NTFS： 总结构： MBR   DBR   $MFTmirr   $MFT   DBR备份   重点就是DBR中的BPB部分，这是重建DBR必须回填的数据   偏移 解释 备注 00-02 跳转指令 固定EB5290 0B-0C 每扇区字节数 固定0002 0D 蔟大小 大部分为08 1C-1F 起始扇区 分区开始的位置也就是DBR 28-2B 扇区总数 也就是容量 30-33 $MFT起始簇号 DBR向下第16扇区中的$MFT中80属性簇流描述中有记录 FE-FF 结束标志 固定55AA（极其重要）   DBR重建BPB部分的回填： 簇大小：大部分为08、 容量：可通过DBR向下找到的$MFTmirr中$MFT起始簇号跳转至$Bitmap，通过有数据的倒数第二行计算容量（$Bitmap起始=$MFT起始簇号✖簇大小+起始扇区+12） 重建$MFT:①通过格式化（要与原分区容量一样大） ②找到最后一个$MFT项查看2C-2F目录项号。   用最后一个$MFT项起始位置-2*2C-2F目录项号得到原$MFT的起始位置，复制一个好的$MFT至$MFT起始位置。    需要回填：   偏移（80属性相对偏移） 解释 备注 10-17 $MFT起始项 固定为0 18-1F $MFT结束项 ☆要记得-1 28-2F   30-37   38-3F $MFT项总字节数 三个偏移结果相同   ☆最后一个$MFT项的2C-2F目录项号*2/8=$MFT项的大小。   短流记录（80属性向下第五行）怎么看：   例子：32  80  62  00  00  0C   第一字节32  前一位描述的是起始簇号所占的字节数，后一位描述的是$MFT项的大小   即起始簇号为 00 00 0C    $MFT项的大小为 80 62   ★其中的文件目录项的短流看法相同 MFT的跳转指令：46 49 4C 45 如果知道文件的后缀名时，可直接在bitmap后面查找文本直接搜索后缀名（要用Unicodec查询）即可看到文件记录项。 文件记录项： 找到文件记录项看30属性可知道该文件记录的文件名，再看80属性（该属性为该文件记录的数据） 文件起始扇区=文件起始簇号✖簇大小+分区起始（DBR）       通过30属性可知该文件记录记录的是11.doc 深蓝：文件大小（字节数）在短流前十六字节（共八字节） 黑色：一个描述 橙色：$MFT项的大小 红色：文件起始簇号 绿色：结束   容量计算：   跳转至$Bitmap簇位图的80属性描述的大小（倒数第二行数据）乘以64   跳转至$BadClus坏簇文件的簇流运行的$MFT项大小再加上一后，乘以簇大小可得到大概的容量值   跳转至$Bitmap簇位图的数据，以最后一个00 80结束，所选中的字节乘以8得到该分区有多少个簇，再乘以簇大小可以得到容量   （由于簇位图一个字节描述的是八个簇的记录，所以先将大小乘8得到该分区有多少个簇，然后再乘以簇大小就可以得到大概的容量）     文件夹快速恢复（文件夹的开头标志为49 4E 44 58） $RECYCLE.BIN这是单个盘符回收站。(直接打开ntfs的目录，可在里面看见$RECYCLE.BIN，里面就是文件夹。)  ...

常驻文件提取 第一步：首先找到DBR这几个重要的参数 在没有DBR 的时候就往下搜索46494C 第二步：找到MFT的扇区位置，一般大盘就是在DBR的基础上往下跳786432*8=6291456 第三步：在MFT的基础下往下跳12个扇区找到bitmap，因为一个文件记录站两个扇区，所以bitmap在第6号文件记录， 第四步：跳到第35号文件记录，35号就是存放分区第一个文件的文件记录位置，那就是在MFT的位置往下跳70个扇区， 第五步：提出文件， 非常驻文件提取 前面一样，找到mft的位置，往下跳70个扇区，找到分区第一个文件的位置，然后在下面找到你要恢复的文件的文件记录， 数据流起始的大小（簇）乘每簇扇区数，然后加上dbr的位置，就是文件的起始位置，然后文件的大小（簇）乘每簇扇区数就是文件的扇区大小，然后将它提取出来就行了。 碎片提取 同样找到文件的文件记录，看到80属性，然后它的数据流会显示几段，先找到第一段的起始簇号及大小，然后算出第一块碎片的起始扇区和大小，提取出来，然后用第一块的起始扇区加上，第二块的起始大小，就等于第二块碎片的起始，然后算出大小提取出来，如果后面还有第三个碎片，原理也是一样的，然后利用winhex中的碎片合并功能，ALT+k合并，先填文件的名字，然后合并第一个，合并第二个。完成。...