NTFS 삭제된 파일 복구

손상된 이미지부터 복구

 

MBR

크기 : 0x001E3BE0 = 1,981,408 섹터

VBR : 0x00000020 = 32 섹터

32 * 512 = 16384 = 0x4000 

 

0x4000 가보면 VBR 깨져있음

NTFS는 마지막 섹터에 VBR 사본이 존재한다고 함

시작섹터 32 + 총 섹터크기 1981408 - 1 = 1981439

1981439 * 512 = 0x3C77FE00

해당 내용 복붙하고 이미지 저장한다

저장한 이미지 FTK Imager 로 열면 복구되었다

 

$MFT 위치

0x01427E = 82558

82558 * 8 = 660464

660464 + 32 = 660496

660496 * 512 = 0x14282000

삭제된 파일

42 *2 = 84

84 + 660496 = 660580
660580 * 512 = 0x1428C800

cluster run 이거 뭐임

 

058A = 1418
1418 * 8 = 11344
11344 + 32 = 11376
11376 * 512 = 0x58E000 

 

22C4 = 8900 bytes

8900 bytes 만큼 저장하면 복구됨