lyw4682的博客_数据恢复

QQ聊天记录电子取证经典案例

遇到一个提取聊天记录的经典案例，过程比较复杂，提供的硬盘分过2次区，提供对方QQ号是错误的，找到正确的QQ号聊天内容只有后半段，从其儿子的QQ号数据库里找到前半段。一个客户要恢复2010年与A的聊天记录。拿到硬盘一看系统是2013年1月重装的（难度1），现有的QQ数据库没有利用价值。经过分析：磁盘从2010年自今出现过三次分区装过三次系统（难度2），通过全盘扫描，三次分区的情况：一是40G,86G

运城数据恢复

运城电子取证

原创 2013-05-10 15:07:18 2838 阅读

大华嵌入式监控录像格式

大华嵌入式监控录像格式。未加密的。大华录像文件系统格式。未加密的格式。

嵌入式

监控录像

运城数据恢复

原创 2013-04-28 15:48:54 646 阅读

海康监控录像文件头

2013年4月9日，xx公司送来海康监控录像两块硬盘。每一块个2t。经过检查两块硬盘都遭到人为文件损坏。一块盘被初始化了，前面的文件信息都清空了；另一块盘插到电脑上被设置成动态硬盘。经过手工定位提取得到了客户需要的视频。海康文件的格式如下：

监控录像

海康

运城数据恢复

原创 2013-04-16 09:44:51 1011 阅读 1点赞 1评论

海康监控录像文件头

2013年4月9日，xx公司送来海康监控录像两块硬盘。每一块个2t。经过检查两块硬盘都遭到人为文件损坏。一块盘被初始化了，前面的文件信息都清空了；另一块盘插到电脑上被设置成动态硬盘。经过手工定位提取得到了客户需要的视频。海康文件的格式如下：

监控录像

海康

运城数据恢复

原创 2013-04-16 09:44:46 545 阅读

数据库崩溃后不能强制加载

2013年3月，xx电视台的一个服务器崩溃。硬盘不多，就3块。难点在于硬盘是sas接口的。插到普通pc机上是不能启动的。几经周折，发现硬盘坏道多，只能做镜像。通过分析是raid5.左同步，块大小128.提取数据时发现数据不完整。几次验证重组没有问题，问题出在哪里？经过深入的研究发现该盘的d区MFT从9---55是错误的。得出结论：该服务器在发现系统崩溃后进行了抢修加载，致使MFT表破坏

运城数据恢复

原创 2013-04-05 11:06:53 994 阅读

运城数据恢复的一个u盘数据提取实例cbm2080

U盘数据恢复实例一、默认自动分析个别文档打不开。压缩文件打不开。二、设置ID为2。压缩文件能打开。但有极个别文档打不开。是文档本身就有问题还是恢复的问题？继续验证。拖动滑块，00和04在变化。由于存储位置不是按照

数据恢复

压缩文件

u盘数据提取

原创 2013-03-11 17:06:37 1041 阅读

运城数据恢复注册了一个网站

运城市邦努数据恢复中心 http://ycsjhf.vip.icoc.cn/ www.ycsjhf.icoc.cc

运城数据恢复网站

原创 2013-01-23 15:05:26 511 阅读

移动硬盘（U盘）病毒对数据的破坏

一个客户移动硬盘到电脑上能认到盘符，三个分区。但是都打不开，提示目录结构损坏。一般的病毒都是破坏MDR,DBR。这一次不是。从DBR定位MFT偏移一个扇区，该簇的第一个扇区被病毒填充一段代码。如下：数据恢复后，没有引起足够的重视。等客户来拿资料时，才发现照片是破坏的。开始以为是偏移一个扇区是不是数据不完整。经过1天的时间做镜像，修改DBR的位置来调整定位MFT.完成后，原来的目录结构都

职场

数据

移动硬盘

U盘

休闲

转载精选 2010-05-27 17:24:21 936 阅读 1评论

复合文档的学习记录

近几天学习了复合文档，尽管资料很少，有的也不一定正确。但去其糟粕吸其精华总有益处。有一个视频资料是不对的。没有那么简单的！只把第一个扇区复制一个文件头是修不好文件的。必须改SAT、SSAT的起始位置和大小，目录入口位置等。曾经做过实验：提取数据部分，再用软件修复。多加了文头和文尾，以及SAT、SSAT和目录。

职场

休闲

复合文档

原创 2010-02-25 17:14:13 1147 阅读 1点赞 1评论

常见U盘病毒破坏的数据恢复

病毒破坏 U 盘系统，常见的现象是能认到盘但打不开，用 winhex 打开字节被某个符合或一段字符代替。恢复方法一：重建 MBR 、 DBR 、 FAT 还是打不开。因为修改后，又被病毒修复了。方法二：先提取数据，提取数据的放法很多就不再多说。然后用 winhex 填 0 ，再格式化。当然有时填 0 不行的时候可用量产了

职场

U盘

休闲

原创 2009-10-12 17:00:40 532 阅读

移动硬盘提示‘文件或目录损坏’的恢复

一个移动硬盘插入电脑，马上死机。从PE进去，提示‘文件或目录损坏’。用winhex看MBR,DBR都在。重建MBR,DBR故障依旧。先做备份，然后做手术。考虑到里面有病毒，先人为破坏DBR.从硬盘启动可以进入。修目录结构，运行CHKDSK命令。第一个分区OK。.满以为故障太简单了，接着做第二个分区。提示无法识别卷什么的。用了几种方法还进不去。无奈先提取数据，再格式化。OK！

职场

数据恢复

休闲

原创 2009-09-25 19:16:32 687 阅读

官方博客	全部文章	热门标签	班级博客
了解我们	网站地图	意见反馈

鸿蒙开发者社区	51CTO学堂
51CTO	软考资讯

51CTO博客

运城数据恢复--邦努技术

QQ聊天记录电子取证经典案例

大华嵌入式监控录像格式

海康监控录像文件头

海康监控录像文件头

数据库崩溃后不能强制加载

运城数据恢复的一个u盘数据提取实例cbm2080

运城数据恢复注册了一个网站

移动硬盘（U盘）病毒对数据的破坏

复合文档的学习记录

常见U盘病毒破坏的数据恢复

移动硬盘提示‘文件或目录损坏’的恢复

欢迎