深圳MFT元文件头被破坏数据恢复案例
来源：华军科技数据恢复
|
基本信息
|
客户姓名 | |
| 送修日期 | ||
| 恢复用时 | 4小时小时 | |
| 故障描述 | 客户称在操作系统下无法浏览提示“文件系统错误”。 | |
| 检查恢复 | 经过检测发现元文件MFT被破坏，这种情况下WINHEX仍然无法解析的话很有可能MFTMIRR也被破坏了。直接定位到MFTMIRR发现也被破坏了。经过检测发现其它元文件正常，现在的问题是须要重建MFT，MFT的其它参数都可以通用，关键点还是在DATARUN上边，只须把DATARUN修改正常，WINHEX就能正常识别了。步骤一：得到MFT的长度，正常情况MFT出现20属性的情况比较少，所以直接定位最后一个文件记录，然后根据每簇扇区数计算得到簇数。步骤二：修改MFT的DATARUN，先修改起始簇，这个比较好处理根据DBR中的参数就能得到结果。然后把第一步计算得到的数值写入到簇数中，至此修改完毕。 | |
部分截图 |
|
|