NTFS（New Technology File System）是Windows NT內(nèi)核的系列操作系統(tǒng)支持的、一個(gè)特別為網(wǎng)絡(luò)和磁盤配額、文件加密等管理安全特性設(shè)計(jì)的磁盤格式。
NTFS 取代了老式的FAT文件系統(tǒng)。
NTFS 提供長(zhǎng)文件名、數(shù)據(jù)保護(hù)和恢復(fù)，能通過目錄和文件許可實(shí)現(xiàn)安全性，并支持跨越分區(qū)。
NTFS文件系統(tǒng)最早出現(xiàn)于1993年的Windows NT操作系統(tǒng)中，它的出現(xiàn)大幅度地提高了微軟原來的FAT文件系統(tǒng)的性能。
NTFS是一個(gè)日志文件系統(tǒng)，這意味著除了向磁盤中寫入信息，該文件系統(tǒng)還會(huì)為所發(fā)生的所有改變保留一份日志。
這一功能讓NTFS文件系統(tǒng)在發(fā)生錯(cuò)誤的時(shí)候（比如系統(tǒng)崩潰或電源供應(yīng)中斷）更容易恢復(fù)，也讓這一系統(tǒng)更加強(qiáng)壯。
在這些情況下，NTFS能夠很快恢復(fù)正常，而且不會(huì)丟失任何數(shù)據(jù)。
在很少出錯(cuò)情況下，微軟表示你需要運(yùn)行CHKDSK修復(fù)程序來對(duì)磁盤卷進(jìn)行維護(hù)的概率特別低，其概率不到1%。
NTFS文件系統(tǒng)所具備3個(gè)功能：錯(cuò)誤預(yù)警功能、磁盤自我修復(fù)功能和日志功能。
錯(cuò)誤預(yù)警功能：在NTFS分區(qū)中，如果MFT所在的磁盤扇區(qū)恰好出現(xiàn)損壞，NTFS文件系統(tǒng)會(huì)比較智能地將MFT換到硬盤的其他扇區(qū)，保證了文件系統(tǒng)的正常使用，也就是保證了系統(tǒng)的正常運(yùn)行。
而FAT16和FAT32的FAT則只能固定在分區(qū)引導(dǎo)扇區(qū)的后面，一旦遇到扇區(qū)損壞，那么整個(gè)文件系統(tǒng)就要癱瘓。
磁盤自我修復(fù)功能：NTFS可以對(duì)硬盤上的邏輯錯(cuò)誤和物理錯(cuò)誤進(jìn)行自動(dòng)偵測(cè)和修復(fù)。在每次讀寫時(shí)，它都會(huì)檢查扇區(qū)正確與否。當(dāng)讀取時(shí)發(fā)現(xiàn)錯(cuò)誤，NTFS會(huì)報(bào)告這個(gè)錯(cuò)誤；當(dāng)向磁盤寫文件時(shí)發(fā)現(xiàn)錯(cuò)誤，NTFS會(huì)換一個(gè)完好位置存儲(chǔ)數(shù)據(jù)。
日志功能：在NTFS文件系統(tǒng)中，任何操作都可以被看成是一個(gè)“事件”。
事件日志一直監(jiān)督著整個(gè)操作，當(dāng)它在目標(biāo)地，發(fā)現(xiàn)了完整文件，就會(huì)標(biāo)記“已完成”。
假如復(fù)制中途斷電，事件日志中就不會(huì)記錄“已完成”，NTFS可以在通電后重新完成剛才未完成的事件。
1、安全性
NTFS文件系統(tǒng)能夠輕松指定用戶訪問某一文件或目錄、操作的權(quán)限大小。
NTFS能用一個(gè)隨機(jī)產(chǎn)生的密鑰把一個(gè)文件加密，只有文件的所有者和管理員掌握解密的密鑰，其他人即使能夠登錄到系統(tǒng)中，也沒有辦法讀取它。
NTFS采用用戶授權(quán)來操作文件，事實(shí)上這是網(wǎng)絡(luò)操作系統(tǒng)的基本要求有給定權(quán)限的用戶才能訪問指定的文件。
NTFS還支持加密文件系統(tǒng)(EFS)以阻止未授權(quán)的用戶訪問文件。
2、容錯(cuò)性
NTFS使用了一種被稱為事務(wù)登錄的技術(shù)跟蹤對(duì)磁盤的修改。因此，NTFS可以在幾秒鐘內(nèi)恢復(fù)錯(cuò)誤。
3、穩(wěn)定性
NTFS文件系統(tǒng)的文件不易受到病毒和系統(tǒng)崩潰的侵襲。這種抗干擾能力直接源自于Windows NT操作系統(tǒng)的高度安全性能，NTFS文件系統(tǒng)只能被WindowsNT以及以NT為內(nèi)核的Windows 2000/XP以上系統(tǒng)所識(shí)別。即使FAT和NTFS兩種文件系統(tǒng)在一個(gè)磁盤中并存時(shí)，NTFS采用與FAT不同的方法來定位文件映像，克服了FAT文件系統(tǒng)存在許多閑置扇區(qū)空間的缺點(diǎn)。
4、向下的可兼容性
NTFS文件系統(tǒng)可以存取FAT文件系統(tǒng)和HPFS文件系統(tǒng)的數(shù)據(jù)，如果文件被寫入可移動(dòng)磁盤(特別是軟盤)時(shí)，它將自動(dòng)采用FAT文件系統(tǒng)。
5、可靠性
NTFS把重要交易作為一個(gè)完整交易來處理，只有整個(gè)交易完成之后才算完成，這樣可以避免數(shù)據(jù)丟失。如向NTFS分區(qū)中寫文件時(shí)，會(huì)在內(nèi)存中保留文件的一份拷貝，然后檢查向磁盤中所寫的文件是否與內(nèi)存中的一致。如果兩者不一致，操作系統(tǒng)就把相應(yīng)的扇區(qū)標(biāo)為壞扇區(qū)而不再使用它(簇重映射)，然后用內(nèi)存中保留的文件拷貝重新向磁盤上寫文件。如果在讀文件時(shí)出現(xiàn)錯(cuò)誤，NTFS則返回一個(gè)讀錯(cuò)誤信息，并告知相應(yīng)的應(yīng)用程序數(shù)據(jù)已經(jīng)丟失。
6、大容量
NTFS徹底解決存儲(chǔ)容量限制，最大可支持16EB。(1024B=1KB，1024KB=1MB，1024MB=1GB，1024GB=1TB，1024TB=1PB，1024PB=1EB)。NTFS的簇大小一般從512字節(jié)到4KB。
7、長(zhǎng)文件名
NTFS允許長(zhǎng)達(dá)255個(gè)字符的文件名，突破FAT的8.3標(biāo)準(zhǔn)限制(FAT規(guī)定主文件名為8個(gè)字符擴(kuò)展名為3個(gè)字符)。NTFS文件系統(tǒng)的最大缺點(diǎn)就是它只能被WindowsNT/2000/XP以上系統(tǒng)、Linux系統(tǒng)所識(shí)別。雖然NTFS文件系統(tǒng)可以存取FAT文件系統(tǒng)的文件，但它的文件卻不能被FAT文件系統(tǒng)所存取，當(dāng)系統(tǒng)崩潰時(shí)我們只有用軟盤、光盤或U盤啟動(dòng)，啟動(dòng)后他們用的FAT或FAT32文件系統(tǒng)是是無法訪問NTFS文件系統(tǒng)的給數(shù)據(jù)搶救帶來不便。
NTFS和FAT32文件系統(tǒng)在結(jié)構(gòu)上幾乎是完全不同的兩種文件系統(tǒng)，NTFS自身具有很多新的特征，比如安全性、容錯(cuò)性、文件壓縮和磁盤配額等，都是相對(duì)其他系統(tǒng)特殊的地方。NTFS分區(qū)主要由引導(dǎo)扇區(qū)、主文件表(Master File Table，MFT)、系統(tǒng)文件和文件存儲(chǔ)區(qū)域等4個(gè)部分組成。
1、NTFS數(shù)據(jù)存儲(chǔ)結(jié)構(gòu)
在NTFS文件系統(tǒng)中，對(duì)文件進(jìn)行存取都是按照簇分配的，而每個(gè)簇都是物理扇區(qū)的整數(shù)倍，并且簇大小是物理扇區(qū)的2的整數(shù)次方，但NTFS文件系統(tǒng)里，簇的大小則是由格式化程序根據(jù)卷的大小自動(dòng)分配。NTFS要使用邏輯簇號(hào)（logicalcluster number，簡(jiǎn)稱LCN）和虛擬簇號(hào)（virtualcluster number，簡(jiǎn)稱VCN）來對(duì)簇進(jìn)行定位，同時(shí)，通過LCN來對(duì)整個(gè)卷中的所有簇從頭到尾按照順序進(jìn)行編號(hào)，將卷因子乘以LCN，就可以得到卷上物理字節(jié)的偏移量，從而可去頂物理磁盤的詳細(xì)地址。VCN則是對(duì)特定文件的簇從頭到尾按照順序進(jìn)行編號(hào)，方便引用文件中的數(shù)據(jù)。在NTFS中，卷上的所有的數(shù)據(jù)信息都存儲(chǔ)在文件中，這當(dāng)中包含了引導(dǎo)程序（即用來獲取及定位文件的一種數(shù)據(jù)結(jié)構(gòu)）以及位圖文件（記錄卷使用情況和大?。Ｒ话銇碚f，不論簇的大小會(huì)是多少，文件記錄的大小都將是固定不變的，且為1KB。
2、分區(qū)引導(dǎo)扇區(qū)
在操作系統(tǒng)引導(dǎo)的過程中，分區(qū)引導(dǎo)扇區(qū)起著很重要的作用，其中存儲(chǔ)著和卷文件相關(guān)的結(jié)構(gòu)信息和啟動(dòng)引導(dǎo)程序等。操作系統(tǒng)在建立文件系統(tǒng)時(shí)，生成的BPB參數(shù)記錄著NTFS系統(tǒng)中的很多重要信息，包含了每簇扇區(qū)數(shù)、分區(qū)的扇區(qū)總數(shù)、MFT的起始邏輯簇號(hào)、文件系統(tǒng)標(biāo)識(shí)等信息。在NTFS中，分區(qū)上的所有數(shù)據(jù)都是以文件的形式存儲(chǔ)的。
3、主文件表MFT
主文件表MFT在NTFS文件系統(tǒng)中處于最核心、最重要的地位，通過MFT可以確定所有文件在磁盤上的詳細(xì)存儲(chǔ)位置。主文件表由一系列文件記錄組成，是一個(gè)與文件對(duì)應(yīng)的數(shù)據(jù)庫(kù)，卷中的每一個(gè)文件都包含著一個(gè)文件記錄，其中的第一個(gè)文件記錄是基本文件記錄，它主要存儲(chǔ)著其它擴(kuò)展文件記錄的一些詳細(xì)信息。MFT文件記錄數(shù)組中的文件記錄在物理上是連續(xù)的，并且都是從0開始編號(hào)。MFT僅供系統(tǒng)自身構(gòu)架、組織文件系統(tǒng)使用，被稱作元數(shù)據(jù)。所有的元文件名字都是以“$”開始，其都是隱藏文件。MFT表中的前16個(gè)元數(shù)據(jù)是最重要的。為了防止數(shù)據(jù)的丟失，在卷存儲(chǔ)區(qū)中，NTFS系統(tǒng)對(duì)它們進(jìn)行了備份。
4、NTFS文件屬性
NTFS的文件記錄屬性一般可以分為兩種：即常駐屬性和非常駐屬性。如果屬性值是存儲(chǔ)在文件記錄中，這些屬性即稱作常駐屬性；反之，如果屬性值存儲(chǔ)在文件記錄之外，這些屬性即稱作非常駐屬性。屬性頭的前4個(gè)字節(jié)是屬性類型，其中包含著描述文件基本信息的屬性（如文件的讀寫特性、文件的創(chuàng)建時(shí)間以及修改時(shí)間等）、文件名屬性（如文件名及其長(zhǎng)度、分配空間的大小、文件實(shí)際占用空間的大小和文件的最后訪問時(shí)間等）和用于描述文件內(nèi)容的數(shù)據(jù)屬性等內(nèi)容。
NTFS所以被廣泛應(yīng)用，除了因?yàn)镸icrosoft公司本身在操作系統(tǒng)市場(chǎng)的絕對(duì)優(yōu)勢(shì)，其本身也具有諸多優(yōu)點(diǎn)：
1、NTFS中的所有文件是以key-value的形式存儲(chǔ)和組織的，能夠迅速地通過文件屬性key來尋找和定位任意文件的value值，提高了操作系統(tǒng)對(duì)文件數(shù)據(jù)的處理效率。
2、為系統(tǒng)文件或重要文件建立安全描述符，凡是通過操作系統(tǒng)或API對(duì)文件進(jìn)行修改和破壞的行為，都受到操作系統(tǒng)的保護(hù)。近年來出現(xiàn)的繞過操作系統(tǒng)或者直接訪問硬件磁盤閃存等行為，暫時(shí)不能通過文件系統(tǒng)進(jìn)行保護(hù)。
3、NTFS不綁定某個(gè)硬件磁盤扇區(qū)，當(dāng)發(fā)現(xiàn)磁盤受到破壞或無法讀取數(shù)據(jù)時(shí)，將通過操作系統(tǒng)相關(guān)機(jī)制對(duì)扇區(qū)或卷進(jìn)行復(fù)位。文件系統(tǒng)的這種獨(dú)立性，使得NTFS本身具有更高的安全性。
4、具有可擴(kuò)容的卷空間。操作系統(tǒng)將所有數(shù)據(jù)按照文件的形式存儲(chǔ)和統(tǒng)一管理，目的之一是實(shí)現(xiàn)連續(xù)數(shù)據(jù)的非連續(xù)存儲(chǔ)。在不對(duì)信息進(jìn)行分類區(qū)分而是統(tǒng)一管理下，卷的狀態(tài)和管理更加容易進(jìn)行管理。
概念
FAT是文件分配表的英文縮寫。自1981年首次問世以來，F(xiàn)AT已經(jīng)成為一個(gè)歷經(jīng)滄桑的計(jì)算機(jī)術(shù)語(yǔ)。由于時(shí)代原因，包括Windows NT、Window 98、Mac OS以及多種UNIX版本在內(nèi)的大多數(shù)操作系統(tǒng)均對(duì)FAT提供支持。FAT文件系統(tǒng)限制使用8.3格式的文件命名規(guī)范，在一個(gè)文件名中，句點(diǎn)之前部分的最大長(zhǎng)度為8個(gè)字符，句點(diǎn)之后部分的最大長(zhǎng)度為3個(gè)字符。FAT文件系統(tǒng)中的文件名必須以字母或數(shù)字開頭，并且不得包含空格。此外，F(xiàn)AT文件名不區(qū)分大小寫字母。
為彌補(bǔ)FAT在功能上的缺陷，Microsoft創(chuàng)建了一種稱作NTFS的新型文件系統(tǒng)技術(shù)。
NTFS所提供的新增特性包括容錯(cuò)性和增強(qiáng)安全性等等。
兼容性
在確定某一分區(qū)所需使用的文件系統(tǒng)類型前，必須首先考慮兼容性問題。如果多種操作系統(tǒng)都將對(duì)該分區(qū)進(jìn)行訪問，那么必須使用一種所有操作系統(tǒng)均可讀取的文件系統(tǒng)。通常情況下，具備普遍兼容性的FAT文件系統(tǒng)可以勝任這種要求。相比之下，只有Windows NT能夠支持NTFS分區(qū)。
這種限制條件僅適用于本地計(jì)算機(jī)。舉例來說，如果一臺(tái)計(jì)算機(jī)上同時(shí)安裝了Windows NT與Windows 98兩種操作系統(tǒng)，并且這兩種操作系統(tǒng)都需要對(duì)同一個(gè)分區(qū)進(jìn)行訪問，那么必須通過FAT方式對(duì)該分區(qū)進(jìn)行格式化。
與此相反，如果這臺(tái)計(jì)算機(jī)上只安裝了Windows NT一種操作系統(tǒng)，則可以將該分區(qū)格式化為NTFS，此時(shí)，運(yùn)行其它操作系統(tǒng)的計(jì)算機(jī)仍可通過網(wǎng)絡(luò)方式對(duì)該分區(qū)進(jìn)行訪問。
卷容量
另一項(xiàng)決定因素為分區(qū)物理容量。FAT最大支持2GB分區(qū)容量。如果分區(qū)容量超過2GB，必須通過NTFS方式對(duì)其進(jìn)行格式化，或者將其拆分為多個(gè)容量較小的分區(qū)。需要注意的是，NTFS本身所需耗費(fèi)的資源多于FAT。如果所使用的分區(qū)容量小于200MB，應(yīng)當(dāng)選擇FAT文件系統(tǒng)以避免NTFS文件系統(tǒng)自身占用過多磁盤空間，NTFS分區(qū)的最大容量為16EB。
容錯(cuò)性
NTFS還可在不顯示錯(cuò)誤消息的情況下自動(dòng)修復(fù)硬盤錯(cuò)誤。當(dāng)Windows NT向NTFS分區(qū)中寫入文件時(shí)，它將在內(nèi)存中為該文件保留一個(gè)備份。當(dāng)寫入操作完成后，Windows NT將再次讀取該文件以驗(yàn)證其是否與內(nèi)存中所存儲(chǔ)的備份相匹配。如果兩份拷貝內(nèi)容不一致，Windows NT將把硬盤上的相應(yīng)區(qū)域標(biāo)記為受損并不再使用這一區(qū)域。此后，它將使用存儲(chǔ)在內(nèi)存中的文件拷貝在硬盤的其它位置上重新寫入文件。
FAT文件系統(tǒng)未提供任何安全保護(hù)特性。FAT所采取的保護(hù)措施便是同時(shí)維護(hù)文件分配表的兩份拷貝，如果其中一份拷貝遭到破壞，它將自動(dòng)使用另一份拷貝對(duì)其進(jìn)行修復(fù)。然而，這一功能必須通過諸如Scandisk之類的實(shí)用工具方可實(shí)現(xiàn)。
安全性
NTFS擁有一套內(nèi)建安全機(jī)制，可以為目錄或單個(gè)文件設(shè)置不同權(quán)限。這些權(quán)限可以在本地及遠(yuǎn)程對(duì)文件與目錄加以保護(hù)。如果正在使用FAT文件系統(tǒng)，那么安全特性將通過共享權(quán)限加以實(shí)現(xiàn)。共享權(quán)限將通過網(wǎng)絡(luò)對(duì)文件予以保護(hù)，該特性無法提供本地保護(hù)措施。假設(shè)擁有一臺(tái)包含幾百名用戶的服務(wù)器，而每名用戶又擁有自己的目錄，為對(duì)其進(jìn)行管理，可能需要同時(shí)維護(hù)數(shù)以百計(jì)的共享權(quán)限。這些共享權(quán)限可能相互重疊，從而導(dǎo)致更大的復(fù)雜性。
系統(tǒng)分區(qū)
一種較為理想的解決方案是將系統(tǒng)分區(qū)格式化為FAT文件系統(tǒng)。如果對(duì)系統(tǒng)安全性的要求不高，則為系統(tǒng)分區(qū)指定較小的分區(qū)容量并且不在該分區(qū)上存放除Windows系統(tǒng)文件以外的任何內(nèi)容。除非未經(jīng)授權(quán)的用戶能夠通過物理方式對(duì)計(jì)算機(jī)進(jìn)行訪問，否則，F(xiàn)AT文件系統(tǒng)在安全性方面還是完全值得信賴的。
MFT主控文件表編輯 播報(bào)
除了儲(chǔ)存用戶的文件和目錄數(shù)據(jù)外，NTFS將一些用于磁盤管理的數(shù)據(jù)也儲(chǔ)存在文件中，當(dāng)初始化一個(gè)NTFS磁盤時(shí)，NTFS將創(chuàng)建元數(shù)據(jù)文件。
（一）MFT
NTFS
主控文件表MFT映射了磁盤上所有文件和目錄，包括NTFS的元數(shù)據(jù)文件。MFT以記錄為單位進(jìn)行劃分，其本身也是一個(gè)由NTFS用MFT中的記錄映射的文件。這樣的結(jié)構(gòu)使MFT很容易擴(kuò)展，使NTFS能很有效率地追蹤現(xiàn)存的元數(shù)據(jù)數(shù)量，來決定它們所占用的空間。NTFS在內(nèi)部使用MFT中的記錄來標(biāo)識(shí)文件和目錄，這些記錄描述了這些元數(shù)據(jù)的開始位置信息。因?yàn)镸FT也是文件，當(dāng)MFT變大而其它的文件使用的簇正好在它原來的結(jié)束處之后，MFT必須在磁盤中找另一處未使用的空間，這樣就導(dǎo)致MFT文件所映射的簇的順序不連續(xù)了。為了避免MFT碎裂，NTFS在MFT周圍保留一定范圍的簇不分配給其它的文件和目錄，這樣，在MFT需要增長(zhǎng)時(shí)，能增加找到連續(xù)簇的機(jī)會(huì)，也能盡量少的使MFT靠近其它的數(shù)據(jù)。因此，在磁盤剩余容量較小時(shí)，MFT變得破碎的危險(xiǎn)將會(huì)增加。
（二）MFT中的記錄
NTFS使用屬性儲(chǔ)存所有的文件和目錄信息。屬性包括：屬性表頭和屬性數(shù)據(jù)。表頭儲(chǔ)存屬性的類型、名字和標(biāo)志，記錄著屬性數(shù)據(jù)的位置。MFT中的記錄由一個(gè)包含關(guān)于記錄的基本信息的小表頭和緊跟著的一些屬性組成，這些屬性用于描述記錄所對(duì)應(yīng)的文件或目錄的數(shù)據(jù)或特性。NTFS將在MFT記錄里面直接儲(chǔ)存屬性數(shù)據(jù)。存儲(chǔ)在MFT記錄中的屬性稱為常駐屬性，其它的稱為非常駐屬性。只有當(dāng)記錄表頭、屬性表頭、屬性數(shù)據(jù)都能放入一個(gè)記錄時(shí)，屬性才能是一個(gè)常駐屬性。因此，1KB（通常的MFT記錄大?。┦荖TFS磁盤上的屬性數(shù)據(jù)長(zhǎng)度的上限。如果屬性的數(shù)據(jù)是常駐的，屬性表頭將指向在MFT記錄中的數(shù)據(jù)的位置。由于屬性和大量的數(shù)據(jù)可能跨越多個(gè)MFT記錄，而運(yùn)行要覆蓋文件的不同的部分，而運(yùn)行由多個(gè)運(yùn)行項(xiàng)組成，一個(gè)運(yùn)行項(xiàng)包含一個(gè)虛擬簇號(hào)（VCN），它是屬性數(shù)據(jù)內(nèi)部簇的順序編號(hào)；一個(gè)邏輯簇號(hào)（LCN），它是數(shù)據(jù)儲(chǔ)存在磁盤上的位置；以及數(shù)據(jù)在磁盤上所占用空間的連續(xù)簇的數(shù)量。如果一個(gè)文件有太多屬性要填入MFT記錄中，NTFS將分配附加的記錄并在基本記錄中儲(chǔ)存一個(gè)屬性-列表屬性。屬性列表指向在附加記錄中的屬性的位置，列表的每一項(xiàng)對(duì)應(yīng)著一個(gè)屬性。
當(dāng)文件被徹底刪除后，系統(tǒng)會(huì)將其主文件表MFT記錄收回，并加上刪除標(biāo)記，同時(shí)將該文件所占用的數(shù)據(jù)區(qū)也一并收回，并把$Bitmap元文件中簇的表示信息使用清空，在對(duì)應(yīng)位置上設(shè)為0。對(duì)刪除文件的文件記錄和數(shù)據(jù)區(qū)所占用的所有空間都可再分配給其他的文件使用。NTFS系統(tǒng)中的文件在刪除后，其原先的數(shù)據(jù)空間如果沒有被新的數(shù)據(jù)所覆蓋的話，只要FILE記錄還存在，則將很容易找到文件數(shù)據(jù)的詳細(xì)存儲(chǔ)位置，并能將這些數(shù)據(jù)準(zhǔn)確的恢復(fù)出來。如果刪除的文件包含在其他文件夾中，那么文件被刪除后，該文件夾也要將該文件的目錄項(xiàng)刪除。文件刪除的后遺留的痕跡也可以從主文件表MFT記錄中獲取到。操作系統(tǒng)將文件刪除后，那么文件原先占用的文件號(hào)可能很快被再次分配，但其數(shù)據(jù)區(qū)中的數(shù)據(jù)可能要很長(zhǎng)時(shí)間才被重新分配。
對(duì)于數(shù)據(jù)的恢復(fù)，可以根據(jù)不同的刪除原理進(jìn)行數(shù)據(jù)的恢復(fù)：
1、文件刪除后的恢復(fù)
根據(jù)分析可知，NTFS文件系統(tǒng)中，在文件被徹底刪除之后，系統(tǒng)會(huì)將此文件記錄中的狀態(tài)字節(jié)由文件使用標(biāo)志“01”變?yōu)槲募h除標(biāo)志“00”，而其文件名稱、文件的大小以及Run List等重要屬性都不會(huì)發(fā)生變化，而且數(shù)據(jù)區(qū)中的內(nèi)容也不會(huì)發(fā)生變化，因此可以將文件數(shù)據(jù)恢復(fù)。但是，如果該文件不是使用連續(xù)的簇號(hào)來存儲(chǔ)文件數(shù)據(jù)，或者文件的數(shù)據(jù)區(qū)已被新的數(shù)據(jù)所占用，即原數(shù)據(jù)區(qū)被覆蓋，那么，文件就很難被恢復(fù)出來。如果數(shù)據(jù)是使用連續(xù)的簇號(hào)存儲(chǔ)，且數(shù)據(jù)區(qū)中的數(shù)據(jù)沒有被新數(shù)據(jù)覆蓋，那么，就可以使用WinHex等常用恢復(fù)軟件進(jìn)行恢復(fù)。只需要選擇數(shù)據(jù)區(qū)的全部?jī)?nèi)容并進(jìn)行復(fù)制，然后將該文件的數(shù)據(jù)區(qū)中所有十六進(jìn)制值保存為一個(gè)新文件，即可實(shí)現(xiàn)文件的恢復(fù)。
2、文件格式化后的恢復(fù)
文件的格式化其實(shí)是給分區(qū)重新建立文件系統(tǒng)，格式化后，分析分區(qū)的MFT文件可發(fā)現(xiàn)，文件的記錄和內(nèi)容也是完好存在的，其數(shù)據(jù)區(qū)也沒有改變。所以，通過RunList就可以找到這些數(shù)據(jù)，并有可能將其恢復(fù)。但是，如果文件記錄也被破壞，文件就很難再被恢復(fù)出來。
3、文件系統(tǒng)損壞的恢復(fù)
當(dāng)某個(gè)分區(qū)的文件系統(tǒng)被破壞后，我們是無法打開此分區(qū)的，同時(shí)系統(tǒng)會(huì)提示我們分區(qū)沒有格式化，需要重新格式化。此時(shí)，可以通過WinHex等軟件打開分區(qū)的DBR扇區(qū)（扇區(qū)中的數(shù)據(jù)被全部清零），只要能夠找到DBR備份就可以將數(shù)據(jù)恢復(fù)出來。
跳轉(zhuǎn)到硬盤的最后一個(gè)分區(qū)后，找到數(shù)據(jù)結(jié)束標(biāo)志“55AA”，DBR的備份就存儲(chǔ)在分區(qū)的最后一個(gè)扇區(qū)中，將此備份復(fù)制到DBR扇區(qū)后就可以打開分區(qū)了。
聯(lián)系客服
