|
一块ST120G SATA本盘(HP笔记本)被用户误还原了操作系统(HP自带的还原软件,原理和IBM的差不多再硬盘上划出7.9G空间存放备份系统然后隐藏该分区)。当前分区情况是这样的:C盘101.8G,NTFS D盘7.9G,NTFS,(注:D盘为隐藏的备份分区)。由于是误还原而且分区格式一样所以原DBR被覆盖了,备份在C盘末位的DBR也被覆盖了。(我估计C盘原来的格式就是NTFS的我用winhex手工扫过了没有FAT32的标识)。被还原后C盘被占用的空间只有29.6G用WINHEX查看29.6G以后的内容发现还是有数据存在的,但是用R-STDUIO扫能发现目录但打开全是乱码。
我目前想不通的地方:覆盖前后的DBR中的BPB参数应该是完全一样的,也就是说如每簇扇区数,MFT起始簇等都是一样的,为什么扫不出数据?
覆盖后只占用了29.6G的空间,且和原来一样的东西,而NTFS记录数据是通过元文件的,如果能手工计算出元文件是不是就能找到数据呢? |
|