删除视频恢复分析思路

1、已被删除的视频文件或者是被覆盖了的视频文件，一般可以在行车记录仪内存卡的空余空间里进行查找；

2、不过查找到的可能都是些文件碎片，需要将空余空间的文件提取出来；

3、这些碎片文件有些可能已经无法播放，这就需要根据正常文件的视频结构来分析这些碎片文件（每种行车记录仪的文件存储结构可能不一样），可以通过给这些碎片文件增加文件头、文件尾等方式来修复这些碎片文件。

一个8G的行车记录仪SD卡，所需数据已被删除，删除后继续使用过，想恢复被删除的视频。

由于内存卡容量比较小，且所需视频被删除后又再录制过，所以恢复的几率比较小，但是可以查看SD卡镜像文件的空余空间内是否有所需数据。

打开空余空间：

首先使用winhex工具打开镜像文件，点开“分区1”，正常的视频文件都存储在“DCIM”文件夹中，而被删除覆盖的视频和碎片文件都存储在“空余空间”内。

图1  打开镜像文件

图2  打开分区1

确定该行车记录仪的格式：

1）打开“DCIM”文件夹，查看正常视频文件格式，确定该行车记录仪的文件存储格式为avi；

图3  确定视频格式

2）选择某一个正常文件并打开，以确定该格式的视频头结构、关键字信息（关键字为：52494646，用于搜索查找正常视频文件）、标志信息（标志信息为：30306463，用于搜索查找碎片文件）。

图4  avi格式视频头结构（部分）及关键字

图5  视频头结构（部分）及标志信息 （续上图）

在空闲空间中查找能正常播放的视频：

1）把该视频文件头结构的前几个字节作为关键字，通过搜索关键字“52 49 46 46”从空闲空间筛选出正常的能播放视频；

图6  在空余空间里搜索关键字，查找能正常播放的视频

2）由下图可知，在420736扇区搜索到了正常的视频文件头，正常视频文件头以下的都是正常可播放视频（右侧的上半部分进度条表示的是420736扇区之前的数据，这部分数据是碎片文件）。

图7  搜索关键字的结果

导出正常的视频文件：

1）将正常的视频文件导出来，查看是否有所需视频（可多选几段正常视频文件导出，避免由于文件太小而导致视频无法播放）；

2）若没有，可将420736扇区之前的数据全部复制出来，通过修复这些碎片文件，查看是否有所需视频。

图8  导出碎片文件

查找碎片文件：

1）在碎片文件里通过搜索视频文件的标志信息“30 30 64 63”，查找碎片文件。

图9  搜索碎片文件

图10  搜索结果

导出碎片文件：

1）将碎片文件导出（可以多选择几段带有标志信息的文件导出，避免导出文件太小无法播放），查看这段视频看能否播放。

图11  导出碎片文件

图12  播放碎片文件

修复碎片文件：

1）由上图可知该碎片文件无法单独播放，尝试通过添加文件头的方式来修复这些碎片文件（添加文件头的具体方法可微信咨询），并导出看是否能播放。

图13  修复碎片文件

2）经过测试，发现导出的视频文件能正常播放。

图14  播放修复后的碎片文件

大功告成：

依照此方法把该行车记录仪空闲空间里的数据全部筛选一遍就可以确定是否有所需数据啦。

1、上文中涉及到的视频导出、添加文件头等操作细节可通过微信后台留言联系咨询；

2、在导出正常视频文件或者碎片文件时，可多选几段导出，避免因视频太小无法播放。

办法：可以更换播放器（对应的行车记录仪的播放器）或者使用格式工厂对视频进行格式转化，找到有对应的解码库的播放器来播放视频。

办法：SD卡本身可能是扩容的，卡存储小于它实际容量的文件就是正常的，大于它的容量的时候能看到文件但打不开（未存储进SD卡），也不能复制之类的操作。建议使用高速TF卡，并定期格式化，因为有些行车记录仪本身程序覆盖逻辑不太好，经常覆盖新视频而一直保留老视频。

办法：可以参照该SD卡里能播放的视频文件来修复这些无法播放的视频文件，可以使用视频修复软件来进行修复，也可参照上个例子手动修复。