Winhex手动恢复NTFS分区中误删除的文件 - 图文
更新时间:2023-12-19 06:49:01 阅读量: 教育文库 文档下载
Winhex手动恢复NTFS分区中误删除的文件
(2010-01-21 12:48:47)
转载 标签: 分类: IT常识
it
对于数据恢复来说,虽然文件删除后所有的数据运行都能够在残留的MFT中找到,但是数据运行的个数越少即文件碎片越少或者没有碎片,文件被覆盖的可能性就越小,数据恢复的概率也就越高。以下是手工恢复NTFS卷中误删除文件的过程。
1.需要恢复的文件
NTFS卷中一个文件被删除时,其MFT并没有被删除,前面已经介绍过,这里以恢复一个NTFS卷中一删除的文件为例,假设在用户的NTFS卷D盘中有一个名为photo的目录,该目录下有一个名为“penquan.jpg”的文件,如图5-1所示。假设用户不小心将此文件删除。
图 5-1 NTFS 卷中将被删除的文件
2. 找到要恢复文件的 MFT
首先通过 WinHex 选择文件所在的逻辑磁盘将其打开,如图 5-2 所示。
图 5-2 选择磁盘分区
打开磁盘的分区后找到该分区的 MFT ,如图 5-3 所示。
图 5-3 转到 MFT 的起始位置
3. 恢复数据
找到分区的 $MFT 后,通过文件名查找文件的 MFT ,如图 5-4 所示。
图 5-4 查找文件的 MFT
查找到的结果如图 5-5 所示。
图 5-5 已删除文件的 MFT
先来看看MFT头,偏移15.16H为0表示该文件已经被删除了,系统根据这个标志来决定建立新文件时是否能够覆盖这个MFT而创建自己的MFT。10H 属性就不分析了,除非希望恢复的文件所有的时间属性和以前一样,用户对此要求一般没有那么高,所以跳过10H属性不分析。30H属性这里也不分析。关键是要分析80H属性,即数据属性,在该属性所有的描述中,对恢复数据最有用的信息有两个,一个是偏移00C12DD160H开始的8个字节的属性是该文件的实际大小506E,单位是字节。还有一个地方是偏移00C12DD170H开始的数据运行位置描述,这里为十六进制数41H 06H 83H 0BH 90H 00H。其中41H定义了其后面有1个字节表示该文件的数据运行所占的簇的个数,4个字节表示该数据运行的起始逻辑簇号,这里定义了其运行占用了06个簇,其起始逻辑簇号为900B83H。知道了起始簇号和数据运行的真实大小,甚至知道运行所占的簇的个数,要恢复文件数据就很容易了。
在WinHex中选择“位置”|“转换到扇区”命令,打开对话框,在“簇”文本框中输入9440131(900B83H转换后的十进制数),然后单击确定,即可找到数据的起始位置,其中FFH
DBH是.jpg照片的文件头标志。在找到的数据起始位置右击,选择“选块开始”命令。如图5-6所示。
图 5-6 文件的起始位置
继续在 WinHex 中选择 “ 位置 ”|“ 转换偏移量 ” 命令,打开 “ 转到偏移量 ” 对话框输入 20590 ( 506EH 转换成十进制数)如图 5-7 所示。
图 5-7 转换偏移量
单击确定后会跳到文件的结尾位置,单击右键选择 “ 选块结尾 ” 命令,如图 5-8 所示,即可完全的选择到用户要恢复的文件数据。
图 5-8 找到文件的结束位置
选中所有要恢复的数据内容后,在选中的任意块上右击,选择 “ 编辑 ”|“ 复制选块 ”|“ 进入新文件 ” 命令如图 5-9 所示。
图 5-9 复制所有数据
然后将文件命名并保存到指定的路径,如图 5-10 所示。
图 5-10 保存文件
保存成功后,关闭 WinHex ,按照刚才保存的路径打开文件,数据恢复成功,图 5-11 是恢复后的文件。
正在阅读:
Winhex手动恢复NTFS分区中误删除的文件 - 图文12-19
控制工程实验报告经典控制部分 南理工11-10
城市工程系统规划09-11
新标日初上同步测试卷(含答案).doc04-20
关于mastercam - 图文09-14
基于FPGA的DES加密系统设计与实现05-29
coreldraw服装设计试卷及答案11-22
山东大学材料科学基础考研试卷208-27
企业经营实战模拟实训总结报告04-11
竞赛试题选编之立体几何11-12
- exercise2
- 铅锌矿详查地质设计 - 图文
- 厨余垃圾、餐厨垃圾堆肥系统设计方案
- 陈明珠开题报告
- 化工原理精选例题
- 政府形象宣传册营销案例
- 小学一至三年级语文阅读专项练习题
- 2014.民诉 期末考试 复习题
- 巅峰智业 - 做好顶层设计对建设城市的重要意义
- (三起)冀教版三年级英语上册Unit4 Lesson24练习题及答案
- 2017年实心轮胎现状及发展趋势分析(目录)
- 基于GIS的农用地定级技术研究定稿
- 2017-2022年中国医疗保健市场调查与市场前景预测报告(目录) - 图文
- 作业
- OFDM技术仿真(MATLAB代码) - 图文
- Android工程师笔试题及答案
- 生命密码联合密码
- 空间地上权若干法律问题探究
- 江苏学业水平测试《机械基础》模拟试题
- 选课走班实施方案
- 分区
- 手动
- 删除
- 恢复
- 图文
- 文件
- Winhex
- NTFS
- 经典宋词名句赏析精选句
- 法建办8关于认真做好“2009四川群众喜爱的律师事务所”评选投票工作的通知
- 高三理科数学备课组计划
- 《英语翻译》教学大纲
- 人口与计划生育依法行政实施方案
- 室内P4P5P6P7.62全彩led显示屏技术参数
- 2011年沈家桥村创先争优活动总结
- 《函数y=Asin(ωΧ+φ)的图象》说课稿 人教版高一数学说课
- 行政能力测试数字推理的规律及其解题过程
- 儿童诗歌朗诵大全100首
- 中小学团体心理辅导的理论与实践
- PLC课程设计题目 - 图文
- 北语网院英语国家概况1第一次作业
- 2016-2017学年高二历史下学期单元综合测评试题13
- 关于申请落实我局网站年维护经费的报告
- 秋季老年人保健知识 中老年人秋季养生保健知识
- 廉政风险防控机制建设工作培训讲稿
- 中山大学物理科学与工程技术学院(2) - 图文
- 厦门大学细胞生物学历年考研真题 99 - 06年
- 第七课第一框世界是普遍联系的 - 图文