NFTS下手动恢复被删文件
预备知识:
小文件数据位于MFT项中,常驻;大文件数据位于簇流中,非常驻
过程:
1:小文件
参见大文件处理思路前半部分,小文件数据在80属性中。
2:大文件(约700字节以上)
被删文件名为:文件100227-all.wmv
恢复步骤:(1)在MFT中定位到该文件
“文件”的UNICODE码是8765F64E。
(2)在其80属性中查找起始簇和长度簇
(3)定位起始簇和长度
文件起始簇:01810CF1
文件长度簇:04D8CE
注意:
文件实际大小是始于起始簇,终于起始簇+长度的前一个字节。
恢复出来的文件是实际大小,并没有考虑到内存对齐。因此,看上去和源文件在存储上差几个字节。