NTFS下手动恢复被删文件

NFTS下手动恢复被删文件预备知识：

小文件数据位于MFT项中，常驻；大文件数据位于簇流中，非常驻

过程：

1：小文件

参见大文件处理思路前半部分，小文件数据在80属性中。

2：大文件（约700字节以上）

被删文件名为：文件100227-all.wmv

恢复步骤：（1）在MFT中定位到该文件

?????????? “文件”的UNICODE码是8765F64E。

? ? ? ? ? （2）在其80属性中查找起始簇和长度簇

? ? ? ? ? ?(3)定位起始簇和长度

? ? ? ? ? ?文件起始簇：01810CF1

? ? ? ? ? ?文件长度簇：04D8CE

注意：

文件实际大小是始于起始簇，终于起始簇+长度的前一个字节。

恢复出来的文件是实际大小，并没有考虑到内存对齐。因此，看上去和源文件在存储上差几个字节。

?