数据恢复与取证的故障描述：

 

　　客户拿来三星手机SM-3518的外置TF卡中保存的通话录音不见了，希望进行手机录音的数据恢复。自己也尝试过用网上的数据恢复软件进行恢复，但没成功。

 

　　数据恢复与取证的过程一波三折：

 

　　三星手机SM-G3518的手机机身内存是8G,还有一张4G的TF卡作为存储数据补充。客户自己尝试过数据恢复操作，手机已经取得了ROOT权限。把TF卡取下，接在读卡器上，打算先把TF卡做个镜像，TF卡的状态是在资源管理器中提示格式化。如图一：

 

TF卡插在电脑上提示格式化磁盘

 

　　根据经验，这可能就是TF卡有坏块的表现，如果真的是TF卡坏块，数据恢复可能就非常麻烦了。于是进一步排除是不是读卡器问题，换了几个读卡器仍然提示格式化，换其它好的TF卡又显示正常，由此判断是TF卡问题，打开磁盘管理器。如图二：

 

TF卡容量可以识别 但是未分配状态

 

　　从图二我们看到，TF卡的容量显示是正常的。

 

　　我们打开磁盘分析工具看看，发现根本无法正常扫描，如图三。这就印证了的判断，这个TF卡的确是坏块的问题。但是我们不能轻易放弃，继续尝试其它办法提取镜像。

 

TF卡无法正常扫描

 

　　我们看看用PC3000能不能处理掉坏块的问题？我们发现，TF卡的坏块特征非常明显，每个扇区都是黑色的。如图四所示。

 

TF卡坏块严重 无法正常镜像

 

　　根据经验，遇到这种问题，很多资深的工程师就会想到放弃了，因为这种情况想要做出数据镜像，几乎是不可能完成的。陷入了深思。

 

　　想了想决定先看看手机内存中是否可以恢复出录音文件呢？于是先把手机内存做个镜像，连接手机，打开手机数据恢复软件专业版，镜像DATA分区，软件顺利的进入了工作状态。如图五所示。

 

手机数据恢复软件专业版提取手机内存镜像

 

手机内存镜像到本地

 

　　镜像速度非常快，软件运行稳定，大约十几分钟镜像完毕，如图六所示。接下来对机身内存进行通话录音的提取，如图七所示。

 

导出手机内存镜像中的录音文件

 

　　正如客户所讲的，录音文件一直是保存在外置的TF卡里的，手机内存中并没有保存过。现在唯一的希望就放在TF卡上了，现在的问题就是怎么对TF卡里面的数据进行提取？已经尝试了R-Studio、winhex这些老牌的数据恢复工具做镜像无果，甚至动用了PC3000，依然对这个TF卡的镜像无可奈何！

 

　　现在无法镜像TF，怎么能提取到里面的数据呢？在关闭手机数据恢复软件专业版的一刹那，突然眼前一亮，看见了几个非常不起眼的字“手机SD卡备份”！如图八所示。

 

被忽视的手机外置卡备份功能

 

　　这是手机数据恢复软件专业版中的一个比较常用的功能，说实话，工程师几乎没用过，因为大多数TF卡好的情况下，搞数据恢复的工程师一般会用刚才提到的三个工具做镜像。

 

　　很多搞数据恢复技术的工程师都知道，PC3000是顶尖的数据恢复软件，它的DE镜像功能特别强大，在这里很多人也许会说，刚才你不是用了PC3000UDMA了吗，它不是镜像失败了吗？难道手机数据恢复软件对TF卡镜像会比PC3000还厉害吗？其开始也是心里没底，试试就知道了，但结果却大大出乎了预料，如图九所示。

 

被忽视的强悍 镜像功能竟然如此强悍

 

　　用手机数据恢复软件专业版做这个坏块TF卡的镜像，不但可以镜像顺利，竟然一点都不卡，4G的镜像居然十几分钟就做完了！如图十所示。

 

完美做出的手机TF卡镜像文件

 

　　虽然有了镜像，但是能不能恢复录音文件，还是个未知数，我们继续往下看。用手机数据恢复软件专业版提取TF卡镜像中的录音文件，如图十一所示。

 

手机数据恢复软件专业版导出录音文件

 

2455个录音文件完美恢复成功

 

　　数据恢复结果：

 

　　居然恢复出来的录音文件有2455个，挑了几个容量较大的录音文件打开试听，完全没问题。最终，客户找到了需要的录音文件，表示十分满意，100%数据恢复成功，如图十二所示。