后再打开就可以看到它的真实内容了，

经朋友确认，这段⽂字就是要找的⽂件的部分内容。

定位⽂件头

要完整地恢复Word⽂档，仅找到⽂件部分内容是不够的，我们需要找到DOC⽂件的开头(⽂件头)。⽤WinHex打开任意⼀个已

知的完好的Word⽂件，可以看到⽂件的起始标志字符串为“D0CF11E0”，显⽰为“邢.唷”。查到DOC⽂档的特征标志

为“D0CF11E0A1B11AE1”。

easy提⽰纯⽂本格式的TXT⽂件不像Word⽂档那样有特征标志，但恢复时可以直接⽤WinHex搜索⽂件中包含的中⽂或者英⽂

关键字，确定⽂件所处位置。仍然是使⽤WinHex的“FindHexValues”命令，搜索⽅向设置为“Up”，也就是从刚才找到的特征

字符串“决策”的位置往前搜索Word⽂件的起始标志“D0CF11E0”。

找到Word⽂件起始位置后，选择“Edit”菜单中的“DefineBlock”，设定块开始的位置为标志字符串“D0CF11E0”开始的地⽅，根

据⽂件的⼤⼩，设定⼀个估计的结束偏移量，可以尽量⼤⼀些，不要太⼩就可以了。从“Edit”菜单中选择“CopyBlock”→“Into

NewFile”把定义的块保存为⼀个新⽂件()。

easy提⽰如何计算块的⼤⼩？WinHex中的⼀个偏移量代表⼀个字节(Byte)，运⾏Windows⾃带的计算器，切换到⼗六进制模

式，⽤结束地址减去开始地址就得到定义块的⼤⼩。360000－355A00＝A600A600(⼗六进制)→42496(⼗进制)⽤Word打开

刚才恢复出来的“”⽂件，发现就是朋友丢失的那个⽂件，绝⼤部分内容都在，格式也正确。

从下载评估版的WinHex开始计算，整个恢复过程总共半个⼩时，仅仅使⽤WinHex和记事本程序就把丢失的数据恢复了，结

果⾮常令⼈满意。