数据介质：三星手机SM-G3518 4G TF卡

客户信息：江西赣州许先生

数据恢复与取证的故障描述：

许先生求助，三星手机SM-3518的外置TF卡中保存的通话录音不见了，希望进行手机录音的数据恢复。手机中一直保存着一年前跟一个朋友打电话的时候录音，为了避免将来引起纠纷，这些录音是他和朋友沟通是留下的证据。2个月前在手机里还回放过，昨天拿出来就没找到这个录音了，自己也尝试过用网上的数据恢复软件进行恢复，但没成功。

数据恢复与取证的过程一波三折：

三星手机SM-G3518的手机机身内存是8G,还有一张4G的TF卡作为存储数据补充。许先生自己尝试过数据恢复操作，手机已经取得了ROOT权限。数据恢复工程师把TF卡取下，接在读卡器上，打算先把TF卡做个镜像，TF卡的状态是在资源管理器中提示格式化，如图一：

图一：TF卡插在电脑上提示格式化磁盘

数据恢复工程师心里咯噔一下，根据经验，这可能就是TF卡有坏块的表现，如果真的是TF卡坏块，数据恢复可能就非常麻烦了。于是进一步排除是不是读卡器问题，换了几个读卡器仍然提示格式化，换其他好的TF卡又显示正常，由此判断是TF卡问题。打开磁盘管理器，如图二：

图二：TF卡容量可以识别，但是未分配状态

  从图二我们看到，TF卡的容量显示是正常的。

  我们打开磁盘分析工具看看，发现根本无法正常扫描，如图三。这就印证了工程师的判断，这个TF卡的确是坏块的问题。但是我们不能轻易放弃，继续尝试其他办法提取镜像。 

图三、TF卡无法正常扫描

  我们看看用PC3000能不能处理掉坏块的问题？我们发现，TF卡的坏块特征非常明显，每个扇区都是黑色的。如图四所示。

图四、TF卡坏块严重，无法正常镜像

看到这情况工程师晕了，根据经验，遇到这种问题，很多资深的工程师就会想到放弃了，因为这种情况想要做出数据镜像，几乎是不可能完成的人。搞数据恢复技术的工程师有个习惯，遇到疑难问题不会一直揪着不放，而是先放在一边，有其他比较容易做的数据恢复业务优先做，这并不等于放弃了，大脑里却一直“放着”这个难啃的骨头，一直会默默的想办法。

被忽视的强悍！柳暗花明又一村

数据恢复工程师决定先看看手机内存中是否可以恢复出录音文件呢？于是先把手机内存做个镜像，连接手机，打开达思手机数据恢复软件专业版，镜像DATA分区，软件顺利的进入了工作状态。如图图五所示

图五、达思手机数据恢复软件专业版提取手机内存镜像

图六、手机内存镜像到本地

  镜像速度非常快，软件运行稳定，大约十几分钟镜像完毕，如图六所示。接下来对机身内存进行通话录音的提取，如图七所示。

图七、导出手机内存镜像中的录音文件

正如许先生所讲的，录音文件一直是保存在外置的TF卡里的，手机内存中并没有保存过。现在唯一的希望就放在TF卡上了，现在的问题就是怎么对TF卡里面的数据进行提取？已经尝试了R-Studio、winhex这些老牌的数据恢复工具做镜像无果，甚至动用了PC3000，依然对这个TF卡的镜像无可奈何！

现在无法镜像TF，怎么能提取到里面的数据呢？在关闭达思手机数据恢复软件专业版的一刹那，工程师突然眼前一亮，看见了几个非常不起眼的字“手机SD卡备份”！如图八所示。 

图八、被忽视的手机外置卡备份功能

这是达思手机数据恢复软件专业版中的一个比较常用的功能，说实话，工程师几乎没用过，因为大多数TF卡好的情况下，搞数据恢复的工程师一般会用刚才提到的三个工具做镜像。

很多搞数据恢复技术的工程师都知道，PC3000是顶尖的数据恢复软件，它的DE镜像功能特别强大，在这里很多人也许会说，刚才你不是用了PC3000UDMA了吗，它不是镜像失败了吗？难道达思软件对TF卡镜像会比PC3000还厉害吗？其实工程师开始也是心里没底，试试就知道了，但结果却大大出乎工程师的预料，如图九所示。

图九、被忽视的强悍 镜像功能竟然如此强悍

  用达思手机数据恢复软件专业版做这个坏块TF卡的镜像，不但可以镜像顺利，竟然一点都不卡，4G的镜像居然十几分钟就做完了！如图十所示。

图十、完美做出的手机TF卡镜像文件

  虽然有了镜像，但是能不能恢复录音文件，还是个未知数，我们继续往下看。

  用达思手机数据恢复软件专业版提取TF卡镜像中的录音文件，如图十一所示。

图十一、达思手机数据恢复软件专业版导出录音文件

图十二 2455个录音文件完美恢复成功

数据恢复结果：

天哪，居然恢复出来的录音文件有2455个！数据恢复工程师异常兴奋，挑了几个容量较大的录音文件打开试听，完全没问题！最终，许先生找到了需要的录音文件，表示十分满意。100%数据恢复成功，如图十二所示。

本案例提供者：达思手机数据恢复软件核心伙伴-江西赣州金誉数据恢复中心郭工

  为什么达思软件可以提取坏块TF卡的镜像呢？

达思科技技术专家表示：这是一个典型的手机外置卡坏块的案例，达思软件在开发过程中就考虑到了遇到坏块自动跳过并自动复位的算法，经过多方测试验证，不仅仅支持TF卡，实际上还支持手机内存的坏块镜像，比如手机莫名其妙的卡顿，死机，屏幕没反应等等，都可以尝试使用达思手机数据恢复软件专业版的手机外置卡镜像功能。

  关于达思科技

     达思科技，国家级高新技术企业，天津市国家保密局涉密载体数据恢复唯一协作单位，数据恢复和取证行业著名品牌，是一家以技术研发为核心生产力的技术型企业，在国内乃至全亚洲数据恢复与取证技术领先！

    达思科技 中国数据恢复与取证专家！热线：4007000017

    更多数据恢复与取证技术、互联网请关注微信公众订阅号：woocs

微信号：woocs

长按识别二维码关注

专注数据恢复与取证技术、互联网

电话咨询：400-700-0017

投稿：woocs@qq.com