通过WINHEX直接查看到删除痕迹,直接提取删除的数据,后来先通过电话和客户确认找出来的数据,根据客服要求打开了一些最需要的表格,全部正常!
通过WINHEX定位分区DBR位置,修改MBR,5分钟数据全部看到请看下图。由于4个盘是主分区,后来把客户数据备份出来,重新分区。
通过WINHEX进行分析,发现第一个分区覆盖到几百M没有对数据受到影响,手工填写DBR数据全部恢复出。里面都是小孩子的相片,原本客户自己恢复过,基本恢复的数据打不开。
通过德国WI HEX进行数据恢复分析发现D盘被覆盖到,客户做系统的时候系统文件覆盖到D盘位置,E,F没有覆盖到数据全部出来,后来D盘恢复没有目录目录下没有数据,使用最后一种方法覆盖严重只能按类型恢复。
客户想把E盘空间基本使用完,他想把隐藏分区合并在一起结果误操作导致E盘分区表信息丢失,原本是C,D,E,F 就E盘分区丢失