在这篇教程中，我想以一个最简单的例子来说明如何使用winhex来恢复NTFS 分区中被删除的文件的，为了使这上篇的文章的知识尽量的简单，我这里所恢复的条件有这么几个： 1、我格式化了一个分区，所以这个分区中是没有任何文件的。 2、我使用的文件大小小于 1K，所以这个文件在NTFS 分区的文件记录中的数据属性中是个常驻属性。所以这里不涉及到运行计算的问题，应该 最简单的文件恢复了，以这个恢复例子的过程，可以建立一个数据恢复的大体原理了。 希望大家喜欢 ：） 下面开始。 第一：建立一个文本文件 我格式化了我的分区G，分区类型是 NTFS，使用快速格式化，正常格式化只在检查磁盘坏道时才有用。。。 之后，我在这个分区建了一个文本文件，如下图所示： 这个文件很简单，内容也很少，我保存这个文件后，然后然后我们来看看这个文件大小信息，如下图所示： 我们看到，这个文件大小是224 个字节，记住了哦，等下恢复这个文件的时候就可以对比一下了咯 嘻嘻 。。。 之后我就删除了这个文件，现在，我们看看怎么恢复这个文件！ 第二：用 winhex打开分区 我们运行 winhex，然后点击菜单：工具-->打开磁盘，来打开 G 盘。如下图所示： 我们可以找到$MFT这个文件，然后右击它，然后点击打开，之后就会打开这个文件MFT。如下面两个图所示： 这里为什么要这么做呢？ 因为，我们只需要在MFT找到我们丢失的文件，如果我们在整个分区里搜索并且这个分区很大的话，会要很多时间的，而MFT文件就小得多了，最大也就1G 左右，这是我人为弄出来的，一般系统是很难见到这么大的MFT文件的，除非你是做服务器，有很多磁盘碎片和小文件。。。 之后，我们可以点击菜单中的：搜索-->查找文本。如下图所示： 我们输入我们想要恢复的文件名HelloWorld，而且注意，要选择Unicode。因为 MFT 的文件名是 Unicode 形式的，之后就是查找了！ 一会我们就找到了这个文件，如下图所示： 为了能使用WinHex的颜色，我们转到分区去看这个文件记录！首先，我们看到这个文件记录在MFT 的偏移地址是7450H，然后我们在winhex中转到我们分区的视图，然后点击MFT文件，这样就偏移到了我们MFT 文件的位置，然后选择菜单中的：位置-->转到偏移位置。 然后输出 7450，位置是从当前位置开始！如下图所示： 之后，我们就找到了这个文件记录，如下图所示： 我们看图的左边，文件记录号是29，我们看上图的蓝色框，那个是文件记录的标识：FILE。那么我...
