從下圖的NTFS DBR可以得出$MFT的起始位置位于本分區(qū)的786432*8=6291456

跳轉(zhuǎn)到6291456扇區(qū)，可以看到這是$MFT的起始扇區(qū)；

查看80屬性的data runs，

可以看到這個$MFT分為多段存儲，第一段起始簇號為786432，即786432*8=6291456扇區(qū)，第二段始簇號為786432+46505008=47291440，即(786432+46505008)*8=378331520扇區(qū)，第三段始簇號為786432+46505008+20260353=67551793，即(786432+46505008+20260353)*8=540414344扇區(qū)。

轉(zhuǎn)載請注明：成都千喜數(shù)據(jù)恢復(fù)中心 » $MFT元文件80屬性Data Runs分析