1、我格式化了一個(gè)分區(qū)，所以這個(gè)分區(qū)中是沒(méi)有任何文件的。

2、我使用的文件大小小于1K，所以這個(gè)文件在NTFS分區(qū)的文件記錄中的數(shù)據(jù)屬性中是個(gè)常駐屬性。所以這里不涉及到運(yùn)行計(jì)算的問(wèn)題，應(yīng)該 最簡(jiǎn)單的文件恢復(fù)了，以這個(gè)恢復(fù)例子的過(guò)程，可以建立一個(gè)數(shù)據(jù)恢復(fù)的大體原理了。

第一：建立一個(gè)文本文件

我格式化了我的分區(qū)G，分區(qū)類(lèi)型是NTFS，使用快速格式化，正常格式化只在檢查磁盤(pán)壞道時(shí)才有用。。。之后，我在這個(gè)分區(qū)建了一個(gè)文本文件，如下圖所示：

這個(gè)文件很簡(jiǎn)單，內(nèi)容也很少，我保存這個(gè)文件后，然后然后我們來(lái)看看這個(gè)文件大小信息，如下圖所示：

我們看到，這個(gè)文件大小是224個(gè)字節(jié)，記住了哦，等下恢復(fù)這個(gè)文件的時(shí)候就可以對(duì)比一下了咯 嘻嘻 。。。

之后我就刪除了這個(gè)文件，現(xiàn)在，我們看看怎么恢復(fù)這個(gè)文件！

第二：用winhex打開(kāi)分區(qū)

我們運(yùn)行winhex，然后點(diǎn)擊菜單：工具-->打開(kāi)磁盤(pán)，來(lái)打開(kāi)G盤(pán)。如下圖所示：

我們可以找到$MFT這個(gè)文件，然后右擊它，然后點(diǎn)擊打開(kāi)，之后就會(huì)打開(kāi)這個(gè)文件MFT。如下面兩個(gè)圖所示：

這里為什么要這么做呢？

因?yàn)椋覀冎恍枰贛FT找到我們丟失的文件，如果我們?cè)谡麄€(gè)分區(qū)里搜索并且這個(gè)分區(qū)很大的話(huà)，會(huì)要很多時(shí)間的，而MFT文件就小得多了，最大也就1G左右，這是我人為弄出來(lái)的，一般系統(tǒng)是很難見(jiàn)到這么大的MFT文件的，除非你是做服務(wù)器，有很多磁盤(pán)碎片和小文件。。。

之后，我們可以點(diǎn)擊菜單中的：搜索-->查找文本。如下圖所示：

我們輸入我們想要恢復(fù)的文件名HelloWorld，而且注意，要選擇Unicode。因?yàn)镸FT的文件名是Unicode形式的，之后就是查找了！

一會(huì)我們就找到了這個(gè)文件，如下圖所示：

為了能使用WinHex的顏色，我們轉(zhuǎn)到分區(qū)去看這個(gè)文件記錄！首先，我們看到這個(gè)文件記錄在MFT的偏移地址是7450H，然后我們?cè)趙inhex中轉(zhuǎn)到我們分區(qū)的視圖，然后點(diǎn)擊MFT文件，這樣就偏移到了我們MFT文件的位置，然后選擇菜單中的：位置-->轉(zhuǎn)到偏移位置。

然后輸出7450，位置是從當(dāng)前位置開(kāi)始！如下圖所示：

之后，我們就找到了這個(gè)文件記錄，如下圖所示：

我們看圖的左邊，文件記錄號(hào)是29，我們看上圖的藍(lán)色框，那個(gè)是文件記錄的標(biāo)識(shí)：FILE。那么我們?cè)趺粗肋@是個(gè)被刪除的文件呢，一種辦法是直接在文件記錄頭上看，如上圖的紅色框，那2字節(jié)為文件記錄偏移16H處，0表示文件已被刪除，1表示這個(gè)文件在使用，2表示是個(gè)目錄等等。

好，現(xiàn)在我們?nèi)ゲ檎椅募涗浿械臄?shù)據(jù)屬性，這個(gè)屬性是80H開(kāi)頭，好在winhex有這個(gè)顏色分類(lèi)，很容易找到，如上圖的橙色框所示。

下面我們集中抽取這個(gè)數(shù)據(jù)屬性來(lái)分析，如下圖所示：

我們一個(gè)一個(gè)來(lái)分析框中的內(nèi)容表示的意思，第一個(gè)紅色的框表示這是個(gè)數(shù)據(jù)屬性，值是80H。橙色框：0表示這是個(gè)常駐屬性，即這個(gè)文件的內(nèi)容就在這個(gè)文件記錄中，如果是1就表示這是個(gè)非常駐屬性，那么我們要獲取數(shù)據(jù)就得從運(yùn)行中一個(gè)一個(gè)的計(jì)算獲得，這個(gè)在下期講解！

藍(lán)色框的4個(gè)字節(jié)表示這個(gè)文件的數(shù)據(jù)大?。篍0H，折合十進(jìn)制就是224，即這個(gè)文件大小是224個(gè)自己，記得我在前面講過(guò)嗎，上面還有文件大小的截圖呢！綠色框的4個(gè)字節(jié)表示這個(gè)文件的數(shù)據(jù)的偏移位置18H，這個(gè)偏移從這個(gè)數(shù)據(jù)屬性的開(kāi)始位置計(jì)算，就是上圖中的80H位置，這個(gè)位置這樣計(jì)算：75b0H + 18H = 75c8H。

然后，我們就可以由這個(gè)數(shù)據(jù)的偏移位置和大小得到這個(gè)文件的數(shù)據(jù)，如紫色框表示。

最后，我們用鼠標(biāo)來(lái)選擇這些數(shù)據(jù)（選擇的數(shù)據(jù)的顏色會(huì)變的），然后點(diǎn)擊右鍵，選擇：編輯-->復(fù)制選項(xiàng)塊-->植入新文件，如下圖所示：

在這里，我們最好就選擇另外一個(gè)分區(qū)，不要在要恢復(fù)的分區(qū)中保存文件，已保證我們的數(shù)據(jù)不會(huì)被覆蓋掉！

這里，我把文件保存在D盤(pán)中，也命名為HelloWorld.txt。

最后，我們來(lái)看下我們恢復(fù)的文件：

文件被恢復(fù)了！

上一篇：回收站清空的文件怎么恢復(fù)?

下一篇：數(shù)據(jù)恢復(fù)后excel文件亂碼的如何解決