winhex數(shù)據(jù)恢復工具使用(參考版)
2024-08-20 15:09本頁面
【正文】 最后，我們用鼠標來選擇這些數(shù)據(jù)（選擇的數(shù)據(jù)的顏色會變的），然后點擊右鍵，選擇：編輯復制選項塊植入新文件，如下圖所示：在這里，我們最好就選擇另外一個分區(qū)，不要在要恢復的分區(qū)中保存文件，已保證我們的數(shù)據(jù)不會被覆蓋掉！這里，我把文件保存在D盤中。藍色框的4個字節(jié)表示這個文件的數(shù)據(jù)大?。篍0H，折合十進制就是224，即這個文件大小是224個自己，記得在前面講過的嗎，上面還有文件大小的截圖呢！綠色框的4個字節(jié)表示這個文件的數(shù)據(jù)的偏移位置18H，這個偏移從這個數(shù)據(jù)屬性的開始位置計算，就是上圖中的80H位置，這個位置這樣計算：75b0H + 18H = 75c8H。下面我們集中抽取這個數(shù)據(jù)屬性來分析，如下圖所示：我們一個一個來分析框中的內容表示的意思，第一個紅色的框表示這是個數(shù)據(jù)屬性，值是80H。那么我們怎么知道這是個被刪除的文件呢，一種辦法是直接在文件記錄頭上看，如上圖的紅色框，那2字節(jié)為文件記錄偏移16H處，0表示文件已被刪除，1表示這個文件在使用，2表示是個目錄等等。因為MFT的文件名是Unicode形式的，之后就是查找了！一會我們就找到了這個文件，如下圖所示：為了能使用WinHex的顏色，我們轉到分區(qū)去看這個文件記錄！首先，我們看到這個文件記錄在MFT的偏移地址是7450H，然后我們在winhex中轉到我們分區(qū)的視圖，然后點擊MFT文件
環(huán)評公示相關推薦
鄂ICP備17016276號-1