ntfs删除文件疑惑

davidcsc · 发表于 2009-3-19 13:05:14

删除NTFS文件后,按照理论上,MFT中相应条目的文件状态应该由01 00变为00 00,但是为什么在MFT中甚至找不到该文件的条目呢? 谢谢

davidcsc · 发表于 2009-3-19 13:44:58

会不会和我的系统是通过ghost安装有关系啊?

davidcsc · 发表于 2009-3-19 14:39:32

我又做了一些测试后,发现用shift+DEL删除的文件,在MFT中可以搜到,但用清空回收站方式删除的文件,MFT就搜不到,不知道什么原因? 谢谢

黄山黄志超 · 发表于 2011-3-16 21:13:10

先删除会对文件进行更名你也许能在回收站中找到 shift+DEL删除不会对文件进行更名你还能在winhex中直接看到我现在也在学习ntfs的删除恢复找不到思路互相学习了

猎豹 · 发表于 2011-3-24 17:10:39

在NTFS文件系统中，将文件删除后会删除文件的索引项，从而找不到入口，但是可以在2号文件也就是元文件LogFile中去搜索文件名。一般可以找到。从而得到文件的MFT参考号。