對MFT偏移的修正-親歷一次數(shù)據(jù)修復

1、對MFT偏移的修正-親歷一次數(shù)據(jù)修復前陣子，我在一次正常開機后，打開QQ空間，突然系統(tǒng)死機。點擊鼠標無反應， 按鍵ctrl+alt+del想殺進程確無反應，于是只好按主機 reset鍵強制重啟，結果RP爆發(fā)，百年一遇重啟后，無法進XP系統(tǒng)，用PE光盤進，發(fā)現(xiàn)C盤和E盤都提示“文件或 目錄損壞且無法讀取”，于是用ptdd重建mbr,仍進不了系統(tǒng)。重啟又進入PE, 發(fā)現(xiàn)此250G的5個分區(qū)的硬盤中，E盤反而可以正常讀取了，其他分區(qū)出現(xiàn)上 面那個提示。用PTDEM建分區(qū)表，沒解決。后來在網(wǎng)上搜過“文件或目錄損壞 且無法讀取”的解決方法，最多提到的是 chkdsk /f, 但是在PE里，提示無法 識別

2、ntfs。于是只好把硬盤掛載到室友的電腦里，用 chkdsk /f修復，修復后 我在Xp雙擊這些分區(qū)，原來的C盤，F(xiàn)盤G盤依舊無法進入，還是那個錯誤提 示。而D盤可以了。后來掛載到我電腦另一個硬盤的 linux里，竟然能進F和G 盤，里面有FOUND.00值類文件夾，在里面找到了不少修復回來的文件， 隨機在 不同目錄點了幾個都能用。于是接下來要解決的問題有：.同樣全部是ntfs系統(tǒng)，為什么XP無法讀取F和G分區(qū)，而linux可以？ （雖然不可以在windows里讀取，但至少在linux下可以把數(shù)據(jù)導出備份，成功 了一點點）.如果從數(shù)據(jù)修復的角度看，現(xiàn)在只剩下C分區(qū)了。頭疼PTDDDISKGEN

3、 還有用過一些磁盤錯誤掃描，都檢查不出什么錯誤。（這里明顯我是病急亂投醫(yī)）本著不修復好不罷休的精神吧，雖然C分區(qū)的數(shù)據(jù)真的沒有了也不至于損 失多慘重，可恰好我可以在另一個硬盤 linux里的虛擬機里的XP上網(wǎng)，所以也 不需要急用電腦而不得不重裝系統(tǒng)。（雙系統(tǒng)的好處之一o（ n_n ）o）之后是上網(wǎng)找專業(yè)論壇，搜索期刊。順便做下廣告，我覺得中國硬盤基地反術論壇不錯。 我也是第一次從這里知道可以用 winhex修復數(shù)據(jù)。并且也通過搜索得知我的故 障可能是MFTt錯。在里面看過一句話,“你要是不會手動16進制寫mft,不知道他的規(guī)則，計算方式。就別費勁了，你從現(xiàn)在學，學3個月有可能能學會”。 天啊，

4、估計我沒這耐性，更主要是我還有不少事情做不過我試著去了解吧，趁機能懂點東西也不錯。于是，從一開始不懂 mft,然后慢慢的去了解ntfs的文 件系統(tǒng)其實一共也不需花多少時間，中間快 20天都忙著考試和找工。這里還 有個小插曲，因為看過這方面的書，那時候印象較深，還去筆試面試了一個數(shù)據(jù) 修復公司，吹吹自己會用 winhex和其他修復軟件，通過了。說1月中旬給個回 復去不去，去的話開始實習了，不過待遇感覺太低所以不想了的。 畢竟生活壓力 吧，還有綜合考慮興趣與待遇，還有發(fā)展。說點硬盤ntfs文件系統(tǒng)的，或許很多人也聽過了。之前我沒怎么了解， 后來借此機會也趁機學學了。硬盤由引導扇區(qū)（Boot Sec

5、tor ）與各分區(qū)組成。 不超過四個主分區(qū)，原因是主引導記錄（MBR里的分區(qū)表里只有64字節(jié)，一共 只可描述4個分區(qū)表項，從winhex里看，描述一個分區(qū)表項用16字節(jié)。有人可 以分七八個分區(qū)是因為用到擴展分區(qū)，現(xiàn)在我們的普遍分法是一個主分區(qū)+一個擴展分區(qū)，然后擴展分區(qū)又是由相應的 EBR（即擴展MBR里的分區(qū)表來描述。 一個以C盤為主分區(qū)，D E F為擴展分區(qū)的硬盤數(shù)據(jù)結構如下所示：c盤嫉口盤4EBRE盤/E咖F盤一 J關于主引導記錄MBR一般都占用63個扇區(qū)，即從第0-62扇區(qū)（這里有個例外， 虛擬機里我看過只有56個扇區(qū)），而實際有寫入內容的一般只有一個扇區(qū)，及 常說的0柱面0磁道1扇區(qū)

6、。1個扇區(qū)512字節(jié)，MB更實分三部分，1.引導代 碼446節(jié)2.分區(qū)表64字節(jié)3.結束標記55AA及2個字節(jié)。Of Eset01234567g9ABcDEFx_J1ODOOOOODOO33CO9EDOBCDO7CFB5C0750IFFC50BE00OOODODOO1O7CBF00B90002F3MBFIE0657CB33DB.i 一步，制30ODOOOODD2033D2BEBE07Bl04FE04807403SBD643B3It . IOCI0000000030C610E2F3S3F00174的BEU4ooB917000Ahl d . t .幡,1 . . e0000000040719052

7、B441B280BBAA55CD135A61FB550000000050AA7533F6Cl01742EBB0042BEAD07BlL04u3oA.t. =,4 *0000000060C&040046E2FABEAD07FAC6CM10CG44A. . Faiiili-. lu . .D。0000。00700201C74404007CBB5D08S9SC08BE5DDA一伽1 】0000000080095C0AEfiOF9DB80 102BBno7c0BF28B4Cl.e.|lolL000D000090028A7401B280CD13EEFE7D813c55AA74.咤14皿OOOOOODDA

8、C09BEDB00B9ia00EB059033CO50E8007C5i.31詢，ODOOOOOOEO50CB61跳00ACBE0700B40ECD1CE2F&PE 1正f冷.I ,aOOOOOOOOCOBlOFE2FC&E76616C69642070617274aulnval id partOOOOOOOODO6974696F6E207461626c4D697373&9it ion tabloMissiooooooooeo6E67206F70&S7261746gSE6720737973ny operating sysOOOOOOOOFO71656D004 口617374657220426F6F

9、74?0tem,Master Boot00000001005265636F72M2057726F7465206279?DRecord Wrote by00000001104D42522042T92044616861694c656500MBR By DahaiLee.0000000120000000000000000000000000000000000000000130in000DC00ao0000cc00000000OC00no03000001400000000000000000oo00g00000000000000000150000000OC00DD00DOOC00no00000000900

10、000000160g0000QU00州0000oo000000000000DO000000017C0000DO00DO0000DOOC000000DO000000 a- a ife c a Ji a - a *00000001800000000000000000OC00000000OC00ao0000000190000000000000000OC00000000000000000000D1A00000000000000000OC0000000000000000000001B00000000000口。0000D480075F0叫1畫0.6iC_ _ i.0000000ICOoTombFEFF_F

11、T3fDOOC00E558ai01匹E.小時？.&xi .一ODOOOOOIDOpl FF1函FEFFFK2459ei01MDEC9AIE0090OOOOOOD1ECw0000QQ00?？贒O00oc0000DO00OC003ODOOOOOIFODD00DO0000000000OC0000000000區(qū)AAUi如果，兩藍色豎線把第一個扇區(qū)劃分為三部分，及上述的MBRE部分。兩 藍豎線間為分區(qū)表。每16字節(jié)為一個分區(qū)表項，兩個緊挨著的數(shù)字為一個字節(jié)。第一個分區(qū)中：第一個紅色框內80代表活動分區(qū)。綠色框01 01 00代表磁頭號、 扇區(qū)號、柱面號。第一個藍色框07代表NTF的區(qū)。緊接著三條綠橫線，

12、分別是 本分區(qū)結束磁頭號、扇區(qū)號、柱面號，然后是本分區(qū)之前已用的扇區(qū)數(shù)（3F000000, 必須倒過來，即0000003F,轉為10進制63,即MB毆占用63扇區(qū)，注意MBR 是不屬于磁盤第一個分區(qū)?。?，最后是本分區(qū)的總扇區(qū)數(shù)（E5588101，倒過來， 018158E5,即是 25254117個扇區(qū)，25254117*512/1024/1024/1024=12.04G ）第二個分區(qū)：第二個紅色框00表示非活動區(qū)。綠色框00 C1 FF代表磁頭號、扇 區(qū)號、柱面號。第二個藍色框 0F代表擴展分區(qū)。三條綠線所表達的也與上面相 同。（注意這里的第二個分區(qū)代表擴展分區(qū)，切勿與通常的D盤相混淆！ ！

13、?。┮驘o其他主分區(qū)，所以第三、第四個分區(qū)表項為00最后以55AA結尾，代表MBR吉束。到這里，給道題目，如何知道 D盤的EBRft哪里？很簡單，從第一個分區(qū)表項得知，第一個分區(qū)有25254117個扇區(qū)，而在第一個分區(qū)前的MBRt 63個扇區(qū)，因為整個硬盤扇區(qū)數(shù)從 0記起，所以MBRft區(qū)數(shù)十 第一個分區(qū)扇區(qū)數(shù)=63+25254117=25254180即通過轉到25254180扇區(qū)即可。這 里就是D盤前面的EBRT。| Offset0123456739aBcDEF302524600CO0000000000ao00oa00co00000000 00302B246100000 0000 0ao000

14、000000000000D00302B2482000000000000c00DO00000000000000 0302B246300000000000ao00000000000000000000302B24S400000CD0000caoDO口口0000000000 0 00302B24B50oo000000000000000000DO00DO000000302B24B&000000D00000caoDO000000000000 0 00302B2487D0Q0000000000口口oaOQ00co00oo00QO00302924B80co00000000cCIO0000oa000000000

15、0000302B248900 Q000 0oo0 0 0 0000000oo0000oo 000030282480CO0000000cCIO00oaoa00000000DO000302B248B0 000 0O0 0 0 0oaoo00oo0 000oo 0 0O3O20240COOO0000000000CIO00口口00000000000000302B24BDO 000 0O0 0 0 0oa0000oo000000 0ooQ302B248E00000000000000000口。00000000000000302B24870 0000 0oo00 0 0oaoo00oo000000 0000

16、3026249000000000000 0aooc000000000000 0 0302B24910 000 0oo00c 0000000oo000000000003028249200 0口口CD0000caoocoa0000000000 0 00902B24930000000000000ao000000co0000000000Q302B249400000000000cao0000000000000000 00302B2495000000000uuoc3000UD00co00000000000000000000cao000000co0000000000302B24570co00 0000000

17、ao000000co0000000000302B24930co00 00000000000000co0000000 000302B24990co000000000cQ0000000co00000000000302B249A000000000nnocao00no00000000000000302B249B0co000000 0cao00oa0000000000 0 1O3D2B249C0ClFF07FEFFFF3F000000即OD23口 3oo302B249D0ClFF05FEFFFFccDD23039DC3 3 0 00302B249E00 0oo0 000000 0000000oo0000

18、oo0000302B249K00000000000 0aoDO00000000000055AA對紅線進行分析（紅線前面446個字節(jié)，因為是擴展分區(qū)，不需要啟動代碼，用 0填充）：00:非活動分區(qū)01 C1 FF起始磁頭號、扇區(qū)號、柱面號07: NTF的區(qū)FE FF FF:本分區(qū)結束磁頭號、扇區(qū)號、柱面號。其實可以發(fā)現(xiàn)，實際不需要理 會這一項，所有分區(qū)表項都用這三個字節(jié)來表示本分區(qū)結束磁頭、扇區(qū)和柱面的 3F 00 00 00 :如前面分析 MBR倒過來是00 00 00 3F ,即63個扇區(qū)。8D 0D 23 03:倒過來是03 23 0D 8D,轉為10進制是52628877,即本分區(qū)有52

19、628877扇區(qū)，25.09G。為計算第二個EBR在哪里只需將前面的“ MBRS區(qū)數(shù)+第一個分區(qū)扇區(qū) 數(shù)” + “EBR扇區(qū)數(shù)+第二個分區(qū)扇區(qū)數(shù)”略去對后面幾個分區(qū)的計算。剛剛是對MBR EBR（EBR實際與MB於似，只是少了啟動代碼）的分析，現(xiàn)在對 具體分區(qū)分析（以修復好的C盤為例）。通過翻閱資料得知,NTFSC件系統(tǒng)的結構是BOOT K (CIKFT 區(qū) bFTWA區(qū)WlMiTT 區(qū)“M區(qū)網(wǎng) XINTLDR元般堀立怦L文件板需呻而叫（文件班搪舄區(qū)，找占陽及R分配區(qū)存禽區(qū)域,1個元做第支存脩區(qū)域）1L6HUS)域）杵的番份）*圖1 NTFS文件系統(tǒng)總體靖構圖如何進入具體分區(qū)呢？選擇 winh

20、ex里的“工具一打開磁盤”，選中相應物理磁 盤即可打開。我的硬盤（修復好后）顯示如下：三WkiH曰c - hlard d Mk D女伴編輯（E）搜索位置回 視圖在）工具3 專家0）選項）窗口幫助to Kard dials Q |Partitioning style: MBRName 上印Size 1 CreatedI Modified事 FartMon 1MTTS12.0 GBPartition 2MTFS25.1 CB 0 x0000000000004000 = 16384Sec/Cluster-0 x80 = 128128*16384 = 2097152micrcscft TechNet而

21、我自己C盤的情況是OffsetD1234567OOOCOOO電5290交5446S32000000001D0000000000F3000000000020000000006000800000000003000口 Q0C000000000000000040F60U00000100000D89AECDEFq 0202020 002030000ORINTFS3F00FF003F0000000. . ? .yE458Bl0100000000.1.1.aXIAE：4A0800OD000000 I i 一 ：- J *B5557EB0377EE0AEl?？贚T對比這里的說明:$日0。饃件結構偏移地琉一占用

22、字節(jié)數(shù)轆0H3跳轉到啟動例程的指令3H4NTF驗區(qū)粽恚：-NTFS*日H2每扇區(qū)字節(jié)數(shù)DH1每裱扇區(qū)數(shù)EH2俁胃扇區(qū)數(shù)10H1FAT個藪C為了與FAT7FAT支的BPB兼容,值為0)11H2報目錄項數(shù)，值為。13H2分區(qū)扇區(qū)數(shù).值為015H1存睛介質扇區(qū)為FB)1&H2每個FAT占用扇區(qū)數(shù),值為018H2每道扇區(qū)數(shù)1AH2聞頭數(shù)1CH4隱藏扁區(qū)數(shù)20H4由區(qū)鹿區(qū)數(shù)，值為口24H1物理設備號C每一個硬盤為3葉1)25H1槌|26H2保翟/值為&QH2BHS30Hg5MF璐一靛菠號38H8SMFT峰肆一旗號4QH1每個文件記錄占用的簇數(shù),具體描述諸見表后在釋44H4每個目錄項存儲區(qū)占用的赧數(shù)，具體

23、描述同上|4BHe分區(qū)序列號圖中第一條藍色粗線是表示$MF之一簇簇號，00 00 0C 00 00 00 00 00 , 倒過 來是00000000000c0000即16進制C0000轉為10進制是786432,表示MFM 第786432簇(注意這里表示的是相對于本分區(qū)的簇數(shù)，而不是整個硬盤)。接 下來，轉去786432簇，看看是不是NameEXtSizeCreatedModifiedAccessedJ Bitmap3的KB2009-03-04 21:12009-03-04 21:1.2COS-03-04 21:1 1J陽cm8 0 K0200S-03-04 21:12009-03-04 21

24、:1.2009-03-04 21;1,.P iLo HF 112637 MB2009-12-31 16：2.2009-12-31 16:2.2009-12-31 16：2.:or94 3 MB 2009-03-04 21:1. 2009-03-04 21:1. 2009-03-04 21:1.：Hard di sk 0 Hsrd disk & P art 1 ti on 1 | Hard dimk 0, Par titi n 2 | Hard disk Cl. Pajrti ti on 3 | Hard di sk 0. Parti ti21:116:2.211.21:1 .211 .-1 S

25、MFi5Hitmap11BKB20CQSMFTMirr4.0 KB20 CJ Secure0 B20CQ SSecure SSDH420 KB20CCjSSeciire:$SDS2BBMB20CJsSecure:$SII472 KB20C_l SMFTHard diskD PartitilS% freeOffset0 12 3File system:NTFSocooooooo46 49 4c 45Volume label:Xp00000001001 00 01 00DeAult Edrt Mode00000002000 00 00 00State：original0CC00C03012 00

26、00 00Undo level:000000004000 00 18 00Undo reverses:nJaOCOODOOSOAA 05 IE 70n廣nnnnnAnnt if 7廣CB 9C C9 01 AA 05 pr qp r,Q n 1 占占 nc00 I isoiooo IOiO CBPR9CIE 1 poa oo oa 4S oouuoo i oio i7C7C1I f*Q H通過GoTo Sector到786432,與單擊$MFM到的扇區(qū)都是一樣的。說明定位沒接下來看下$MFT$MFT （ Master File Table ）文件。主文件列表。此文件是 NTF的區(qū)中最重要 的文

27、件，記錄了分區(qū)中所有文件（包括 $MFT自身）的基本信息。通過$MF僦可 以訪問分區(qū)中的所有文件和系統(tǒng)數(shù)據(jù)。$MFT由多個MF下己錄單元組成，每一個文件的描述占用一到多個（一個不夠的情況下）$MF下己錄單元。其中前十二個記錄單元中記錄著這里的十二個系統(tǒng)文件的信息。每個記錄單元記錄著文件的建立時間、在分區(qū)中的位置、長度、屬性、文件名等信息。MFT的第一個記錄就是$MFT自身，編號為00每個文件記錄占用1KB,即 兩個扇區(qū)。識別一項MFTB起始很簡單，看開頭的4個字節(jié)是否46 49 4C 45 ,其相應的 ASCII碼是FILE?，F(xiàn)在就看MFT怎樣記錄其本身$MFT。Ext1 SiuCreated

28、I Wodifi&dAccessedI AttrI 1s1 sectorQsuft94 3 MB2009-0 3H)4 21 1.2009-03-04 21 12009-03-04 21 1SHR6291456Hard disk 0, Partib 13% treeFile systemMTFSVolume la帥xpOffset0 1 2 3 4 57 egABCDEF|_OCOOOOOOODCOOOOOLO46 49 4C 4530 00 03 OD 78 OD 67 4日 00 DO OO 00FILED. *30 00 01 00 BO 01 00 DO 00 04 00 0。01 0

29、0 01 00 8 .* a-DefauH EditState：originalUn 加0Undo revtrstsn/wDC0000020E)C00O0(30QC0000040OCOO ：CQ5C00 00 00 0012 00 00 00 on nn is no00 00 OO OD 口6 OD 00 OO OO 00 00 00,. n in .00 00 oa 00 10 00 OO OO 60 00 00 00 nn oo nn on as no oo no is no no on4 A H fr 立！it+AA 05 IE 7C CB 9C C? 01 AA 05 IE 7c CB

30、 SC C9 QI卡|EIE.0C00O006DAA 05 IE 7C CB 9C C9 01 M 05 IE 7C CB 9C C9 01,|EIEhAllotduster No.:785432SMFT (#0 Snap shot laket? hours agoPhysical sector no6?9 1519Logical sector No. .6291456C00Q0C70DC0000080C7 00 00 00 OC 00 0t 00 DO 00 CD 0 00 DO t)0 00CO 00 00 00 00 01 0。 00 00 00 00 OU 00 00 00 00OCO

31、OOOOSOOCOOOOOAO00 00 DO 00 00 00 OtJ 00 30 00 00 DO 68 00 00 0000 00 19 00 CO 00 03 OD 4A 00 OO 00 18 DO 01 。口CM2QOOOOBOOS 00 00 00 00 00 OS 00 AA 05 IE 7C CB 9C C9 01DCOOOOOCD瑞 05 IE 7C CB 9c C9 01 AA OS IE 7C CB % C9 014,.|E【LDCOOOOODOAA 05 IE 7C CB 9C C 01 QO CO E4 05 00 00 00 00.|EIE.Us*。space9.

32、9 GBOCDOOOUEL00 CO E4 05 00 00 口口 00 07 OD 00 OO OD OO 00 001 b I *10.627.384.993 bjiesOCOOOOCFO04 03 24 00 4D 00 4& 00 54 00 00 OC OO 00 00 OQFree space:2.1 GB2,302,020.352 bytesTotal capacity: 12 0 GB 12.930P 107.904 bytesOCQO0口ID口 ocoooouo 0C00Q0120 0C00O013080 0000005B0000OD010040DOOO00010000 00

33、0000000000004B5E00OO00DO000040 oooooocooaonodnocoE4nsoodooootj00 COE4050000000000CDE4OS0口DOGO001.Ke a *. a.AnB*ies per cluster 4.096DC000014D32 20 36 00 00 OC 32 00 03 ID 28 24 32 2C 25 D62 62,Free dusters: SS2N12OCOOOOISOC5 FB 00 89 AO 19 IC 89 00 00 00 OO SO 00 00 00Au J -1Total dusiers: 3.156,764

34、Bjl&s per s&ctor512Sector count 25,254,117Physical di9lc0Displajr Ume 工口附C +03:00 mo$；nMadecimaiCnaraaereet: ansi ASCII OffsetshexadecimalB -les per 口am 30 x16=480DC0000160 OC0000170 OCOOOOISO Kooooigo DC00001AD DCOOOOIBO DCOOOOICO DCOOOOIDO01 00 4口 00 00 00 05 00 QO 00 00 OO 00 00 QQ 00 02 00 OO 00

35、 00 00 QD 00 40 OD 00 OO 00 OD GO 00 00 30 00 00 00 00 OO OD 28 2F DO 00 OO 00 00 00 20： 2F 00 00 00 00 0。00 31 01 FF FF OB 31 02 IF 00 F4 00 03 60 FA FF FF FF FF FF FF 00 OO 00 00 BO OO OO OO 48 OO CO OD UI OO 40 00 CO DO 05 OO CD 00 00 00 00 00 DO 00 口口 OD CO DO 00 DO 00 004。 00 DO 00 OC 00 CO OD

36、DO ID 00 OC OO OO 00 00* * 巾 , 口(/* If* .6. . Iiiyy 。H同理，MFT勺鏡像$MFTMirr用同樣的方法也可以計算得出和定位，$MFTMirr是對MFT里的重要文件備份，只有4K,即備份了 4個文件記錄單元而已。其實說了上面這些，還沒涉及到故障的解決，有人會說，明明可以在 winhex里 選中$乂5砒定位了，為何這般復雜，實際上，我此次故障，就是遇到 MFT移 了！說了前面這么多，只是為NTFSi件系統(tǒng)結構做個很大概的描述，實際上真的很 復雜。在故障處理前，我雙擊 C盤出現(xiàn)了這種情況：文旭已魏輯俎瞿氯W 也置電播爵婚工曲!專家0) 出款型窗口需

37、聃坦)D 曰每各薦電生呢湍I河繇片信依 f 牛尾 口由。岫P,口Mud disk 0 |PMitMiH。Style； MBRName *? Paittlonl/ Partitjon 2/ Parttwn 3/ Partrion 4:Partitwin 5P ait It ion 口 apPsrtnon gapHard disk 0Mode!： ST325fr3iftASFrmwar# Rev.:1.1QBusSCS17SATADe fauk Ett ModeSUtetongkial出此陌趾0Modifiec5 s 5 5s TFTrTFTTrF N N H N Nl，Q G825.1GB304

38、 GB91J 6B74.6 GE315 KB3,5 KO6iCaniipt op?n 15HFT Vn4rp?td data at affset COOOODM Mid offitt 10JESEOM), R=T. *i片噌AaessM252542.,77883。141034.332047.252541 779831.0QL0O7EUO0030007E1D0000007E200000007E300000007E400000007E506 6 0 4 F o 4 0 0 5 0 8 E Q 口 4 0 0 o o o 9 0 0 2 0 0 5 0 0 Boo FBI 0 口0 0 3 0 0

39、3 o 1 AOOFODODoo coo o o o o o oDoo 0 6 0 o F oo o 8 s2 0 5 1 o F 4 E2 3 E 8F o o o o E o o o o o o 8 0 0 0 o o o o 2 F o o 0 3 0 0 o o 1 o o o o o o F 1 8 2 F 8 17 Pq8 Fo cE 7E o7 o5 c5 B5 oB D7E 7A 00 oB c看來問題跟這個MF說有些關系了的一進去后, 以下這幾個，郁悶。傻眼了,沒有其他的文件,只有Swir#ea_Hrd dte.0, Pdrbbon 1).文件編攝尊位置四視團。工看號疊心選項

40、窗口的幫助囪 TOC o 1-5 h z 口片R國旨部 二曲造由 14荔樓笈鼻 f *4 J咐G餐Q 席 Hard 0 | rtarJ diwk 0, Paititica 2 Hurd disk 0,L |I 一 :_ F . I 1 . ，.Hams*|0(t. |5iz. .Cr*Md| Hodifted.Accass-d |Afct. | jtsecfcol(Root directory)F電電罩占t電Idlt space 12.0 GB0方法一：用前面的方法，從分區(qū)引導扇區(qū)計算出MFTB置。所以，證明前面說的不算是廢話。方法二：留意提示，看到了 offset C0000000 和off

41、set 18158E000 字樣，那 就過去看看吧。iYtmcx lrd diskPartbon 1J爻件的絹盟鬟索囪位置嘮晅圖包 Tfifr：普家匕娜項窗匕回會勖3(Rgt dlrectflcyF電口印式電Idle SpdCt12.0 GB。Hard d tsIcC, Partit.Fie SfStUE：MTFSOffset01234567 89fcBCDE?l. / iJacoooaooo00 00 00 00 00 00 00 00 00 00i 00 OC 00 00 01 口口Edit ModeSUte：originaln do level:0n do reverses：n/a.AI

42、DCh of wb、dnvc 印口3coooaoio01 00 Q0 00 00 00 00 CO 00 口口 0C 00 00 01 00- a . a.qcocaauzo OCODOQ03D OCOOOOD40DC000005CCOC0306046 43 4c 45 加 QQ Q3 UU 78 QD 67 鋁 QQ QQ QQ Q0 |FILE|.01 000100380001口口EO01DO00CIO04000000 DO000000000000060000口。00000000OD 0000000000801000DODO500000口口co ooisoooooooaoo48oooooc

43、leoooo口口8F R 8電CIUEter No.：786432Idle000000070 acoooaosoAA 05 IE 7C OB 9C C9 01 AA OS IE 7C CB 9C C9 01AA 05 IE 7C CB 9c C9 DL AA 05 IE 7c CB 9C C9 01ft. . |EGC000009007 ao oo oo oo oo oo oa co oo oo oo oo oo cm oa-發(fā)現(xiàn)C0000000里，不是一項文件記錄的起始，文件記錄的其實，一定是“46494C 45”開頭的，仔細找下，很明顯偏移兩行了！ ！ ！這就是故障所在。MFTH的第一項文

44、件記錄正是MF怵身，而現(xiàn)在本身位置都記錄錯了，如何定位其余文 件呢？所以，此分區(qū)下的所有文件不可見！接下來嘗試修復了。至于另外一個 18158E00Q其實可以猜測到是$MFTMirr的其實我曾經(jīng)想過找相關MFT勺修復軟件試下，但始終覺得會否因軟件“誤判”， 反而搞亂了。畢竟對于數(shù)據(jù)修復，一般是“只需一次成功，不許多次失敗的”。 還是手動吧其實到這里我已經(jīng)找到了故障所在，和處理方法了，只是即使想手動也有 點下不了手一期間在學校某個地方做過一次實驗，也是一件壞事呃，把它的某個分區(qū)，用winhex寫0 了寫0 了是什么概念應該猜到吧。不過也自私慶幸幸 好不是在自己的硬盤這樣操作！這款軟件是有一定危險

45、性的。拿修復$MFTMirr舉例吧$MFT勺我忘了截圖。找到18158E000的那個扇 區(qū)里（可以看到偏移了三行）選中 46 49 4C 45開頭的一段數(shù)據(jù)，多大好呢， 我是一直選到非0的末尾，后面全0的就不選了。原因：記錄一個文件其實有時 候不需要用到1KB的。粘貼到正確位置Wirtlci ?!(! dink 口 J，bbufi IJ.文件。鐮轅立 普索 位民工 規(guī)的一Xfl；r：甘涼工 這項 誨匚的話勒依息下T坦2曳(B),扯fiLK if? irt 用 4vIl品rreJ SMFTMut* 口度四1點8杼班至.UeI寫入觀工廠Ctrl+B鉆砧等字軍)世設若文怦 2AmiBO2I：- 20

46、曲海空剪貼祓11 .一03-04 21：. 20C1Hi(J匕麻白，國 system:宸史迪塊) 一一12 35679 9團拶主至卜，Ctrl+Jl語除選跳電ESSq QO 00 00 OP QO 00 00 OD 0Q C 0 0G 00 DO 00 00 00 00 00 0E3 C U 00 00 00 00 00 00 00 00 00 c 口 DO ?？?00 0Q 00 DO CO 00 00 CCefajt E?IlS二3：E；Unilc轉爨叨以H4E船悔鼓數(shù)據(jù)(HL.ctnnFill BUck. .Ctrl+LUi(J口中節(jié)：g科二產(chǎn)口 山- 13- 小 181S9EC20dL

47、 mU U U U U UU UU UU UU UU UU I nn nn nn nn nn nn nn nn nn rAl be, of vfiblespace: 18158EC30Cu 冷m；! 575362 13159EC40TMUTlJ ir 4 g，lglh l)n46 494C45300003003S24C03 0001003B000100F801:n-rta 代門n nn n介門nnncnconger*-1口中口。新消口日立Ikrd dLisk iCQpy Rl.uk就這樣，手工的找，手工的修復，看到就修復，反正間隔 1KB就一個記錄一所幸 不是很多，10來個而已。保存退出，重啟

48、以為應該好了，默默的等待一種喜悅。結果啟動不了。沒辦法， 只好到另一個硬盤的linux里進去看，久違的那個分區(qū)是出現(xiàn)了，可是掛載不了, 如圖提示：*無法拄賽卷。無法掛鞍慝“即詳細信息心1Incomplete multi-sector Transfer：瑜入廊出錯誤 Record 0 has no FILE magic (0 x44-1141421 Failed to load SMFT：3力入膈出錯 謀 Failed to mount VdevMaT:策入而出錯誤 NTFS is either inconsistent, or there is a hardware fault. or its a SoftRAID/ FakeRAID hardware. In the first case run ctikdsk t1 an WirdQw十 then reboot ini。Wiru衛(wèi)we twi匚已 The usage of the /F psrarneteris very imporrarit! if rhe device is a SoftRAfDZ FakeRAID then first act