NTFS系统下“小文件”取证软件的设计与实现

摘要

文章介绍了通过MFT文件记录恢复“小文件”的方法,介绍了“小文件”恢复需要解决的乱码问题和多次删除数据的恢复问题,介绍了“小文件”取证软件的总体执行流程图和测试情况.该软件可以自动扫描NTFS系统的$MFT元文件,从$MFT元文件中依次找出每个包含“小文件”数据的MFT记录,如果某个MFT记录包含可以恢复的数据,则将其恢复出来.