转帖 winhex修复双重破坏之数据由刀豆文库小编整理，希望给你工作、学习、生活带来方便，猜你可能喜欢“winhex恢复破坏文件”。
U盘双重破坏之数据恢复
一朋友拿一U盘跑来诉苦：“文件都打不开了，看大小都只有4KB。”我一边安慰朋友一边做镜像(我很喜欢做镜像，1是可以事后细细研究，2是出错有退路)。
当U盘镜像完了以后，Winhex报告错误了，大意是从686592号扇区开始出错了，不可读取。如下图：
信息提示我已经关闭了，大家看686592号扇区的内容就可以了，Winhex无法读取原盘上面的内容，便全部用“无法读取扇区内容”的HEX值填充了，也就是大家看到的“55 4E 52 45 41 44 41 42 4C 45 53 45 43 54 4F 52”了，直到最后一个扇区：
啊，运气真是不好…后面的文件神仙也救不了了。那前面的文件应该还有点希望吧？先看看文件系统：
似乎没什么问题(一般也不太可能是文件系统出问题)，再到根目录去看看：
几乎所有文件的大小都变成4KB了，这并不是文件被隐藏了。很明显，黑线框内的文件都没办法恢复了(注意它们的起始扇区)。好在大部分文件夹都比较靠前(注意它们的起始扇区)：
我们打开“报验表格(2)”文件夹，里面的文件也都变成4KB了。
我们来看文件目录项里面的文件大小(黑线框)：00 10 00 00，这就是文件的大小，右边的数据解释器已经换算成十进制了：4096，单位是字节，4096字节就是4KB了。我们知道新建一个空白DOC文件也有十几KB，这些文件的大小只有4KB，当然无法打开了。
再看看文件夹里面的文件，它们的起始位置也都比较靠前(黑线框)。
我们看看其中一个文件吧，以“报验申请表”为例，点击它会自动跳到文件起始位置：143472
号扇区。
文件开始的位置是“D0 CF 11 E0 A1 B1 1A E1”，这是标准的DOC文件头，看来文件没有被破坏。这样的话，我们只要找到文件尾，就可以把文件恢复出来了，而DOC文件的文件尾也是有固定特征的，就是“01 00 FE FF 03 0A 00 00”，或者大家可以用Winhex打开一个正常的DOC文件来看看就知道了，那么我们搜索“01 00 FE FF 03 0A 00 00”就可以了。点击菜单上的“Search”→“Find Hex Values”
输入“01 00 FE FF 03 0A 00 00”，把Search改成Down,offset mod改成512=0,点击OK.找到了，在143536号扇区。那文件的大小就是143472-143536=36扇区，也就是18KB.基本正常。在143536号扇区的开始位置右键：
选择“Beginning of block Alt+1” 然后在143472号扇区的结束位置右键：
选择“End of block Alt+2” 这样就选中了整个文件
再次右键，选择“Edit”
移动光标到“Copy Block”之后选择“Into New File Ctrl+Shift+N”
给文件取个名称，保存就可以了。打开文件看看：
很好，没问题，那么其他的文件都可以照常类推。至此，数据恢复完成。预祝大家新年快乐!
