CnW Recovery（硬盘数据恢复工具）

CnW Recovery是的硬盘数据恢复工具。当您意

从文件条目还原时，程序将扫描其确定的主文件表（MFT）的范围。有时这可能会引起问题，并且如果对特定项目的损坏严重，则可能导致程序循环或崩溃。此类问题应报告给CnW Recovery，但在手动期间，可以通过将MFT范围设置为小于整个范围来还原磁盘的某些部分。因此，用户决定只还原前1000个条目，或还原4,500至6,000范围内的条目，而不是整个磁盘。

搜索MFT

某些磁盘的访问速度非常慢。在这种情况下，搜索MFT可能需要数年而不是数小时。对MFT的搜索将执行更快的搜索，找到可能的MFT条目的每个可能的512个位置。这确实假定将检测到MFT的操作，但是可能会错过该操作。因此，如果可能要求提供完整的法医报告，则不应使用此功能。

通过搜索MFT，这也是简单分析磁盘结构的基础，因为它还将确定分区的开始和群集大小。

根据在NTFS恢复主屏幕中设置的值，这些值以“十进制”或“十六进制”显示。

以上信息由程序自动填写，可以灵活更改。特别地，搜索的开始位置由扇区的开始确定。此功能可用于在称为第二分区的磁盘区域上开始搜索。

运行搜索

搜索增量是两次搜索之间跳转的扇区数。因此，对于普通的512字节磁盘，以上显示将与每256个（0x100）可能的MFT相关。（某些磁盘为1024字节）。较大的搜索增量可能会跳过包含MFT的磁盘部分，而较小的则增量将需要很长时间来搜索，当搜索磁盘时，实际上会读取两个扇区，因此起始位置是奇数还是偶数都没有关系，一旦找到MFT块，程序将向后搜索第一个该范围内的MFT。状态列表框显示以$ MFT的第一项运行的任何MFT的开始

开始部门和结束部门

这些值定义搜索范围。通常使用默认值，除非人们知道在哪里查看并希望节省时间。

扫描所有有效的MFT

$ MFT是由MFT记录组成的文件。每个记录以字符串FILE0或FILE *开头，长度为1024字节。第一个条目将始终具有$ MFT的文件名。对所有有效MFT的功能扫描将扫描整个磁盘，以查找从$ MFT开始的任何MFT运行。对于许多应用程序而言，仅需要第一个磁盘，而对于单个分区磁盘，则应该只有一个磁盘。

对于已重新分区的磁盘，完整扫描可能指向旧MFT运行的位置。

应用价值

如果扫描显示可能的MFT操作，则可以将其应用于主要恢复过程。如果检测到多次运行，则必须选择所需的运行。然后它将这些值配置到磁盘的分区0中。因此，如果有多个分区，则每个分区必须多次运行此例程。

取消

取消按钮有两种操作模式。如果程序正在扫描，它将取消扫描。如果扫描完成（或取消），则此功能将退出，并且主要参数将不会更新。

重新加载NTFS时文件丢失

这是一个非常普遍的问题。如今，许多PC都带有操作系统恢复模式，该模式将重新加载操作系统的完整副本而不保留文件。幸运的是，这种重新加载通常不包括重新格式化，因此该文件仍然存在，但是无法访问。

还原文件的一种方法是跟踪所有旧的MFT条目。新安装的操作系统将创建一个新的MFT文件，该文件是所有文件的索引，并且新的MFT将很短，即对于磁盘上的当前文件足够长，可能是10,000个文件。要还原较旧的文件，必须找到原始的MFT。由于MFT的所有位置索引可能会丢失，因此唯一的工作方法是扫描整个驱动器。因此，在NTFS选项屏幕上，需要同时选中单选按钮和复选框。

来自文件条目

扫描所有MFT条目。

按全部恢复或选择文件按钮时，将扫描整个驱动器。如果不需要扫描整个驱动器，则可以将“最终扫描”值从默认最大值减小。类似地，可以增加起始值。如果由于完全或过多的扇区故障而有必要跳过某些介质，则此开始和结束设置也很有用。扫描时，显示屏将显示进度以及找到的MFT和引导扇区的数量。如果在扫描中按“取消”，则MFT扫描将被取消，并且该过程将继续进行文件恢复，具体取决于检测到“取消”按钮时MFT的数量。

文件恢复模式分为两部分。第一遍将还原所有已知的普通文件，即从当前NTFS磁盘还原的文件。然后，第二遍将恢复从扫描的MFT中找到的所有文件和已删除的文件。两次通过的原因是可以检测到可能已被覆盖或部分被覆盖的文件。

作为第二遍的一部分，恢复的文件存储在目录中！

被认为部分覆盖的文件存储在覆盖或覆盖的目录中！恢复。被覆盖的文件通常会被损坏，但是您可以尝试尝试，因为它们包含必需的信息/文件数据。

已恢复文件，但子目录无效或错误

最可能的解释是驱动器分区不正确。 MFT中存储的文件的位置相对于MFT所在的分区。解决此问题的起点是运行分区程序并搜索以前的分区。

无法读取第一个MFT，复制失败

第一个MFT是关键部门。实际上有两个这样的扇区，并且在显示此错误消息之前都将对它们进行搜索。解决这个问题的方法如下

在“恢复功能”中，必须选择并启用以下选项

来自文件条目

扫描所有MFT条目

然后，程序将扫描整个磁盘以查找MFT。然后，它将执行两个恢复阶段。如果缺少第一个MFT，则恢复阶段可能看起来很奇怪。第一步是尝试恢复完整MFT文件中存在的所有文件-在这种情况下，该文件可能不存在。然后第二阶段是还原与MFT相关的所有文件。

NTFS具有混乱的分区

当分区修改过程失败时，NTFS磁盘可能处于最能描述为混乱状态的状态。换句话说，您可以找到MFT文件所在的位置，但与该文件无关。这样做的原因是，重新分区程序可能会移动MFT的位置，有时甚至会移动程序的位置。如果此过程在中间失败，则实际上可能有两组MFT条目，指向两组文件。若要还原文件，可能需要重新创建初始分区设置的分区信息，然后重新创建第二组分区设置的另一组参数和MFT位置。然后分两个阶段还原磁盘

本节提供了有关恢复此类磁盘的指南。

第一步始终是确定实际MFT的位置。为此，CnW Recovery中有两个工具可以提供帮助。

第一个工具是分区分析例程。如果分区具有有效的标头，则此功能将有助于搜索分区的起始位置，并因此搜索指向MFT文件的指针，即磁盘目录信息。

如果该分区没有有效的头，则必须在分区分析部分中将该分区设置为NTFS，然后转到“ NTFS恢复”菜单并使用“分析磁盘”功能。这将搜索磁盘以找到MFT的开头。

这时，我们可能具有MFT的起始扇区，即，以FILE开头并部分通过的扇区具有字符串$ M FT。这是必须在MFT起始扇区中输入的值。但是，还原时，您可能会得到很多文件和有效的文件名，但是无效的文件。此问题是由分区启动错误引起的。开始创建分区可能很耗时，但是当您获得正确的结果时，您会感到非常满意。分区的开始分为两个阶段。首先运行恢复程序并获取文件名和大小。其次，执行磁盘区域的原始恢复，以获取许多具有已知大小和扩展名的文件。通常，jpeg文件对此非常有用。然后，可以在目录确定的位置和原始恢复位置之间匹配已知大小的jpeg文件。一些简单的数学运算符附带有关如何更改分区起始值的说明。这听起来很复杂，但实际上还不错。它只需要仔细考虑。由于永远不会更改主磁盘并将数据还原到其他驱动器，因此多次尝试不会进一步损坏您的数据。

CnW正在研究使这一过程自动化的方法。

删除分区

意外删除分区是一个常见错误，这样做会丢失所有文件。 CnW软件将帮助您恢复文件。

有几个阶段。如果未添加任何数据或操作系统，则可以执行完全恢复。

第一步是确定原始分区。详细信息位于“分区分析和恢复”部分。如果此操作成功地重新创建了主引导记录，则可以在磁盘上完成NTFS和FAT的正常恢复功能。

如果无法检测到分区信息，则必须将分区类型强制为所需的分区类型。通常这是NTFS，但应注意，某些大型PC制造商的确在磁盘的开头（有时在磁盘结尾）包括小型FAT分区。用户可能会认为该磁盘是NTFS，但它也可以具有FAT分区。

相关部门和总部门需要与“操作系统”一起填写“合理”值。然后，当您选择“恢复”时，每个恢复功能都有一种分析模式，可用于确定分区值。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/dianqi/article-346928-1.html