深圳MFT元文件头被破坏数据恢复案例

作者：华宇数据恢复网浏览：发布时间：2022-05-31 17:28:48

基本信息	客户姓名
	送修日期	2016
	恢复用时	4小时小时
故障描述	客户称在操作系统下无法浏览提示“文件系统错误”。
检查恢复	经过检测发现元文件MFT被破坏，这种情况下WINHEX仍然无法解析的话很有可能MFTMIRR也被破坏了。直接定位到MFTMIRR发现也被破坏了。经过检测发现其它元文件正常，现在的问题是须要重建MFT，MFT的其它参数都可以通用，关键点还是在DATARUN上边，只须把DATARUN修改正常，WINHEX就能正常识别了。步骤一：得到MFT的长度，正常情况MFT出现20属性的情况比较少，所以直接定位最后一个文件记录，然后根据每簇扇区数计算得到簇数。步骤二：修改MFT的DATARUN，先修改起始簇，这个比较好处理根据DBR中的参数就能得到结果。然后把第一步计算得到的数值写入到簇数中，至此修改完毕。