恢复NTFS卷中误删除的文件

　　对于数据恢复来说，虽然文件删除后所有的数据运行都能够在残留的MFT中找到，但是数据运行的个数越少即文件碎片越少或者没有碎片，文件被覆盖的可能性就越小，数据恢复的概率也就越高。以下是手工恢复NTFS卷中误删除文件的过程。

　　1.需要恢复的文件

　　NTFS卷中一个文件被删除时，其MFT并没有被删除，前面已经介绍过，这里以恢复一个NTFS卷中一删除的文件为例，假设在用户的NTFS卷D盘中有一个名为photo的目录，该目录下有一个名为“penquan.jpg”的文件，如图5-1所示。假设用户不小心将此文件删除。

1.jpg (61.93 KB)
2009-6-30 20:56

　　图5-1 NTFS卷中将被删除的文件

　　2.      找到要恢复文件的MFT

　　首先通过WinHex选择文件所在的逻辑磁盘将其打开，如图5-2所示。

2.jpg (47.5 KB)
2009-6-30 20:56

　　图5-2 选择磁盘分区

　　打开磁盘的分区后找到该分区的MFT，如图5-3所示。

3.jpg (150.09 KB)
2009-6-30 20:56

　　图5-3 转到MFT的起始位置

　　3.      恢复数据

　　找到分区的$MFT后，通过文件名查找文件的MFT，如图5-4所示。