NTFS下手动恢复被删文件

NFTS下手动恢复被删文件

预备知识：

小文件数据位于MFT项中，常驻；大文件数据位于簇流中，非常驻

过程：

1：小文件

参见大文件处理思路前半部分，小文件数据在80属性中。

2：大文件（约700字节以上）

被删文件名为：文件100227-all.wmv

恢复步骤：（1）在MFT中定位到该文件

           “文件”的UNICODE码是8765F64E。

          （2）在其80属性中查找起始簇和长度簇

           (3)定位起始簇和长度

           文件起始簇：01810CF1

           文件长度簇：04D8CE

注意：

文件实际大小是始于起始簇，终于起始簇+长度的前一个字节。

恢复出来的文件是实际大小，并没有考虑到内存对齐。因此，看上去和源文件在存储上差几个字节。