NTFS分区格式化后用WINHEX手工提取数据一例

lianking · 发表于 2008-7-8 21:16:54

佩服楼主技术,学习中.多谢

harm · 发表于 2008-7-8 22:48:26

非常精采
學習了
謝謝

wsszsmx · 发表于 2008-7-9 23:11:26

我研究了下：NTFS文件系统
找index-allocation下的LCN，就可以到根目录了！
压缩文件是存在NTFS中的根目录中！
可怎么找根目录呢？

[ 本帖最后由 wsszsmx 于 2008-7-9 23:15 编辑 ]

小程子 · 发表于 2008-7-11 13:01:13

第一个字节右键选块开始，上面算出来了这个文件的大小为11648个簇，也就是1530069+11648＝1541717再转到1541717簇，所在的扇区的上一扇区也就是文件的结尾了。最后一个字节右键选块结尾。再在所选块中右键编辑－复制扇区－到新文件即指点到路径保存。然后改扩展名为RAR
这里的11648簇指的是该文件占用的实际簇数，但是系统中管理是从0簇开始计算的，所以这里的结束族应该＝1530069+(11648-1)

lughon · 发表于 2008-7-11 13:39:58

原帖由 小程子 于 2008-7-11 13:01 发表

 登录/注册后可看大图

第一个字节右键选块开始，上面算出来了这个文件的大小为11648个簇，也就是1530069+11648＝1541717再转到1541717簇，所在的扇区的上一扇区也就是文件的结尾了。最后一个字节右键选块结尾。再在所选块中右键编辑－复制 ...

楼主是为了提数据方便，才这样做的