你好朋友!
以前,我们已经讨论过如果第一个MFT记录可用(可以读取),如何手动扩展NTFS分区。 但是,如果第一个MFT记录损坏并且您无法手动扩展NTFS分区,该怎么办?
让我们找到它!
在这种特殊情况下,我们有一个没有任何固件问题的硬盘 – 所有模块都正常,磁头状况良好,转换器正常,允许读取整个用户区。 但表面受到严重损坏。 因此,您将无法使用Data Extractor中的文件和文件夹扩展分区:
…并读取第一个MFT记录:
如果您尝试扩展分区,Root DE将开始从分区的Boot记录中读取MFT表的第一个扇区。 因此,您将知道MFT表的第一个LBA(无法读取)。
使用“FILE0”签名检查下一个扇区:
具有此签名的扇区包含文件/文件夹上的信息。 检查下一个扇区是否有这种签名。 这些扇区的确切数量取决于硬盘上的文件/文件夹数量。
我们示例中的硬盘具有从6 291 520 LBA到6 314 010 LBA的签名(MFT记录)。 尽可能深入地读取该链中的所有扇区:
启动此链的RAW恢复扫描:
…并打开找到的MFT记录的地图:
当然,您可以简单地启动RAW恢复并从此步骤开始,但RAW恢复扫描将“按原样”读取所有扇区(使用最大读取速度,无需硬件重试,任何重置和其他DE设置)以及您的硬盘 表面有问题,整个用户区的基本RAW扫描将花费大量时间并完全破坏硬盘。
保存找到的MFT记录的链:
…并返回分区树。
在NTFS分区上单击鼠标右键,然后从保存的文件中加载MFT表:
之后,属于MFT扫描的所有选项都将处于活动状态:
并且您将能够尝试“按原样”扩展原始分区:
请注意,RAW扫描仅在红色扇区上执行,这就是启用“仅使用复制”选项的原因。 现在您可以禁用此选项并“刷新”分区。 该实用程序将读取属于该分区的其他扇区,所有文件和文件夹(包括MFT和INDX记录的其他部分):
分区结构现已可用!
很难说它是否包含所有文件和文件夹的完整分区。 但是使用这种方法,您可以调查这些文件夹/文件,直接读取必要的数据并使用所有可能的扫描进行研究。
评论