使用WINHEX对回收站清除的文件进行恢复

泠珩

于 2020-03-09 11:45:13 发布

阅读量3.4k

点赞数 3

文章标签：安全 windows 数据安全

本文链接：https://blog.youkuaiyun.com/Dusk_Rain/article/details/104748697

版权

本文介绍了如何使用WINHEX专业版恢复回收站中清除的文件。首先，通过开启中文版并注册专家版，然后在磁盘根目录找到MFT文件，利用CTRL+F查找被删除文件的标识。通过分析MFT中的数据属性，确定文件的起始位置和大小，最后通过选块方法恢复文件内容。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

准备操作

开启中文版：在help中setup
注册成为专家版，把下面六行内容复制到help的注册里，如果不是专家版不能恢复大于200k的内容，也就是说很多图片都搞不了，而且不能单独打开进入MFT文件。

 Name: 99yyw
 Addr: ds@mail.ua
 Addr: Ukraine
 Data: 777ECCCE7F77FE6BF840DFA6CF2441DB
 Data: 6340FB62056E7A0CDF7AE8D1797666F4
 Cksm: 0C49043D

F9打开磁盘，找到文件删除前所在的磁盘，在磁盘的根目录找到MFT文件，双击进入。
CTRL+F进入文本查找，要选择Unicode，因为MFT文件名都是UNICODE
查找窗口测试文件为yr2020

找到FILE0，这是一个MFT文件的开头，开头偏移16H的地方的值，00表示已经被删除，01表示未被删除
找到16h的位置发现是00 说明已被删除

继续往下找到第一个80