samjiang184 发表于 2009-12-17 17:51:36

高手请进~看了NTFS格式化后数据完美原盘重现的疑问？

最近看了wmjian2 的 NTFS格式化后数据完美原盘重现视频，试了下操作，也可以成功，但不太明白它的原理怎么样实现的？
它的思路是把分区格式化后的MFT本身的记录中80属性的5个参数还原到格式化前的状态；再使用CHKDSK修复。
这5个参数是：
偏移0x18——结束VCN
偏移0x28——属性值分配大小
偏移0x30——属性实际大小
偏移0x38——属性压缩大小
偏移0x40——数据运行
格式化后在磁盘里文件的MFT记录不是没有啦吗？怎么把上面5个参数还原回来，再使用CHKDSK修复，文件就恢复过来了~~请高手们指教下~~谢谢

jim19 发表于 2009-12-17 18:20:41

因为文件记录的长度是在$MFT里面定义的，所以只需要将$MFT中记录的长度从格式化后的初始化值变化到原来的值就可以了。

你同样可以在winhex中将这些值都定义为FF 这样winhex会一直找到磁盘底部（当然超出MFT的标志范围会自动跳过速度也很快）

wl19921112 发表于 2009-12-17 19:57:07

新手学习学习

zzjkzz8888 发表于 2010-1-9 22:51:19

不明白。。。路过看看了~

lonze 发表于 2010-2-27 17:07:26

不明白。。。能不能说详细点

boboaiqian 发表于 2010-3-8 13:54:29

问下·· 那个294X4X512   他的是一点五G 的分区要是大分区该怎么算

JHS 发表于 2010-4-15 00:34:22

太强了，还没高懂。学习了

lsp19880301 发表于 2010-4-27 21:32:08

强人。。可我还不是很白哦

osdiy 发表于 2011-2-13 06:44:03

问下·· 那个294X4X512   他的是一点五G 的分区要是大分区该怎么算
boboaiqian 发表于 2010-3-8 13:54 http://bbs.intohard.com/images/common/back.gif


    我的是一个500的，按照他的方法算，不行哦

gckjls 发表于 2011-4-18 20:50:50

12345楼主发帖好辛苦
页: [1] 2
查看完整版本: 高手请进~看了NTFS格式化后数据完美原盘重现的疑问？