正好有個(gè)u盤出現(xiàn)目錄亂碼和文件亂碼的現(xiàn)象，并且打開(kāi)文件夾目錄時(shí)提示目錄名、文件名或卷標(biāo)出現(xiàn)語(yǔ)法不正確的提示。

首先，我們先做u盤鏡像文件備份，以防操作失誤。winhex鏡像文件方法這里我就不多說(shuō)了，可以到這里學(xué)習(xí)一下：http://www./Data-recovery/119/

完成鏡像備份后導(dǎo)入備份的文件進(jìn)行目錄亂碼的分析。先打看根目錄看一下，看圖很明顯這并不是根目錄下的數(shù)據(jù)內(nèi)容，這說(shuō)明DBR有問(wèn)題。 

我們來(lái)檢查一下DBR的參數(shù)，打開(kāi)DBR  

分析OEM是亂碼，但影響不大。我們來(lái)檢測(cè)FAT1和FAT2是否正常。

分析：這是FAT32分區(qū)，F(xiàn)AT表正常

下來(lái)再查看與他（地1024扇區(qū)）相鄰的兩個(gè)扇區(qū)，這時(shí)發(fā)現(xiàn)問(wèn)題了：

分析：第1023和1025扇區(qū)的數(shù)據(jù)，應(yīng)該是一個(gè)FAT表中的一部分，感覺(jué)第1024扇區(qū)（FAT2的開(kāi)始扇區(qū)）的數(shù)據(jù)好像插在一個(gè)FAT表中間了，且FAT2只有一個(gè)扇區(qū)，這說(shuō)明FAT表有問(wèn)題，現(xiàn)在要找正確的FAT表，然后恢復(fù)。

開(kāi)始搜索FAT表： 

 查找發(fā)現(xiàn)3個(gè)FAT表： 

分析：除原來(lái)看到的兩個(gè)FAT表外，在第990扇區(qū)發(fā)現(xiàn)一個(gè)FAT表，如果這是正確的FAT2(不可能是fat1)，那么數(shù)據(jù)區(qū)的開(kāi)始扇區(qū)為：32加(990-32)乘2等于1948扇區(qū)，現(xiàn)在到第1948扇區(qū)去： 

分析：顯然第1948扇區(qū)不是數(shù)據(jù)開(kāi)始的扇區(qū)（DATA數(shù)據(jù)在FAT2后面，而FAT2最后一個(gè)扇區(qū)的時(shí)間一般是00），現(xiàn)在一直數(shù)據(jù)開(kāi)始的扇區(qū)。

那么我們要找根目錄區(qū)（DIR）或數(shù)據(jù)區(qū)的扇區(qū)。說(shuō)明：FAT32分區(qū)中的根目錄不是固定的區(qū)域，固定大小與FAT16分區(qū)不同，但一般情況下是從第二簇（即DATA區(qū)開(kāi)始的位置）開(kāi)始的，也就是說(shuō)：DATA數(shù)據(jù)區(qū)開(kāi)始的數(shù)據(jù)是根目錄數(shù)據(jù)。

尋找的方法：從DATA區(qū)向上找，比如先到根目錄（第2016扇區(qū)，其實(shí)在現(xiàn)在的u盤中不是根目錄，是DATA區(qū)中間部分），然后向上搜索（方法見(jiàn)下圖），搜索到以后看下一個(gè)扇區(qū)是不是感冒了或者DATA區(qū)開(kāi)始的數(shù)據(jù)。 

最后在第1924扇區(qū)找到，根據(jù)內(nèi)容分析是根目錄數(shù)據(jù)（如果是子目錄，此扇區(qū)的第一個(gè)字節(jié)應(yīng)該是2E），感覺(jué)根目錄在DATA區(qū)的開(kāi)始位置（后面還要驗(yàn)證）。 

開(kāi)始分析根目錄區(qū)及子目錄數(shù)據(jù)：

1、主要分析沒(méi)有刪除的子目錄（及文件夾）數(shù)據(jù)，從圖中可以找到兩個(gè)子目錄：

子目錄1：銳利            子目錄數(shù)據(jù)起始簇號(hào)：1CBH   即第715簇
子目錄2：建利榮華    子目錄數(shù)據(jù)起始簇號(hào)：10002H   即第65538簇

2、找子目錄數(shù)據(jù)（不能直接到715簇或65538簇去找，因?yàn)楝F(xiàn)在的DBR有問(wèn)題），然后算出每簇扇區(qū)數(shù)及確認(rèn)DATA開(kāi)始的位置。

方法：尋找搜索2E20202020202020 

分析這4個(gè)子目錄數(shù)據(jù)（其實(shí)分析其中任意兩個(gè)即可）： 

現(xiàn)在我們根據(jù)以上的公式來(lái)計(jì)算：