分区恢复之 $MFT 详解

博主出品必属精品

46 49 4C 45  ===2c=ID     boot  =0D   20=8--f    boot=dbr   每簇扇区数，，=0D   




28--2F =分区扇区数       30---37=MFT的起始 处号位置*8 ==6291456扇区


38-3F =MFTMIRR备份处号  余下可以填00 






MFT   =   


80属性  


分区的工作原理：先读 BOOT==mft==文件目录


 MFT 占用的 字节数 ==3处相同的 在80属性里 


data runs  数据流：32 个位数代表最近字节数，10位代表邻居字节意外的字节数，（个位代表MFT占用了多少个簇） 10位 代表MFT起始簇号