admin管理员组文章数量:1586763
一. 非常驻80H属性
1.将111.docx放置在E盘随后将其删除
2.搜索-查找十六进制数值 23 00 00 00 ,新文件会从编号23开始放置,我们可以通过00 00了解到该文件被删除,说明是我们刚刚删除的文件。
3.文件信息通常储存在80H属性,我们观察到该文件属于非常驻(01),也可以了解到文件大小,起始簇号等等,我们就可以通过以下的信息去进行恢复:
由上图可知:
(1)起始簇号 03 E1 0B 778499
(2)每簇扇区数 8 通过数字解释器查看(如下图所示)
(3)起始扇区 778499*8=6227992扇区
(4)文件大小 BC 2C 00 00 11452字节 11452/512=22扇区
(5)结束扇区=起始扇区+文件大小 6228014扇区
4.我们可以根据起始扇区和文件大小直接进行定位
5.复制选块至新文件并命名为hf111.docx,恢复成功,随后对比hash值。
二.常驻80H属性
1.创建一个xinan.txt的文件,放置E盘并删除,随后打开winhex
2.通过搜索找到23编号,发现文件就藏在80数据流当中,文件的字节总数为45,确定文件结束位置,直接定位恢复即可,恢复完成后对比hash值。
三.子目录文件恢复
1、打开虚拟机设置,添加一个20G大小的硬盘,进入磁盘管理,将其格式化为NTFS系统。进入E盘新建文件夹并复制一张图片到里面, 将新建文件夹删除,再清空回收站彻底删除。
2.进入winhex,NTFS文件系统中所有新建文件夹都是从23开始编号,所以可以在搜索,查找十六进制数值中搜索。
00 00表示图片被删除,48 E1 07 00表示图片的大小,B2 D4 0B表示起始簇号
3.23表示文件夹的位置,图片在24里面
由上图可知:
(1)文件大小48 E1 07 00 516424字节 1008扇区
(2)起始簇号B2 D4 0B 775346
(3)每簇扇区数8
(4)起始扇区775346*8=6202768
(5)结束扇区6202768+1008=6203776
4.跳转扇区(起始扇区),再跳转偏移量(文件大小)
5.对比恢复的图片和原始图片,相同即可
补充:
除计算文件起始结束位置的方法外,还可以使用查找文件unicode码的方法。
创建文件qlj.txt并复制至E盘并永久删除,打开winhex在MFT中定位跳转文件名qlj。
搜索删除后文件名的十六进制数值跳转后并复制至新文件。
随后对比hash值,确认是否恢复。
版权声明:本文标题:NTFS文件系统下文件恢复 内容由热心网友自发贡献,该文观点仅代表作者本人, 转载请联系作者并注明出处:https://www.elefans.com/dianzi/1727993340a1141564.html, 本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容,一经查实,本站将立刻删除。
发表评论