chkdsk - 使用 Windows chkdsk 日志恢复丢失的文件

chkdsk - 使用 Windows chkdsk 日志恢复丢失的文件

Windows 7 Chkdsk 搜索了我的闪存驱动器以查找坏扇区恢复,它删除了数百个最重要的文件夹和文件。不幸的是,我没有从它们那里进行任何新的备份。

文件系统是NTFS。

使用 R-studio 恢复工具,我从 16GB 闪存驱动器中找到了 112GB 文件,其中已使用空间约为 5GB。恢复的文件不包含其路径(及其名称)。在这些恢复的文件中,大多数文件都有多个副本,并且还发现了一些以前删除的文件,有些已损坏,有些则正常。

我希望在其中找到几乎所有丢失的文件,但是手动组织这些大量文件并且没有它们的名称和路径不仅很麻烦,而且也是不可能的。

不幸的是,在 found.000 中,在 chkdsk 分区的根目录中,我丢失的文件并不多,只有大约 30 个。

但是当我查看 chkdsk 日志文件时,似乎所有这些都记录了下来。日志文件中最有趣的信息是来自 3 种类型的条目,第一种类型的示例条目如下:

Deleting orphan file record segment 20386.

并且每个条目的数字各不相同,已排序但不在一行中。

第二系列条目的格式如下:

The object id index entry in file 0x19 points to file 0x4bce
but the file has no object id in it.

这里也只是第一行末尾的第二个十六进制数,在一系列条目中发生了变化。

最后一系列条目包括文件和文件夹的名称以及一些索引号和文件十六进制地址,这里提供它们的示例:

Index entry Release of index $I30 in file 0x3b2a points to unused file 0x4bce.
Deleting index entry Release in index $I30 of file 15146.

Release 是其中一个丢失文件夹的名称,15146 是 0x3b2a 的十进制表示。其他条目包括一个文件或文件夹的名称。第 2 部分和第 3 部分中的所有条目并非都匹配,但其中一些条目与上述示例匹配。

有趣的是,恢复工具(R-Studio)将那些恢复的文件命名为 3 到 5 位数字,我希望这些数字能够与日志条目中的数字相匹配,以某种方式......

问题要点:

  • 如何使用生成的日志文件中提供的信息,在 NTFS 分区中通过 Windows chkdsk 恢复已删除的文件条目及其路径(或至少是其名称)?
  • 是否有足够的信息来恢复它们?例如 NTFS 日志或 chkdsk 日志?
  • 如果需要的话,我可以而且我准备为此编写一个应用程序。但我不知道应该从哪里开始,以及该程序应该做什么来恢复丢失的文件。

相关内容