FAT32下和NTFS下永久性删除文件的恢复

查看文件系统类型
FAT32下永久性删除文件的恢复
NTFS下永久性删除文件的恢复
注意事项
总结

查看文件系统类型

右键磁盘点击属性，就可以看到文件系统。

如果没有FAT32文件系统，可以创建虚拟磁盘。

FAT32下永久性删除文件的恢复

我使用的是U盘（一般是FAT32），U盘的删除是永久性删除。（对于右键直接删除，是放入回收站，只有目录项文件名首字节被修改为E5，只需还原文件首字节即可恢复文件。）
文件名：test3 文件大小：89134b
文件内容：

1、打开Winhex20.0，找到工具，打开磁盘
2、打开引导扇区（模块）

读出每个扇区占用512个字节，每个簇占用16个扇区，则每个簇占用512*16=8192 Byte

3、进入根目录（模块），读出文件大小，为89134 Byte，则共占用89134/8192=11个簇。

4、打开根目录，找到TEXT3.TXT，首簇为00 00 03 03，文件大小为00 01 5C 2E(即89134字节)

打开FAT表，查找00 00 03 03所在位置，发现簇链补到前面去了，则往前找00 00 00 FB

簇链（共11个）如图：

5、永久性删除（shift+delete，U盘删除是永久性删除）后：
根目录:

簇链变化：

6、修改，先在根目录，使用填充选块(到相应的数据块上，右键，点击编辑，然后最后一个fill block即填充选块)，还原文件名首字节和首簇高位。（其实我这里是没有推导簇链的，直接按着未删除前进行还原罢了，所以你们还是要自己进行推导。文件首字节很简单，根据手字母对应的ASCLL码大小还原。）

6、修改FAT表，找到00 00 03 03，如图：

将00 00 00 0F改为00 00 00 FB

再到到00 00 00 FB，填充FAT表，从00 00 00 FB，逐个+1，直到第11个，最后一个填入0F FF FF FF

最后文件恢复：
删除前：

删除后：

文件内容还原：

NTFS下永久性删除文件的恢复

文件名：score 大小：3770
位置：D盘

文件内容：

永久性删除后：
1、打开Boot Sector(template)，得知每个簇：512*8=8196

2、右键MFT，打开后点击搜索，在MFT中查找文本score

菜单栏搜索里面的查找文本

注意要选择Unicode，因为MFT的文件名是Unicode格式的

得到偏移地址0x65F4FE：

3、返回主视图->点击MFT文件；
找到菜单栏的位置->转到偏移地址：65F4FE。

找到80H处，往后30H处的0E BA为文件大小，经过换算为3770字节，符合。
往后02 F6 02为首簇号，换算成十进制为194050
4、选中MFT元文件，根据得到的簇号19405转到文件数据存储扇区

5、将起始位置设为起始点（右键可设），根据文件大小OE BA算出数据结尾处，转到当前位置偏移，设为终点，即可选中所有数据，右键所复制的数据，选择导入到新文件，选择磁盘，进行命名，文件成功创建，存储位置为E盘（存储位置不要通过磁盘），打开比较内容不变，恢复成功。

注意事项

一般winhex打开一次磁盘后，它的记录等会停留在上次打开的，如果要刷新，需要点击右上角的