NTFS下，刚刚删除的文件，在winhex里就看不到了。怎么恢复？

wnving · 发表于 2009-6-16 22:31:42

不同意打开文件时产生的临时文件覆盖的说法。即使覆盖了数据，那应该还有文件名和起始扇区还在。因为这些信息都记录到了$mft里面
在$mft周围有一个缓冲区，目的是为了防止$mft产生过多的碎片，当磁盘空间快慢的时候，缓冲区才会写入数据。你这个文件或许刚好存储到了$mft的缓冲区里面。当文件删除以后，系统会自动释放缓冲区，将对应的mft自动清零，所以你在目录浏览器里面看不见。但对应的扇区的数据却还在，可以按照raw方式来恢复。