标签: mft

前阵子，我几乎填满了我的硬盘，远远超过了推荐的最大容量的 85%。我相信 NTFS 开始在为主文件表 (MFT) 保留的空间中存储文件，并且 MFT 随着它的增长不得不在其他地方分片。
我已经清除了硬盘驱动器上的空间，但 MFT 显然仍然是碎片化的，即使是打开文件夹或小文件等非常简单的操作，磁盘访问速度也很慢。这是杀死性能。我记得 Windows 标准磁盘碎片整理程序不会对 MFT 进行碎片整理，因为在操作系统运行时 MFT 正在使用中。我正在运行 Vista Ultimate，它的碎片整理实用程序几乎没有报告方式，比旧版本少。

我怀疑解决方案可能涉及从带有基本操作系统（“Live CD”）的光盘启动并从中运行碎片整理实用程序。谁能告诉我使用什么程序，或者如何对我的 MFT 进行碎片整理？

谢谢！

我的硬盘容量是 500 GiB。150 GB 数据被意外删除。在那次事件之后我没有向驱动器写入任何字节，所以我的数据保证在那里。我尝试过像 Recuva 这样的应用程序，所有应用程序都显示数据在那里，并允许我将数据保存在不同的位置，但问题是我不想这样做。

我只是希望文件在 MFT 中再次标记为未删除。有没有可用于此目的的应用程序？我搜索了很多但没有找到任何东西，是否可以在 MFT 中取消将文件标记为已删除，或者我是否遗漏了什么？如果我知道如何手动完成，我可以为此编写一个应用程序。

我使用的是 Windows 7 和 NTFS。我注意到 MFT 存在巨大的安全风险，因为它可以在用户不知情的情况下存储敏感文档文件很长时间，然后才会被覆盖。

我运行的所有测试都告诉我，小于 640 字节的文件驻留在 MFT 中，无法安全删除。但是，任何 640 字节或以上的文件都可以立即安全删除 - 对于我的 500GB 硬盘和 128GB 闪存驱动器（均为 NTFS）来说就是如此。

我通过创建一堆文本文件并向其中写入单词来创建不同的文件大小来测试这一点。删除它们，清空回收站并运行 Recuva，然后安全地删除突出显示的内容。它无法安全删除 640 字节以下的任何文件（文件驻留在 MFT 消息中将出现）。

对于启用 Trim 的 SSD 来说，情况是否相同？为什么是 640 字节？认为已擦除文件的 MFT 条目最大为 512 字节？

任何意见都非常感谢。

我想将 MFT 移动到连续使用空间的末尾。现在它放在中间：

我想把它移到开头。我怎样才能做到这一点？

我搜索了几个问题，但没有找到任何人治疗我的问题。

因此，我有一个 1TB 外部硬盘用于备份，只有 1 个 NTFS 分区。今天使用时DiskPart我错误地格式化了该分区（谁会想到光盘计数从 0 开始而不是从 1 开始）。我使用的完整命令是：

format recommended override quick label=Windows

因此，我执行了快速格式化，并且我从中了解到，快速格式化后可以恢复存储在那里的数据。不管怎样，当我意识到这不是我想要格式化的分区时，我删除了对外部驱动器的访问权限，以尽量减少可能的损坏。

现在，MFT是元数据部分，其中注册了文件名、创建日期、访问权限和内容；并且它也是镜像的（因此磁盘中的某个位置有它的副本）。我不知道快速格式化是否也会删除 MFT 镜像，我希望不会。

我正在运行一个程序来恢复其上的文件，但我必须将文件保存到另一个位置（扫描完成后，大约 12 小时后），而且我没有超过 900GB 的可用存储空间来放置数据。

我想知道是否有一个程序或过程可以让我就地恢复旧的 MFT，并再次可以访问其中曾经存在的所有数据。

非常感谢您提供有关如何继续或使用哪些程序的任何帮助或说明。

我已经阅读了一些与损坏或无法正常工作的 NTFS 分区相关的帖子，但没有针对我的情况提供适当的解决方案。这是：我的系统是

• mini PCI express (PCIe)上的 SSD，上面安装了 Windows 7。两个分区：一个带有戴尔实用程序 (40 MB)，其余分区是 Windows 安装本身 (119 GB)。
• 具有 450 GB NTFS 文件的 HDD，以及 30 GB 使 Ubuntu 安装工作的所有分区（交换、系统等）

启动设备是内部硬盘（IRRT），唯一可能的；这将启用 IRRT，并启动GRUB，它通过指向 HDD 上的某个扇区可以在 SSD 上启动 Windows 7。

现在发生了什么：

我让我的电脑进入睡眠状态，然后几个小时后它进入休眠状态。无线网卡被物理禁用（Dell M4600）。然后我启动了笔记本电脑，在 GRUB 完成之前，我再次打开了无线网卡。然后在 GRUB 上按下“windows”。然后蓝屏，重启，windows 找不到启动分区：“需要的设备丢失”。

我试过 Windows 7 恢复光盘：只能修复硬盘上的一小部分 Windows 安装，看不到 SSD。“修复”没有任何作用。强行移除硬盘驱动器绕过 GRUB 并没有让 Windows DVD 看到 SSD 的引导扇区。“Windows 安装”还不够。

现在，如果我开始表现得好像我会再次安装 Windows，Windows 会看到驱动器 C 上的两个分区，它们仍然在 NTFS 中。

然后我去 Linux 并尝试fdisk：分区仍然在这里，再次。但是它们没有出现在Nautilus 中 …

几天前我经历了我的第一个硬盘驱动器崩溃，幸运的是它不是主磁盘，只是充满了我可以重新安装的软件。

我尝试了几种实用程序，例如

• 易我分区向导 - www.easeus.com/
• TestDisk - http://en.wikipedia.org/wiki/TestDisk

尝试保存我的硬盘分区，但他们无法修复它。

我不得不重新格式化磁盘，因为 MFT（主文件表）已损坏并且 Windows chkdsk 找不到它的备份。

我想知道如何找到这个 MFT 并将它备份到一个单独的位置，比如我的其他硬盘驱动器。

我没有使用 RAID

磁盘是SATAII

是否有可能，如何防止将来出现崩溃的磁盘？

谢谢你的时间！

除了主文件之外，我说的是位于驱动器上的备份副本之类的东西。

如果有，我将如何检索它并将备份写回主分区？

我有一个带有一个 NTFS 分区的 2TB Seagate ST2000DM001 HDD。我几个月没用了，当我再次插入它时，这个分区莫名其妙地变得无法访问：Windows 资源管理器中出现了卷的字母，但不再识别该分区的大小，如果我尝试打开它，则会出现错误。它在存储管理器中显示为“RAW”。CHKDSK 立即放弃对其进行分析，并显示一条错误消息，指出无法确定卷的版本和状态。

但是，如果我使用 R-Studio 打开该驱动器，该分区会立即显示其正确大小，我可以打开它（甚至不需要扫描）并访问我上次正常使用时存在的所有文件，使用整个目录树，就我所见，文件的内容似乎是 100% 正确的。同样，如果我用 WinHex 打开整个驱动器，它会正确识别分区，并显示文件和文件夹及其正确内容。我还测试了 2 个碎片整理软件（仅在分析模式下）：MyDefrag 可以列出分区的内容，并为鼠标指针悬停的每个块提供有效信息（文件名、大小、LBA...）；但碎片整理程序不能。我也用DMDE打开它：像R-Studio一样，它可以立即识别分区的内容；MFT 记录 1, 2, 3 ; 这些通常对应于：$MFTMirr、$LogFile和$Volume，三个重要的系统文件，它们确实在“$MetaData”目录中丢失了。如果我回到 R-Studio，我可以看到“Metafiles”目录中也缺少这些文件。如果我用 WinHex 检查 MFT 的开头，我可以看到 MFT 记录 0 很好（它指向 MFT 本身），但随后MFT 记录 1、2 和 3 已损坏，它们用“FF”（十六进制）/“ÿ”（ASCII）填充。奇怪的是，MFT 镜像（我仍然可以使用 WinHex 找到它，使用旧的卷快照，在问题出现之前制作，并且它的位置也由 R-Studio 在其分区属性面板中指示，显然 MFT 和MFTMirr 将它们的 LBA 写入引导扇区）具有完全相同的损坏模式：第一条记录没有问题，然后接下来的三个记录填充为“FF”。

现在，我的猜测是该分区无法访问，因为缺少那三个 MFT 记录，因此找不到相应的文件。而 CHKDSK 必须至少需要这些文件才能正常运行。怎么会这样？MFT 及其镜像（实际上只是前 4 条记录的副本，但在这种特殊情况下，它应该足以解决问题，因为 3 条损坏的记录在这 4 条中）最终在同时 ？
我如何修复/重新创建那些丢失的 MFT 记录，以便“就地”修复分区，而不是提取所有文件（作为安全措施我已经这样做了），重新格式化分区，然后将它们传输回来？我可以从另一个分区复制有效记录，并更改变量值，知道模板，但到目前为止我只能识别时间戳（我可以从同一分区上的其他系统文件复制，因为它们都是在完全相同的时间），我还无法找到指示集群位置大小的字段。我还发现 $Volume 是一个常驻文件（完全位于 …

我注意到当我按名称搜索文件时（在 Windows 或 Linux 中），它通常是一个磁盘密集型过程，尤其是在 Windows 中。该实用程序（Windows 搜索，或 Cygwin 中的“查找”）似乎会扫描整个目录树，逐个考虑每个文件。

我想知道，为什么不将主文件表（或等效的，如果不是 NTFS）加载到内存中并纯粹在内存中解析它？我想这类似于 Windows 搜索、Google 桌面搜索和 Spotlight 等更现代的搜索所维护的索引，但即使是这些也是间接的。我猜文件系统通常不会将其元数据提供给外部程序？

我无法证明搜索尚未基于 MFT，但根据它的运行方式似乎不太可能。

为什么数据恢复程序经常恢复没有原始名称/结构的文件？

例如，我使用 PhotoRec，我认为它是一个非常好的用于恢复目的的应用程序，但它发现的所有内容都可以在没有名称和结构的情况下恢复。

这是为什么？我了解名称的“来源”是主文件表，它存储名称/结构/属性等。这是真的吗？

为了真正的恢复，有结构和名称，是否需要保持MFT完好无损？