1、開啟磁碟開啟磁碟
3、透過$MFT恢復檔案 如果在檔案列表裡沒有看到已刪除的檔案，那麼可以從$MFT裡恢復。 $MFT，主檔案表(Master File Table)，存在於是NTFS檔案系統裡。當檔案在硬碟上刪除後，檔案記錄並沒有從$MFT裡刪除，因此可以從$MFT裡恢復已刪檔案。 1）開啟$MFT 右鍵點選“$MFT”，然後點選“開啟”。開啟$MFT 2）查詢要恢復的檔案 按組合鍵CTRL+F彈出視窗，輸入要恢復的檔名或關鍵詞，選擇“Unicode”。查詢要恢復的檔案 3）找到要恢復的檔案記錄要恢復的檔案記錄 找到要恢復的檔案記錄，接著是進行資料分析，這是恢復過程中最關鍵的一步。分析如下： 紅色圈出的FILE0，是檔案頭的開始標識。偏移檔案頭16H的位置，即藍色圈出的00，00表示該檔案已經被刪除。 紅色圈出的80，是資料屬性的標識。在偏移8H的位置，如果是01，即藍色圈出的地方（本例是01，如果是00，則接下來的分析要看這裡如何使用WinHex恢復刪除的檔案（2）），那麼要看偏移30H的地方，即藍色圈出的D9 F1 07，這個便是檔案的大小，十六進位制表示為“7F1D9”。再看偏移40H的地方，即藍色圈出的42 80 00 BC 50 2B 01，42表示後面的資料中，前兩個是族數，這裡為80個族，後四個是族號的開始位置，十六進位制表示為“12B50BC”。 這個分析主要是得到兩個資料，族的起始位置和檔案大小。 4）透過族的起始位置和檔案大小來恢復檔案 切換到磁碟視窗，選中$MFT，然後按組合鍵CTRL+G，輸入族的起始位置19615932（把十六進位制12B50BC轉換為十進位制，一下轉換工具吧，可以在此網頁裡轉換
http://jinzhi.supfree.net/
1、開啟磁碟開啟磁碟
3、透過$MFT恢復檔案 如果在檔案列表裡沒有看到已刪除的檔案，那麼可以從$MFT裡恢復。 $MFT，主檔案表(Master File Table)，存在於是NTFS檔案系統裡。當檔案在硬碟上刪除後，檔案記錄並沒有從$MFT裡刪除，因此可以從$MFT裡恢復已刪檔案。 1）開啟$MFT 右鍵點選“$MFT”，然後點選“開啟”。開啟$MFT 2）查詢要恢復的檔案 按組合鍵CTRL+F彈出視窗，輸入要恢復的檔名或關鍵詞，選擇“Unicode”。查詢要恢復的檔案 3）找到要恢復的檔案記錄要恢復的檔案記錄 找到要恢復的檔案記錄，接著是進行資料分析，這是恢復過程中最關鍵的一步。分析如下： 紅色圈出的FILE0，是檔案頭的開始標識。偏移檔案頭16H的位置，即藍色圈出的00，00表示該檔案已經被刪除。 紅色圈出的80，是資料屬性的標識。在偏移8H的位置，如果是01，即藍色圈出的地方（本例是01，如果是00，則接下來的分析要看這裡如何使用WinHex恢復刪除的檔案（2）），那麼要看偏移30H的地方，即藍色圈出的D9 F1 07，這個便是檔案的大小，十六進位制表示為“7F1D9”。再看偏移40H的地方，即藍色圈出的42 80 00 BC 50 2B 01，42表示後面的資料中，前兩個是族數，這裡為80個族，後四個是族號的開始位置，十六進位制表示為“12B50BC”。 這個分析主要是得到兩個資料，族的起始位置和檔案大小。 4）透過族的起始位置和檔案大小來恢復檔案 切換到磁碟視窗，選中$MFT，然後按組合鍵CTRL+G，輸入族的起始位置19615932（把十六進位制12B50BC轉換為十進位制，一下轉換工具吧，可以在此網頁裡轉換
http://jinzhi.supfree.net/
）。輸入族的起始位置 點選確定後，在鼠標出現的地方，點選右鍵，然後點選“選塊起始”。選塊起始 按組合鍵ALT+G，彈出轉到偏移量的視窗，這裡選擇相對於“當前位置”，然後輸入7F1D9（第三步分析中得到的檔案大小，十六進位制）。轉到偏移量 點選確定後，在鼠標出現的地方，點選右鍵，然後點選“選塊結束”。選塊結束 選塊結束後，在鼠標出現的地方，點選右鍵，然後點選“編輯”。編輯 點選編輯後，然後點選“複製選塊-至新檔案”，在彈出窗口裡，輸入檔名，即可恢復檔案。