Antech
Silver Member | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Vital_Odessa
Понятно...
С MFT Mirror фокус, к сожалению, не пройдет. Винда уже записала туда новое начало MFT, которое я сделал.
Попробуйте так. В WinHex перейдите в сектор 6291519 от начала физического диска (Ctrl+G, Logical, 6291519). Вы увидите начало MFT, каждая запись начинается строкой "FILE" и занимает 2 сектора, в большинстве случаев второй сектор используется не полностью (есть свободное место в записи, заполненное нулями), или не используется вообще. В двух последних байтах каждого сектора записи - специальное значение, оно может быть любым, но оно одинаково для секторов одной записи, и его также можно видеть по смещению 30h байт от начала записи (на четвертой строке). Размер MFT - десятки...сотни МБ (сотни тысяч секторов). Вам надо полистать вниз и определить, где закончатся структуры файловых записей. Покажите дамп фрагмента, где, по Вашему мнению, заканчивается MFT (начало блока Alt+1, конец блока Alt+2, записать в файл Shift+Ctrl+N). Вы можете использовать Alt+G для перемещения на большое количество секторов, чтобы проще искать. Выбираете Sectors, Current Position. И таким образом перепрыгиваете каждый раз секторов на 10000, к примеру. |
?