运城建胜数据恢复

网站首页 > 数据恢复案例 > 技术文章

$MFT元文件80属性Data Runs分析

2018-01-30 12:47:30 运城建胜数据恢复 阅读

从下图的NTFS DBR可以得出$MFT的起始位置位于本分区的786432*8=6291456NTFS_DBR
Boot Sector NTFS

跳转到6291456扇区,可以看到这是$MFT的起始扇区;

$MFT

查看80属性的data runs,

NTFS Data Runs

可以看到这个$MFT分为多段存储,第一段起始簇号为786432,即786432*8=6291456扇区,第二段始簇号为786432+46505008=47291440,即(786432+46505008)*8=378331520扇区,第三段始簇号为786432+46505008+20260353=67551793,即(786432+46505008+20260353)*8=540414344扇区。

 


Powered by MetInfo 5.3.19 ©2008-2018 www.metinfo.cn