普通网友 2015-06-21 10:27 采纳率: 100%
浏览 3745
已采纳

winhex中的MFT寻找文件数据簇地址问题

<br> 图片说明
比如这个起始簇地址应该为0797B2H，但是我看了看文件的实际起始簇地址为0797B2000，而且每个文件的起始簇地址在winhex中的数再加上3个000才是正确的，这里数据大小(簇个数)占用字节数应该为(30*8)H，但是我也看了看实际的数据大小为30000H+FFF或30000H-1H，只是为什么

  • 写回答

3条回答 默认 最新

  • threenewbee 2015-06-21 10:40
    关注

    因为x86是大端的，所以颠倒过来了。

    本回答被题主选为最佳回答 , 对您是否有帮助呢?
    评论
查看更多回答(2条)

报告相同问题？

  • WinHex在NTFS文件系统中的文件定位与恢复技巧
    2025-05-08 14:32
    羊迪的博客 WinHex是一款功能强大的十六进制编辑器，主要用于IT专业人员在数据恢复、计算机取证以及低级数据处理等方面。它不仅支持各种文件系统，如FAT、NTFS、EXT2/3等，还能够打开硬盘镜像和内存转储文件。对于5年以上的IT...
  • 数据恢复从头讲到尾（保姆级winhex）
    2024-10-25 20:53
    NTFS的数据恢复涉及簇流运行、元文件的作用，以及利用MFT、LOGFILE、BitMap等来计算簇大小和分区大小。 EXT文件系统是Linux系统中最常见的文件系统之一。EXT的结构详解、超级块、块组描述符和I-节点表的详细结构...
  • WINHEX之从数据恢复到删盘跑路
    2020-06-24 09:03
    Ms08067安全实验室的博客 $MFT 结构 用途 10属性 文件标准信息（创建/修改时间等等） 30属性 存储文件名属性（主要是文件名） 80属性 存储文件数据内容信息（数据过大会存储地址） 在WINHEX中表现如下： 其中文件名是存储在30属性中的，而...
  • NTFS文件系统文件寻址实操记录
    2024-05-25 12:58
    AndrewMe8211的博客 本文章通过寻找文件地址这个任务，讲述了NTFS文件系统$Boot文件、$MFT文件的结构，对$MFT文件中的A0、80属性进行了重点分析。
  • 自己动手完成数据恢复
    2019-07-29 10:52
    ronin_111的博客 简易数据恢复数据恢复数据恢复原理FAT文件系统NTFS文件系统在NTFS文件系统中的原理分析对于文件删除有一段时间时：基于软件的文件恢复总结 数据恢复    数据恢复是一个很大的概念，包括文件恢复，分区恢复，分区...
  • 接上一章winhex数据恢复新手入门教程
    2022-04-01 12:41
    syf1的博客 对于才开始学习数据恢复的小白可以看看，都是数据恢复入门知识。这几章讲解了FAT32的文件系统结构。博主个人整理记录，如需转载请发布原文链接。
  • NTFS文件系统数据恢复----解析MFT表
    2017-12-07 16:37
    sd_cx的博客 开始先说下DBR, DBR是继MBR 之后最先访问的地方,MBR利用int 13h 读取MBR并将之加载到物理地址0x7c00的地方. 然后将段地址:代码地址入栈后retf跳过去... MBR利用BIOS中断int 13h读取数据加载到内存指定位置..传统
  • 数据恢复基础和进阶教程（五）---学好MFT表项让NFTS文件系统下的恢复变得太简单了~~
    2021-01-26 21:45
    山峰克洛伊的博客 元文件都是隐藏文件， 1.元文件显形！ 版本低会显示出来。尤其 是在XP系统下， 2.到底什么是元文件？ 元文件，顾名思义，就是初始文件，就是在格式化成NTFS...$BITMAP 位图文件，记录文件系统中簇的分配情况。 $BOOT
  • raid0恢复中的条带大小问题
    2018-11-15 14:40
    在WinHex中，用户可以手动设置RAID的参数，包括条带大小，然后尝试重建数据。 手工重组RAID是一个复杂且技术性极强的过程，需要对RAID工作原理、文件系统结构以及数据存储有深入理解。在进行这类操作时，务必谨慎，...
  • winhex数据恢复入门教程
    2020-11-15 13:52
    Kevin铭泉的博客 Winhex是X-Ways公司出品的一款十六进制编辑、磁盘编辑软件，其公司网站对其功能介绍如下： 可以对硬盘、软盘、CD-ROM、DVD、ZIP及各种存储卡进行编辑 支持FAT、NTFS、Ext2/3、ReiserFS、Reiser4、UFS、CDFS、...
  • winhex手工数据恢复教程-李林峰-专题视频课程
    2016-07-06 16:00
    sky_163的博客 本套课程从基础的内容开始讲解，一步一步教你用winhex手工恢复出数据，课程包含分区表、FAT32文件系统、和NTFS文件系统的数据结构和数据恢复方法
  • 系统数据与恢复
    2025-05-27 21:38
    归霞的博客 文件雕刻是一种不依赖文件系统元数据（如 FAT 表、MFT），直接通过磁盘底层数据中文件签名（Magic Number）、数据结构特征（如文件头、尾标记）提取文件的技术。
  • NTFS文件恢复工具V1.1：误删文件救星
    2025-04-24 15:25
    一不小心就来了的博客 安装过程非常简单，用户可以按照以下步骤进行：下载NTFS磁盘文件恢复工具的安装包，并运行安装程序。遵循安装向导提示，选择安装位置（默认即可）并确认安装。安装完成后，启动软件，并查看简洁直观的用户界面。软件...
  • 9、硬盘与文件系统深度解析
    2025-09-27 03:54
    pluto的博客 本文深入解析了硬盘与文件系统的结构及在数字取证中的应用，涵盖MBR与GPT分区表特征、FAT与NTFS文件系统机制、数据完整性验证（如哈希算法）、使用WinHex进行十六进制编辑与分析、通过FTK成像器和Autopsy工具实现...
  • 用Winhex手工定位NTFS文件系统下的文件
    2009-11-12 10:32
    weixin_34090562的博客 相信很多朋友在认真看完数据恢复书籍中，关于NTFS文件系统中讲述的一系列属性以后，或多或少还是有些范迷糊。确实，NTFS文件系统结构比较复杂，且书中也没有讲到如何利用这些属性来定位文件，这对于初学者来说,无疑...
  • 用winhex对USBC病毒修复方法
    2010-01-05 20:43
    在这里，关键数据包括每簇扇区数、$MFT的起始簇和$MFTMirrror的位置，这些数据可以帮助定位并修复$MFT。 4. **$MFT检查**：$MFT（Master File Table）是NTFS文件系统的核心部分，存储了所有文件和目录的信息。如果$...
  • 分析NTFS文件系统得到特定文件的内容
    2014-10-13 16:25
    细粉条的博客 找某一个文件的内容（如要读取文件D:\dir\dir2\text.txt，具体步骤如下： （1）读取分区表/分区链表信息，找到磁盘F的起始扇区。 （2）读取D盘的第一个扇区（分区的BOOTSETOR）取得分区的每簇大小，MFT表起始簇号等...
  • RAID5破坏的数据恢复流程和思考
    2020-02-13 16:49
    wangjd_007的博客 RAID5破坏的数据恢复流程和思考 问题说明： 4块硬盘组成的RAID5，由于服务器掉电导致无法访问。 使用工具： 分析过程 1.明确分析思路： 针对RAID5破坏恢复，首先根据RAID5的特性明确分析的思路，具体分析思路如下...
  • FAT16和FAT32文件定位
    2018-12-21 22:46
    rookiedragon的博客 FAT文件系统的数据结构中有两个重要的结构：文件分配表和目录项。 FAT16整体结构由DBR扇区、FAT表、根目录和数据区组成。下面将详细介绍。 DBR扇区结构 其也称为引导扇区，由跳转指令JUMP，OEM厂商标志，BPB和扩展...
  • 没有解决我的问题, 去提问