对MFT偏移的修正-亲历一次数据修复

1、对MFT偏移的修正-亲历一次数据修复前阵子，我在一次正常开机后，打开QQ空间，突然系统死机。点击鼠标无反应， 按键ctrl+alt+del想杀进程确无反应，于是只好按主机 reset键强制重启，结果RP爆发，百年一遇重启后，无法进XP系统，用PE光盘进，发现C盘和E盘都提示“文件或 目录损坏且无法读取”，于是用ptdd重建mbr,仍进不了系统。重启又进入PE, 发现此250G的5个分区的硬盘中，E盘反而可以正常读取了，其他分区出现上 面那个提示。用PTDEM建分区表，没解决。后来在网上搜过“文件或目录损坏 且无法读取”的解决方法，最多提到的是 chkdsk /f, 但是在PE里，提示无法 识别

2、ntfs。于是只好把硬盘挂载到室友的电脑里，用 chkdsk /f修复，修复后 我在Xp双击这些分区，原来的C盘，F盘G盘依旧无法进入，还是那个错误提 示。而D盘可以了。后来挂载到我电脑另一个硬盘的 linux里，竟然能进F和G 盘，里面有FOUND.00值类文件夹，在里面找到了不少修复回来的文件， 随机在 不同目录点了几个都能用。于是接下来要解决的问题有：.同样全部是ntfs系统，为什么XP无法读取F和G分区，而linux可以？ （虽然不可以在windows里读取，但至少在linux下可以把数据导出备份，成功 了一点点）.如果从数据修复的角度看，现在只剩下C分区了。头疼PTDDDISKGEN

3、 还有用过一些磁盘错误扫描，都检查不出什么错误。（这里明显我是病急乱投医）本着不修复好不罢休的精神吧，虽然C分区的数据真的没有了也不至于损 失多惨重，可恰好我可以在另一个硬盘 linux里的虚拟机里的XP上网，所以也 不需要急用电脑而不得不重装系统。（双系统的好处之一o（ n_n ）o）之后是上网找专业论坛，搜索期刊。顺便做下广告，我觉得中国硬盘基地反术论坛不错。 我也是第一次从这里知道可以用 winhex修复数据。并且也通过搜索得知我的故 障可能是MFTt错。在里面看过一句话,“你要是不会手动16进制写mft,不知道他的规则，计算方式。就别费劲了，你从现在学，学3个月有可能能学会”。 天啊，

4、估计我没这耐性，更主要是我还有不少事情做不过我试着去了解吧，趁机能懂点东西也不错。于是，从一开始不懂 mft,然后慢慢的去了解ntfs的文 件系统其实一共也不需花多少时间，中间快 20天都忙着考试和找工。这里还 有个小插曲，因为看过这方面的书，那时候印象较深，还去笔试面试了一个数据 修复公司，吹吹自己会用 winhex和其他修复软件，通过了。说1月中旬给个回 复去不去，去的话开始实习了，不过待遇感觉太低所以不想了的。 毕竟生活压力 吧，还有综合考虑兴趣与待遇，还有发展。说点硬盘ntfs文件系统的，或许很多人也听过了。之前我没怎么了解， 后来借此机会也趁机学学了。硬盘由引导扇区（Boot Sec

5、tor ）与各分区组成。 不超过四个主分区，原因是主引导记录（MBR里的分区表里只有64字节，一共 只可描述4个分区表项，从winhex里看，描述一个分区表项用16字节。有人可 以分七八个分区是因为用到扩展分区，现在我们的普遍分法是一个主分区+一个扩展分区，然后扩展分区又是由相应的 EBR（即扩展MBR里的分区表来描述。 一个以C盘为主分区，D E F为扩展分区的硬盘数据结构如下所示：c盘嫉口盘4EBRE盘/E咖F盘一 J关于主引导记录MBR一般都占用63个扇区，即从第0-62扇区（这里有个例外， 虚拟机里我看过只有56个扇区），而实际有写入内容的一般只有一个扇区，及 常说的0柱面0磁道1扇区

6、。1个扇区512字节，MB更实分三部分，1.引导代 码446节2.分区表64字节3.结束标记55AA及2个字节。Of Eset01234567g9ABcDEFx_J1ODOOOOODOO33CO9EDOBCDO7CFB5C0750IFFC50BE00OOODODOO1O7CBF00B90002F3MBFIE0657CB33DB.i 一步，制30ODOOOODD2033D2BEBE07Bl04FE04807403SBD643B3It . IOCI0000000030C610E2F3S3F00174的BEU4ooB917000Ahl d . t .幡,1 . . e0000000040719052

7、B441B280BBAA55CD135A61FB550000000050AA7533F6Cl01742EBB0042BEAD07BlL04u3oA.t. =,4 *0000000060C&040046E2FABEAD07FAC6CM10CG44A. . Faiiili-. lu . .D。0000。00700201C74404007CBB5D08S9SC08BE5DDA一伽1 】0000000080095C0AEfiOF9DB80 102BBno7c0BF28B4Cl.e.|lolL000D000090028A7401B280CD13EEFE7D813c55AA74.咤14皿OOOOOODDA

8、C09BEDB00B9ia00EB059033CO50E8007C5i.31询，ODOOOOOOEO50CB61跳00ACBE0700B40ECD1CE2F&PE 1正f冷.I ,aOOOOOOOOCOBlOFE2FC&E76616C69642070617274aulnval id partOOOOOOOODO6974696F6E207461626c4D697373&9it ion tabloMissiooooooooeo6E67206F70&S7261746gSE6720737973ny operating sysOOOOOOOOFO71656D004 口617374657220426F6F

9、74?0tem,Master Boot00000001005265636F72M2057726F7465206279?DRecord Wrote by00000001104D42522042T92044616861694c656500MBR By DahaiLee.0000000120000000000000000000000000000000000000000130in000DC00ao0000cc00000000OC00no03000001400000000000000000oo00g00000000000000000150000000OC00DD00DOOC00no00000000900

10、000000160g0000QU00州0000oo000000000000DO000000017C0000DO00DO0000DOOC000000DO000000 a- a ife c a Ji a - a *00000001800000000000000000OC00000000OC00ao0000000190000000000000000OC00000000000000000000D1A00000000000000000OC0000000000000000000001B00000000000口。0000D480075F0叫1画0.6iC_ _ i.0000000ICOoTombFEFF_F

11、T3fDOOC00E558ai01匹E.小时？.&xi .一ODOOOOOIDOpl FF1函FEFFFK2459ei01MDEC9AIE0090OOOOOOD1ECw0000QQ00。口DO00oc0000DO00OC003ODOOOOOIFODD00DO0000000000OC0000000000区AAUi如果，两蓝色竖线把第一个扇区划分为三部分，及上述的MBRE部分。两 蓝竖线间为分区表。每16字节为一个分区表项，两个紧挨着的数字为一个字节。第一个分区中：第一个红色框内80代表活动分区。绿色框01 01 00代表磁头号、 扇区号、柱面号。第一个蓝色框07代表NTF的区。紧接着三条绿横线，

12、分别是 本分区结束磁头号、扇区号、柱面号，然后是本分区之前已用的扇区数（3F000000, 必须倒过来，即0000003F,转为10进制63,即MB殴占用63扇区，注意MBR 是不属于磁盘第一个分区！），最后是本分区的总扇区数（E5588101，倒过来， 018158E5,即是 25254117个扇区，25254117*512/1024/1024/1024=12.04G ）第二个分区：第二个红色框00表示非活动区。绿色框00 C1 FF代表磁头号、扇 区号、柱面号。第二个蓝色框 0F代表扩展分区。三条绿线所表达的也与上面相 同。（注意这里的第二个分区代表扩展分区，切勿与通常的D盘相混淆！ ！

13、！）因无其他主分区，所以第三、第四个分区表项为00最后以55AA结尾，代表MBR吉束。到这里，给道题目，如何知道 D盘的EBRft哪里？很简单，从第一个分区表项得知，第一个分区有25254117个扇区，而在第一个分区前的MBRt 63个扇区，因为整个硬盘扇区数从 0记起，所以MBRft区数十 第一个分区扇区数=63+25254117=25254180即通过转到25254180扇区即可。这 里就是D盘前面的EBRT。| Offset0123456739aBcDEF302524600CO0000000000ao00oa00co00000000 00302B246100000 0000 0ao000

14、000000000000D00302B2482000000000000c00DO00000000000000 0302B246300000000000ao00000000000000000000302B24S400000CD0000caoDO口口0000000000 0 00302B24B50oo000000000000000000DO00DO000000302B24B&000000D00000caoDO000000000000 0 00302B2487D0Q0000000000口口oaOQ00co00oo00QO00302924B80co00000000cCIO0000oa000000000

15、0000302B248900 Q000 0oo0 0 0 0000000oo0000oo 000030282480CO0000000cCIO00oaoa00000000DO000302B248B0 000 0O0 0 0 0oaoo00oo0 000oo 0 0O3O20240COOO0000000000CIO00口口00000000000000302B24BDO 000 0O0 0 0 0oa0000oo000000 0ooQ302B248E00000000000000000口。00000000000000302B24870 0000 0oo00 0 0oaoo00oo000000 0000

16、3026249000000000000 0aooc000000000000 0 0302B24910 000 0oo00c 0000000oo000000000003028249200 0口口CD0000caoocoa0000000000 0 00902B24930000000000000ao000000co0000000000Q302B249400000000000cao0000000000000000 00302B2495000000000uuoc3000UD00co00000000000000000000cao000000co0000000000302B24570co00 0000000

17、ao000000co0000000000302B24930co00 00000000000000co0000000 000302B24990co000000000cQ0000000co00000000000302B249A000000000nnocao00no00000000000000302B249B0co000000 0cao00oa0000000000 0 1O3D2B249C0ClFF07FEFFFF3F000000即OD23口 3oo302B249D0ClFF05FEFFFFccDD23039DC3 3 0 00302B249E00 0oo0 000000 0000000oo0000

18、oo0000302B249K00000000000 0aoDO00000000000055AA对红线进行分析（红线前面446个字节，因为是扩展分区，不需要启动代码，用 0填充）：00:非活动分区01 C1 FF起始磁头号、扇区号、柱面号07: NTF的区FE FF FF:本分区结束磁头号、扇区号、柱面号。其实可以发现，实际不需要理 会这一项，所有分区表项都用这三个字节来表示本分区结束磁头、扇区和柱面的 3F 00 00 00 :如前面分析 MBR倒过来是00 00 00 3F ,即63个扇区。8D 0D 23 03:倒过来是03 23 0D 8D,转为10进制是52628877,即本分区有52

19、628877扇区，25.09G。为计算第二个EBR在哪里只需将前面的“ MBRS区数+第一个分区扇区 数” + “EBR扇区数+第二个分区扇区数”略去对后面几个分区的计算。刚刚是对MBR EBR（EBR实际与MB於似，只是少了启动代码）的分析，现在对 具体分区分析（以修复好的C盘为例）。通过翻阅资料得知,NTFSC件系统的结构是BOOT K (CIKFT 区 bFTWA区WlMiTT 区“M区网 XINTLDR元般堀立怦L文件板需呻而叫（文件班搪舄区，找占阳及R分配区存禽区域,1个元做第支存脩区域）1L6HUS)域）杵的番份）*图1 NTFS文件系统总体靖构图如何进入具体分区呢？选择 winh

20、ex里的“工具一打开磁盘”，选中相应物理磁 盘即可打开。我的硬盘（修复好后）显示如下：三WkiH曰c - hlard d Mk D女伴编辑（E）搜索位置回 视图在）工具3 专家0）选项）窗口帮助to Kard dials Q |Partitioning style: MBRName 上印Size 1 CreatedI Modified事 FartMon 1MTTS12.0 GBPartition 2MTFS25.1 CB 0 x0000000000004000 = 16384Sec/Cluster-0 x80 = 128128*16384 = 2097152micrcscft TechNet而

21、我自己C盘的情况是OffsetD1234567OOOCOOO电5290交5446S32000000001D0000000000F3000000000020000000006000800000000003000口 Q0C000000000000000040F60U00000100000D89AECDEFq 0202020 002030000ORINTFS3F00FF003F0000000. . ? .yE458Bl0100000000.1.1.aXIAE：4A0800OD000000 I i 一 ：- J *B5557EB0377EE0AEl。口LT对比这里的说明:$日0。馍件结构偏移地琉一占用

22、字节数辘0H3跳转到启动例程的指令3H4NTF验区粽恚：-NTFS*日H2每扇区字节数DH1每裱扇区数EH2俣胃扇区数10H1FAT个薮C为了与FAT7FAT支的BPB兼容,值为0)11H2报目录项数，值为。13H2分区扇区数.值为015H1存睛介质扇区为FB)1&H2每个FAT占用扇区数,值为018H2每道扇区数1AH2闻头数1CH4隐藏扁区数20H4由区鹿区数，值为口24H1物理设备号C每一个硬盘为3叶1)25H1槌|26H2保翟/值为&QH2BHS30Hg5MF璐一靛菠号38H8SMFT峰肆一旗号4QH1每个文件记录占用的簇数,具体描述诸见表后在释44H4每个目录项存储区占用的赧数，具体

23、描述同上|4BHe分区序列号图中第一条蓝色粗线是表示$MF之一簇簇号，00 00 0C 00 00 00 00 00 , 倒过 来是00000000000c0000即16进制C0000转为10进制是786432,表示MFM 第786432簇(注意这里表示的是相对于本分区的簇数，而不是整个硬盘)。接 下来，转去786432簇，看看是不是NameEXtSizeCreatedModifiedAccessedJ Bitmap3的KB2009-03-04 21:12009-03-04 21:1.2COS-03-04 21:1 1J阳cm8 0 K0200S-03-04 21:12009-03-04 21

24、:1.2009-03-04 21;1,.P iLo HF 112637 MB2009-12-31 16：2.2009-12-31 16:2.2009-12-31 16：2.:or94 3 MB 2009-03-04 21:1. 2009-03-04 21:1. 2009-03-04 21:1.：Hard di sk 0 Hsrd disk & P art 1 ti on 1 | Hard dimk 0, Par titi n 2 | Hard disk Cl. Pajrti ti on 3 | Hard di sk 0. Parti ti21:116:2.211.21:1 .211 .-1 S

25、MFi5Hitmap11BKB20CQSMFTMirr4.0 KB20 CJ Secure0 B20CQ SSecure SSDH420 KB20CCjSSeciire:$SDS2BBMB20CJsSecure:$SII472 KB20C_l SMFTHard diskD PartitilS% freeOffset0 12 3File system:NTFSocooooooo46 49 4c 45Volume label:Xp00000001001 00 01 00DeAult Edrt Mode00000002000 00 00 00State：original0CC00C03012 00

26、00 00Undo level:000000004000 00 18 00Undo reverses:nJaOCOODOOSOAA 05 IE 70n广nnnnnAnnt if 7广CB 9C C9 01 AA 05 pr qp r,Q n 1 占占 nc00 I isoiooo IOiO CBPR9CIE 1 poa oo oa 4S oouuoo i oio i7C7C1I f*Q H通过GoTo Sector到786432,与单击$MFM到的扇区都是一样的。说明定位没接下来看下$MFT$MFT （ Master File Table ）文件。主文件列表。此文件是 NTF的区中最重要 的文

27、件，记录了分区中所有文件（包括 $MFT自身）的基本信息。通过$MF僦可 以访问分区中的所有文件和系统数据。$MFT由多个MF下己录单元组成，每一个文件的描述占用一到多个（一个不够的情况下）$MF下己录单元。其中前十二个记录单元中记录着这里的十二个系统文件的信息。每个记录单元记录着文件的建立时间、在分区中的位置、长度、属性、文件名等信息。MFT的第一个记录就是$MFT自身，编号为00每个文件记录占用1KB,即 两个扇区。识别一项MFTB起始很简单，看开头的4个字节是否46 49 4C 45 ,其相应的 ASCII码是FILE。现在就看MFT怎样记录其本身$MFT。Ext1 SiuCreated

28、I Wodifi&dAccessedI AttrI 1s1 sectorQsuft94 3 MB2009-0 3H)4 21 1.2009-03-04 21 12009-03-04 21 1SHR6291456Hard disk 0, Partib 13% treeFile systemMTFSVolume la帅xpOffset0 1 2 3 4 57 egABCDEF|_OCOOOOOOODCOOOOOLO46 49 4C 4530 00 03 OD 78 OD 67 4日 00 DO OO 00FILED. *30 00 01 00 BO 01 00 DO 00 04 00 0。01 0

29、0 01 00 8 .* a-DefauH EditState：originalUn 加0Undo revtrstsn/wDC0000020E)C00O0(30QC0000040OCOO ：CQ5C00 00 00 0012 00 00 00 on nn is no00 00 OO OD 口6 OD 00 OO OO 00 00 00,. n in .00 00 oa 00 10 00 OO OO 60 00 00 00 nn oo nn on as no oo no is no no on4 A H fr 立！it+AA 05 IE 7C CB 9C C? 01 AA 05 IE 7c CB

30、 SC C9 QI卡|EIE.0C00O006DAA 05 IE 7C CB 9C C9 01 M 05 IE 7C CB 9C C9 01,|EIEhAllotduster No.:785432SMFT (#0 Snap shot laket? hours agoPhysical sector no6?9 1519Logical sector No. .6291456C00Q0C70DC0000080C7 00 00 00 OC 00 0t 00 DO 00 CD 0 00 DO t)0 00CO 00 00 00 00 01 0。 00 00 00 00 OU 00 00 00 00OCO

31、OOOOSOOCOOOOOAO00 00 DO 00 00 00 OtJ 00 30 00 00 DO 68 00 00 0000 00 19 00 CO 00 03 OD 4A 00 OO 00 18 DO 01 。口CM2QOOOOBOOS 00 00 00 00 00 OS 00 AA 05 IE 7C CB 9C C9 01DCOOOOOCD瑞 05 IE 7C CB 9c C9 01 AA OS IE 7C CB % C9 014,.|E【LDCOOOOODOAA 05 IE 7C CB 9C C 01 QO CO E4 05 00 00 00 00.|EIE.Us*。space9.

32、9 GBOCDOOOUEL00 CO E4 05 00 00 口口 00 07 OD 00 OO OD OO 00 001 b I *10.627.384.993 bjiesOCOOOOCFO04 03 24 00 4D 00 4& 00 54 00 00 OC OO 00 00 OQFree space:2.1 GB2,302,020.352 bytesTotal capacity: 12 0 GB 12.930P 107.904 bytesOCQO0口ID口 ocoooouo 0C00Q0120 0C00O013080 0000005B0000OD010040DOOO00010000 00

33、0000000000004B5E00OO00DO000040 oooooocooaonodnocoE4nsoodooootj00 COE4050000000000CDE4OS0口DOGO001.Ke a *. a.AnB*ies per cluster 4.096DC000014D32 20 36 00 00 OC 32 00 03 ID 28 24 32 2C 25 D62 62,Free dusters: SS2N12OCOOOOISOC5 FB 00 89 AO 19 IC 89 00 00 00 OO SO 00 00 00Au J -1Total dusiers: 3.156,764

34、Bjl&s per s&ctor512Sector count 25,254,117Physical di9lc0Displajr Ume 工口附C +03:00 mo$；nMadecimaiCnaraaereet: ansi ASCII OffsetshexadecimalB -les per 口am 30 x16=480DC0000160 OC0000170 OCOOOOISO Kooooigo DC00001AD DCOOOOIBO DCOOOOICO DCOOOOIDO01 00 4口 00 00 00 05 00 QO 00 00 OO 00 00 QQ 00 02 00 OO 00

35、 00 00 QD 00 40 OD 00 OO 00 OD GO 00 00 30 00 00 00 00 OO OD 28 2F DO 00 OO 00 00 00 20： 2F 00 00 00 00 0。00 31 01 FF FF OB 31 02 IF 00 F4 00 03 60 FA FF FF FF FF FF FF 00 OO 00 00 BO OO OO OO 48 OO CO OD UI OO 40 00 CO DO 05 OO CD 00 00 00 00 00 DO 00 口口 OD CO DO 00 DO 00 004。 00 DO 00 OC 00 CO OD

36、DO ID 00 OC OO OO 00 00* * 巾 , 口(/* If* .6. . Iiiyy 。H同理，MFT勺镜像$MFTMirr用同样的方法也可以计算得出和定位，$MFTMirr是对MFT里的重要文件备份，只有4K,即备份了 4个文件记录单元而已。其实说了上面这些，还没涉及到故障的解决，有人会说，明明可以在 winhex里 选中$乂5砒定位了，为何这般复杂，实际上，我此次故障，就是遇到 MFT移 了！说了前面这么多，只是为NTFSi件系统结构做个很大概的描述，实际上真的很 复杂。在故障处理前，我双击 C盘出现了这种情况：文旭已魏辑俎瞿氯W 也置电播爵婚工曲!专家0) 出款型窗口需

37、聃坦)D 曰每各荐电生呢湍I河繇片信依 f 牛尾 口由。岫P,口Mud disk 0 |PMitMiH。Style； MBRName *? Paittlonl/ Partitjon 2/ Parttwn 3/ Partrion 4:Partitwin 5P ait It ion 口 apPsrtnon gapHard disk 0Mode!： ST325fr3iftASFrmwar# Rev.:1.1QBusSCS17SATADe fauk Ett ModeSUtetongkial出此陌趾0Modifiec5 s 5 5s TFTrTFTTrF N N H N Nl，Q G825.1GB304

38、 GB91J 6B74.6 GE315 KB3,5 KO6iCaniipt op?n 15HFT Vn4rp?td data at affset COOOODM Mid offitt 10JESEOM), R=T. *i片噌AaessM252542.,77883。141034.332047.252541 779831.0QL0O7EUO0030007E1D0000007E200000007E300000007E400000007E506 6 0 4 F o 4 0 0 5 0 8 E Q 口 4 0 0 o o o 9 0 0 2 0 0 5 0 0 Boo FBI 0 口0 0 3 0 0

39、3 o 1 AOOFODODoo coo o o o o o oDoo 0 6 0 o F oo o 8 s2 0 5 1 o F 4 E2 3 E 8F o o o o E o o o o o o 8 0 0 0 o o o o 2 F o o 0 3 0 0 o o 1 o o o o o o F 1 8 2 F 8 17 Pq8 Fo cE 7E o7 o5 c5 B5 oB D7E 7A 00 oB c看来问题跟这个MF说有些关系了的一进去后, 以下这几个，郁闷。傻眼了,没有其他的文件,只有Swir#ea_Hrd dte.0, Pdrbbon 1).文件编摄尊位置四视团。工看号叠心选项

40、窗口的帮助囱 TOC o 1-5 h z 口片R国旨部 二曲造由 14荔楼笈鼻 f *4 J咐G餐Q 席 Hard 0 | rtarJ diwk 0, Paititica 2 Hurd disk 0,L |I 一 :_ F . I 1 . ，.Hams*|0(t. |5iz. .Cr*Md| Hodifted.Accass-d |Afct. | jtsecfcol(Root directory)F电电罩占t电Idlt space 12.0 GB0方法一：用前面的方法，从分区引导扇区计算出MFTB置。所以，证明前面说的不算是废话。方法二：留意提示，看到了 offset C0000000 和off

41、set 18158E000 字样，那 就过去看看吧。iYtmcx lrd diskPartbon 1J爻件的绢盟鬟索囱位置唠晅图包 Tfifr：普家匕娜项窗匕回会勖3(Rgt dlrectflcyF电口印式电Idle SpdCt12.0 GB。Hard d tsIcC, Partit.Fie SfStUE：MTFSOffset01234567 89fcBCDE?l. / iJacoooaooo00 00 00 00 00 00 00 00 00 00i 00 OC 00 00 01 口口Edit ModeSUte：originaln do level:0n do reverses：n/a.AI

42、DCh of wb、dnvc 印口3coooaoio01 00 Q0 00 00 00 00 CO 00 口口 0C 00 00 01 00- a . a.qcocaauzo OCODOQ03D OCOOOOD40DC000005CCOC0306046 43 4c 45 加 QQ Q3 UU 78 QD 67 铝 QQ QQ QQ Q0 |FILE|.01 000100380001口口EO01DO00CIO04000000 DO000000000000060000口。00000000OD 0000000000801000DODO500000口口co ooisoooooooaoo48oooooc

43、leoooo口口8F R 8电CIUEter No.：786432Idle000000070 acoooaosoAA 05 IE 7C OB 9C C9 01 AA OS IE 7C CB 9C C9 01AA 05 IE 7C CB 9c C9 DL AA 05 IE 7c CB 9C C9 01ft. . |EGC000009007 ao oo oo oo oo oo oa co oo oo oo oo oo cm oa-发现C0000000里，不是一项文件记录的起始，文件记录的其实，一定是“46494C 45”开头的，仔细找下，很明显偏移两行了！ ！ ！这就是故障所在。MFTH的第一项文

44、件记录正是MF怵身，而现在本身位置都记录错了，如何定位其余文 件呢？所以，此分区下的所有文件不可见！接下来尝试修复了。至于另外一个 18158E00Q其实可以猜测到是$MFTMirr的其实我曾经想过找相关MFT勺修复软件试下，但始终觉得会否因软件“误判”， 反而搞乱了。毕竟对于数据修复，一般是“只需一次成功，不许多次失败的”。 还是手动吧其实到这里我已经找到了故障所在，和处理方法了，只是即使想手动也有 点下不了手一期间在学校某个地方做过一次实验，也是一件坏事呃，把它的某个分区，用winhex写0 了写0 了是什么概念应该猜到吧。不过也自私庆幸幸 好不是在自己的硬盘这样操作！这款软件是有一定危险

45、性的。拿修复$MFTMirr举例吧$MFT勺我忘了截图。找到18158E000的那个扇 区里（可以看到偏移了三行）选中 46 49 4C 45开头的一段数据，多大好呢， 我是一直选到非0的末尾，后面全0的就不选了。原因：记录一个文件其实有时 候不需要用到1KB的。粘贴到正确位置Wirtlci ?!(! dink 口 J，bbufi IJ.文件。镰辕立 普索 位民工 规的一Xfl；r：甘凉工 这项 诲匚的话勒依息下T坦2曳(B),扯fiLK if? irt 用 4vIl品rreJ SMFTMut* 口度四1点8杼班至.UeI写入观工厂Ctrl+B钻砧等字军)世设若文怦 2AmiBO2I：- 20

46、曲海空剪贴祓11 .一03-04 21：. 20C1Hi(J匕麻白，国 system:宸史迪块) 一一12 35679 9团拶主至卜，Ctrl+Jl语除选跳电ESSq QO 00 00 OP QO 00 00 OD 0Q C 0 0G 00 DO 00 00 00 00 00 0E3 C U 00 00 00 00 00 00 00 00 00 c 口 DO 。口 00 0Q 00 DO CO 00 00 CCefajt E?IlS二3：E；Unilc转爨叨以H4E船悔鼓数据(HL.ctnnFill BUck. .Ctrl+LUi(J口中节：g科二产口 山- 13- 小 181S9EC20dL

47、 mU U U U U UU UU UU UU UU UU I nn nn nn nn nn nn nn nn nn rAl be, of vfiblespace: 18158EC30Cu 冷m；! 575362 13159EC40TMUTlJ ir 4 g，lglh l)n46 494C45300003003S24C03 0001003B000100F801:n-rta 代门n nn n介门nnncnconger*-1口中口。新消口日立Ikrd dLisk iCQpy Rl.uk就这样，手工的找，手工的修复，看到就修复，反正间隔 1KB就一个记录一所幸 不是很多，10来个而已。保存退出，重启

48、以为应该好了，默默的等待一种喜悦。结果启动不了。没办法， 只好到另一个硬盘的linux里进去看，久违的那个分区是出现了，可是挂载不了, 如图提示：*无法拄赛卷。无法挂鞍慝“即详细信息心1Incomplete multi-sector Transfer：瑜入廊出错误 Record 0 has no FILE magic (0 x44-1141421 Failed to load SMFT：3力入膈出错 谋 Failed to mount VdevMaT:策入而出错误 NTFS is either inconsistent, or there is a hardware fault. or its a SoftRAID/ FakeRAID hardware. In the first case run ctikdsk t1 an WirdQw十 then reboot ini。Wiru卫we twi匚已 The usage of the /F psrarneteris very imporrarit! if rhe device is a SoftRAfDZ FakeRAID then first act