R-Studio中,格式化恢复与分区恢复的操作基本相同,唯一不同的是,由于格式化是针对一个特定的分区进行的,所以在恢复时没有必要对整个磁盘进行扫描,只需要对该分区进行扫描即可
我们将试验磁盘的第三个分区由FAT32格式化成NTFS后进行恢复演示。由于我们知道原来的文件系统为FAT32,所以在扫描设置对话框的文件系统栏中,只保留FAT类型即可,这样可以避免一些不必要的系统开销。如果不能确定原来的文件系统是FAT还是NTFS,则需要对两种文件系统类型都进行勾选。
扫描完成后,程序会列出找到的分区。实际上,格式化后的扫描恢复相当于限定一个扫描的范围,在这个范围内寻找可能存在的分区。由于我们用于实验的磁盘进行过全盘清除数据的操作,不存在以前分区的干扰信息,所以扫描完成后只显示有一个FAT32分区。如图10.73所示。
 
可以看到,程序显示FAT32文件系统起始于分区的16KB处,其实这也是一个FAT表的起始位置。分区大小为267.2MB,对于分区大小的算法目前还不太了解,不过这并不影响我们恢复其中的数据。
在搜索到的分区上双击即可将其打开,如图10.74所示。
 
经过验证,数据基本上没有破坏。这也同时验证了我们前面的分析,即FAT32文件系统格式化成高版本NTFS后,数据恢复的可能性比较大
我们向现在的NTFS分区拷入部分数据后再格式化成FAT32,其实也相当于将原来的FAT32重新进行FAT32格式化。回顾我们前面分析格式化恢复时所讲的内容,FAT32的数据通常位于分区前部,高版本NTFS的数据通常稍靠后一些,形成前后错开的情形。将FAT32格式化成NTFS时没有破坏掉原FAT32FAT表、根目录和数据。重新格式化成FAT32时,基本不会破坏NTFS的数据,但却会破坏最初FAT32文件系统的FAT表和根目录。我们可以通过这个实例同时验证FAT32分区重新进行FAT32格式化以及NTFS格式化成FAT32的恢复。
我们不再详细讲述基本的操作,但需要提醒一点,因为我们知道格式化的过程是FAT32NTFSFAT32,因此,需要找回原来的FAT32NTFS中的数据,所以进行扫描设置时应该同时保留FATNTFS文件系统类型选项。扫描结果如图10.75所示。
 
可以看到,程序找到了两个FAT32和一个NTFS,其中一个FAT32是根据DBR备份扇区的信息虚拟而成。我们双击起始位置为0FAT32,结果如图10.76所示。
 
 
可以看到,根目录下已经没有内容,因为使用与原FAT32分区相同的参数进行格式化时,新旧分区中的逻辑位置都是相同的,为根目录分配的簇恰好与原FAT32的根目录重合,因此原根目录内的内容被清空了,原来位于根目录中的子目录和文件的目录项都已经丢失。不过,子目录的簇空间还仍然存在,程序搜索到这种子目录空间后即为其建立一个目录,用号码做为它的目录名。子目录的簇空间中记录的下一级子目录及文件的目录项依然完好,所以可以列举出它们的名字。但如果要正确地恢复数据,依赖于它们的存储是否连续,因为FAT表已经不存在了。
最严重的破坏是,原来直接存放在根目录下的所有Word文档全部丢失了。因为它们的目录项直接存放在根目录的簇空间中,根目录被清空后,这些文件的目录项丢失,导致程序无法通过目录项得知它们的存在。这些文件只能通过RAW方式恢复。同样,它们能否被成功恢复也取决于存储的连续性。
我们再来看一下程序找到的NTFS文件系统,双击打开后如图10.77所示。
 
可以看到,NTFS中的数据非常完好,说明一个高版本NTFS类型分区,如果数据量不是很大的话,格式化成FAT32后,数据被破坏的程度是有限的。
最后,按照我们前面介绍的方法将数据导出即可完成恢复。
 
本文摘自《数据重现--文件系统原理精解与数据恢复最佳实践》