• 設為首頁
  • 點擊收藏
  • 手機版
    手機掃一掃訪問
    硬盤基地手機版
  • 關注官方公眾號
    微信掃一掃關注
    硬盤基地公眾號
  • NTFS格式化為NTFS的數據恢復

    2011-1-4 15:21| 發布者: 蝴蝶| 查看: 4495| 評論: 1

    摘要: NTFS的安全性能給數據恢復提供了很大的便利,在NTFS上出錯后數據恢復的成功率還是不錯的。 下面根據我自己的經歷談一談NTFS格式化為NTFS后原盤數據恢復的方法。 NTFS格式化為NTFS后,在XP系統下只是重寫了前32個MF ...
          NTFS的安全性能給數據恢復提供了很大的便利,在NTFS上出錯后數據恢復的成功率還是不錯的。      下面根據我自己的經歷談一談NTFS格式化為NTFS后原盤數據恢復的方法。

          NTFS格式化為NTFS后,在XP系統下只是重寫了前32個MFT項,在WIN7系統下重寫了前255個MFT項,在這種情況下,用軟件掃一般都能恢復,但如果分區比較大,文件比較多的話,第一需要很長時間,第二碎片文件可能不容易恢復成功。所以我談一下手工恢復的方法。

          首先說一下手工恢復的思路,既然只是重寫了前32個或前255個MFT,后面的MFT不變,所以只要在0號MFT上修改一下鏈接指向這些MFT,那么就能夠實現原盤恢復了。

        具體要修改的地方主要有4處(根據實際情況不同):MFT起始簇號、80H屬性的起始和結束VCN、屬性體的分配、實際、初始大小和DATARUN數據。

        具體步驟如下:

          第一、MFT起始簇號。首先判斷現在的MFT起始簇號是不是格式化前的MFT起始簇號。轉到31號或是255號MFT,前后看看MFT號是否連續,如果連續,表明格式化前后的MFT起始簇號相同,如果不連續,表明格式化前后的MFT起始簇號不相同。起始簇號相同,則不用管它,記下這個起始簇號,后面要用到它的;起始簇號不相同,就要找原來的MFT起始簇號,也就是把現在的MFT起始簇號向前或向后提一下,同樣記下現在的MFT起始簇號。

          第二、80H屬性的起始和結束VCN。搜索最后一項MFT,依據MFT頭標志“46494C45”來搜索。這個地方要注意一些技巧,要先估計MFT的大。ㄒ话300G的分區MFT應該不超過100M,當然特殊情況例外),然后相對0號MFT向后跳轉估計大小的扇區,向上搜索最后一項MFT。由最后一項MFT即可確定MFT的簇數,從而確定結束的VCN。

          第三、屬性體的大小。由簇數×每簇扇區數×每扇區字節數,即可得到屬性體的大小。

          第四、DATARUN數據。包含簇數和起始簇號,這在前面已經算出來了,只需要轉換成16進制填入即可。

          當然,為了方便起見,用模板填寫更容易。

          這四步做完后,保存退出,然后重新加載,即可在winhex中看到找回的數據,原來的MFT記錄在31號(XP系統)或255號(WIN7系統)之前是看不到的。當然在分區中還是沒有數據,把這些數據導出保存(為了保險起見)。為什么在分區中沒有數據呢?因為我們只修改了0號MFT,1——31號或1——255號MFT沒有修改,手工修改太麻煩了,這時我們可用磁盤管理工具CHKDSK來幫忙,在運行中輸入“CHKDSK  G:/F”(G:表示要恢復數據分區的盤符),重新加載后,即可在分區中看到消失的數據又回來了(有一小部分數據沒有回來,可在winhex中導出)。


    開心

    鄙視
    6

    鼓掌

    憤怒

    可憐

    剛表態過的朋友 (6 人)

    該文章已有1人參與評論

    請發表評論

    全部評論

    查看全部評論>>

    掃描微信二維碼

    查看手機版網站

    隨時了解更新最新資訊

    .

    在線客服(服務時間 9:00~18:00)

    在線QQ客服
    .
    Email:9443120@qq.com
    移動電話:13011628855

    Powered by Intohard X1.0© 2001-2013 Inhdd Inc.( 魯ICP備09029790號 )

    湖南快乐十分