楼主: 逆水寒 - 

NTFS文件系统下文件的删除

  [复制链接]

该用户从未签到

3

主题

32

回帖

38

积分

[INTOHARD]工兵

Rank: 1

积分
38
发表于 2008-9-22 20:05:50 | 显示全部楼层
感谢逆水寒同志的无私奉献,更感谢tclrz100e的不同解说。通过对两种对比,我跟能理解了。谢谢两位。

该用户从未签到

1

主题

17

回帖

41

积分

[INTOHARD]工兵

Rank: 1

积分
41
发表于 2008-9-23 13:26:19 | 显示全部楼层
不知LZ什么时候发表一篇NTFS格式化的变化和如何手工恢复一些文件呢?

该用户从未签到

8

主题

177

回帖

1447

积分

[INTOHARD]营长

Rank: 6Rank: 6

积分
1447
 楼主| 发表于 2008-9-23 13:54:31 | 显示全部楼层

回复 39# 的帖子

NTFS分区格式化后用WINHEX手工提取数据一例
原文地址:http://bbs.intohard.com/viewthread.php?tid=46244

该用户从未签到

10

主题

133

回帖

342

积分

[INTOHARD]排长

Rank: 3Rank: 3

积分
342
发表于 2008-10-27 15:05:03 | 显示全部楼层
看来这都是高手。。    俺学学了

该用户从未签到

3

主题

201

回帖

475

积分

[INTOHARD]排长

Rank: 3Rank: 3

积分
475
QQ
发表于 2008-10-28 15:25:42 | 显示全部楼层
非常好!。。非常感谢楼主的分享!!顶起!!![s:18]

该用户从未签到

0

主题

10

回帖

28

积分

[INTOHARD]工兵

Rank: 1

积分
28
发表于 2008-11-17 21:52:04 | 显示全部楼层
的确挺雷同的~
不过我代表涂彦晖不追究~

该用户从未签到

0

主题

10

回帖

28

积分

[INTOHARD]工兵

Rank: 1

积分
28
发表于 2008-11-17 21:53:04 | 显示全部楼层

该用户从未签到

1

主题

1

回帖

15

积分

[INTOHARD]工兵

Rank: 1

积分
15
发表于 2008-12-8 11:31:23 | 显示全部楼层
我试啦一下,删除啦一个文件,看MFT好像没什么变化,在16H那里还是01啊

该用户从未签到

3

主题

34

回帖

67

积分

[INTOHARD]班长

Rank: 2

积分
67
发表于 2008-12-16 11:06:49 | 显示全部楼层
或许是看了涂彦晖PPT了,我见过" 在NTFS系统中删除一个文件时,系统至少在三个地方做了改变。一是该文件MFT的头偏移16H处的一个字节,该字节为0表示文件被删除,为1表示该文件是正被使用的文件,为2表示其是一个目录;二是其父目录文件夹的INDEX-ROOT属性(90H属性)或者INDEX-ALLOCATION(A0属性);三是在位图($Bitmap)元数据文件中把该文件占用的簇对应的位置清0,以便给其他文件留出空间。

该用户从未签到

7

主题

357

回帖

3857

积分

[INTOHARD]团长

Rank: 8Rank: 8

积分
3857
发表于 2008-12-17 15:05:27 | 显示全部楼层

回复 43# 的帖子

涂老师真是风般的男人   神龙显首不见影呀
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表